მოწყობილობის არასწორი საათი VPN-ს შეაჩერებს: ჯერ დრო შეამოწმეთ

VPN წყვეტს დაკავშირებას, ჟურნალი სერტიფიკატს იხსენებს და პირველი იმპულსი პროფილის შეცვლაა. მოწყობილობის საათი, რომელიც წუთებით ან საათებით ცდება, ზუსტად ამ შეცდომას ქმნის, რადგან სერტიფიკატის ვალიდობა ლოკალური მომენტის მიხედვით ფასდება. ეკრანზე დროის სარტყლის ეტიკეტი პრობლემა არ არის; პრობლემა თავად დროა. შეამოწმეთ საათი, სანამ სერტიფიკატის რომელიმე მასალას შეეხებით.

შეცდომა სერტიფიკატის პრობლემას ჰგავს, არა საათის პრობლემას

TLS-ის ხელის ჩამორთმევა ვარდება, როდესაც მეორე მხარის სერტიფიკატი გამმოწმებლის საათთან შედარებით მისი ვალიდობის ფანჯრიდან გადის. ეს შემოწმება კლიენტზე მუშაობს, ამიტომ არასწორი კლიენტის საათი სრულიად კარგ სერტიფიკატს უარყოფს. შეცდომის ტექსტი სერტიფიკატს ასახელებს და სწორედ ამიტომ ხალხი მას ცვლის და კვლავ იმავე მარცხს ხედავს. საათი უფრო იაფი ჰიპოთეზაა და პირველად უნდა შემოწმდეს.

რეალურ დროზე წინ მყოფი საათი მიმდინარე სერტიფიკატს ვადაგასულად უარყოფს; უკან მყოფი საათი უფრო ახალს ჯერ არავალიდურად უარყოფს. ორივე შეტყობინება თარიღებზე მიუთითებს და ორივე სერტიფიკატის ორგანოსთან ყოველგვარი კონტაქტის გარეშე იქმნება. ეს არის ნიშანი: ნამდვილი ვადის გასვლა ყველა კლიენტზე მოქმედებს, ხოლო საათის პრობლემა მხოლოდ იმ ერთ მანქანაზე, რომლის დროც არასწორია.

წაიკითხეთ მომენტი, შემდეგ სერტიფიკატი

სანამ რამეს შეცვლით, დაბეჭდეთ საათი UTC-ში და სერტიფიკატის საკუთარი თარიღები. ორი აბსოლუტური მომენტის შედარება დროის სარტყლის საკითხს გამოძიებიდან სრულიად აშორებს. თუ სერტიფიკატის ფანჯარა მიმდინარე მომენტს შეიცავს, სერტიფიკატი თქვენი მარცხი არ არის.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

თუ ლოკალური საათი არასწორია, შეამოწმეთ სინქრონიზებულია თუ არა და რასთან. მანქანა, რომელშიც სინქრონიზაცია გამორთულია, ან რომლის დროის წყაროსაც ვერ აღწევს, იხრება მანამ, სანამ რამე არ ჩავარდება. სტატუსის გამოტანა ასახელებს წყაროს და ბოლო წარმატებულ კორექციას, რაც უფრო სასარგებლოა, ვიდრე მხოლოდ მიმდინარე გადახრა. დიდი გადახრა დაუყენებელი წყაროს გარეშე სხვა პრობლემაა, ვიდრე მცირე გადახრა მომუშავე წყაროს მიმართ.

timedatectl timesync-status
chronyc tracking

გაჩერდით, თუ სერტიფიკატი ნამდვილად ვადაგასულია ყველა კლიენტისთვის. მაშინ საათი რიგზეა და სერტიფიკატს განახლება სჭირდება, არა კორექცია.

შესვლის კოდები მარცხდება დაკავშირებული, მაგრამ სხვა მიზეზით

დროზე დაფუძნებული ერთჯერადი პაროლები თავიანთ მნიშვნელობას მიმდინარე დროის საფეხურიდან იღებენ, ჩვეულებრივ ოცდაათი წამიდან. მოწყობილობა, რომლის საათიც ერთი-ორ საფეხურზე მეტად ცდება, ქმნის კოდებს, რომლებსაც სერვერი არ მიიღებს, თუნდაც მომხმარებელმა სწორი ციფრები აკრიფა. შეცდომა არასწორი პაროლის მსგავსია, რაც ადამიანებს აღდგენის ციკლში აგდებს, რომელიც საათს ვერ გაასწორებს.

დაადგინეთ, რომელმა კომპონენტმა უარყო მცდელობა, რადგან VPN კლიენტი, კარიბჭე და იდენტობის მომწოდებელი სხვადასხვა ეტაპს აცხადებენ. თუ კოდი უარყოფილია, პაროლი კი მიღებულია, ანგარიში ალბათ რიგზეა და საეჭვო საათია. თუ ორივე უარყოფილია, ანგარიში შეიძლება ჩაკეტილი იყოს და საათი ცრუ კვალია. მიჰყევით მომწოდებლის აღდგენის ინსტრუქციას და ნუ დაამტკიცებთ იმ მოთხოვნებს, რომლებიც თქვენ არ დაგიწყიათ.

ნუ დააბრუნებთ საათს უკან, რომ კოდმა იმუშაოს. ეს მიზეზს მალავს და შემდეგ დროზე დაფუძნებულ შემოწმებას ამტვრევს.

შეასწორეთ წყარო და არა ნაჩვენები საათი

სინქრონიზაცია ქსელური სერვისია და გვირაბმა შეიძლება შეცვალოს, ხელმისაწვდომია თუ არა დროის წყარო. კორპორატიულ წყაროს შეიძლება გვირაბი დასჭირდეს, ხოლო საჯარო წყარო პოლიტიკამ დაბლოკოს. დათვალიერება შეიძლება მუშაობდეს, სანამ თავად დროის სერვისის გზა ვარდება და ამიტომ ამ დამოკიდებულების გამოტოვება ადვილია. NTP კორექციის უკან მდგარი პროტოკოლია და მას, როგორც ნებისმიერ სხვა სერვისს, საკუთარი გზა სჭირდება.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

ასევე არის ჩატვირთვის თანმიმდევრობის პრობლემა: ძალიან არასწორი საათი შეიძლება ხელი შეუშალოს ავტორიზებულ გვირაბს და ერთადერთი გამოსადეგი დროის წყარო სწორედ იმ გვირაბის მიღმა იყოს. მართულ ფლოტს ამ მდგომარეობისთვის დოკუმენტირებული პროცედურა სჭირდება და სერტიფიკატის შემოწმების გვერდის ავლა ასეთი პროცედურა არ არის. პირად მოწყობილობაზე გამოიყენეთ ოპერაციული სისტემის საკუთარი დროის კონტროლი და გაარკვიეთ, რატომ იკარგება საათი გამორთვის ან აღდგენის შემდეგ. მანქანა, რომელიც ყოველ ჩატვირთვაზე იხრება, ტექნიკური ან კონფიგურაციის პრობლემა აქვს და არა VPN-ის.

შეკეთების შემდეგ ხელახლა სცადეთ საწყისი კავშირი და ახალი შეცდომა ცალკე წაიკითხეთ. ცუდი სერვერის იდენტობა, ნამდვილად ვადაგასული სერტიფიკატი და უარყოფილი ანგარიში სამი სხვადასხვა მარცხია და მათი არევა არის ის გზა, რომლითაც მარტივი საათის კორექცია პროფილების ერთკვირიან შეცვლად იქცევა.