인증서 이름 불일치와 만료: 구별하는 방법

VPN의 두 가지 장애는 사용자 자리에서는 똑같아 보이지만 서로 반대되는 수정이 필요합니다. 이름 불일치는 인증서가 유효하지만 다른 대상에 발급되었음을 뜻합니다. 만료 오류는 인증서가 지금 이 순간 유효하지 않음을 뜻합니다. 둘 다 비밀번호 문제가 아니며, 두 경우 모두 자격 증명 재설정이 가장 흔히 낭비되는 한 시간입니다. 무엇이든 건드리기 전에 실패하는 단계를 읽으십시오.

오류 문구가 곧 진단입니다

클라이언트는 메시지가 간결하더라도 어느 검사가 실패했는지 알려 줍니다. 불일치는 기대한 호스트 이름과 실제로 찾은 이름을 밝힙니다. 만료 오류는 유효 기간 날짜나 시각을 언급합니다. 그 두 문장은 인증서의 서로 다른 부분을 가리킵니다.

그것이 나타나는 단계에서 읽으십시오. 핸드셰이크 중 실패는 인증서 문제이고, 터널이 올라온 뒤의 실패는 라우팅이나 자격 증명 문제입니다. 단계를 유지하는 것이 조사가 무관한 설정으로 흘러가는 것을 막습니다.

실패가 시도마다 달라진다면 세 번째 가능성이 있습니다. 같은 이름 뒤에 노드가 둘 이상 있는 경우입니다.

이름 검사: 클라이언트가 비교하는 것

클라이언트는 기대하도록 구성된 신원을 인증서의 이름과 비교하며, 그 이름은 subjectAltName 확장에 있습니다. 프로필의 원시 IP, 인증서가 나열하지 않은 별칭, 그저 같은 서버로 해석되는 이름은 모두 이 검사에서 실패합니다. 올바른 기계에 도달하는 것은 올바른 신원을 제시하는 것과 같지 않습니다.

이전 시도의 파일이 아니라 서버가 실제로 제시하는 인증서를 확인하십시오. 아래 명령은 구성한 이름을 요청하므로, 응답에는 실제 클라이언트가 보게 될 인증서가 포함됩니다.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

신뢰할 수 있는 발급자의 인증서라도 다른 서비스용일 수 있습니다. 클라이언트의 이름 검사를 켜 두십시오. CA를 신뢰한다고 해서 그 CA가 지금까지 서명한 모든 이름이 허가되는 것은 아닙니다. 검사를 끄면 구성 오류가 노출로 바뀝니다.

만료: 누구의 시계를 읽는가

유효성은 두 개의 타임스탬프 쌍이며, 검증자는 이를 자신의 시계와 비교합니다. 시계가 틀린 장치는 유효한 인증서를 만료되었거나 아직 유효하지 않다고 보고하며, 고칠 것은 인증서가 아니라 시계입니다. 시간대 표시의 차이는 근본 시각이 틀린 것과 다릅니다.

무엇이든 결론 내리기 전에 클라이언트에서 인증서 날짜를 UTC와 비교하십시오:

openssl x509 -in cert.pem -noout -dates
date -u

날짜가 정말 지났다면 발급자를 통해 갱신하십시오. 대체 인증서가 있지만 아직 유효해지지 않았다면, 그것에 맞추어 시계를 옮기는 대신 지원되는 전환을 따르십시오. 인증서를 만족시키려고 장치의 날짜를 과거로 되돌리는 것은 터널보다 훨씬 멀리 영향을 미치는 결정입니다.

하나를 고치면 다른 하나가 드러나는 이유

검증은 일련의 검사를 실행하고, 첫 실패에서 보고가 멈춥니다. 이름을 고치면 클라이언트가 이제 체인이 불완전하다 거나 인증서가 만료되었다고 말할 수 있습니다. 그것은 첫 검사가 불필요했다는 뜻이 아닙니다. 체인에 문제가 둘 이상 있었다는 뜻이므로, 첫 수정이 틀렸다는 증거로 읽지 말고 두 번째 오류를 예상하십시오.

노드가 많으면 더 나빠집니다. 부하 분산된 서비스는 구성원마다 다른 인증서를 제시할 수 있으므로, 두 번 통과하고 한 번 실패하는 시험은 당신의 클라이언트가 아니라 함대에 대해 말해 줍니다. 진단에 상대 주소와 시도 시각을 남기십시오.

그 세부 정보가 불안정한 티켓을 재현 가능한 티켓으로 바꿉니다.

새 연결로 증명하십시오

수리 후에는 이전 연결을 이어 가는 대신 새 연결을 열고, 예전에 실패하던 단계가 이제 통과하는지 확인하십시오. 그다음 터널이 실제로 트래픽을 나르는지 확인하십시오. 성공한 핸드셰이크는 동작하는 경로가 아닙니다.

정확한 오류 단계와 인증서 세부 정보를 티켓과 함께 남기십시오.

그 기록이 다음 사람이 인증서 문제 때문에 계정 비밀번호를 재설정하는 것을 막습니다. 신원과 유효성은 별개의 질문이며, 두 번째가 어떻게 평가되는지에 대해서는 RFC 5280이 참조입니다.