Sertifikātu atsaukšana neizdodas: kurš resursdators ko nesasniedz

Sertifikāti var atrasties savā derīguma termiņā, kamēr VPN joprojām ziņo par autentifikācijas kļūdu, un kāds secina, ka sertifikāts ir atsaukts. Tie ir trīs dažādi fakti. Atsaukšanas datus ierīcei, kas veic validāciju, ir jāiegūst no publikācijas punkta, kas nosaukts pašā sertifikātā. Ja šī ierīce nevar sasniegt punktu, pārbaude neizdodas tādu iemeslu dēļ, kas nav saistīti ar sertifikāta statusu.

Lejupielādes ceļš pieder validētājam

Sāciet ar validētāja identificēšanu. Kad portatīvais dators pārbauda vārtejas sertifikātu, lejupielādi veic portatīvais dators; kad vārteja pārbauda klienta sertifikātu, to dara vārteja. Autentifikācijas pakalpojums fonā var pievienot trešo validētāju ar savu tīkla pozīciju. Katram ir atšķirīgs maršruts uz internetu un atšķirīga starpniekservera konfigurācija. Administrētāja darbstacijā savāktie pierādījumi neko nepasaka par serveri DMZ iekšienē.

Pirms kaut ko mainīt, pierakstiet sertifikātu, validētāju, mēģinājuma laiku un precīzu statusa kodu.

Nolasiet publikācijas punktu no sertifikāta

Sertifikāts norāda, kur atrodas tā statuss. Lasiet šos laukus, nevis miniet CA adresi.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Pirmais paplašinājums uzskaita CRL izplatīšanas punktus, bet otrais uzskaita piekļuves metodes iestādes informācijai, kas var aptvert OCSP statusu un izdevēja sertifikāta lejupielādi. Tie ir dažādi mehānismi, un OCSP atbildētājs nav CRL fails. Publikācijas resursdators bieži ir parasts tīmekļa serveris, nevis CA mašīna, jo bezsaistes izdevējs var parakstīt CRL, ko izplata cits serveris. Tāpēc ugunsmūra noteikums, kas aprakstīts kā piekļuve CA, ir pārāk neskaidrs, lai to ieviestu vai pārskatītu.

Pārbaudiet lejupielādi no ierīces, kas validē

Veiciet lejupielādes testu vidē, kas patiešām veic validāciju, ar apstiprinātu sertifikāta materiālu un bez privātajām atslēgām.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil palaišana pārbauda ķēdi un ziņo, kuras URL lejupielādes izdevās vai neizdevās, savukārt curl izsaukums pārbauda vienu publikācijas adresi no tā paša resursdatora un atgriež tikai statusa kodu. Neizdevusies lejupielāde no sasniedzamas adreses norāda uz satura vai paraksta problēmām; savienojuma kļūda norāda uz maršrutēšanu, DNS vai starpniekserveri. Saglabājiet abus rezultātus, jo viena veiksmīga lejupielāde nepierāda, ka visa ķēde ir lietojama. Nomainiet piemēra resursdatoru un ceļu ar sertifikātā atrasto izplatīšanas punktu.

Atšķiriet trūkstošos datus no atsaukšanas statusa

Četri rezultāti no ārpuses izskatās vienādi: punkts nav sasniedzams, saraksts ir novecojis, sarakstu parakstījis nepareizais izdevējs, vai sertifikāts patiešām ir atsaukts. Tikai pēdējais ir statusa rezultāts, un tikai tas attaisno piekļuves noņemšanu. Kešošana vēl vairāk sarežģī situāciju, jo iepriekš iegūti dati var paslēpt bojātu publikācijas ceļu līdz nākamajai atjaunošanai. Atsaukšanas pārbaudes izslēgšana, nesaistītu sertifikātu dzēšana vai vārtejas restartēšana visas aizstāj diagnostiku ar aktivitāti.

Pēc labojuma piespiediet jaunu autentifikāciju un apstipriniet, ka paredzētā statusa lejupielāde izdodas. Kur pastāv kontrolēta testa identitāte, apstipriniet, ka tā joprojām tiek noraidīta, jo pieejamība, kas noņem pārbaudi, nav remonts.