Zertifikatsnumm onstëmmeg oder ofgelaf: wéi een se ënnerscheet

Zwee VPN-Feeler gesinn aus dem Sëtz vum Benotzer identesch aus an erfuerderen awer géigesätzlech Korrekturen. Eng Numm-Onstëmmegkeet seet, datt den Zertifikat gëlteg ass, awer fir eppes anescht ausgestallt gouf. Eng Ofleef-Feeler seet, datt den Zertifikat am Moment net gëlteg ass. Keng vun deenen zwee ass e Passwuertproblem, an d’Zerécksetzen vun den Umeldungsdaten ass an deene béide Fäll déi am dackste verschwend Stonn. Liest d’Etapp, déi feelt, ier Dir eppes beréiert.

Den Feelertext ass d’Diagnos

De Client seet Iech, wéi eng Prüfung feelt, och wann d’Message knapp ass. Eng Onstëmmegkeet nennt den erwaarten Hostnumm an den Numm, deen fonnt gouf. Eng Ofleef-Feeler ernimmt Gëltegkeetsdatumer oder eng Zäit. Déi zwou Sätz weisen op verschidde Deeler vum Zertifikat.

Liest se op der Etapp, op där se erschéngen. E Feeler wärend dem Handshake ass e Zertifikatsproblem; e Feeler nodeems den Tunnel steet, ass e Routing- oder Umeldungsproblem. D’Etapp ze behalen ass dat, wat verhënnert, datt d’Enquête an onverbonne Parameteren ofdrift.

Wann de Feeler tëschent Versich variéiert, hutt Dir eng drëtt Méiglechkeet: méi wéi een Node hannert dem selwechten Numm.

Nummprüfungen: wat de Client vergläicht

De Client vergläicht d’Identitéit, déi hien erwaart, mat den Nimm am Zertifikat, déi an der subjectAltName-Erweiderung sinn. Eng roh IP am Profil, en Alias, deen den Zertifikat net oplëscht, oder en Numm, deen einfach op dee selwechte Server opléist — all falen se an dëser Prüfung duerch. Déi richteg Maschinn z’erreechen ass net dat selwecht wéi déi richteg Identitéit ze presentéieren.

Préift den Zertifikat, deen de Server tatsächlech presentéiert, an net eng Datei vun engem fréiere Versuch. Den Uerder hei drënner freet den Numm, deen Dir konfiguréiert hutt, sou datt d’Äntwert den Zertifikat enthält, deen e richtege Client gesinn hätt.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

En Zertifikat vun engem vertraute Aussteller kann nach fir eng aner Déngscht sinn. Loosst d’Nummprüfungen um Client ageschalt, well engem CA ze vertrauen net all Numm autoriséiert, deen dee CA jeemools ënnerschriwwen huet. D’Prüfung ofzeschalten mécht aus engem Konfiguratiounsfeeler eng Expositioun.

Ofleef: wéien Auer gëtt gelies

Gëltegkeet ass eng Puer Zäitstempelen, an de Verifizéierer vergläicht se mat senger eegener Auer. Eng Apparatur mat enger falscher Auer mellt en gëltegen Zertifikat als ofgelaf oder nach net gëlteg, an d’Korrektur ass d’Auer, net den Zertifikat. En Ënnerscheed an der Zäitzone-Uweisung ass net dat selwecht wéi eng falsch ënnerläichend Zäit.

Vergläicht d’Zertifikatsdatumer mat UTC um Client, ier Dir eppes schlussfolgert:

openssl x509 -in cert.pem -noout -dates
date -u

Wann d’Datumer wierklech vergaange sinn, erneiert iwwer den Aussteller. Wann eng Ersatzversioun existéiert, awer nach net gëlteg ginn ass, befollegt déi ënnerstëtzten Iwwergang, amplaz d’Auer ze verréckelen, fir se ze passen. Eng Apparatur zréckzudatéieren, fir en Zertifikat ze befriddegen, ass eng Entscheedung mat Konsequenzen wäit iwwer den Tunnel eraus.

Firwat d’Reparatur vum engem deen aneren opdeckt

D’Validatioun leeft eng Rei Prüfungen of, an den éischte Feeler stoppt de Rapport. Reparéiert den Numm an de Client kann Iech dann soen, datt d’Kette onkomplett ass oder den Zertifikat ofgelaf ass. Dat heescht net, datt déi éischt Prüfung onnéideg war. Et heescht, datt d’Kette méi wéi ee Problem hat, also erwaart den zweete Feeler, amplaz en als Beweis ze liesen, datt déi éischt Korrektur falsch war.

Méi Node maachen dat méi schlëmm. Eng loadbalancéiert Déngscht kann verschidde Zertifikater vu verschiddene Membere presentéieren, also en Test, deen zweemol duerchgeet an eng Kéier feelt, seet Iech eppes iwwer d’Flott an net iwwer Äre Client. Halt d’Peeradress an d’Zäit vum Versuch an der Diagnos.

Dee Detail ass et, deen en onbestännegen Ticket an en reproduzierbaren ëmwandelt.

Beweist et mat enger neier Verbindung

No der Reparatur maacht eng nei Verbindung op, amplaz eng al weiderzeféieren, a bestätegt, datt d’Etapp, déi virdru gefeelt huet, elo duerchgeet. Bestätegt duerno, datt den Tunnel tatsächlech Trafik dréit, well en erfollegräichen Handshake ass keng funktionéierend Route.

Halt déi genau Feeleretapp an d’Zertifikatsdetailer beim Ticket.

Dee Verlaaf ass et, deen de nächsten dovun ofhält, Kontpasswierder wéinst engem Zertifikatsproblem zréckzesetzen. Identitéit a Gëltegkeet si getrennt Froen, an RFC 5280 ass d’Referenz dofir, wéi déi zweet bewäert gëtt.