სერტიფიკატის სახელის შეუსაბამობა ან ვადის გასვლა: როგორ გავარჩიოთ

VPN-ის ორი ხარვეზი მომხმარებლის სკამიდან ერთნაირად გამოიყურება, მაგრამ საპირისპირო შესწორებას მოითხოვს. სახელის შეუსაბამობა ნიშნავს, რომ სერტიფიკატი ძალაშია, მაგრამ სხვა რამეზე გაცემული. ვადის გასვლის შეცდომა ნიშნავს, რომ სერტიფიკატი ამ მომენტში ძალაში არ არის. არც ერთი პაროლის პრობლემა არ არის, და ავტორიზაციის მონაცემების ხელახლა დაყენება ორივე შემთხვევაში ყველაზე ხშირად დაკარგული საათია. წაიკითხეთ წარუმატებელი ეტაპი, სანამ რამეს შეეხებით.

შეცდომის ტექსტია დიაგნოზი

კლიენტი გეუბნებათ, რომელი შემოწმება ჩავარდა, თუნდაც შეტყობინება მოკლე იყოს. შეუსაბამობა ასახელებს მოსალოდნელ ჰოსტის სახელს და ნაპოვნ სახელს. ვადის გასვლის შეცდომა ახსენებს მოქმედების თარიღებს ან დროს. ეს ორი წინადადება სერტიფიკატის სხვადასხვა ნაწილზე მიუთითებს.

წაიკითხეთ ისინი იმ ეტაპზე, სადაც ჩნდებიან. ხელის ჩამორთმევის დროს წარუმატებლობა სერტიფიკატის პრობლემაა; გვირაბის აწევის შემდეგ წარუმატებლობა მარშრუტიზაციის ან ავტორიზაციის მონაცემების პრობლემაა. ეტაპის შენარჩუნება არის ის, რაც ხელს უშლის გამოკვლევას უკავშირო პარამეტრებში გადახრას.

თუ წარუმატებლობა ცდებს შორის იცვლება, გაქვთ მესამე შესაძლებლობა: ერთზე მეტი კვანძი იმავე სახელის უკან.

სახელის შემოწმებები: რას ადარებს კლიენტი

კლიენტი ადარებს იმ იდენტობას, რომლის მოლოდინზეც კონფიგურირებულია, სერტიფიკატში არსებულ სახელებს, რომლებიც subjectAltName გაფართოებაშია. პროფილში ნედლი IP, ფსევდონიმი, რომელსაც სერტიფიკატი არ ჩამოთვლის, ან სახელი, რომელიც უბრალოდ იმავე სერვერზე წყდება — ყველა ჩავარდება ამ შემოწმებაში. სწორ მანქანამდე მისვლა იგივე არ არის, რაც სწორი იდენტობის წარდგენა.

შეისწავლეთ სერტიფიკატი, რომელსაც სერვერი რეალურად წარადგენს, და არა წინა ცდის ფაილი. ქვემოთ მოცემული ბრძანება თქვენ მიერ კონფიგურირებულ სახელს ითხოვს, ამიტომ პასუხი მოიცავს სერტიფიკატს, რომელსაც რეალური კლიენტი დაინახავდა.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

სანდო გამომცემლის სერტიფიკატი მაინც შეიძლება სხვა სერვისისთვის იყოს. დატოვეთ კლიენტის სახელის შემოწმებები ჩართული, რადგან CA-ს ნდობა არ ანიჭებს უფლებას ყველა სახელს, რომელსაც ეს CA ოდესმე მოაწერა ხელი. შემოწმების გამორთვა კონფიგურაციის შეცდომას გამოვლენად აქცევს.

ვადის გასვლა: ვისი საათი იკითხება

მოქმედება დროის ნიშნულების წყვილია, და გადამმოწმებელი მათ საკუთარ საათს ადარებს. არასწორი საათის მქონე მოწყობილობა ძალაში მყოფ სერტიფიკატს იუწყება როგორც ვადაგასულს ან ჯერ არამოქმედს, და შესწორება საათია და არა სერტიფიკატი. დროის სარტყლის ჩვენების განსხვავება იგივე არ არის, რაც ფუძის დროის სიმცდარე.

შეადარეთ სერტიფიკატის თარიღები UTC-ს კლიენტზე, სანამ რაიმეს დაასკვნით:

openssl x509 -in cert.pem -noout -dates
date -u

თუ თარიღები ნამდვილად გასულია, განაახლეთ გამომცემლის მეშვეობით. თუ ჩანაცვლება არსებობს, მაგრამ ჯერ არ არის ძალაში, მიჰყევით მხარდაჭერილ გადასვლას, ნაცვლად იმისა, რომ საათი მის შესაბამისად გადაწიოთ. სერტიფიკატის დასაკმაყოფილებლად მოწყობილობის თარიღის უკან გადაწევა გადაწყვეტილებაა, რომლის შედეგებიც გვირაბს გაცილებით სცდება.

რატომ ამჟღავნებს ერთის გასწორება მეორეს

ვალიდაცია ახორციელებს შემოწმებების მიმდევრობას, და პირველი წარუმატებლობა აჩერებს ანგარიშს. გაასწორეთ სახელი და კლიენტმა შეიძლება გითხრათ, რომ ჯაჭვი არასრულია ან სერტიფიკატს ვადა გაუვიდა. ეს არ ნიშნავს, რომ პირველი შემოწმება ზედმეტი იყო. ეს ნიშნავს, რომ ჯაჭვს ერთზე მეტი პრობლემა ჰქონდა, ასე რომ მოელოდეთ მეორე შეცდომას, ნაცვლად იმისა, რომ ის წაიკითხოთ როგორც პირველი შესწორების სისუსტის მტკიცებულება.

მრავალი კვანძი ამას აუარესებს. დატვირთვის განაწილების მქონე სერვისს შეუძლია სხვადასხვა წევრისგან სხვადასხვა სერტიფიკატი წარადგინოს, ამიტომ ორჯერ გამავალი და ერთხელ ჩავარდნილი ტესტი გიყვებათ ფლოტზე და არა თქვენს კლიენტზე. შეინახეთ პარტნიორის მისამართი და ცდის დრო დიაგნოზში.

ეს დეტალი აქცევს არასტაბილურ ბილეთს რეპროდუცირებად ბილეთად.

დაამტკიცეთ ახალი კავშირით

შეკეთების შემდეგ გახსენით ახალი კავშირი ძველის გაგრძელების ნაცვლად, და დაადასტურეთ, რომ ადრე წარუმატებელი ეტაპი ახლა გადის. შემდეგ დაადასტურეთ, რომ გვირაბი ნამდვილად ატარებს ტრაფიკს, რადგან წარმატებული ხელის ჩამორთმევა სამუშაო მარშრუტი არ არის.

შეინახეთ შეცდომის ზუსტი ეტაპი და სერტიფიკატის დეტალები ბილეთთან ერთად.

ეს ჩანაწერი უშლის ხელს შემდეგ ადამიანს, რომ სერტიფიკატის პრობლემის გამო ანგარიშის პაროლები გადააყენოს. იდენტობა და მოქმედება ცალკე კითხვებია, და RFC 5280 არის ცნობარი იმისა, როგორ ფასდება მეორე.