Սարքի սխալ ժամացույցը կարող է կանգնեցնել VPN-ը՝ նախ ստուգեք ժամը

VPN-ը դադարում է միանալ, մատյանը հիշատակում է սերտիֆիկատ, և առաջին բնազդը պրոֆիլը փոխարինելն է։ Սարքի ժամացույցը, որը սխալ է րոպեներով կամ ժամերով, առաջացնում է հենց այդ սխալը, քանի որ սերտիֆիկատի վավերականությունը գնահատվում է տեղական պահի նկատմամբ։ Էկրանի ժամային գոտու պիտակը խնդիրը չէ, խնդիրը հենց ժամն է։ Ստուգեք ժամացույցը նախքան սերտիֆիկատի որևէ նյութի դիպչելը։

Սխալը նման է սերտիֆիկատի խնդրի, ոչ թե ժամացույցի խնդրի

TLS ձեռքսեղմումը ձախողվում է, երբ մյուս կողմի սերտիֆիկատը դուրս է գալիս իր վավերականության պատուհանից ստուգողի ժամացույցի նկատմամբ։ Այդ ստուգումը կատարվում է հաճախորդում, ուստի սխալ հաճախորդի ժամացույցը մերժում է լիովին լավ սերտիֆիկատ։ Սխալի տեքստը նշում է սերտիֆիկատը, և դրա համար մարդիկ փոխարինում են այն ու նորից տեսնում նույն ձախողումը։ Ժամացույցն ավելի էժան վարկածն է և պետք է ստուգվի առաջինը։

Իրական ժամանակից առաջ անցած ժամացույցը մերժում է ընթացիկ սերտիֆիկատը որպես ժամկետանց, իսկ հետ մնացածը մերժում է ավելի նոր մեկը որպես դեռևս անվավեր։ Երկու հաղորդագրություններն էլ մատնանշում են ամսաթվեր, և երկուսն էլ առաջանում են առանց սերտիֆիկատի մարմնի հետ որևէ կապի։ Դա է նշանը՝ իսկական ժամկետանցն ազդում է բոլոր հաճախորդների վրա, մինչդեռ ժամացույցի խնդիրն ազդում է միայն այն մեկ մեքենայի վրա, որի ժամը սխալ է։

Կարդացեք պահը, հետո սերտիֆիկատը

Փոփոխելուց առաջ տպեք ժամացույցը UTC-ով և սերտիֆիկատի սեփական ամսաթվերը։ Երկու բացարձակ պահերի համեմատությունը ժամային գոտու հարցը լիովին հանում է քննությունից։ Եթե սերտիֆիկատի պատուհանը պարունակում է ընթացիկ պահը, ապա սերտիֆիկատը ձեր ձախողումը չէ։

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Եթե տեղական ժամացույցը սխալ է, ստուգեք՝ արդյոք այն համաժամացված է և ինչի հետ։ Մեքենան, որում համաժամացումն անջատված է, կամ որի ժամի աղբյուրն անհասանելի է, շեղվում է այնքան, մինչև ինչ-որ բան ձախողվի։ Կարգավիճակի արտածումը նշում է աղբյուրը և վերջին հաջող ճշգրտումը, ինչն ավելի օգտակար է, քան միայն ընթացիկ շեղումը։ Մեծ շեղումը՝ առանց կարգավորված աղբյուրի, այլ խնդիր է, քան աշխատող աղբյուրի նկատմամբ փոքր շեղումը։

timedatectl timesync-status
chronyc tracking

Կանգնեք, եթե սերտիֆիկատն իսկապես ժամկետանց է բոլոր հաճախորդների համար։ Այդ դեպքում ժամացույցը լավ է, և սերտիֆիկատը թարմացում է պահանջում, ոչ թե ճշգրտում։

Մուտքի կոդերը ձախողվում են առնչվող, բայց այլ պատճառով

Ժամանակի վրա հիմնված մեկանգամյա գաղտնաբառերը իրենց արժեքը վերցնում են ընթացիկ ժամային քայլից, սովորաբար երեսուն վայրկյան։ Սարքը, որի ժամացույցը շեղված է ավելի քան մեկ-երկու քայլ, ստեղծում է կոդեր, որոնք սերվերը չի ընդունի, նույնիսկ եթե օգտատերը մուտքագրել է ճիշտ թվանշանները։ Սխալը նման է սխալ գաղտնաբառի, ինչը մարդկանց գցում է վերականգնման ցիկլի մեջ, որ չի կարող ուղղել ժամացույցը։

Պարզեք, թե որ բաղադրիչը մերժեց փորձը, որովհետև VPN հաճախորդը, դարպասը և ինքնության մատակարարը հայտնում են տարբեր փուլեր։ Եթե կոդը մերժվում է, բայց գաղտնաբառն ընդունվում է, հաշիվը հավանաբար լավ է, և կասկածելին ժամացույցն է։ Եթե երկուսն էլ մերժվում են, հաշիվը կարող է արգելափակված լինել, և ժամացույցը կեղծ հետք է։ Հետևեք մատակարարի վերականգնման ուղեցույցին՝ փոխարենը չհաստատելով հարցումներ, որոնք դուք չեք սկսել։

Մի՛ հետ տարեք ժամացույցը, որ կոդը աշխատի։ Դա թաքցնում է պատճառը և կոտրում հաջորդ ժամանակահիմն ստուգումը։

Ուղղեք աղբյուրը, ոչ թե ցուցադրվող ժամը

Համաժամացումը ցանցային ծառայություն է, և թունելը կարող է փոխել՝ արդյոք ժամի աղբյուրը հասանելի է։ Կորպորատիվ աղբյուրը կարող է պահանջել թունելը, մինչդեռ հանրային աղբյուրը կարող է արգելափակվել քաղաքականությամբ։ Զննարկումը կարող է աշխատել, մինչ ժամի ծառայության սեփական ուղին ձախողվում է, և դրա համար այս կախվածությունը հեշտ է բաց թողնել։ NTP-ը ճշգրտման հետևում կանգնած արձանագրությունն է, և այն իր ուղին է պահանջում, ինչպես ցանկացած այլ ծառայություն։

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Կա նաև բեռնման հերթականության խնդիր՝ շատ սխալ ժամացույցը կարող է խանգարել նույնականացված թունելին, և միակ օգտագործելի ժամի աղբյուրը կարող է լինել այդ թունելի հետևում։ Կառավարվող պարկը պահանջում է փաստաթղթավորված ընթացակարգ այդ վիճակի համար, և սերտիֆիկատի ստուգումը շրջանցելը այդպիսին չէ։ Անձնական սարքում օգտագործեք օպերացիոն համակարգի ժամի կառավարումը և պարզեք, թե ինչու է ժամացույցը կորչում անջատելուց կամ վերականգնելուց հետո։ Մեքենան, որ շեղվում է ամեն բեռնումից, ունի ապարատային կամ կարգավորման խնդիր, ոչ թե VPN-ի խնդիր։

Վերանորոգումից հետո նորից փորձեք սկզբնական կապը և նոր սխալը կարդացեք առանձին։ Վատ սերվերի ինքնություն, իսկապես ժամկետանց սերտիֆիկատ և մերժված հաշիվ երեք տարբեր ձախողումներ են, և դրանք խառնելն է, որ պարզ ժամացույցի ուղղումը դարձնում է պրոֆիլների փոխարկման շաբաթ։