Afturköllun vottorða mistekst: hvaða hýsill nær ekki hverju

Vottorð geta verið innan gildistíma síns á meðan VPN tilkynnir enn auðkenningarbilun, og einhver ályktar að vottorðið sé afturkallað. Þetta eru þrjár ólíkar staðreyndir. Afturköllunargögn verður tækið sem framkvæmir staðfestinguna að sækja frá birtingarpunkti sem nefndur er inni í vottorðinu sjálfu. Þegar það tæki nær ekki punktinum mistekst prófunin af ástæðum sem tengjast ekki stöðu vottorðsins.

Staðfestandinn á sækjuferlið

Byrjaðu á að bera kennsl á staðfestandann. Þegar fartölva prófar vottorð gáttarinnar sækir fartölvan; þegar gáttin prófar biðlaravottorð gerir gáttin það. Auðkenningarþjónusta í bakgrunni getur bætt við þriðja staðfestandanum með eigin netstöðu. Hver hefur ólíka leið út á netið og ólíka staðsetningu millistórs. Gögn sem safnað er á vinnustöð stjórnanda segja ekkert um netþjón inni í DMZ.

Skrifaðu niður vottorðið, staðfestandann, tíma tilraunarinnar og nákvæman stöðukóða áður en þú breytir einhverju.

Lestu birtingarpunktinn úr vottorðinu

Vottorðið nefnir hvar staða þess er. Lestu þá reiti í stað þess að giska á CA-tölu.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Fyrsta viðbótin listar CRL-dreifingarpunkta og önnur listar aðferðir við að sækja upplýsingar yfirvalds, sem geta náð yfir OCSP-stöðu og sækju útgefandavottorðs. Þetta eru ólíkar aðferðir, og OCSP-svaraðili er ekki CRL-skrá. Birtingarhýsillinn er oft venjulegur vefþjónn en ekki CA-vélin, því ótengdur útgefandi getur undirritað CRL sem annar þjónn dreifir. Þess vegna er eldveggjaregla sem lýst er sem aðgengi að CA of óljós til að innleiða eða yfirfara.

Prófaðu sækju frá tækinu sem staðfestir

Keyrðu sækuprófið í umhverfinu sem framkvæmir staðfestinguna í raun, með samþykktu vottorðsefni og án einkalykla.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Keyrsla certutil staðfestir keðjuna og greinir frá hvaða URL-sækjur tókust eða mistókust, en curl-kallið prófar eitt birtingarslóð frá sama hýsli og skilar aðeins stöðukóða. Misheppnuð sækja frá aðgengilegu slóð bendir til vandamála með efni eða undirskrift; tengivilla bendir til leiðar, DNS eða millistórs. Geymdu bæði niðurstöðurnar, því ein vel heppnuð sækja sannar ekki að öll keðjan sé nothæf. Skiptu út dæmishýslinum og slóðinni fyrir dreifingarpunktinn sem finnst í vottorðinu.

Aðgreindu vantar gögn frá afturkölluðu ástandi

Fjórar niðurstöður líta eins út að utan: punkturinn er óaðgengilegur, listinn er úreltur, listinn er undirritaður af röngum útgefanda, eða vottorðið er raunverulega afturkallað. Aðeins sú síðasta er stöðuniðurstaða, og aðeins hún réttlætir að fella niður aðgang. Skyndiminni flækir myndina enn frekar, því áður sótt gögn geta falið brotinn birtingarleið þar til næsta uppfærsla. Slökkva á afturköllunarprófun, eyða ótengdum vottorðum eða endurræsa gáttina kemur öll í stað greiningar með virkni.

Eftir lagfæringuna þvingaðu nýja auðkenningu og staðfestu að tilætluð stöðusækja takist. Þar sem stýrð prófunarauðkenni eru til staðar skaltu staðfesta að þeim sé enn hafnað, því aðgengi sem fjarlægir prófunina er ekki viðgerð.