Jam perangkat yang salah bisa menghentikan VPN: periksa waktu dulu

VPN berhenti terhubung, log menyebut sertifikat, dan naluri pertama adalah mengganti profil. Jam perangkat yang meleset beberapa menit atau jam menghasilkan galat itu persis, karena masa berlaku sertifikat dinilai terhadap saat lokal. Label zona waktu di layar bukan masalahnya; waktu yang mendasarinya adalah masalahnya. Periksa jam sebelum menyentuh materi sertifikat apa pun.

Galatnya tampak seperti masalah sertifikat, bukan masalah jam

Jabat tangan TLS gagal ketika sertifikat pihak lain jatuh di luar jendela masa berlakunya terhadap jam pemeriksa. Pemeriksaan itu berjalan di klien, sehingga jam klien yang salah menolak sertifikat yang sepenuhnya baik. Teks galat menyebut sertifikat, dan itulah sebabnya orang menggantinya lalu melihat kegagalan yang sama lagi. Jam adalah hipotesis yang lebih murah dan harus diuji lebih dulu.

Jam yang mendahului waktu nyata menolak sertifikat saat ini sebagai kedaluwarsa; jam yang tertinggal menolak sertifikat yang lebih baru sebagai belum berlaku. Kedua pesan menunjuk tanggal, dan keduanya dihasilkan tanpa kontak apa pun dengan otoritas sertifikat. Itu tandanya: kedaluwarsa sungguhan memengaruhi setiap klien, sedangkan masalah jam hanya memengaruhi satu mesin yang waktunya salah.

Baca saatnya, lalu sertifikatnya

Cetak jam dalam UTC dan tanggal sertifikat itu sendiri sebelum mengubah apa pun. Membandingkan dua saat absolut menghapus pertanyaan zona waktu dari penyelidikan sepenuhnya. Jika jendela sertifikat memuat saat sekarang, sertifikat bukan kegagalan Anda.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Jika jam lokal salah, periksa apakah jam itu tersinkronisasi dan dengan apa. Mesin yang sinkronisasinya dimatikan, atau yang sumber waktunya tidak dapat dijangkau, menyimpang sampai ada yang gagal. Keluaran status menyebut sumber dan penyesuaian terakhir yang berhasil, yang lebih berguna daripada simpangan saat ini saja. Simpangan besar tanpa sumber terkonfigurasi adalah masalah berbeda dari simpangan kecil terhadap sumber yang berfungsi.

timedatectl timesync-status
chronyc tracking

Berhenti jika sertifikat benar-benar kedaluwarsa bagi setiap klien. Maka jamnya baik dan sertifikat perlu pembaruan, bukan penyesuaian.

Kode masuk gagal karena alasan yang terkait tetapi berbeda

Kata sandi sekali pakai berbasis waktu mengambil nilainya dari langkah waktu saat ini, biasanya tiga puluh detik. Perangkat yang jamnya meleset lebih dari satu atau dua langkah menghasilkan kode yang tidak akan diterima server, meskipun pengguna mengetik angka yang benar. Galatnya tampak seperti kata sandi salah, yang membuat orang masuk ke lingkaran pengaturan ulang yang tidak dapat memperbaiki jam.

Cari tahu komponen mana yang menolak percobaan itu, karena klien VPN, gateway, dan penyedia identitas melaporkan tahap yang berbeda. Jika kodenya ditolak tetapi kata sandinya diterima, akunnya kemungkinan baik dan jamnya yang dicurigai. Jika keduanya ditolak, akun mungkin terkunci dan jam adalah petunjuk palsu. Ikuti panduan pemulihan penyedia daripada menyetujui permintaan yang tidak Anda mulai.

Jangan memundurkan jam agar kode berfungsi. Itu menyembunyikan penyebabnya dan merusak pemeriksaan berbasis waktu berikutnya.

Perbaiki sumbernya, bukan jam yang ditampilkan

Sinkronisasi adalah layanan jaringan, dan terowongan dapat mengubah apakah sumber waktu dapat dijangkau. Sumber korporat mungkin memerlukan terowongan, sedangkan sumber publik mungkin diblokir kebijakan. Penjelajahan bisa berjalan sementara rute layanan waktu itu sendiri gagal, dan itulah sebabnya ketergantungan ini mudah terlewat. NTP adalah protokol di balik penyesuaian, dan ia memerlukan rutenya sendiri seperti layanan lain.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Ada juga masalah urutan boot: jam yang sangat salah dapat mencegah terowongan terautentikasi, dan satu-satunya sumber waktu yang bisa dipakai mungkin berada di balik terowongan itu. Armada terkelola memerlukan prosedur terdokumentasi untuk keadaan itu, dan melewati verifikasi sertifikat bukanlah prosedur seperti itu. Pada perangkat pribadi, gunakan kontrol waktu sistem operasi sendiri dan cari tahu mengapa jam hilang setelah dimatikan atau dipulihkan. Mesin yang menyimpang setiap boot memiliki masalah perangkat keras atau konfigurasi, bukan masalah VPN.

Setelah perbaikan, coba lagi koneksi asli dan baca galat baru secara terpisah. Identitas server yang buruk, sertifikat yang benar-benar kedaluwarsa, dan akun yang ditolak adalah tiga kegagalan berbeda, dan mencampurnya adalah cara koreksi jam sederhana berubah menjadi sepekan penggantian profil.