Nepareizs ierīces pulkstenis var apturēt VPN: vispirms pārbaudiet laiku

VPN pārstāj savienoties, žurnāls piemin sertifikātu, un pirmā tieksme ir nomainīt profilu. Ierīces pulkstenis, kas ir minūtes vai stundas nepareizs, rada tieši šo kļūdu, jo sertifikāta derīgums tiek vērtēts pret vietējo mirkli. Laika joslas etiķete ekrānā nav problēma; problēma ir pats laiks. Pārbaudiet pulksteni, pirms aiztiekat jebkuru sertifikāta materiālu.

Kļūda izskatās kā sertifikāta problēma, nevis pulksteņa problēma

TLS rokasspiediens neizdodas, kad otras puses sertifikāts nokļūst ārpus tā derīguma loga attiecībā pret pārbaudītāja pulksteni. Šī pārbaude darbojas klientā, tāpēc nepareizs klienta pulkstenis noraida pilnīgi labu sertifikātu. Kļūdas teksts nosauc sertifikātu, un tāpēc cilvēki to nomaina un atkal redz to pašu neveiksmi. Pulkstenis ir lētākā hipotēze, un tas jāpārbauda vispirms.

Pulkstenis, kas apsteidz reālo laiku, noraida pašreizējo sertifikātu kā novecojušu; pulkstenis, kas atpaliek, noraida jaunāku kā vēl nederīgu. Abi ziņojumi norāda uz datumiem, un abi rodas bez jebkāda kontakta ar sertifikācijas iestādi. Tā ir pazīme: īsta derīguma beigšanās skar katru klientu, bet pulksteņa problēma skar tikai to vienu mašīnu, kurai ir nepareizs laiks.

Izlasiet mirkli, tad sertifikātu

Pirms kaut ko mainīt, izdrukājiet pulksteni UTC un paša sertifikāta datumus. Divu absolūtu mirkļu salīdzināšana pilnībā izslēdz laika joslas jautājumu no izmeklēšanas. Ja sertifikāta logs satur pašreizējo mirkli, sertifikāts nav jūsu neveiksme.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Ja vietējais pulkstenis ir nepareizs, pārbaudiet, vai tas ir sinhronizēts un ar ko. Mašīna, kurai sinhronizācija ir izslēgta vai kurai nav sasniedzams laika avots, dreifē, līdz kaut kas sabrūk. Statusa izvade nosauc avotu un pēdējo veiksmīgo korekciju, kas ir noderīgāk nekā tikai pašreizējā novirze. Liela novirze bez konfigurēta avota ir cita problēma nekā maza novirze pret strādājošu avotu.

timedatectl timesync-status
chronyc tracking

Apstājieties, ja sertifikāts patiešām ir beidzies visiem klientiem. Tad pulkstenis ir kārtībā, un sertifikātam vajag atjaunošanu, nevis korekciju.

Pieteikšanās kodi neizdodas radniecīga, bet citāda iemesla dēļ

Laikā balstītas vienreizējas paroles iegūst savu vērtību no pašreizējā laika soļa, parasti trīsdesmit sekundēm. Ierīce, kuras pulkstenis ir novirzījies vairāk nekā par soli vai diviem, ģenerē kodus, kurus serveris nepieņems, pat ja lietotājs ievadīja pareizos ciparus. Kļūda izskatās kā nepareiza parole, kas cilvēkus ieved atiestatīšanas cilpā, kura nevar salabot pulksteni.

Noskaidrojiet, kura komponente noraidīja mēģinājumu, jo VPN klients, vārteja un identitātes nodrošinātājs ziņo par dažādiem posmiem. Ja kods tiek noraidīts, bet parole pieņemta, konts, iespējams, ir kārtībā, un aizdomās turamais ir pulkstenis. Ja tiek noraidīts abi, konts var būt bloķēts, un pulkstenis ir nepareiza pēda. Sekojiet nodrošinātāja atkopšanas norādēm, tā vietā lai apstiprinātu pieprasījumus, kurus neuzsākāt.

Negrieziet pulksteni atpakaļ, lai kods strādātu. Tas slēpj cēloni un salauž nākamo laikā balstīto pārbaudi.

Salabojiet avotu, nevis parādīto stundu

Sinhronizācija ir tīkla pakalpojums, un tunelis var mainīt to, vai laika avots ir sasniedzams. Uzņēmuma avots var prasīt tuneli, savukārt publisku avotu var bloķēt politika. Pārlūkošana var darboties, kamēr paša laika pakalpojuma ceļš neizdodas, un tāpēc šo atkarību ir viegli nepamanīt. NTP ir protokols aiz korekcijas, un tam vajag savu ceļu kā jebkuram citam pakalpojumam.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Ir arī palaišanas kārtības problēma: ļoti nepareizs pulkstenis var liegt autentificētu tuneli, un vienīgais izmantojamais laika avots var atrasties aiz šī tuneļa. Pārvaldītai flotei vajag dokumentētu procedūru šim stāvoklim, un sertifikāta pārbaudes apiešana tāda nav. Personīgā ierīcē izmantojiet operētājsistēmas paša laika vadību un noskaidrojiet, kāpēc pulkstenis tiek pazaudēts pēc izslēgšanas vai atjaunošanas. Mašīna, kas dreifē katrā palaišanā, ir ar aparatūras vai konfigurācijas problēmu, nevis VPN problēmu.

Pēc remonta vēlreiz mēģiniet sākotnējo savienojumu un lasiet jauno kļūdu atsevišķi. Slikta servera identitāte, sertifikāts, kas patiešām beidzies, un noraidīts konts ir trīs dažādas neveiksmes, un to sajaukšana ir veids, kā vienkārša pulksteņa korekcija pārvēršas nedēļā ar profilu maiņu.