Sertifikato pavadinimo neatitikimas arba galiojimo pabaiga: kaip juos atskirti

Dvi VPN gedimai iš naudotojo kėdės atrodo vienodai, bet reikalauja priešingų taisymų. Pavadinimo neatitikimas reiškia, kad sertifikatas galioja, bet išduotas kitam objektui. Galiojimo pabaigos klaida reiškia, kad sertifikatas šiuo metu negalioja. Nė viena nėra slaptažodžio problema, ir abiem atvejais prisijungimo duomenų atstatymas yra dažniausiai iššvaistyta valanda. Perskaitykite nepavykusį etapą prieš ką nors liesdami.

Klaidos tekstas yra diagnozė

Klientas pasako, kuri patikra nepavyko, net kai pranešimas trumpas. Neatitikimas įvardija lauktą pagrindinio kompiuterio vardą ir rastą vardą. Galiojimo pabaigos klaida mini galiojimo datas arba laiką. Tie du sakiniai nurodo skirtingas sertifikato dalis.

Skaitykite juos tame etape, kuriame jie pasirodo. Gedimas rankos paspaudimo metu yra sertifikato problema; gedimas po tunelio pakėlimo yra maršrutizavimo arba prisijungimo duomenų problema. Etapo išsaugojimas neleidžia tyrimui nukrypti į nesusijusius nustatymus.

Jei gedimas skiriasi tarp bandymų, yra trečia galimybė: daugiau nei vienas mazgas už to paties vardo.

Vardo patikros: ką lygina klientas

Klientas lygina tapatybę, kurios tikisi pagal konfigūraciją, su sertifikate esančiais vardais, kurie yra subjectAltName plėtinyje. Neapdorotas IP profilyje, slapyvardis, kurio sertifikatas nenurodo, arba vardas, kuris tiesiog išsprendžiamas į tą patį serverį – visi nepavyksta šioje patikroje. Pasiekti tinkamą mašiną nėra tas pats, kas pateikti tinkamą tapatybę.

Tikrinkite sertifikatą, kurį serveris iš tikrųjų pateikia, o ne ankstesnio bandymo failą. Toliau pateikta komanda prašo jūsų sukonfigūruoto vardo, todėl atsakyme yra sertifikatas, kurį matytų tikras klientas.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Patikimo išdavėjo sertifikatas vis tiek gali būti skirtas kitai paslaugai. Palikite kliento vardo patikras įjungtas, nes pasitikėjimas CA nesuteikia teisės į kiekvieną vardą, kurį tas CA kada nors pasirašė. Patikros išjungimas konfigūracijos klaidą paverčia pavojumi.

Galiojimo pabaiga: kieno laikrodis skaitomas

Galiojimas yra laiko žymų pora, o tikrintuvas lygina jas su savo laikrodžiu. Įrenginys su neteisingu laikrodžiu galiojantį sertifikatą praneša kaip pasibaigusį arba dar negaliojantį, o taisyti reikia laikrodį, ne sertifikatą. Laiko juostos rodymo skirtumas nėra tas pats, kas neteisingas pagrindinis laikas.

Prieš darydami bet kokią išvadą, palyginkite sertifikato datas su UTC kliente:

openssl x509 -in cert.pem -noout -dates
date -u

Jei datos tikrai praėjo, atnaujinkite per išdavėją. Jei pakaitalas egzistuoja, bet dar netapo galiojantis, laikykitės palaikomo perėjimo, o ne perkelkite laikrodį, kad jis atitiktų. Įrenginio datos atbulinimas, siekiant patenkinti sertifikatą, yra sprendimas, kurio pasekmės siekia daug toliau už tunelį.

Kodėl sutvarkius vieną atsiskleidžia kitas

Validacija vykdo patikrų seką, ir pirmasis gedimas sustabdo ataskaitą. Sutvarkykite vardą ir klientas gali tada pasakyti, kad grandinė nepilna arba sertifikatas pasibaigė. Tai nereiškia, kad pirmoji patikra buvo nereikalinga. Tai reiškia, kad grandinė turėjo daugiau nei vieną problemą, todėl tikėkitės antrosios klaidos, o ne skaitykite ją kaip įrodymą, kad pirmasis taisymas buvo neteisingas.

Keli mazgai tai blogina. Apkrovos balansavimo paslauga gali pateikti skirtingus sertifikatus iš skirtingų narių, todėl testas, kuris praeina du kartus ir nepavyksta kartą, pasakoja apie parką, o ne apie jūsų klientą. Išsaugokite kito taško adresą ir bandymo laiką diagnozėje.

Būtent ši detalė paverčia nepastovų bilietą atkuriamu.

Įrodykite tai nauju ryšiu

Po taisymo atidarykite naują ryšį, o ne tęskite seną, ir patvirtinkite, kad etapas, kuris anksčiau nepavykdavo, dabar praeina. Tada patvirtinkite, kad tunelis tikrai perduoda srautą, nes sėkmingas rankos paspaudimas nėra veikiantis maršrutas.

Išsaugokite tikslią klaidos etapą ir sertifikato duomenis kartu su bilietu.

Būtent šis įrašas sutrukdo kitam žmogui atstatyti paskyros slaptažodžius dėl sertifikato problemos. Tapatybė ir galiojimas yra atskiri klausimai, o RFC 5280 yra nuoroda, kaip vertinamas antrasis.