Сертификат атауының сәйкессіздігі немесе мерзімінің өтуі: қалай ажыратуға болады

VPN-нің екі ақауы пайдаланушы орындығынан бірдей көрінеді, бірақ қарама-қарсы түзетуді талап етеді. Атау сәйкессіздігі сертификат жарамды, бірақ басқа нәрсеге берілгенін білдіреді. Мерзімі өткені туралы қате сертификаттың дәл қазір жарамсыз екенін білдіреді. Екеуі де құпия сөз мәселесі емес, және екі жағдайда да тіркелгі деректерін қалпына келтіру ең жиі ысырап болатын сағат. Бірдеңеге тиіспес бұрын сәтсіз болған кезеңді оқыңыз.

Қате мәтіні — диагноз

Клиент қай тексерудің сәтсіз болғанын айтады, хабарлама қысқа болса да. Сәйкессіздік күтілген хост атауын және табылған атауды атайды. Мерзімі өткені туралы қате жарамдылық күндерін немесе уақытты атайды. Бұл екі сөйлем сертификаттың әр түрлі бөліктерін нұсқайды.

Оларды пайда болған кезеңде оқыңыз. Қол алысу кезіндегі сәтсіздік — сертификат мәселесі; туннель көтерілгеннен кейінгі сәтсіздік — маршруттау немесе тіркелгі деректері мәселесі. Кезеңді сақтау — тергеуді байланысы жоқ параметрлерге ауытқудан сақтайтын нәрсе.

Егер сәтсіздік әрекеттер арасында өзгерсе, үшінші мүмкіндік бар: бір атаудың артында бірнеше түйін.

Атау тексерулері: клиент нені салыстырады

Клиент күтуге конфигурацияланған сәйкестікті сертификаттағы атаулармен салыстырады, олар subjectAltName кеңейтімде орналасқан. Профильдегі шикі IP, сертификат тізімдемейтін бүркеншік ат, немесе тек сол серверге шешілетін атау — бәрі осы тексеруден өтпейді. Дұрыс машинаға жету дұрыс сәйкестікті ұсынумен бірдей емес.

Алдыңғы әрекеттің файлын емес, сервер шынымен ұсынатын сертификатты қарап шығыңыз. Төмендегі пәрмен сіз конфигурациялаған атауды сұрайды, сондықтан жауап нақты клиент көретін сертификатты қамтиды.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Сенімді шығарушының сертификаты бәрібір басқа қызмет үшін болуы мүмкін. Клиенттің атау тексерулерін қосулы ұстаңыз, себебі CA-ға сену сол CA қашан да қол қойған әрбір атауға рұқсат бермейді. Тексеруді өшіру конфигурация қатесін әшкерелеуге айналдырады.

Мерзімінің өтуі: кімнің сағаты оқылады

Жарамдылық — уақыт белгілерінің жұбы, және тексеруші оларды өз сағатымен салыстырады. Сағаты қате құрылғы жарамды сертификатты мерзімі өткен немесе әлі жарамсыз деп хабарлайды, және түзету сертификатта емес, сағатта. Уақыт белдеуін көрсету айырмашылығы негізгі уақыттың қателігімен бірдей емес.

Қандай да бір қорытынды жасамас бұрын клиентте сертификат күндерін UTC-мен салыстырыңыз:

openssl x509 -in cert.pem -noout -dates
date -u

Егер күндер шынымен өтіп кеткен болса, шығарушы арқылы жаңартыңыз. Егер ауыстырма бар болса, бірақ әлі жарамды болмаса, сағатты соған сәйкестендіру үшін жылжытудың орнына қолдау көрсетілетін ауысуға сүйеніңіз. Сертификатты қанағаттандыру үшін құрылғы күнін артқа шегеру — туннельден әлдеқайда алыс салдарға ие шешім.

Неге біреуін түзету екіншісін ашады

Валидация тексерулер тізбегін орындайды, және бірінші сәтсіздік есепті тоқтатады. Атауды түзетіңіз, сонда клиент сізге тізбек толық емес немесе сертификаттың мерзімі өткенін айтуы мүмкін. Бұл бірінші тексерудің қажетсіз болғанын білдірмейді. Бұл тізбекте бірнеше мәселе болғанын білдіреді, сондықтан екінші қатені күтіңіз, оны бірінші түзетудің қате болғанының дәлелі ретінде оқымаңыз.

Бірнеше түйін мұны нашарлатады. Жүктеме теңгерілетін қызмет әр мүшеден әр түрлі сертификат ұсынуы мүмкін, сондықтан екі рет өтіп, бір рет сәтсіз болатын сынақ сізге флот туралы айтады, клиентіңіз туралы емес. Диагнозда тең оператор мекенжайын және әрекет уақытын сақтаңыз.

Дәл осы бөлшек тұрақсыз билетті қайталанатын билетке айналдырады.

Оны жаңа байланыспен дәлелдеңіз

Жөндеуден кейін ескі байланысты жалғастырудың орнына жаңа байланыс ашыңыз және бұрын сәтсіз болған кезеңнің қазір өтетінін растаңыз. Содан кейін туннельдің шынымен трафик тасымалдайтынын растаңыз, себебі сәтті қол алысу — жұмыс істейтін маршрут емес.

Нақты қате кезеңін және сертификат мәліметтерін билетпен бірге сақтаңыз.

Дәл осы жазба келесі адамның сертификат мәселесі үшін тіркелгі құпия сөздерін қалпына келтіруіне жол бермейді. Сәйкестік пен жарамдылық — бөлек сұрақтар, және екіншісінің қалай бағаланатыны туралы RFC 5280 анықтама болып табылады.