Несовпаѓање на името или истек на сертификатот: како да се разликуваат

Два VPN дефекти изгледаат идентично од столчето на корисникот, а бараат спротивни поправки. Несовпаѓањето на името значи дека сертификатот е валиден, но издаден за нешто друго. Грешката за истек значи дека сертификатот не е валиден во овој момент. Ниту едното не е проблем со лозинка, и ресетирањето на акредитивите е најчесто изгубениот час во двата случаи. Прочитајте ја фазата што паѓа пред да допрете нешто.

Текстот на грешката е дијагнозата

Клиентот ви кажува која проверка не успеала, дури и кога пораката е кратка. Несовпаѓањето го именува очекуваното име на домаќин и името што го нашло. Грешката за истек споменува датуми на важност или време. Тие две реченици покажуваат на различни делови од сертификатот.

Читајте ги во фазата каде што се појавуваат. Неуспех за време на ракувањето е проблем со сертификат; неуспех откако тунелот е подигнат е проблем со рутирање или акредитиви. Задржувањето на фазата е она што спречува истрагата да залута во неважни поставки.

Ако неуспехот варира меѓу обидите, имате трета можност: повеќе од еден јазол зад истото име.

Проверки на име: што споредува клиентот

Клиентот го споредува идентитетот што е конфигуриран да го очекува со имињата во сертификатот, кои се наоѓаат во продолжувањето subjectAltName. Сурова IP во профилот, алијас што сертификатот не го наведува, или име што само се резолвира на истиот сервер — сите паѓаат на оваа проверка. Да се стигне до вистинската машина не е исто како да се претстави вистинскиот идентитет.

Прегледајте го сертификатот што серверот навистина го претставува, а не датотека од претходен обид. Командата подолу го бара името што сте го конфигурирале, така што одговорот го вклучува сертификатот што вистински клиент би го видел.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Сертификат од доверлив издавач сепак може да биде за друга услуга. Држете ги проверките на име кај клиентот вклучени, бидејќи довербата во CA не го овластува секое име што тој CA некогаш го потпишал. Исклучувањето на проверката претвора конфигурациска грешка во изложеност.

Истек: чиј часовник се чита

Важноста е пар временски ознаки, и проверувачот ги споредува со сопствениот часовник. Уред со погрешен часовник пријавува валиден сертификат како истечен или како сè уште невалиден, и поправката е часовникот, не сертификатот. Разликата во приказот на временската зона не е исто како погрешно основно време.

Споредете ги датумите на сертификатот со UTC на клиентот пред да заклучите нешто:

openssl x509 -in cert.pem -noout -dates
date -u

Ако датумите навистина поминале, обновете преку издавачот. Ако постои замена но сè уште не е валидна, следете го поддржаниот премин наместо да го поместувате часовникот за да се прилагоди. Враќање на датумот на уредот наназад за да се задоволи сертификат е одлука со последици далеку надвор од тунелот.

Зошто поправката на едното го открива другото

Валидацијата извршува низа проверки, и првиот неуспех го запира извештајот. Поправете го името и клиентот потоа може да ви каже дека синџирот е нецелосен или сертификатот истекол. Тоа не значи дека првата проверка била непотребна. Значи дека синџирот имал повеќе од еден проблем, па очекувајте ја втората грешка наместо да ја читате како доказ дека првата поправка била погрешна.

Повеќе јазли го влошуваат ова. Услуга со рамнотежа на оптоварување може да претстави различни сертификати од различни членови, па тест што поминува двапати и паѓа еднаш ви кажува за флотата, а не за вашиот клиент. Задржете ја адресата на партнерот и времето на обидот во дијагнозата.

Токму тој детаљ го претвора нестабилниот тикет во репродуктивен.

Докажете го со нова врска

По поправката отворете нова врска наместо да продолжувате стара, и потврдете дека фазата што порано паѓала сега поминува. Потоа потврдете дека тунелот навистина пренесува сообраќај, бидејќи успешното ракување не е работна рута.

Задржете ја точната фаза на грешката и деталите за сертификатот со тикетот.

Токму тој запис го спречува следниот човек да ресетира лозинки на сметка поради проблем со сертификат. Идентитетот и важноста се одделни прашања, и RFC 5280 е референцата за тоа како се оценува второто.