Eng falsch Auer um Apparat kann d’VPN stoppen: kontrolléiert d’Zäit als éischt

E Certificat gëtt géint den Ament bewäert, net géint d’Etikett vun der Zäitzon. Liest d’Auer, d’Datumen vum Certificat an de Wee vun der Zäitquell, ier Dir eppes austauscht.

D’VPN hält op sech ze verbannen, de Log ernimmt e Certificat, an den éischten Instinkt ass de Profil auszetauschen. Eng Auer um Apparat, déi Minutten oder Stonnen danieft ass, produzéiert genee dee Feeler, well d’Gültegkeet vum Certificat géint den lokalen Ament bewäert gëtt. D’Etikett vun der Zäitzon um Bildschierm ass net de Problem; d’Zäit dorënner ass et. Kontrolléiert d’Auer, ier Dir iergendeen Certificatsmaterial beréiert.

De Feeler gesäit aus wéi e Certificatsproblem, net wéi en Auersproblem

Den TLS-Handshake feelt, wann de Certificat vum Géigendeel aus sengem Gültegkeetsfenster fält, relativ zu der Auer vum Prüfer. Dee Kontroll leeft um Client, sou datt eng falsch Client-Auer e komplett gudde Certificat refuséiert. Den Feelertext nennt de Certificat, an dofir tauschen d’Leit en aus a gesinn dee selwechte Feeler nees. D’Auer ass déi bëlleg Hypothees a soll fir d’éischt getest ginn.

Eng Auer, déi virun der realer Zäit ass, refuséiert en aktuelle Certificat als ofgelaf; eng Auer, déi hannendrun ass, refuséiert en neien als nach net gülteg. Béid Noriichté si weisen op Datumen, a béid entstinn ouni all Kontakt mat der Certificatsautoritéit. Dat ass den Hiwäis: en echte Verfall trëfft all Client, wärend en Auersproblem just deen een Apparat mat der falscher Zäit trëfft.

Liest den Ament, dann de Certificat

Dréckt d’Auer an UTC an d’Datume vum Certificat selwer aus, ier Dir eppes ännert. Zwee absolut Amënter ze vergläichen hëlt d’Fro vun der Zäitzon komplett aus der Enquête. Wann d’Fenster vum Certificat den aktuellen Ament enthält, ass de Certificat net Äre Feeler.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Wann d’lokal Auer falsch ass, kontrolléiert ob se synchroniséiert ass a mat wat. En Apparat mat ausgeschaltener Synchronisatioun, oder mat enger Zäitquell déi en net erreecht, drifft bis eppes feelt. D’Statusausgab nennt d’Quell an déi lescht erfollegräich Upassung, wat nëtzlecher ass wéi just den aktuellen Ofwäichung. Eng grouss Ofwäichung ouni konfiguréiert Quell ass en anere Problem wéi eng kleng Ofwäichung géint eng funktionéierend Quell.

timedatectl timesync-status
chronyc tracking

Stoppt, wann de Certificat wierklech fir all Client ofgelaf ass. Dann ass d’Auer an der Rei an de Certificat brauch eng Erneierung, net eng Upassung.

Login-Codë feele aus engem verwandten awer anere Grond

Zäitbaséiert Eenmol-Passwierder huelen hire Wäert aus dem aktuellen Zäitschrëtt, meeschtens drësseg Sekonnen. En Apparat, deem seng Auer méi wéi een oder zwee Schrëtt danieft ass, produzéiert Codë, déi de Server net akzeptéiert, och wann de Benotzer déi richteg Zifferen aginn huet. De Feeler gesäit aus wéi e falscht Passwuert, wat d’Leit an eng Rücksetzschleife schéckt déi eng Auer net ka reparéieren.

Fannt eraus, wéi eng Komponent den Versuch refuséiert huet, well de VPN-Client, de Gateway an den Identitéitsprovider verschidde Stufe mellen. Wann de Code refuséiert gëtt awer d’Passwuert akzeptéiert, ass de Kont wahrscheinlech an der Rei an d’Auer ass verdächteg. Wann béides refuséiert gëtt, kann de Kont gespaart sinn an d’Auer ass eng falsch Spur. Follegt de Recuperatiounshinwäiser vum Provider, amplaz Ufroen ze approuvéieren, déi Dir net ugefaangen hutt.

Setzt d’Auer net zréck, fir datt e Code funktionéiert. Et verstoppt d’Ursaach a brécht déi nächst zäitbaséiert Kontroll.

Reparéiert d’Quell, net déi ugewisen Stonn

Synchronisatioun ass en Netzwierksservice, an den Tunnel kann ännere ob d’Zäitquell erreechbar ass. Eng Firmenquell kann den Tunnel verlaangen, wärend eng ëffentlech Quell duerch Politik gespaart ka sinn. Browsen kann funktionéieren, wärend de Wee vum Zäitservice selwer feelt, an dofir ass dës Ofhängegkeet liicht ze iwwersinn. NTP ass de Protokoll hannert der Upassung, an en brauch säin eegene Wee wéi all aneren Service.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Et gëtt och e Problem mat der Startreihenfolg: eng ganz falsch Auer kann en authentifizéierten Tunnel verhënneren, an déi eenzeg benotzbar Zäitquell kann hannert deem Tunnel sinn. Eng verwalt Flott brauch eng dokumentéiert Prozedur fir deen Zoustand, an d’Ëmgoe vun der Certificatsverifikatioun ass keng. Um perséinlechen Apparat benotzt d’Zäitkontrollen vum Betriebssystem a fannt eraus firwat d’Auer no dem Ausschalten oder Restauréiere verluer geet. En Apparat deen bei all Start drifft huet en Hardware- oder Konfiguratiounsproblem, keen VPN-Problem.

No der Reparatur probéiert déi ursprénglech Verbindung nach eng Kéier a liest den neie Feeler getrennt. Eng schlecht Serveridentitéit, e Certificat deen wierklech ofgelaf ass an e refuséierte Kont sinn dräi verschidde Feeler, an se ze vermëschen ass de Wee wéi eng einfach Auerskorrektur eng Woch voller Profilwiessel gëtt.

Ähnlech Artikelen