Վկայականի անվան անհամապատասխանություն կամ ժամկետի սպառում. ինչպես տարբերել

VPN-ի երկու խափանումներ օգտվողի աթոռից նույնն են թվում, բայց հակառակ ուղղումներ են պահանջում: Անվան անհամապատասխանությունն ասում է, որ վկայականը վավեր է, բայց թողարկվել է այլ բանի համար: Ժամկետի սպառման սխալն ասում է, որ վկայականը տվյալ պահին վավեր չէ: Ոչ մեկը գաղտնաբառի խնդիր չէ, և հավատարմագրերի վերակայումը երկու դեպքում էլ ամենահաճախ վատնված ժամն է: Կարդացեք ձախողվող փուլը, նախքան ինչ-որ բանի դիպչելը:

Սխալի տեքստը ախտորոշումն է

Հաճախորդը ձեզ ասում է, թե որ ստուգումն է ձախողվել, նույնիսկ երբ հաղորդագրությունը հակիրճ է: Անհամապատասխանությունը նշում է սպասված հոսթանունը և գտնված անունը: Ժամկետի սխալը հիշատակում է վավերականության ամսաթվեր կամ ժամ: Այդ երկու նախադասությունները մատնանշում են վկայականի տարբեր մասեր:

Կարդացեք դրանք այն փուլում, որտեղ դրանք հայտնվում են: Ձեռքսեղմման ընթացքում ձախողումը վկայականի խնդիր է. թունելը բարձրացնելուց հետո ձախողումը երթուղավորման կամ հավատարմագրերի խնդիր է: Փուլը պահպանելն է, որ խանգարում է հետաքննությանը շեղվել անառնչվող կարգավորումների մեջ:

Եթե ձախողումը փորձերի միջև տարբերվում է, դուք ունեք երրորդ հնարավորություն. նույն անվան հետևում մեկից ավելի հանգույց:

Անվան ստուգումներ. ինչ է համեմատում հաճախորդը

Հաճախորդը համեմատում է այն ինքնությունը, որ սպասելու համար կարգավորված է, վկայականի անունների հետ, որոնք գտնվում են subjectAltName ընդլայնման մեջ: Պրոֆիլում հում IP-ն, վկայականում չնշված այլանունը կամ անուն, որը պարզապես լուծվում է նույն սերվերին, բոլորը ձախողվում են այս ստուգմանը: Ճիշտ մեքենային հասնելը նույնը չէ, ինչ ճիշտ ինքնությունը ներկայացնելը:

Ուսումնասիրեք այն վկայականը, որը սերվերը իրականում ներկայացնում է, այլ ոչ թե նախորդ փորձի ֆայլը: Ստորև բերված հրամանը հարցնում է ձեր կարգավորած անունը, այնպես որ պատասխանը ներառում է վկայականը, որը կտեսներ իրական հաճախորդը:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Վստահելի թողարկողի վկայականը դեռ կարող է այլ ծառայության համար լինել: Թողեք հաճախորդի անվան ստուգումները միացված, քանի որ CA-ին վստահելը չի լիազորում այն CA-ի երբևէ ստորագրած յուրաքանչյուր անուն: Ստուգումն անջատելը կարգավորման սխալը վերածում է բացահայտման:

Ժամկետի սպառում. ում ժամացույցն է կարդացվում

Վավերականությունը ժամադրոշմների զույգ է, և ստուգիչը դրանք համեմատում է իր ժամացույցի հետ: Սխալ ժամացույց ունեցող սարքը վավեր վկայականը հաղորդում է որպես սպառված կամ դեռ վավեր չէ, և ուղղումը ժամացույցն է, ոչ թե վկայականը: Ժամային գոտու ցուցադրման տարբերությունը նույնը չէ, ինչ հիմքում ընկած սխալ ժամը:

Համեմատեք վկայականի ամսաթվերը UTC-ի հետ հաճախորդի վրա, նախքան որևէ եզրակացություն անելը:

openssl x509 -in cert.pem -noout -dates
date -u

Եթե ամսաթվերն իսկապես անցել են, նորոգեք թողարկողի միջոցով: Եթե փոխարինումը գոյություն ունի, բայց դեռ վավեր չի դարձել, հետևեք աջակցվող անցմանը՝ ժամացույցը դրան համապատասխանեցնելու փոխարեն: Վկայականին բավարարելու համար սարքի ամսաթիվը հետ տալը որոշում է, որի հետևանքները շատ ավելի հեռու են թունելից:

Ինչու մեկի ուղղումը բացահայտում է մյուսին

Վավերացումը կատարում է ստուգումների հաջորդականություն, և առաջին ձախողումը կանգնեցնում է հաշվետվությունը: Ուղղեք անունը, և հաճախորդը կարող է ձեզ ասել, որ շղթան ամբողջական չէ կամ վկայականը սպառվել է: Դա չի նշանակում, որ առաջին ստուգումն ավելորդ էր: Դա նշանակում է, որ շղթան մեկից ավելի խնդիր ուներ, ուստի սպասեք երկրորդ սխալին՝ այն առաջին ուղղումը սխալ համարելու ապացույց չկարդալով:

Բազմաթիվ հանգույցները վատթարացնում են սա: Բեռնվածքի հավասարակշռմամբ ծառայությունը կարող է տարբեր անդամներից տարբեր վկայականներ ներկայացնել, ուստի երկու անգամ անցնող և մեկ անգամ ձախողվող թեստը պատմում է ձեզ ֆլոտի մասին, ոչ ձեր հաճախորդի: Պահեք գործընկերոջ հասցեն և փորձի ժամը ախտորոշման մեջ:

Այդ մանրամասն է, որ անկայուն տոմսը դարձնում է վերարտադրելի:

Ապացուցեք նոր կապով

Վերանորոգումից հետո բացեք նոր կապ՝ հինը վերսկսելու փոխարեն, և հաստատեք, որ նախկինում ձախողվող փուլն այժմ անցնում է: Այնուհետև հաստատեք, որ թունելն իսկապես տեղափոխում է տրաֆիկ, քանի որ հաջող ձեռքսեղմումը աշխատող երթուղի չէ:

Պահեք սխալի ճշգրիտ փուլը և վկայականի մանրամասները տոմսի հետ:

Այդ գրառումն է, որ խանգարում է հաջորդ մարդուն վերակայել հաշվի գաղտնաբառերը վկայականի խնդրի պատճառով: Ինքնությունը և վավերականությունը առանձին հարցեր են, և RFC 5280-ը հղումն է, թե ինչպես է գնահատվում երկրորդը: