Погрешен часовник на уредот може да го запре VPN: прво проверете го времето

VPN престанува да се поврзува, дневникот спомнува сертификат, а првиот инстинкт е да се замени профилот. Часовник на уредот што е погрешен за минути или часови го произведува точно тој проблем, бидејќи важноста на сертификатот се оценува спрема локалниот момент. Етикетата на временската зона на екранот не е проблемот; проблемот е самото време. Проверете го часовникот пред да допрете кој било материјал на сертификатот.

Грешката изгледа како проблем со сертификатот, а не со часовникот

TLS ракувањето не успева кога сертификатот на другата страна излегува надвор од својот прозорец на важност во однос на часовникот на проверувачот. Таа проверка работи на клиентот, па погрешен клиентски часовник одбива сосема добар сертификат. Текстот на грешката го именува сертификатот, и затоа луѓето го заменуваат и повторно го гледаат истиот неуспех. Часовникот е поевтината хипотеза и треба да се провери прв.

Часовник што е пред вистинското време го одбива тековниот сертификат како истечен; часовник што е зад него го одбива поновиот како сѐ уште неважечки. Двете пораки покажуваат на датуми, и двете се создаваат без никаков контакт со издавачот на сертификати. Тоа е знакот: вистинското истекување влијае на секој клиент, додека проблемот со часовникот влијае само на едната машина со погрешно време.

Прочитајте го моментот, потоа сертификатот

Пред да смените нешто, испечатете го часовникот во UTC и сопствените датуми на сертификатот. Споредбата на два апсолутни момента целосно го отстранува прашањето за временската зона од истрагата. Ако прозорецот на сертификатот го содржи тековниот момент, сертификатот не е вашиот неуспех.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Ако локалниот часовник е погрешен, проверете дали е синхронизиран и со што. Машина со исклучена синхронизација, или со извор на време што не може да го достигне, се лизга додека нешто не откаже. Излезот за состојбата го именува изворот и последното успешно прилагодување, што е покорисно од самото тековно отстапување. Големо отстапување без поставен извор е друг проблем од мало отстапување спрема извор што работи.

timedatectl timesync-status
chronyc tracking

Запрете ако сертификатот навистина истече за секој клиент. Тогаш часовникот е во ред и сертификатот бара обновување, а не прилагодување.

Кодовите за најава не успеваат од поврзана но поинаква причина

Еднократните лозинки засновани на време ја црпат својата вредност од тековниот временски чекор, обично триесет секунди. Уред чиј часовник отстапува повеќе од еден или два чекори произведува кодови што серверот нема да ги прифати, дури и ако корисникот ги внел точните цифри. Грешката изгледа како погрешна лозинка, што ги турка луѓето во циклус за ресетирање што не може да го поправи часовникот.

Утврдете која компонента го одбила обидот, бидејќи VPN клиентот, портата и давателот на идентитет пријавуваат различни фази. Ако кодот е одбиен, а лозинката прифатена, сметката е веројатно во ред и сомнителот е часовникот. Ако двете се одбиени, сметката може да е заклучена и часовникот е лажен траг. Следете ги упатствата за враќање на давателот, наместо да одобрувате барања што не сте ги започнале.

Не враќајте го часовникот наназад за да проработи код. Тоа ја крие причината и ја крши следната проверка заснована на време.

Поправете го изворот, а не прикажаниот час

Синхронизацијата е мрежна услуга, и тунелот може да промени дали изворот на време е достапен. Корпоративен извор може да бара тунел, додека јавен извор може да биде блокиран со политика. Прелистувањето може да работи додека самиот пат на временската услуга не успее, и затоа оваа зависност е лесно да се пропушти. NTP е протоколот зад прилагодувањето, и му треба сопствен пат како на секоја друга услуга.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Има и проблем со редоследот на подигање: многу погрешен часовник може да го спречи автентифицираниот тунел, а единствениот употреблив извор на време може да стои зад тој тунел. Управувана флота бара документирана постапка за таа состојба, а заобиколувањето на проверката на сертификатот не е таква. На личен уред користете ги сопствените контроли за време на оперативниот систем и откријте зошто часовникот се губи по исклучување или враќање. Машина што се лизга при секое подигање има хардверски или конфигурациски проблем, не VPN проблем.

По поправката обидете се повторно со првобитната врска и прочитајте ја новата грешка одделно. Лош идентитет на серверот, сертификат што навистина истече и одбиена сметка се три различни неуспеси, а нивното мешање е начинот на кој едноставната корекција на часовникот станува недела замени на профили.