Түзмөктүн туура эмес сааты VPNды токтотушу мүмкүн: адегенде убакытты текшериңиз

VPN туташууну токтотот, журнал сертификатты эскерет, ал эми биринчи реакция — профилди алмаштыруу. Мүнөттөр же сааттар менен туура эмес түзмөк сааты дал ушул катаны жаратат, анткени сертификаттын жарактуулугу жергиликтүү учурга карата бааланат. Экрандагы убакыт алкагынын белгиси көйгөй эмес; көйгөй — убакыттын өзү. Сертификат материалына тийүүдөн мурун саатты текшериңиз.

Ката сааттын эмес, сертификаттын көйгөйүнө окшош

TLS кол кармашуу каршы тараптын сертификаты текшерүүчүнүн саатына карата жарактуулук терезесинен чыкканда ийгиликсиз болот. Бул текшерүү клиентте жүрөт, ошондуктан туура эмес клиент сааты толук жакшы сертификатты четке кагат. Ката тексти сертификатты атайт, ошондуктан адамдар аны алмаштырып, ошол эле ийгиликсиздикти кайра көрүшөт. Саат — арзаныраак божомол жана аны биринчи текшерүү керек.

Реалдуу убакыттан алдыда кеткен саат азыркы сертификатты мөөнөтү бүткөн деп четке кагат; артта калган саат жаңыраагын азырынча жараксыз деп четке кагат. Эки билдирүү тең күндөрдү көрсөтөт жана экөө тең сертификат органы менен эч кандай байланышсыз түзүлөт. Бул — белги: чыныгы мөөнөт бүтүү бардык клиентке таасир этет, ал эми саат көйгөйү убактысы туура эмес бир гана машинага таасир этет.

Учурду окуңуз, анан сертификатты

Бир нерсени өзгөртүүдөн мурун саатты UTC менен жана сертификаттын өз күндөрүн басып чыгарыңыз. Эки абсолюттук учурду салыштыруу убакыт алкагы маселесин тергөөдөн толук алып салат. Эгер сертификат терезесинде азыркы учур болсо, сертификат сиздин ийгиликсиздигиңиз эмес.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Эгер жергиликтүү саат туура эмес болсо, анын синхрондошконун жана эмне менен синхрондошконун текшериңиз. Синхрондоо өчүрүлгөн же жете албаган убакыт булагы бар машина бир нерсе ийгиликсиз болгонго чейин жылат. Абалдын чыгарылышы булакты жана акыркы ийгиликтүү оңдоону атайт, бул азыркы четтөөнүн өзүнөн пайдалуураак. Булак орнотулбаган чоң четтөө иштеп жаткан булакка карата кичине четтөөдөн башка көйгөй.

timedatectl timesync-status
chronyc tracking

Сертификат бардык клиент үчүн чын эле мөөнөтү бүтсө, токтогул. Анда саат жакшы жана сертификат оңдоону эмес, жаңыртууну талап кылат.

Кирүү коддору байланыштуу, бирок башка себептен ийгиликсиз болот

Убакытка негизделген бир жолу колдонулуучу сырсөздөр өз маанисин азыркы убакыт кадамынан алышат, адатта отуз секунд. Сааты бир-эки кадамдан көп жылган түзмөк сервер кабыл албаган коддорду чыгарат, колдонуучу туура сандарды терген болсо да. Ката туура эмес сырсөзгө окшош, бул адамдарды саатты оңдой албаган кайра орнотуу циклинө киргизет.

Аракетти кайсы компонент четке какканын аныктаңыз, анткени VPN клиенти, шлюз жана инсандык провайдери ар кандай баскычтарды билдиришет. Код четке кагылып, сырсөз кабыл алынса, аккаунт адашпай жакшы жана шектүү — саат. Экөө тең четке кагылса, аккаунт кулпуланышы мүмкүн жана саат — жалган из. Өзүңүз баштабаган суроолорду жактыруунун ордуна провайдердин калыбына келтирүү көрсөтмөлөрүн аткарыңыз.

Код иштеши үчүн саатты артка кайтарбаңыз. Бул себепти жашырат жана кийинки убакытка негизделген текшерүүнү бузат.

Көрсөтүлгөн саатты эмес, булакты оңдоңуз

Синхрондоо — тармактык кызмат, ал эми туннель убакыт булагынын жеткиликтүүлүгүн өзгөртүшү мүмкүн. Корпоративдик булак туннелди талап кылышы мүмкүн, ал эми ачык булак саясат менен бөгөттөлүшү мүмкүн. Сереп убакыт кызматынын өз жолу ийгиликсиз болгондо да иштеши мүмкүн, ошондуктан бул көз карандылыкты байкоо оңой. NTP — оңдоонун артындагы протокол жана ага башка кызматтар сыяктуу өз жолу керек.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Жүктөө тартибинин көйгөйү да бар: катуу туура эмес саат аутентификацияланган туннелге тоскоол болушу мүмкүн, ал эми жалгыз колдонууга жарактуу убакыт булагы ошол туннелдин артында болушу мүмкүн. Башкарылуучу флот бул абал үчүн документтелген процедураны талап кылат, ал эми сертификатты текшерүүнү айланып өтүү андай процедура эмес. Жеке түзмөктө операциялык системанын өз убакыт башкаруусун колдонуңуз жана өчүрүү же калыбына келтирүүдөн кийин саат эмнеге жоголорун аныктаңыз. Ар бир жүктөөдө жылып турган машинада аппараттык же конфигурациялык көйгөй бар, VPN көйгөйү эмес.

Оңдоодон кийин баштапкы туташууну кайра аракет кылыңыз жана жаңы катаны өзүнчө окуңуз. Начар сервер инсандыгы, чын эле мөөнөтү бүткөн сертификат жана четке кагылган аккаунт — үч башка ийгиликсиздик, аларды аралаштыруу жөнөкөй саат оңдоосун бир жумалык профиль алмаштырууга айландырат.