Nafnamisræmi eða útrun vottorðs: hvernig greina á milli

Tvö VPN-viðbrigði líta eins út frá stól notandans en krefjast gagnstæðra lagfæringa. Nafnamisræmi segir að vottorðið sé gilt en gefið út fyrir eitthvað annað. Útrunarvilla segir að vottorðið sé ekki gilt á þessari stundu. Hvorugt er lykilorðsvandamál, og að endurstilla auðkenni er oftast sóaða klukkustundin í báðum tilvikum. Lestu það þrep sem bregst áður en þú snertir nokkuð.

Villutextinn er greiningin

Biðlarinn segir þér hvaða prófun brást, jafnvel þótt skilaboðin séu stutt. Nafnamisræmi nefnir gistinafnið sem vænst var og nafnið sem fannst. Útrunarvilla nefnir gildisdagsetningar eða tíma. Þessar tvær setningar vísa á mismunandi hluta vottorðsins.

Lestu þau á því þrepi þar sem þau birtast. Bilun í handslögum er vottorðsvandamál; bilun eftir að göngin eru komin upp er útvistunar- eða auðkennavandamál. Að halda í þrepið er það sem kemur í veg fyrir að rannsóknin reki inn í ótengdar stillingar.

Ef bilunin er breytileg milli tilrauna hefurðu þriðja möguleikann: fleiri en eitt hnút bak við sama nafn.

Nafnaprófanir: hvað biðlarinn ber saman

Biðlarinn ber saman auðkennið sem hann er stilltur að vænta og nöfnin í vottorðinu, sem eru í subjectAltName-viðbótinni. Hrátt IP í sniðinu, alias sem vottorðið telur ekki upp, eða nafn sem leysist bara á sama þjón — allt bregst þetta í prófuninni. Að ná réttri vél er ekki það sama og að leggja fram rétta auðkennið.

Skoðaðu vottorðið sem þjónninn leggur raunverulega fram frekar en skrá frá fyrri tilraun. Skipunin hér að neðan biður um nafnið sem þú stilltir, svo svarið inniheldur vottorðið sem raunverulegur biðlari myndi sjá.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Vottorð frá traustum útgefanda getur samt verið fyrir aðra þjónustu. Hafðu nafnaprófanir biðlarans virkar, því traust á CA heimilar ekki hvert nafn sem það CA hefur nokkurn tíma undirritað. Að slökkva á prófuninni breytir stillingarvillu í afhjúpun.

Útrun: hvers klukka er lesin

Gildi er par af tímastimplum, og sannprófandinn ber þau saman við eigin klukku. Tæki með ranga klukku tilkynnir gilt vottorð sem útrunið eða ekki enn gilt, og lagfæringin er klukkan, ekki vottorðið. Mismunur í birtingu tímabeltis er ekki það sama og rangur undirliggjandi tími.

Berðu dagsetningar vottorðsins saman við UTC á biðlaranum áður en þú ályktar nokkuð:

openssl x509 -in cert.pem -noout -dates
date -u

Ef dagsetningarnar eru raunverulega liðnar skaltu endurnýja hjá útgefandanum. Ef staðgengill er til en hefur ekki enn orðið gildur skaltu fylgja studdu umskiptunum í stað þess að færa klukkuna til að mæta honum. Að dagsetja tæki aftur til að fullnægja vottorði er ákvörðun með afleiðingar langt út fyrir göngin.

Hvers vegna lagfæring á öðru afhjúpar hitt

Sannprófun keyrir röð prófana, og fyrsta bilunin stöðvar skýrsluna. Lagaðu nafnið og biðlarinn kann þá að segja þér að keðjan sé óheil eða vottorðið hafi runnið út. Það þýðir ekki að fyrsta prófunin hafi verið óþörf. Það þýðir að keðjan hafði fleira en eitt vandamál, svo búðu þig undir seinni villuna í stað þess að lesa hana sem sönnun þess að fyrri lagfæringin hafi verið röng.

Margir hnútar gera þetta verra. Þjónusta með álagsdreifingu getur lagt fram mismunandi vottorð frá mismunandi meðlimum, svo prófun sem stenst tvisvar og bregst einu sinni segir þér frá flotanum en ekki biðlaranum þínum. Hafðu jafningjafangið og tíma tilraunarinnar í greiningunni.

Það atriði er það sem breytir óstöðugu tikki í endurgeranlegt tikk.

Sannaðu það með nýrri tengingu

Eftir lagfæringuna skaltu opna nýja tengingu í stað þess að halda áfram þeirri gömlu, og staðfesta að þrepið sem brást áður standist nú. Staðfestu síðan að göngin flytji raunverulega umferð, því árangursrík handslög eru ekki virk leið.

Haltu nákvæmu villuþrepinu og vottorðsupplýsingunum með tikkinu.

Það skráningaratriði er það sem kemur í veg fyrir að næsti maður endurstilli reikningslykilorð vegna vottorðsvandamáls. Auðkenni og gildi eru aðskildar spurningar, og RFC 5280 er viðmiðið fyrir hvernig hið síðara er metið.