Сертификаттарды кері қайтарып алу сәтсіз: қай хост қайда жетпейді

Сертификаттар өз қолданылу мерзімінің ішінде болуы мүмкін, бірақ VPN әлі аутентификация қатесі туралы хабарлайды, және біреу сертификат кері қайтарылды деп қорытынды жасайды. Бұл үш түрлі факт. Кері қайтару деректерін валидация жасайтын құрылғы сертификаттың өз ішінде аталған жариялау нүктесінен алуы керек. Бұл құрылғы нүктеге жете алмаса, тексеру сертификаттың күйіне қатысы жоқ себептермен сәтсіз аяқталады.

Алу жолы валидаторға тиесілі

Валидаторды анықтаудан бастаңыз. Ноутбук шлюздің сертификатын тексерсе, алуды ноутбук жасайды; шлюз клиент сертификатын тексерсе, оны шлюз жасайды. Артқы жоспардағы аутентификация қызметі өз желілік орны бар үшінші валидаторды қоса алады. Әрқайсысының интернетке баратын жолы мен прокси конфигурациясы әртүрлі. Әкімшінің жұмыс станциясында жиналған дәлелдер DMZ ішіндегі сервер туралы ештеңе айтпайды.

Бірдеңе өзгертпес бұрын сертификатты, валидаторды, әрекет уақытын және нақты күй кодын жазып алыңыз.

Сертификаттан жариялау нүктесін оқыңыз

Сертификат өз күйінің қайда екенін атайды. CA мекенжайын болжаудың орнына сол өрістерді оқыңыз.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Бірінші кеңейтім CRL тарату нүктелерін тізімдейді, екіншісі орган ақпаратына қатынау әдістерін тізімдейді, олар OCSP күйін және шығарушы сертификатын алуды қамтуы мүмкін. Бұл әртүрлі механизмдер, ал OCSP жауап берушісі CRL файлы емес. Жариялау хосты көбінесе CA машинасы емес, қарапайым веб-сервер болады, өйткені офлайн шығарушы басқа сервер тарататын CRL-ге қол қоя алады. Сондықтан CA-ға қатынау деп сипатталған брандмауэр ережесі енгізу немесе қарау үшін тым бұлыңғыр.

Валидация жасайтын құрылғыдан алуды тексеріңіз

Алу тестін валидацияны шын мәнінде орындайтын ортада, бекітілген сертификат материалымен және жеке кілттерсіз орындаңыз.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil іске қосу тізбекті тексереді және қай URL алулары сәтті немесе сәтсіз болғанын хабарлайды, ал curl шақыруы сол хосттан бір жариялау мекенжайын тексереді және тек күй кодын қайтарады. Қолжетімді мекенжайдан сәтсіз алу мазмұн немесе қолтаңба мәселелерін көрсетеді; қосылу қатесі маршруттауға, DNS-ке немесе проксиге нұсқайды. Екі нәтижені де сақтаңыз, өйткені бір сәтті алу бүкіл тізбектің жарамды екенін дәлелдемейді. Мысалдағы хост пен жолды сертификатта табылған тарату нүктесіне ауыстырыңыз.

Жетіспейтін деректерді кері қайтару күйінен ажыратыңыз

Төрт нәтиже сырттан бірдей көрінеді: нүкте қолжетімсіз, тізім ескірген, тізімге қате шығарушы қол қойған немесе сертификат шынымен кері қайтарылған. Тек соңғысы күй нәтижесі және тек сол қатынауды алып тастауды негіздейді. Кэштеу суретті одан әрі күрделендіреді, өйткені бұрын алынған деректер келесі жаңартуға дейін бұзылған жариялау жолын жасыра алады. Кері қайтару тексеруін өшіру, байланысы жоқ сертификаттарды жою немесе шлюзді қайта іске қосу — барлығы диагностиканы әрекетпен алмастырады.

Түзетуден кейін жаңа аутентификацияны мәжбүрлеп, көзделген күй алуының сәтті екенін растаңыз. Бақыланатын сынақ сәйкестігі бар жерде оның әлі де қабылданбайтынын растаңыз, өйткені тексеруді алып тастайтын қолжетімділік жөндеу емес.