Sertifikatų atšaukimas nepavyksta: kuris mazgas ko nepasiekia

Sertifikatai gali būti galiojimo laikotarpyje, nors VPN vis dar praneša apie autentifikacijos klaidą, ir kas nors daro išvadą, kad sertifikatas atšauktas. Tai trys skirtingi faktai. Atšaukimo duomenis turi gauti įrenginys, atliekantis validaciją, iš publikavimo taško, nurodyto pačiame sertifikate. Kai tas įrenginys negali pasiekti taško, patikra nepavyksta dėl priežasčių, nesusijusių su sertifikato būsena.

Atsisiuntimo kelią valdo validatorius

Pradėkite nuo validatoriaus nustatymo. Kai nešiojamasis kompiuteris tikrina šliuzo sertifikatą, atsisiuntimą atlieka nešiojamasis; kai šliuzas tikrina kliento sertifikatą, tai daro šliuzas. Autentifikacijos paslauga fone gali pridėti trečią validatorių su sava tinklo padėtimi. Kiekvienas turi skirtingą maršrutą į internetą ir skirtingą tarpinio serverio konfigūraciją. Įrodymai, surinkti administratoriaus darbo stotyje, nieko nesako apie serverį DMZ viduje.

Užrašykite sertifikatą, validatorių, bandymo laiką ir tikslią būsenos kodą prieš ką nors keisdami.

Perskaitykite publikavimo tašką iš sertifikato

Sertifikatas nurodo, kur yra jo būsena. Skaitykite tuos laukus, o ne spėliokite CA adresą.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Pirmasis plėtinys išvardija CRL platinimo taškus, o antrasis – prieigos prie institucijos informacijos metodus, kurie gali apimti OCSP būseną ir išdavėjo sertifikato atsisiuntimą. Tai skirtingi mechanizmai, o OCSP atsakytuvas nėra CRL failas. Publikavimo mazgas dažnai būna paprastas žiniatinklio serveris, o ne CA mašina, nes neprisijungęs išdavėjas gali pasirašyti CRL, kurį platina kitas serveris. Todėl ugniasienės taisyklė, apibūdinta kaip prieiga prie CA, yra per daug neapibrėžta, kad ją būtų galima įdiegti ar peržiūrėti.

Išbandykite atsisiuntimą iš validuojančio įrenginio

Atlikite atsisiuntimo testą aplinkoje, kuri iš tikrųjų atlieka validaciją, su patvirtinta sertifikato medžiaga ir be privačių raktų.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil paleidimas patikrina grandinę ir praneša, kurie URL atsisiuntimai pavyko arba nepavyko, o curl iškvietimas testuoja vieną publikavimo adresą iš to paties mazgo ir grąžina tik būsenos kodą. Nepavykęs atsisiuntimas iš pasiekiamo adreso rodo turinio ar parašo problemas; ryšio klaida rodo maršrutizavimą, DNS ar tarpinį serverį. Išsaugokite abu rezultatus, nes vienas sėkmingas atsisiuntimas neįrodo, kad visa grandinė tinkama naudoti. Pakeiskite pavyzdinį mazgą ir kelią sertifikate rastu platinimo tašku.

Atskirkite trūkstamus duomenis nuo atšaukimo būsenos

Keturi rezultatai iš išorės atrodo vienodai: taškas nepasiekiamas, sąrašas pasenęs, sąrašą pasirašė neteisingas išdavėjas arba sertifikatas tikrai atšauktas. Tik paskutinis yra būsenos rezultatas, ir tik jis pateisina prieigos pašalinimą. Podėlis dar labiau komplikuoja vaizdą, nes anksčiau gauti duomenys gali slėpti sugedusį publikavimo kelią iki kito atnaujinimo. Atšaukimo patikros išjungimas, nesusijusių sertifikatų trynimas ar šliuzo perkrovimas – visi pakeičia diagnostiką veikla.

Po pataisymo priverstinai atlikite naują autentifikaciją ir patvirtinkite, kad numatytas būsenos atsisiuntimas pavyksta. Kur yra kontroliuojama bandomoji tapatybė, patvirtinkite, kad ji vis dar atmetama, nes pasiekiamumas, kuris pašalina patikrą, nėra remontas.