VPN-skírteini enn ekki gilt: þrjár orsakir, ein athugunarröð

Þú opnar biðlarann, velur sniðið sem þú hefur notað í marga mánuði, og hann stöðvast með "certificate is not yet valid". Ekkert við innskráninguna þína breyttist, og traustgeymslan er líklega í lagi: skírteinið sem lagt er fram í handabandinu ber gildistímaþrep sem byrjar síðar en sá tími sem sannprófandinn notar. Þrjár ólíkar aðstæður framleiða nákvæmlega þessi skilaboð, og þær krefjast ólíkra aðgerða. Röðin hér fyrir neðan segir þér hver þeirra er hjá þér áður en þú snertir klukku eða skírteinisskrá.

Hver af þremur orsökum þú ert að horfa á

Fyrsta orsökin er staðbundin: tækið sem framkvæmir athugunina er með klukku sem er fyrri en upphafsdagur skírteinisins. Þú sérð það á vélbúnaði með dauðu CMOS-rafli, á sýndarvélum sem endurheimtar eru úr gömlu skyndiminni, á tækjum sem voru íslökkt nógu lengi til að missa tímann, og í netum þar sem útleiðandi NTP er lokað og enginn tók eftir því. Skírteinið getur verið algjörlega gilt og samt mistekist á þennan hátt.

Önnur orsökin tilheyrir útgefandanum, því skírteinið byrjar raunverulega í framtíðinni: gefið út snemma, búið til með skýrum upphafstíma, eða undirritað sem hluti af virkjunarþrepi sem hefur ekki verið keyrt. Þriðja orsökin eyðir mestum tíma, því blaðið er í gildi á meðan annað skírteini í framlögðu keðjunni er það ekki, svo villan nefnir efni sem þú hefur aldrei sett upp.

Ein spurning aðgreinir þær. Fylgir bilunin tækinu eða þjónustunni? Tvær vélar á sama neti sem hegða sér ólíkt benda til klukkna. Ef hver biðlari mistekst á sama hátt bendir það til glugga skírteinisins og keðjunnar bak við hann.

Lestu gluggann úr skírteininu sem var í raun lagt fram

Skoðaðu ekki PEM-skrá sem lá eftir frá fyrri uppsetningu; biddu þjónustuna um keðjuna sem hún sendir núna. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts prentar hvert skírteini í keðjunni. Vistaðu blokkið sem þú þarft og keyrðu openssl x509 -noout -subject -issuer -dates; síðasta prentar notBefore og notAfter, og þau tvö gildi ráða. Í Windows sýna skírteinisglugginn fyrir tenginguna og certutil -dump á útfluttri skrá sömu reiti.

Lestu báða enda gluggans, ekki bara upphafið. Skírteini sem opnast eftir tvær klukkustundir og annað sem lokast eftir tvær klukkustundir mistekst með ólíkum skilaboðum og hefur áhrif á ólík teymi. Taktu eftir hvaða skírteini villan nefnir — blað, milliskírteini eða rót — því það ræður því hvort hægt sé að laga eitthvað á biðlarahliðinni yfirhöfuð.

Þú getur líka prófað gluggann án þess að bíða hans. Sannprófunin tekur við skýrum tíma: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem metur keðjuna á þeim tíma. Keyrðu það með núverandi tíma til að endurgera bilunina, síðan með upphafstíma skírteinisins til að staðfesta að sama keðjan standist þegar glugginn opnast. RFC 5280 skilgreinir gildissviðið og regluna að skírteini megi ekki nota utan þess, og það er einmitt reglan sem biðlarinn þinn beitti rétt í þessu.

Klukkan þín, eða þeirra

Berðu saman klukku tækisins og upphaf skírteinisins í UTC, frá heimild sem þú treystir. date -u gefur tímann, og timedatectl status á systemd-vél skýrslar líka hvort klukkan sé samstillt. Í Windows sýnir w32tm /query /status núverandi heimild og síðustu farsælu samstillingu. Tímabelti í bakkanum er skjávalsval, ekki röng klukka; sannprófandinn ber saman UTC-tíma.

Ef klukkan er á eftir skaltu samstilla aftur og prófa aftur áður en þú breytir einhverju skírteini. Tæki sem er mínútum eða klukkustundum á skjön hafnar hverju nýútgefnu skírteini sem það hittir, ekki bara einni þjónustu, svo skýring með einni þjónustu er venjulega röng. Ef klukkan er rétt og samstillt skaltu hætta að horfa á tækið: glugginn tilheyrir útgefandanum, og enga staðbundna stillingu á að laga til að láta hann standast.

Það tafla er öll ákvörðunin. Að færa klukkuna að því sem skírteinið býst við er ekki viðgerð, og að slökkva á tímaathugunum er það ekki heldur, því bæði fela ástandið sem olli villunni.

Hvers vegna keðjan bregst þótt blaðið líti vel út

Endurnýjuð blöð og staðgengilsmilliskírteini eru venjulega send saman, og þau lenda ekki alltaf á sama augnabliki. Þjónusta getur sent nýtt blað undirritað af milliskírteini sem hefur sinn eigin glugga sem byrjar síðar, eða haldið áfram að þjóna eldra milliskírteini undir nýju blaði. Hvort sem er bregst keðjan þótt dagsetningar blaðsins sjálfs líti sanngjarnar út.

Hleðslujöfnuð endapunktar breyta þessu úr brotnu í ósamkvæmt. Ef endurtekin tilraun heppnast, eða eitt net virkar á meðan annað gerir það ekki, skráðu hvaða jafningi svaraði og hvaða keðju hann sendi áður en þú breytir stillingum. openssl s_client prentar tengda vistfangið, svo nokkrar tilraunir leiða í ljós hvort hver hnútur þjóni sömu keðjunni.

Viðgerðarleiðir sem halda sannprófuninni ósnortinni

Klukkuvandamál er lagað á tækinu með sannprófun áfram kveikta. Skírteinisvandamál er lagað af rekstraraðilanum með efni sem gefið var út fyrir glugga sem inniheldur núþegar núið. Engin biðlarastilling gerir enn-ekki-gilt skírteini gilt; flöggin sem sleppa tímaathugunum eru til svo þú staðfestir greiningu, ekki svo þú sendir þau í framleiðslu.

Þegar skírteinið er undirbúið fyrir fyrirhugaða virkjun skaltu fylgja skiptiplaninu. Settu það upp þegar glugginn opnast, eða notaðu skörunarferlið sem þjónustuveitandinn skjalfestir, í stað þess að setja það upp snemma og kenna notendum að smella í gegnum viðvaranir. Viðvaranir sem fólk lærir að hunsa kosta meira en stutt töf.

Að lokum skaltu prófa aftur á sama hátt og bilunin átti sér stað: ný lota, sami biðlari, auðlindin sem þú þarft í raun. TLS-söfn geta skyggt á sannprófaða keðju í alla líftíma tengingar, og endurtekin lota athugar hana ekki endilega aftur, svo gömul lota getur haldið áfram að mistakast eftir viðgerðina eða haldið áfram að virka eftir afturför. Skrá sem opnast í skoðara sannar aðeins að skráin sé læsileg; lokið handaband sannar að keðjan sannprófist.

Áður en þú lokar miðanum skaltu staðfesta fjóra hluti: UTC-tíma og samstillingarástand tækisins sem bregst, notBefore og notAfter hvers skírteinis í framlögðu keðjunni, sömu keðju frá öðrum biðlara, og nafnið sem villan setur á skírteinið. Ef klukkan er rétt og glugginn hefur ekki opnast er restin vinna rekstraraðilans, og rétta hreyfingin þín er að bíða gluggans í stað þess að veikja athugunina.