Сертификаттарды жокко чыгаруу ишке ашпайт: кайсы хост эмнеге жете албайт

Сертификаттар өзүнүн жарактуулук мөөнөтүнүн ичинде болушу мүмкүн, бирок VPN дагы эле аутентификация катасы жөнүндө билдирет, жана бирөө сертификат жокко чыгарылды деген тыянак чыгарат. Бул үч башка факт. Жокко чыгаруу маалыматтарын текшерүүнү аткарган түзмөк сертификаттын ичинде аталган жарыялоо пунктунан алышы керек. Бул түзмөк пунктка жете албаса, текшерүү сертификаттын абалына тиешеси жок себептерден улам ишке ашпайт.

Алуу жолу текшерүүчүгө таандык

Текшерүүчүнү аныктоодон баштаңыз. Ноутбук дарбазанын сертификатын текшерсе, алууну ноутбук аткарат; дарбаза кардардын сертификатын текшерсе, аны дарбаза аткарат. Арткы пландагы аутентификация кызматы өзүнүн тармактык орду менен үчүнчү текшерүүчүнү кошо алат. Ар биринин интернетке башка жолу жана башка прокси конфигурациясы бар. Администратордун жумуш станциясында чогултулган далилдер DMZ ичиндеги сервер жөнүндө эч нерсе айтпайт.

Бир нерсени өзгөртүүдөн мурун сертификатты, текшерүүчүнү, аракет убактысын жана так статус кодун жазып алыңыз.

Сертификаттан жарыялоо пунктун окуңуз

Сертификат өзүнүн абалы кайда экенин атайт. CA дарегин болжолдоонун ордуна ошол талааларды окуңуз.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Биринчи кеңейтүү CRL таратуу пункттарын тизмелейт, экинчиси органдын маалыматына жетүү ыкмаларын тизмелейт, алар OCSP статусун жана чыгаруучунун сертификатын алууну камтышы мүмкүн. Бул ар башка механизмдер, жана OCSP жооп берүүчүсү CRL файлы эмес. Жарыялоо хост көбүнчө CA машинасы эмес, кадимки веб-сервер болот, анткени офлайн чыгаруучу башка сервер тарата турган CRLге кол коюшу мүмкүн. Ошондуктан CAга жетүү деп сүрөттөлгөн брандмауэр эрежеси киргизүү же карап чыгуу үчүн өтө бүдөмүк.

Текшерүүнү аткарган түзмөктөн алууну текшериңиз

Алуу тестин текшерүүнү чындап аткарган чөйрөдө, бекитилген сертификат материалы менен жана жеке ачкычтарсыз аткарыңыз.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil иштетүү чынжырды текшерет жана кайсы URL алуулар ийгиликтүү же ийгиликсиз болгонун билдирет, ал эми curl чакыруу ошол эле хосттон бир жарыялоо дарегин текшерет жана статус кодун гана кайтарат. Жеткиликтүү даректен ийгиликсиз алуу мазмун же кол тамга маселелерин көрсөтөт; туташуу катасы маршруттоого, DNSке же проксиге багыттайт. Эки жыйынтыкты тең сактаңыз, анткени бир ийгиликтүү алуу бүт чынжыр пайдаланууга жарактуу экенин далилдебейт. Мисалдагы хост менен жолду сертификаттан табылган таратуу пунктуна алмаштырыңыз.

Жетишпеген маалыматты жокко чыгаруу абалынан ажыратыңыз

Төрт жыйынтык сырттан окшош көрүнөт: пунктка жетүү мүмкүн эмес, тизме эскирген, тизмеге туура эмес чыгаруучу кол койгон, же сертификат чындап жокко чыгарылган. Акыркысы гана статус жыйынтыгы, жана достукту алып салууну актай турган дал ошол. Кэштөө көрүнүштү дагы татаалдаштырат, анткени мурун алынган маалыматтар кийинки жаңыртууга чейин бузулган жарыялоо жолун жашырышы мүмкүн. Жокко чыгаруу текшерүүсүн өчүрүү, байланышы жок сертификаттарды жок кылуу же дарбазаны кайра жүктөө — баары диагностиканы ишмердүүлүк менен алмаштырат.

Оңдоодон кийин жаңы аутентификацияны мажбурлап, көздөлгөн статус алуу ийгиликтүү экенин ырастаңыз. Көзөмөлдөнгөн сыноо инсандыгы бар жерде анын дагы эле четке кагыларын ырастаңыз, анткени текшерүүнү алып салган жеткиликтүүлүк оңдоо эмес.