Құрылғы сағатының қателігі VPN-ды тоқтатуы мүмкін: алдымен уақытты тексеріңіз

Сертификат уақыт белдеуінің белгісіне емес, нақты сәтке қарай бағаланады. Ауыстырмас бұрын сағатты, сертификат күндерін және уақыт көзінің маршрутын оқыңыз.

VPN қосылудан қалады, журнал сертификатты атайды, ал бірінші әрекет — профильді ауыстыру. Минуттармен немесе сағаттармен қате құрылғы сағаты дәл сол қатені тудырады, өйткені сертификаттың жарамдылығы жергілікті сәтке қарай бағаланады. Экрандағы уақыт белдеуінің белгісі мәселе емес; мәселе — уақыттың өзі. Сертификат материалына тиіспес бұрын сағатты тексеріңіз.

Қате сағат емес, сертификат мәселесіне ұқсайды

TLS қол алысуы қарсы тараптың сертификаты тексерушінің сағатына қатысты жарамдылық терезесінен шыққанда сәтсіз аяқталады. Бұл тексеру клиентте жүреді, сондықтан қате клиент сағаты мүлдем жақсы сертификаттан бас тартады. Қате мәтіні сертификатты атайды, сондықтан адамдар оны ауыстырып, сол сәтсіздікті қайта көреді. Сағат — арзанырақ болжам және оны бірінші тексеру керек.

Нақты уақыттан алда кеткен сағат ағымдағы сертификатты мерзімі біткен деп қабылдамайды; артта қалған сағат жаңарақ сертификатты әлі жарамсыз деп қабылдамайды. Екі хабарлама да күндерге нұсқайды және екеуі де сертификат органымен ешқандай байланыссыз жасалады. Бұл — белгі: шынайы мерзім біту барлық клиентке әсер етеді, ал сағат мәселесі тек уақыты қате бір машинаға әсер етеді.

Сәтті оқыңыз, содан кейін сертификатты

Бірдеңені өзгертуден бұрын сағатты UTC-де және сертификаттың өз күндерін басып шығарыңыз. Екі абсолюттік сәтті салыстыру уақыт белдеуі мәселесін тергеуден толық алып тастайды. Егер сертификат терезесінде ағымдағы сәт болса, сертификат сіздің сәтсіздігіңіз емес.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Егер жергілікті сағат қате болса, оның синхрондалғанын және немен синхрондалғанын тексеріңіз. Синхрондау өшірілген немесе жете алмайтын уақыт көзі бар машина бірдеңе істен шыққанша ауытқиды. Күй шығысы көзді және соңғы сәтті түзетуді атайды, бұл тек ағымдағы ауытқудан пайдалырақ. Көзі орнатылмаған үлкен ауытқу — жұмыс істеп тұрған көзге қатысты шағын ауытқудан өзге мәселе.

timedatectl timesync-status
chronyc tracking

Егер сертификат барлық клиент үшін шынымен мерзімі біткен болса, тоқтаңыз. Онда сағат дұрыс және сертификат түзетуді емес, жаңартуды қажет етеді.

Кіру кодтары байланысты, бірақ өзге себеппен сәтсіз болады

Уақытқа негізделген бір реттік құпиясөздер өз мәнін ағымдағы уақыт қадамынан алады, әдетте отыз секунд. Сағаты бір-екі қадамнан артық ауытқыған құрылғы сервер қабылдамайтын кодтар шығарады, пайдаланушы дұрыс сандарды терген болса да. Қате қате құпиясөзге ұқсайды, бұл адамдарды сағатты түзете алмайтын қалпына келтіру цикліне кіргізеді.

Әрекетті қай компонент қабылдамағанын анықтаңыз, өйткені VPN клиенті, шлюз және сәйкестендіру провайдері әртүрлі кезеңдерді хабарлайды. Код қабылданбай, құпиясөз қабылданса, тіркелгі дұрыс болуы ықтимал және күдікті — сағат. Екеуі де қабылданбаса, тіркелгі құлыпталуы мүмкін және сағат — жалған із. Өзіңіз бастамаған сұрауларды мақұлдаудың орнына провайдердің қалпына келтіру нұсқаулығын орындаңыз.

Код жұмыс істеуі үшін сағатты артқа қайырмаңыз. Бұл себепті жасырады және келесі уақытқа негізделген тексеруді бұзады.

Көрсетілген сағатты емес, көзді түзетіңіз

Синхрондау — желілік қызмет, ал туннель уақыт көзінің қолжетімділігін өзгертуі мүмкін. Корпоративтік көз туннельді талап етуі мүмкін, ал ашық көз саясатпен бұғатталуы мүмкін. Шолу жұмыс істей алады, ал уақыт қызметінің өз жолы сәтсіз аяқталады, сондықтан бұл тәуелділікті байқамау оңай. NTP — түзетудің артындағы протокол және оған кез келген басқа қызмет сияқты өз жолы қажет.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Жүктелу ретінің мәселесі де бар: қатты қате сағат аутентификацияланған туннельге кедергі келтіруі мүмкін, ал жалғыз пайдалануға жарамды уақыт көзі сол туннельдің артында болуы мүмкін. Басқарылатын флот осы күй үшін құжатталған рәсімді қажет етеді, ал сертификатты тексеруді айналып өту ондай рәсім емес. Жеке құрылғыда операциялық жүйенің өз уақыт басқаруын қолданыңыз және өшіру немесе қалпына келтіруден кейін сағат неге жоғалатынын анықтаңыз. Әр жүктелуде ауытқитын машинада аппараттық немесе конфигурациялық мәселе бар, VPN мәселесі емес.

Жөндеуден кейін бастапқы қосылымды қайта көріп, жаңа қатені бөлек оқыңыз. Нашар сервер сәйкестігі, шын мәнінде мерзімі біткен сертификат және қабылданбаған тіркелгі — үш түрлі сәтсіздік, ал оларды араластыру қарапайым сағат түзетуін бір апталық профиль ауыстыруға айналдырады.

Қатысты мақалалар