VPN-Zertifikat nach net gülteg: dräi Ursaachen, eng Prüfreihenfolge
Nach-nët-gülteg heescht, datt d'Auer vum Apparat hannendrun ass, d'Fënster wierklech méi spéit ufänkt, oder en Zwëschenzertifikat nach net opgemaach ass. Prüft se an dëser Reihenfolge.
Dir maacht de Client op, wielt de Profil, deen Dir zënter Méint benotzt, an hie stoppt mat "certificate is not yet valid". Bei Ärem Login huet sech näischt geännert, an de Vertrauensspäicher ass wahrscheinlech an der Rei: d'Zertifikat, dat am Handshake presentéiert gëtt, dréit eng Gültegkeetsfënster, déi méi spéit ufänkt wéi de Moment, deen de Prüfer benotzt. Dräi verschidde Situatiounen erzéiwen genau déi Noriicht, an se verlaangen ënnerschiddlech Aktiounen. D'Reihenfolge hei drënner seet Iech, wéi eng Dir hutt, ier Dir eng Auer oder eng Zertifikatsdatei beréiert.
Wéi eng vun den dräi Ursaachen Dir gesitt
Déi éischt Ursaach ass lokal: den Apparat, deen d'Prüfung mécht, huet eng Auer, déi méi fréi ass wéi den Ufanksdatum vum Zertifikat. Dir gesitt dat op Hardware mat enger douder CMOS-Batterie, op virtuelle Maschinnen, déi aus engem ale Snapshot restauréiert goufen, op Apparater, déi laang genuch ausgeschalt waren, fir d'Zäit ze verléieren, an op Netzwierker, wou ausgängend NTP blockéiert ass an et keen gemierkt huet. D'Zertifikat kann ganz gülteg sinn an trotzdem esou feelen.
Déi zweet Ursaach gehéiert zum Aussteller, well d'Zertifikat wierklech an der Zukunft ufänkt: fréi ausgestallt, mat enger expliziter Ufankszäit generéiert, oder als Deel vun engem Aktivéierungsschratt ënnerschriwwen, deen nach net gelaf ass. Déi drëtt Ursaach verschwënnt am meeschten Zäit, well d'Blat aktuell ass, wärend en anert Zertifikat an der presentéierter Kette et net ass, sou datt de Feeler Material nennt, dat Dir ni installéiert hutt.
Eng Fro trennt se. Follegt de Feeler dem Apparat oder dem Service? Zwee Maschinnen am selwechten Netzwierk, déi sech anescht behuelen, weisen op Auere. Wann all Client op déiselwecht Manéier feelt, weist dat op d'Fënster vum Zertifikat an d'Kette hannendrun.
Liest d'Fënster aus dem Zertifikat, dat tatsächlech presentéiert gouf
Inspektéiert keng PEM-Datei, déi vun enger fréierer Ausrollung iwwreg bleiwen ass; frot de Service no der Kette, déi en elo schéckt. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts dréckt all Zertifikat an der Kette. Späichert de Block, deen Iech interesséiert, a fëllt openssl x509 -noout -subject -issuer -dates aus; de leschten dréckt notBefore an notAfter, an dat sinn déi zwou Wäerter, déi decidéieren. Op Windows weisen den Zertifikatsdialog fir d'Verbindung an certutil -dump op enger exportéierter Datei déiselwecht Felder.
Liest béid Enner vun der Fënster, net nëmmen den Ufank. En Zertifikat, deen an zwou Stonnen opgeet, an een, deen an zwou Stonnen zougeet, fëllen mat ënnerschiddlechen Noriichten aus a betreffen ënnerschiddlech Teams. Notéiert, wéi en Zertifikat de Feeler nennt — Blat, Zwëschen oder Wuerzel —, well dat decidéiert, ob op der Clientsäit iwwerhaapt eppes ka reparéiert ginn.
Dir kënnt d'Fënster och testen, ouni drop ze waarden. D'Prüfung akzeptéiert eng explizit Zäit: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem evaluéiert d'Kette op deem Zäitstempel. Fëllt et mat der aktueller Zäit aus, fir de Feeler ze reproduzéieren, dann mat der Ufankszäit vum Zertifikat, fir ze bestätegen, datt déiselwecht Kette passéiert, soubal d'Fënster opgeet. RFC 5280 definéiert d'Gültegkeetsfeld an d'Regel, datt en Zertifikat dobaussen net däerf benotzt ginn, an dat ass just déi Regel, déi Äre Client grad ugewannt huet.
Är Auer, oder hir
Vergläicht d'Auer vum Apparat mam Ufank vum Zertifikat an UTC, aus enger Quell, déi Dir vertraut. date -u gëtt de Moment, an timedatectl status op engem systemd-Host mellt och, ob d'Auer synchroniséiert ass. Op Windows weist w32tm /query /status déi aktuell Quell an déi lescht erfollegräich Synchronisatioun. Eng Zäitzon, déi an der Taskbar gewise gëtt, ass eng Uweisungs Wiel, keng falsch Auer; de Prüfer vergläicht UTC-Momenter.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
Wann d'Auer hannendrun ass, synchroniséiert nei a testt nei, ier Dir iergendeen Zertifikatsmaterial ännert. En Apparat, dee Minutten oder Stonnen danieft ass, refuséiert all rezent ausgestallt Zertifikat, deem en begéint, net nëmmen ee Service, sou datt eng Erklärung mat engem eenzege Service meeschtens déi falsch ass. Wann d'Auer richteg an synchroniséiert ass, hält op, den Apparat unzekucken: d'Fënster gehéiert zum Aussteller, an et soll keng lokal Astellung ugepasst ginn, fir se duerchzekréien.
Déi Tabell ass déi ganz Decisioun. D'Auer op dat ze verréckelen, wat d'Zertifikat erwaart, ass keng Reparatur, an d'Zäitkontrollen auszeschalten ass och keng, well béid de Zoustand verstoppen, deen de Feeler produzéiert huet.
Firwat d'Kette feelt, wärend d'Blat gutt ausgesäit
Erneiert Blieder an Ersatz-Zwëschenzertifikater ginn normalerweis zesummen ausgeliwwert, an se landen net ëmmer am selwechte Moment. E Service kann en neit Blat schécken, dat vun engem Zwëschen ënnerschriwwen ass, deem seng eegen Fënster méi spéit ufänkt, oder en eelere Zwëschen ënner engem frësche Blat weider zerwéieren. Sou oder esou feelt d'Kette, wärend dem Blat seng eege Datumen vernünfteg ausgesinn.
Laaschtverdeelt Endpunkte maachen doraus, amplaz vu futti, inkonsistent. Wann en neien Versuch geléngt, oder een Netzwierk funktionéiert an en anert net, notéiert, wéi ee Peer geäntwert huet a wéi eng Kette en geschéckt huet, ier Dir Astellungen ännert. openssl s_client dréckt déi verbonnen Adress, sou datt e puer Versich weisen, ob all Nout déiselwecht Kette zerwéiert.
Reparaturweeër, déi d'Prüfung intakt loossen
En Auereproblem gëtt um Apparat behuewen, mat der Prüfung ageschalt. En Zertifikatsproblem gëtt vum Betreiber behuewen, mat Material, dat fir eng Fënster ausgestallt gouf, déi schonn elo enthält. Keng Clientastellung mécht en nach-nët-gültegt Zertifikat gülteg; d'Fändelen, déi Zäitkontrollen iwwersprangen, ginn et, fir eng Diagnos ze bestätegen, net fir se auszerollen.
Wann d'Zertifikat fir eng geplangte Aktivéierung virbereet ass, follegt dem Iwwergangsplang. Installéiert et, wann seng Fënster opgeet, oder benotzt d'Iwwerlappungsprozedur, déi de Provider dokumentéiert, amplaz et fréi z'installéieren an d'Benotzer ze léieren, duerch d'Warnungen ze klicken. Warnungen, déi d'Leit léieren z'ignoréieren, kaschten méi wéi eng kuerz Verzögerung.
Testt zum Schluss esou nei, wéi de Feeler geschitt ass: eng nei Sitzung, dee selwechte Client, déi Ressource, déi Dir wierklech braucht. TLS-Bibliothéiken kënnen eng geprüfte Kette fir d'Liewe vun enger Verbindung cache; eng erëmgeholl Sitzung iwwerpréift se net onbedéngt nach eng Kéier, sou datt eng al Sitzung no der Reparatur weiderfëllt oder no enger Regressioun weiderfunktionéiert. Eng Datei, déi an engem Viewer opgeet, beweist just, datt d'Datei liesbar ass; en ofgeschlossenen Handshake beweist, datt d'Kette validéiert.
Ier Dir den Ticket zoumaacht, bestätegt véier Saachen: d'UTC-Zäit an de Synchronisatiounszoustand vum feelende Apparat, notBefore an notAfter vun all Zertifikat an der presentéierter Kette, déiselwecht Kette vun engem zweete Client, an den Numm, deen de Feeler dem Zertifikat gëtt. Wann d'Auer richteg ass an d'Fënster nach net opgoung, ass de Rescht d'Aarbecht vum Betreiber, an de richtege Schrëtt op Ärer Säit ass, op d'Fënster ze waarden amplaz d'Prüfung ze schwächen.