Neteisingas įrenginio laikrodis gali sustabdyti VPN: pirmiausia patikrinkite laiką

VPN nustoja jungtis, žurnale minima sertifikatas, o pirmas impulsas – pakeisti profilį. Keliomis minutėmis ar valandomis netikslus įrenginio laikrodis sukuria būtent tą klaidą, nes sertifikato galiojimas vertinamas pagal vietinį momentą. Laiko juostos žyma ekrane nėra problema; problema yra pats laikas. Patikrinkite laikrodį prieš liesdami bet kokią sertifikato medžiagą.

Klaida atrodo kaip sertifikato problema, o ne laikrodžio problema

TLS rankos paspaudimas nepavyksta, kai kitos pusės sertifikatas išeina už savo galiojimo lango, palyginti su tikrintojo laikrodžiu. Ši patikra vykdoma kliente, todėl neteisingas kliento laikrodis atmeta visiškai gerą sertifikatą. Klaidos tekstas įvardija sertifikatą, todėl žmonės jį pakeičia ir vėl mato tą pačią nesėkmę. Laikrodis yra pigesnė hipotezė ir turėtų būti tikrinamas pirmiausia.

Laikrodis, einantis priekį tikrojo laiko, atmeta galiojantį sertifikatą kaip pasibaigusį; laikrodis, atsiliekantis, atmeta naujesnį kaip dar negaliojantį. Abu pranešimai nurodo datas, ir abu sukuriami be jokio kontakto su sertifikatų tarnyba. Tai ir yra požymis: tikras galiojimo pabaiga paveikia kiekvieną klientą, o laikrodžio problema paveikia tik tą vieną mašiną, kurios laikas neteisingas.

Perskaitykite momentą, tada sertifikatą

Prieš ką nors keisdami, išspausdinkite laikrodį UTC ir paties sertifikato datas. Dviejų absoliučių momentų palyginimas visiškai pašalina laiko juostos klausimą iš tyrimo. Jei sertifikato langas apima dabartinį momentą, sertifikatas nėra jūsų nesėkmė.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Jei vietinis laikrodis neteisingas, patikrinkite, ar jis sinchronizuotas ir su kuo. Mašina, kurioje sinchronizavimas išjungtas arba kurios laiko šaltinio ji nepasiekia, dreifuoja, kol kas nors sugenda. Būsenos išvestis įvardija šaltinį ir paskutinį sėkmingą koregavimą, o tai naudingiau nei vien dabartinis nuokrypis. Didelis nuokrypis be sukonfigūruoto šaltinio yra kita problema nei mažas nuokrypis veikiančio šaltinio atžvilgiu.

timedatectl timesync-status
chronyc tracking

Sustokite, jei sertifikatas tikrai pasibaigęs visiems klientams. Tada laikrodis tvarkingas, o sertifikatui reikia atnaujinimo, o ne koregavimo.

Prisijungimo kodai nepavyksta dėl susijusios, bet kitos priežasties

Laiku pagrįsti vienkartiniai slaptažodžiai savo vertę gauna iš dabartinio laiko žingsnio, paprastai trisdešimties sekundžių. Įrenginys, kurio laikrodis nukrypęs daugiau nei vienu ar dviem žingsniais, sukuria kodus, kurių serveris nepriims, net jei naudotojas įvedė teisingus skaitmenis. Klaida atrodo kaip neteisingas slaptažodis, o tai nukreipia žmones į atstatymo ciklą, kuris negali sutaisyti laikrodžio.

Išsiaiškinkite, kuris komponentas atmetė bandymą, nes VPN klientas, tinklų sietuvas ir tapatybės teikėjas praneša apie skirtingus etapus. Jei kodas atmetamas, o slaptažodis priimamas, paskyra tikriausiai tvarkinga ir įtariamasis yra laikrodis. Jei atmetama abu, paskyra gali būti užrakinta, o laikrodis yra klaidingas pėdsakas. Vadovaukitės teikėjo atkūrimo nurodymais, o ne patvirtinkite prašymus, kurių nepradėjote.

Nesukite laikrodžio atgal, kad kodas suveiktų. Tai paslepia priežastį ir sugadina kitą laiku pagrįstą patikrą.

Sutvarkykite šaltinį, o ne rodomą valandą

Sinchronizavimas yra tinklo paslauga, o tunelis gali pakeisti, ar laiko šaltinis pasiekiamas. Įmonės šaltinis gali reikalauti tunelio, o viešas šaltinis gali būti užblokuotas politikos. Naršymas gali veikti, kol paties laiko tarnybos kelias nepavyksta, todėl šią priklausomybę lengva praleisti. NTP yra protokolas, kuris slypi už koregavimo, ir jam reikia savo kelio kaip ir bet kuriai kitai paslaugai.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Taip pat yra įkrovos eiliškumo problema: labai neteisingas laikrodis gali sutrukdyti autentifikuotą tunelį, o vienintelis tinkamas laiko šaltinis gali būti už to tunelio. Valdomam parkui reikia dokumentuotos procedūros tokiai būsenai, o sertifikato patikros apeiti nėra tokia procedūra. Asmeniniame įrenginyje naudokitės operacinės sistemos laiko valdikliais ir išsiaiškinkite, kodėl laikrodis pametamas po išjungimo ar atkūrimo. Mašina, kuri dreifuoja kiekvieno įkrovimo metu, turi aparatinės įrangos ar konfigūracijos problemą, o ne VPN problemą.

Po remonto dar kartą pabandykite pradinį ryšį ir atskirai perskaitykite naują klaidą. Blogas serverio tapatumas, tikrai pasibaigęs sertifikatas ir atmesta paskyra yra trys skirtingos nesėkmės, o jų painiojimas yra būdas, kuriuo paprastas laikrodžio pataisymas virsta savaite profilių keitimo.