Sertifikāta nosaukuma neatbilstība vai derīguma beigas: kā tos atšķirt

Divi VPN defekti no lietotāja krēsla izskatās vienādi, bet prasa pretējus labojumus. Nosaukuma neatbilstība nozīmē, ka sertifikāts ir derīgs, bet izsniegts kaut kam citam. Derīguma termiņa kļūda nozīmē, ka sertifikāts šobrīd nav derīgs. Neviens nav paroles problēma, un abos gadījumos pieteikšanās datu atiestatīšana ir visbiežāk izšķērdētā stunda. Izlasiet neveiksmīgo posmu, pirms kaut ko aiztiekat.

Kļūdas teksts ir diagnoze

Klients pasaka, kura pārbaude neizdevās, pat ja ziņojums ir īss. Neatbilstība nosauc gaidīto resursdatora nosaukumu un atrasto nosaukumu. Derīguma termiņa kļūda min derīguma datumus vai laiku. Šie divi teikumi norāda uz dažādām sertifikāta daļām.

Lasiet tos posmā, kurā tie parādās. Neveiksme rokas sasveicināšanās laikā ir sertifikāta problēma; neveiksme pēc tuneļa pacelšanas ir maršrutēšanas vai pieteikšanās datu problēma. Posma saglabāšana ir tas, kas neļauj izmeklēšanai novirzīties uz nesaistītiem iestatījumiem.

Ja neveiksme atšķiras starp mēģinājumiem, ir trešā iespēja: vairāk nekā viens mezgls aiz tā paša nosaukuma.

Nosaukuma pārbaudes: ko klients salīdzina

Klients salīdzina identitāti, kuru tas ir konfigurēts gaidīt, ar nosaukumiem sertifikātā, kas atrodas subjectAltName paplašinājumā. Neapstrādāts IP profilā, aizstājvārds, ko sertifikāts neuzskaita, vai nosaukums, kas vienkārši atrisinās uz to pašu serveri — visi neiztur šo pārbaudi. Sasniegt pareizo mašīnu nav tas pats, kas uzrādīt pareizo identitāti.

Pārbaudiet sertifikātu, ko serveris faktiski uzrāda, nevis failu no iepriekšēja mēģinājuma. Tālāk dotā komanda pieprasa jūsu konfigurēto nosaukumu, tāpēc atbildē ir iekļauts sertifikāts, ko redzētu īsts klients.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Uzticama izdevēja sertifikāts joprojām var būt citam pakalpojumam. Turiet klienta nosaukuma pārbaudes ieslēgtas, jo uzticēšanās CA nepiešķir tiesības uz katru nosaukumu, ko šis CA jebkad parakstījis. Pārbaudes izslēgšana konfigurācijas kļūdu pārvērš pakļautībā.

Derīguma termiņš: kura pulkstenis tiek nolasīts

Derīgums ir laika zīmogu pāris, un pārbaudītājs tos salīdzina ar savu pulksteni. Ierīce ar nepareizu pulksteni ziņo derīgu sertifikātu kā beigušos vai vēl nederīgu, un labojums ir pulkstenis, nevis sertifikāts. Laika joslas attēlojuma atšķirība nav tas pats, kas nepareizs pamatlaiks.

Pirms kaut ko secināt, salīdziniet sertifikāta datumus ar UTC klientā:

openssl x509 -in cert.pem -noout -dates
date -u

Ja datumi patiešām ir pagājuši, atjaunojiet pie izdevēja. Ja aizvietotājs pastāv, bet vēl nav kļuvis derīgs, sekojiet atbalstītajai pārejai, nevis pārvietojiet pulksteni, lai tam pielāgotos. Ierīces datuma atbīdīšana atpakaļ, lai apmierinātu sertifikātu, ir lēmums ar sekām krietni aiz tuneļa robežām.

Kāpēc viena labošana atklāj otru

Validācija izpilda pārbaužu secību, un pirmā neveiksme aptur ziņojumu. Salabojiet nosaukumu, un klients tad var pateikt, ka ķēde ir nepilnīga vai sertifikāta termiņš ir beidzies. Tas nenozīmē, ka pirmā pārbaude bija lieka. Tas nozīmē, ka ķēdei bija vairāk nekā viena problēma, tāpēc gaidiet otro kļūdu, nevis lasiet to kā pierādījumu, ka pirmais labojums bija nepareizs.

Vairāki mezgli to pasliktina. Slodzes līdzsvarošanas pakalpojums var uzrādīt dažādus sertifikātus no dažādiem dalībniekiem, tāpēc tests, kas iztur divreiz un neizdodas vienreiz, stāsta par floti, nevis par jūsu klientu. Saglabājiet partnera adresi un mēģinājuma laiku diagnozē.

Tieši šī detaļa pārvērš nestabilu biļeti atkārtojamā.

Pierādiet to ar jaunu savienojumu

Pēc labošanas atveriet jaunu savienojumu, nevis turpiniet veco, un apstipriniet, ka posms, kas agrāk neizdevās, tagad iztur. Pēc tam apstipriniet, ka tunelis patiešām pārvadā satiksmi, jo veiksmīga rokas sasveicināšanās nav strādājošs maršruts.

Saglabājiet precīzo kļūdas posmu un sertifikāta informāciju kopā ar biļeti.

Tieši šis ieraksts neļauj nākamajam cilvēkam atiestatīt konta paroles sertifikāta problēmas dēļ. Identitāte un derīgums ir atsevišķi jautājumi, un RFC 5280 ir atsauce uz to, kā tiek vērtēts otrais.