സർട്ടിഫിക്കറ്റ് പേരിലെ പൊരുത്തക്കേടോ കാലഹരണമോ: എങ്ങനെ വേർതിരിക്കാം

രണ്ട് VPN പരാജയങ്ങൾ ഉപയോക്താവിന്റെ കസേരയിൽ നിന്ന് ഒരുപോലെ തോന്നുമെങ്കിലും വിപരീതമായ പരിഹാരങ്ങൾ ആവശ്യപ്പെടുന്നു. പേരിലെ പൊരുത്തക്കേട് അർത്ഥമാക്കുന്നത് സർട്ടിഫിക്കറ്റ് സാധുവാണ്, പക്ഷേ മറ്റൊന്നിനാണ് നൽകിയത്. കാലഹരണ പിശക് അർത്ഥമാക്കുന്നത് സർട്ടിഫിക്കറ്റ് ഈ നിമിഷം സാധുവല്ല എന്നാണ്. രണ്ടും പാസ്വേഡ് പ്രശ്നമല്ല, രണ്ട് സന്ദർഭങ്ങളിലും ക്രെഡൻഷ്യലുകൾ പുനഃസജ്ജമാക്കുന്നതാണ് ഏറ്റവും സാധാരണം പാഴാക്കുന്ന മണിക്കൂർ. എന്തിലും തൊടുന്നതിന് മുൻപ് പരാജയപ്പെടുന്ന ഘട്ടം വായിക്കുക.

പിശക് ടെക്സ്റ്റാണ് രോഗനിർണ്ണയം

സന്ദേശം ചുരുക്കമാണെങ്കിലും ഏത് പരിശോധനയാണ് പരാജയപ്പെട്ടതെന്ന് ക്ലയന്റ് പറയും. പൊരുത്തക്കേട് പ്രതീക്ഷിച്ച ഹോസ്റ്റ്നാമും കണ്ടെത്തിയ പേരും പറയുന്നു. കാലഹരണ പിശക് സാധുതാ തീയതികളോ സമയമോ പരാമർശിക്കുന്നു. ആ രണ്ട് വാക്യങ്ങൾ സർട്ടിഫിക്കറ്റിന്റെ വ്യത്യസ്ത ഭാഗങ്ങളെ ചൂണ്ടുന്നു.

അവ പ്രത്യക്ഷപ്പെടുന്ന ഘട്ടത്തിൽ വായിക്കുക. ഹാൻഡ്ഷേക്കിനിടയിലെ പരാജയം സർട്ടിഫിക്കറ്റ് പ്രശ്നമാണ്; ടണൽ ഉയർന്നതിന് ശേഷമുള്ള പരാജയം റൂട്ടിംഗ് അല്ലെങ്കിൽ ക്രെഡൻഷ്യൽ പ്രശ്നമാണ്. ഘട്ടം നിലനിർത്തുന്നതാണ് അന്വേഷണം അപ്രസക്തമായ ക്രമീകരണങ്ങളിലേക്ക് ഒഴുകുന്നത് തടയുന്നത്.

പരാജയം ശ്രമങ്ങൾക്കിടയിൽ മാറുന്നുവെങ്കിൽ മൂന്നാമതൊരു സാധ്യതയുണ്ട്: ഒരേ പേരിന് പിന്നിൽ ഒന്നിലധികം നോഡുകൾ.

പേര് പരിശോധനകൾ: ക്ലയന്റ് എന്താണ് താരതമ്യം ചെയ്യുന്നത്

പ്രതീക്ഷിക്കാൻ ക്രമീകരിച്ചിട്ടുള്ള ഐഡന്റിറ്റിയെ സർട്ടിഫിക്കറ്റിലെ പേരുകളുമായി ക്ലയന്റ് താരതമ്യം ചെയ്യുന്നു; അവ subjectAltName എക്സ്റ്റൻഷനിലാണ്. പ്രൊഫൈലിലെ അസംസ്കൃത IP, സർട്ടിഫിക്കറ്റ് ലിസ്റ്റ് ചെയ്യാത്ത അപരനാമം, അല്ലെങ്കിൽ അതേ സർവറിലേക്ക് മാത്രം റസോൾവ് ചെയ്യുന്ന പേര് — എല്ലാം ഈ പരിശോധനയിൽ പരാജയപ്പെടുന്നു. ശരിയായ യന്ത്രത്തിൽ എത്തുന്നത് ശരിയായ ഐഡന്റിറ്റി അവതരിപ്പിക്കുന്നതിന് തുല്യമല്ല.

മുൻ ശ്രമത്തിലെ ഫയലല്ല, സർവർ യഥാർത്ഥത്തിൽ അവതരിപ്പിക്കുന്ന സർട്ടിഫിക്കറ്റ് പരിശോധിക്കുക. താഴെയുള്ള കമാൻഡ് നിങ്ങൾ ക്രമീകരിച്ച പേര് ചോദിക്കുന്നു, അതിനാൽ ഉത്തരത്തിൽ യഥാർത്ഥ ക്ലയന്റ് കാണുന്ന സർട്ടിഫിക്കറ്റ് ഉൾപ്പെടുന്നു.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

വിശ്വസ്ത ഇഷ്യൂവറുടെ സർട്ടിഫിക്കറ്റും മറ്റൊരു സേവനത്തിനായിരിക്കാം. ക്ലയന്റിന്റെ പേര് പരിശോധനകൾ ഓണാക്കി വയ്ക്കുക, കാരണം ഒരു CA യെ വിശ്വസിക്കുന്നത് ആ CA ഒരിക്കലും ഒപ്പിട്ട എല്ലാ പേരിനും അധികാരം നൽകുന്നില്ല. പരിശോധന ഓഫാക്കുന്നത് കോൺഫിഗറേഷൻ പിശകിനെ വെളിപ്പെടുത്തലാക്കി മാറ്റുന്നു.

കാലഹരണം: ആരുടെ ക്ലോക്ക് വായിക്കുന്നു

സാധുത രണ്ട് ടൈംസ്റ്റാമ്പുകളുടെ ജോടിയാണ്, പരിശോധനക്കാരൻ അവയെ സ്വന്തം ക്ലോക്കുമായി താരതമ്യം ചെയ്യുന്നു. തെറ്റായ ക്ലോക്കുള്ള ഉപകരണം സാധുവായ സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടതായോ ഇനിയും സാധുവല്ലാത്തതായോ റിപ്പോർട്ട് ചെയ്യുന്നു, പരിഹാരം സർട്ടിഫിക്കറ്റല്ല, ക്ലോക്കാണ്. ടൈംസോൺ പ്രദർശന വ്യത്യാസം അടിസ്ഥാന സമയം തെറ്റായതിന് തുല്യമല്ല.

എന്തെങ്കിലും നിഗമനം ചെയ്യുന്നതിന് മുൻപ് ക്ലയന്റിൽ സർട്ടിഫിക്കറ്റ് തീയതികൾ UTC-യുമായി താരതമ്യം ചെയ്യുക:

openssl x509 -in cert.pem -noout -dates
date -u

തീയതികൾ യഥാർത്ഥത്തിൽ കഴിഞ്ഞുപോയെങ്കിൽ ഇഷ്യൂവർ വഴി പുതുക്കുക. പകരം ഉണ്ടെങ്കിലും ഇനിയും സാധുവായിട്ടില്ലെങ്കിൽ, അതിന് അനുയോജ്യമാക്കാൻ ക്ലോക്ക് നീക്കുന്നതിന് പകരം പിന്തുണയ്ക്കുന്ന മാറ്റം പിന്തുടരുക. സർട്ടിഫിക്കറ്റ് തൃപ്തിപ്പെടുത്താൻ ഉപകരണ തീയതി പിന്നോട്ട് ആക്കുന്നത് ടണലിന് വളരെ അപ്പുറം പ്രത്യാഘാതങ്ങളുള്ള തീരുമാനമാണ്.

ഒന്ന് ശരിയാക്കുമ്പോൾ മറ്റൊന്ന് എന്തുകൊണ്ട് പുറത്തുവരുന്നു

വാലിഡേഷൻ പരിശോധനകളുടെ ഒരു ശ്രേണി നടത്തുന്നു, ആദ്യ പരാജയം റിപ്പോർട്ട് നിർത്തുന്നു. പേര് ശരിയാക്കുക, എന്നിട്ട് ക്ലയന്റ് നിങ്ങളോട് ചെയിൻ അപൂർണ്ണമാണ് അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടു എന്ന് പറഞ്ഞേക്കാം. അത് ആദ്യ പരിശോധന അനാവശ്യമായിരുന്നു എന്നല്ല അർത്ഥം. ചെയിനിൽ ഒന്നിലധികം പ്രശ്നങ്ങൾ ഉണ്ടായിരുന്നു എന്നാണ്, അതിനാൽ ആദ്യ പരിഹാരം തെറ്റായിരുന്നു എന്നതിന്റെ തെളിവായി വായിക്കാതെ രണ്ടാം പിശക് പ്രതീക്ഷിക്കുക.

പല നോഡുകൾ ഇത് വഷളാക്കുന്നു. ലോഡ്-ബാലൻസ്ഡ് സേവനം വ്യത്യസ്ത അംഗങ്ങളിൽ നിന്ന് വ്യത്യസ്ത സർട്ടിഫിക്കറ്റുകൾ അവതരിപ്പിച്ചേക്കാം, അതിനാൽ രണ്ടുതവണ വിജയിച്ച് ഒരിക്കൽ പരാജയപ്പെടുന്ന പരിശോധന നിങ്ങളുടെ ക്ലയന്റിനെക്കുറിച്ചല്ല, ഫ്ലീറ്റിനെക്കുറിച്ചാണ് പറയുന്നത്. രോഗനിർണ്ണയത്തിൽ പീയർ വിലാസവും ശ്രമ സമയവും സൂക്ഷിക്കുക.

ആ വിശദാംശമാണ് അസ്ഥിരമായ ടിക്കറ്റിനെ പുനരുൽപ്പാദിപ്പിക്കാവുന്നതാക്കി മാറ്റുന്നത്.

പുതിയ കണക്ഷൻ ഉപയോഗിച്ച് അത് തെളിയിക്കുക

അറ്റകുറ്റപ്പണിക്ക് ശേഷം പഴയത് പുനരാരംഭിക്കുന്നതിന് പകരം പുതിയ കണക്ഷൻ തുറക്കുക, മുൻപ് പരാജയപ്പെട്ട ഘട്ടം ഇപ്പോൾ കടക്കുന്നുവെന്ന് സ്ഥിരീകരിക്കുക. തുടർന്ന് ടണൽ യഥാർത്ഥത്തിൽ ട്രാഫിക് വഹിക്കുന്നുവെന്ന് സ്ഥിരീകരിക്കുക, കാരണം വിജയകരമായ ഹാൻഡ്ഷേക്ക് പ്രവർത്തിക്കുന്ന റൂട്ടല്ല.

കൃത്യമായ പിശക് ഘട്ടവും സർട്ടിഫിക്കറ്റ് വിശദാംശങ്ങളും ടിക്കറ്റിനൊപ്പം സൂക്ഷിക്കുക.

ആ രേഖയാണ് അടുത്തയാളെ സർട്ടിഫിക്കറ്റ് പ്രശ്നത്തിന് അക്കൗണ്ട് പാസ്വേഡുകൾ പുനഃസജ്ജമാക്കുന്നതിൽ നിന്ന് തടയുന്നത്. ഐഡന്റിറ്റിയും സാധുതയും വേറിട്ട ചോദ്യങ്ങളാണ്, രണ്ടാമത്തേത് എങ്ങനെ വിലയിരുത്തുന്നു എന്നതിന് RFC 5280 അവലംബമാണ്.