VPN վկայականը դեռ վավեր չէ՝ երեք պատճառ, մեկ ստուգման կարգ
«Դեռ վավեր չէ» նշանակում է, որ սարքի ժամացույցը հետ է մնացել, պատուհանն իրոք ավելի ուշ է սկսվում, կամ միջանկյալ վկայականը դեռ չի բացվել։ Ստուգեք դրանք այդ հերթականությամբ։
Բացում եք հաճախորդը, ընտրում եք այն պրոֆիլը, որն օգտագործում եք ամիսներ շարունակ, և այն կանգ է առնում "certificate is not yet valid" հաղորդագրությամբ։ Ձեր մուտքի մեջ ոչինչ չի փոխվել, և վստահության պահոցը, հավանաբար, կարգին է. ձեռքսեղմման ընթացքում ներկայացված վկայականը կրում է վավերականության պատուհան, որը սկսվում է ավելի ուշ, քան ստուգիչի օգտագործած պահը։ Երեք տարբեր իրավիճակներ արտադրում են հենց այդ հաղորդագրությունը, և դրանք տարբեր գործողություններ են պահանջում։ Ստորև ներկայացված կարգը ձեզ ասում է, թե որն ունեք, նախքան ժամացույցին կամ վկայականի ֆայլին դիպչելը։
Երեք պատճառներից որն եք տեսնում
Առաջին պատճառը տեղական է. ստուգումը կատարող սարքի ժամացույցը ավելի վաղ է, քան վկայականի մեկնարկի ամսաթիվը։ Դա տեսնում եք մեռած CMOS մարտկոցով սարքաշարում, հին պատկերից վերականգնված վիրտուալ մեքենաներում, այն սարքերում, որոնք բավական երկար անջատված են եղել ժամանակը կորցնելու համար, և այն ցանցերում, որտեղ ելքային NTP-ն արգելափակված է, և ոչ ոք չի նկատել։ Վկայականը կարող է ամբողջությամբ վավեր լինել և այդուհանդերձ այս կերպ ձախողվել։
Երկրորդ պատճառը պատկանում է թողարկողին, որովհետև վկայականն իրոք սկսվում է ապագայում. թողարկվել է շուտ, ստեղծվել է հստակ մեկնարկի ժամով, կամ ստորագրվել է որպես ակտիվացման քայլի մաս, որը դեռ չի կատարվել։ Երրորդ պատճառը վատնում է ամենաշատ ժամանակը, որովհետև տերևը ընթացիկ է, մինչդեռ ներկայացված շղթայի մեկ այլ վկայական այդպիսին չէ, այնպես որ սխալը նշում է նյութ, որը դուք երբեք չեք տեղադրել։
Մեկ հարց բաժանում է դրանք։ Ձախողումը հետևո՞ւմ է սարքին, թե՞ ծառայությանը։ Նույն ցանցում տարբեր վարվող երկու մեքենաներ մատնանշում են ժամացույցները։ Եթե յուրաքանչյուր հաճախորդ ձախողվում է նույն կերպ, դա մատնանշում է վկայականի պատուհանը և դրա հետևում գտնվող շղթան։
Պատուհանը կարդացեք այն վկայականից, որն իրականում ներկայացվել է
Չստուգեք նախորդ տեղադրումից մնացած PEM ֆայլ՝ հարցրեք ծառայությանը հենց հիմա ուղարկվող շղթայի մասին։ openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts տպում է շղթայի յուրաքանչյուր վկայական։ Պահեք ձեզ հետաքրքրող բլոկը և գործարկեք openssl x509 -noout -subject -issuer -dates՝ վերջինը տպում է notBefore և notAfter, և հենց այդ երկու արժեքներն են որոշում։ Windows-ում կապի վկայականի երկխոսությունը և արտահանված ֆայլի վրա certutil -dump ցույց են տալիս նույն դաշտերը։
Կարդացեք պատուհանի երկու ծայրերը, ոչ միայն սկիզբը։ Երկու ժամից բացվող վկայականը և երկու ժամից փակվողը ձախողվում են տարբեր հաղորդագրություններով և ներգրավում տարբեր թիմերի։ Նշեք, թե որ վկայականն է անվանում սխալը՝ տերև, միջանկյալ, թե արմատ, որովհետև դա է որոշում, թե արդյոք հաճախորդի կողմում ինչ-որ բան ընդհանրապես հնարավոր է ուղղել։
Կարող եք նաև փորձարկել պատուհանը՝ չսպասելով դրան։ Ստուգումը ընդունում է հստակ ժամանակ՝ openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem գնահատում է շղթան այդ ժամադրոշմով։ Գործարկեք այն ընթացիկ ժամով՝ ձախողումը վերարտադրելու համար, ապա վկայականի մեկնարկի ժամով՝ հաստատելու, որ նույն շղթան անցնում է, հենց որ պատուհանը բացվի։ RFC 5280-ը սահմանում է վավերականության դաշտը և այն կանոնը, որ վկայականը չպետք է օգտագործվի դրանից դուրս, և հենց այդ կանոնն է, որ ձեր հաճախորդը նոր էր կիրառել։
Ձեր ժամացույցը, թե՞ նրանցը
Համեմատեք սարքի ժամացույցը վկայականի UTC-ով մեկնարկի հետ՝ ձեր վստահած աղբյուրից։ date -u-ը տալիս է պահը, և timedatectl status-ը systemd հոսթի վրա նաև հայտնում է՝ արդյոք ժամացույցը համաժամեցված է։ Windows-ում w32tm /query /status-ը ցույց է տալիս ընթացիկ աղբյուրը և վերջին հաջող համաժամեցումը։ Սկուտեղում ցուցադրված ժամային գոտին ցուցադրման ընտրություն է, ոչ թե սխալ ժամացույց՝ ստուգիչը համեմատում է UTC պահերը։
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
Եթե ժամացույցը հետ է մնացել, նորից համաժամեցրեք և նորից փորձարկեք նախքան վկայականի որևէ նյութ փոխելը։ Մի քանի րոպե կամ ժամ սխալ սարքը մերժում է իր հանդիպած յուրաքանչյուր վերջերս թողարկված վկայական, ոչ միայն մեկ ծառայություն, ուստի մեկ ծառայությամբ բացատրությունը սովորաբար սխալն է։ Եթե ժամացույցը ճիշտ է և համաժամեցված, դադարեք նայել սարքին՝ պատուհանը պատկանում է թողարկողին, և ոչ մի տեղական կարգավորում չպետք է փոխվի, որպեսզի այն անցնի։
Այդ աղյուսակը ամբողջ որոշումն է։ Ժամացույցը տեղափոխելը դրան, ինչ սպասում է վկայականը, վերանորոգում չէ, և ժամանակի ստուգումներն անջատելը նույնպես վերանորոգում չէ, որովհետև երկուսն էլ թաքցնում են սխալն առաջացրած վիճակը։
Ինչու է շղթան ձախողվում, մինչ տերևը լավ է թվում
Թարմացված տերևները և փոխարինող միջանկյալ վկայականները սովորաբար ուղարկվում են միասին, և միշտ չէ, որ նույն պահին են հասնում։ Ծառայությունը կարող է ուղարկել նոր տերև, որը ստորագրված է միջանկյալով, որի սեփական պատուհանն ավելի ուշ է սկսվում, կամ շարունակել մատուցել ավելի հին միջանկյալ թարմ տերևի ներքո։ Երկու դեպքում էլ շղթան ձախողվում է, մինչ տերևի սեփական ամսաթվերը խելամիտ են թվում։
Բեռնաբաշխված վերջնակետերը սա կոտրվածից դարձնում են անհետևողական։ Եթե կրկնվող փորձը հաջողվում է, կամ մի ցանց աշխատում է, իսկ մյուսը՝ ոչ, գրանցեք, թե որ հանգույցն է պատասխանել և որ շղթան է ուղարկել, նախքան կարգավորումները փոխելը։ openssl s_client-ը տպում է միացված հասցեն, ուստի մի քանի փորձ ցույց են տալիս՝ արդյոք յուրաքանչյուր հանգույց մատուցում է նույն շղթան։
Վերանորոգման ուղիներ, որոնք պահում են ստուգումն անփոփոխ
Ժամացույցի խնդիրը շտկվում է սարքի վրա՝ ստուգումը միացված թողնելով։ Վկայականի խնդիրը շտկում է օպերատորը՝ պատուհանի համար թողարկված նյութով, որն արդեն ներառում է հիմա։ Ոչ մի հաճախորդի կարգավորում դեռ վավեր չեղած վկայականը վավեր չի դարձնում՝ ժամանակի ստուգումները բաց թողնող դրոշները գոյություն ունեն ախտորոշումը հաստատելու համար, ոչ թե արտադրություն ուղարկելու։
Երբ վկայականը պատրաստվել է պլանավորված ակտիվացման համար, հետևեք անցման պլանին։ Տեղադրեք այն, երբ բացվի դրա պատուհանը, կամ օգտագործեք մատակարարի փաստաթղթավորած համընկնման ընթացակարգը՝ շուտ տեղադրելու և օգտատերերին նախազգուշացումների միջով սեղմել սովորեցնելու փոխարեն։ Նախազգուշացումները, որոնք մարդիկ սովորում են անտեսել, արժեն ավելի, քան կարճ ուշացումը։
Վերջապես, նորից փորձարկեք այնպես, ինչպես ձախողումը տեղի է ունեցել՝ նոր նստաշրջան, նույն հաճախորդը, այն ռեսուրսը, որն իրոք անհրաժեշտ է ձեզ։ TLS գրադարանները կարող են քեշավորել ստուգված շղթան կապի ողջ կյանքի ընթացքում, և վերսկսված նստաշրջանը պարտադիր չէ, որ նորից ստուգի այն, ուստի հին նստաշրջանը կարող է շարունակել ձախողվել շտկումից հետո կամ շարունակել աշխատել ռեգրեսիայից հետո։ Դիտիչում բացվող ֆայլը միայն ապացուցում է, որ ֆայլը ընթեռնելի է՝ ավարտված ձեռքսեղմումն ապացուցում է, որ շղթան վավերանում է։
Նախքան տոմսը փակելը, հաստատեք չորս բան՝ ձախողվող սարքի UTC ժամը և համաժամեցման վիճակը, ներկայացված շղթայի յուրաքանչյուր վկայականի notBefore և notAfter-ը, նույն շղթան երկրորդ հաճախորդից, և այն անունը, որը սխալը տալիս է վկայականին։ Եթե ժամացույցը ճիշտ է, և պատուհանը դեռ չի բացվել, մնացածը օպերատորի աշխատանքն է, և ձեր կողմից ճիշտ քայլը պատուհանին սպասելն է՝ ստուգումը թուլացնելու փոխարեն։