Сертификаттын атынын дал келбестиги же мөөнөтүнүн өтүшү: аларды кантип ажыратуу керек

VPNдин эки катасы колдонуучунун ордунан бирдей көрүнөт, бирок карама-каршы оңдоону талап кылат. Аталыштын дал келбестиги сертификат жарактуу, бирок башка нерсеге берилгенин билдирет. Мөөнөтү өткөндүгү тууралуу ката сертификаттын ушул учурда жараксыз экенин билдирет. Экөө тең сырсөз көйгөйү эмес, жана эки учурда тең каттоо маалыматтарын баштапкы абалга келтирүү эң көп текке кеткен саат. Бир нерсеге тийүүдөн мурун ийгиликсиз болгон баскычты окуңуз.

Катанын тексти — диагноз

Клиент кайсы текшерүү ийгиликсиз болгонун айтат, билдирүү кыска болсо да. Дал келбестик күтүлгөн хост атын жана табылган атты атайт. Мөөнөтү өткөндүгү тууралуу ката жарактуулук даталарын же убакытты эскерет. Бул эки сүйлөм сертификаттын ар башка бөлүктөрүн көрсөтөт.

Алар пайда болгон баскычта окуңуз. Кол алышуу учурундагы ийгиликсиздик — сертификат көйгөйү; туннель көтөрүлгөндөн кийинки ийгиликсиздик — маршруттоо же каттоо маалыматтарынын көйгөйү. Баскычты сактоо тергөөнүн байланышсыз параметрлерге кетишинен кармайт.

Эгер ийгиликсиздик аракеттер арасында өзгөрсө, үчүнчү мүмкүнчүлүк бар: бир аттын артында бирден ашык түйүн.

Ат текшерүүлөрү: клиент эмнени салыштырат

Клиент күтүүгө конфигурацияланган инсанды сертификаттагы аттар менен салыштырат, алар subjectAltName кеңейтүүсүндө. Профилдеги чийки IP, сертификат тизмелебеген лакап ат, же жөн гана ошол эле серверге чечилген ат — баары ушул текшерүүдөн өтпөйт. Туура машинага жетүү туура инсанды көрсөтүү менен бирдей эмес.

Мурунку аракеттин файлын эмес, сервер чындап көрсөткөн сертификатты карап чыгыңыз. Төмөнкү буйрук сиз конфигурациялаган атты сурайт, ошондуктан жооп чыныгы клиент көрө турган сертификатты камтыйт.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Ишенимдүү берүүчүнүн сертификаты баары бир башка кызмат үчүн болушу мүмкүн. Клиенттин ат текшерүүлөрүн күйүк тутуңуз, анткени CAга ишенүү ошол CA качандыр бир кол койгон ар бир атка укук бербейт. Текшерүүнү өчүрүү конфигурация катасын ачыкка чыгарууга айландырат.

Мөөнөттүн өтүшү: кимдин сааты окулуп жатат

Жарактуулук — убакыт белгилеринин жубу, жана текшерүүчү аларды өз сааты менен салыштырат. Сааты туура эмес түзмөк жарактуу сертификатты мөөнөтү өткөн же азырынча жараксыз деп билдирет, жана оңдоо сертификатта эмес, саатта. Убакыт алкагын көрсөтүү айырмасы негизги убакыттын каталыгы менен бирдей эмес.

Бир нерсени чечүүдөн мурун клиентте сертификаттын даталарын UTC менен салыштырыңыз:

openssl x509 -in cert.pem -noout -dates
date -u

Эгер даталар чындап өтүп кеткен болсо, берүүчү аркылуу жаңыртыңыз. Эгер алмаштыруу бар болсо, бирок азырынча жарактуу боло элек болсо, саатты ага жараша жылдыруунун ордуна колдоого алынган өтүүнү аткарыңыз. Сертификатты канааттандыруу үчүн түзмөктүн датасын артка жылдыруу — туннелден алда канча алыс кесепеттерге ээ чечим.

Эмне үчүн бирөөнү оңдоо экинчисин ачат

Валидация текшерүүлөр тизмегин аткарат, жана биринчи ийгиликсиздик отчётту токтотот. Атты оңдоңуз, ошондо клиент сизге тизмек толук эмес же сертификаттын мөөнөтү өткөнүн айтышы мүмкүн. Бул биринчи текшерүү ашыкча болгонун билдирбейт. Бул тизмекте бирден ашык көйгөй болгонун билдирет, ошондуктан экинчи катаны күтүңүз, аны биринчи оңдоо туура эмес болгонунун далили катары окубаңыз.

Бир нече түйүн муну начарлатат. Жүктөмдү теңдештирүүчү кызмат ар башка мүчөлөрдөн ар башка сертификаттарды көрсөтүшү мүмкүн, ошондуктан эки жолу өтүп, бир жолу ийгиликсиз болгон сыноо сизге флот тууралуу айтат, клиентиңиз тууралуу эмес. Диагноздо теңдештин дарегин жана аракеттин убактысын сактаңыз.

Ошол деталь туруксуз билетти кайталануучу билетке айландырат.

Аны жаңы байланыш менен далилдеңиз

Оңдоп болгондон кийин эски байланышты улантуунун ордуна жаңы байланыш ачыңыз жана мурун ийгиликсиз болгон баскычтын азыр өткөнүн ырастаңыз. Андан кийин туннель чындап трафикти ташып жатканын ырастаңыз, анткени ийгиликтүү кол алышуу — иштеген маршрут эмес.

Так ката баскычын жана сертификаттын деталдарын билет менен бирге сактаңыз.

Ошол жазуу кийинки адамдын сертификат көйгөйү үчүн каттоо сырсөздөрүн баштапкы абалга келтиришинен кармайт. Инсандык жана жарактуулук — өзүнчө суроолор, жана экинчиси кантип бааланаары боюнча RFC 5280 шилтеме болуп саналат.