Гэрчилгээний нэрийн зөрүү эсвэл хугацаа дуусах: хэрхэн ялгах вэ

VPN-ийн хоёр алдаа хэрэглэгчийн суудлаас ижил харагдах боловч эсрэг засвар шаарддаг. Нэрийн зөрүү нь гэрчилгээ хүчинтэй боловч өөр зүйлд олгогдсоныг илэрхийлнэ. Хугацаа дууссан гэсэн алдаа нь гэрчилгээ яг одоо хүчингүй гэсэн үг. Аль нь ч нууц үгийн асуудал биш бөгөөд хоёр тохиолдолд нэвтрэх мэдээллийг дахин тохируулах нь хамгийн их үрэгддэг цаг юм. Ямар нэгэн зүйлд хүрэхээс өмнө бүтэлгүйтэж буй үе шатыг уншина уу.

Алдааны текст бол онош

Мессеж товч байсан ч клиент аль шалгалт бүтэлгүйтсэнийг хэлнэ. Зөрүү нь хүлээж байсан хостны нэр болон олдсон нэрийг дурдана. Хугацаа дууссан алдаа нь хүчинтэй байх огноо эсвэл цагийг дурдана. Тэр хоёр өгүүлбэр гэрчилгээний өөр өөр хэсгийг заана.

Тэднийг гарч буй үе шатанд нь уншина уу. Гар барих үеийн алдаа нь гэрчилгээний асуудал; туннель боссны дараах алдаа нь чиглүүлэлт эсвэл нэвтрэх мэдээллийн асуудал. Үе шатыг хадгалах нь мөрдөн байцаалтыг хамааралгүй тохиргоо руу урсахаас сэргийлдэг.

Хэрэв алдаа оролдлого бүрт өөр байвал гурав дахь боломж байна: нэг нэрийн ард нэгээс олон зангилаа.

Нэрийн шалгалт: клиент юуг харьцуулдаг

Клиент хүлээхээр тохируулсан таних тэмдгийг гэрчилгээ доторх нэртэй харьцуулдаг бөгөөд тэдгээр нь subjectAltName өргөтгөлд байдаг. Профайл дахь түүхий IP, гэрчилгээнд жагсаагаагүй далд нэр, эсвэл зөвхөн ижил сервер рүү шийдэгддэг нэр — бүгд энэ шалгалтад бүтэлгүйтдэг. Зөв машин руу хүрэх нь зөв таних тэмдэг үзүүлэхтэй ижил биш.

Өмнөх оролдлогын файл биш, сервер бодитоор үзүүлж буй гэрчилгээг шалгана уу. Доорх команд нь таны тохируулсан нэрийг асуудаг тул хариулт нь бодит клиент харах гэрчилгээг агуулна.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Итгэмжлэгдсэн олгогчийн гэрчилгээ ч өөр үйлчилгээнд зориулагдсан байж болно. Клиентийн нэрийн шалгалтыг асаалттай байлгаарай, учир нь CA-д итгэх нь тухайн CA-гийн хэзээ нэгэн цагт гарын үсэг зурсан бүх нэрийг зөвшөөрөхгүй. Шалгалтыг унтраах нь тохиргооны алдааг илэрхий болгоно.

Хугацаа дуусах: хэний цагийг уншиж байна

Хүчинтэй байдал нь хоёр цагийн тэмдэгтийн хос бөгөөд шалгагч тэдгээрийг өөрийн цагтай харьцуулна. Цаг буруу төхөөрөмж хүчинтэй гэрчилгээг хугацаа дууссан эсвэл хараахан хүчингүй гэж мэдээлдэг бөгөөд засвар нь гэрчилгээ биш, цаг юм. Цагийн бүсийн харуулалтын ялгаа нь үндсэн цаг буруу байхтай ижил биш.

Ямар нэгэн дүгнэлт хийхээс өмнө клиент дээрх гэрчилгээний огноог UTC-тай харьцуулна уу:

openssl x509 -in cert.pem -noout -dates
date -u

Хэрэв огноо үнэхээр өнгөрсөн бол олгогчоор дамжуулан шинэчилнэ үү. Орлуулагч байгаа боловч хараахан хүчинтэй болоогүй бол цагийг тааруулахын оронд дэмжигдсэн шилжилтийг дагана уу. Гэрчилгээг хангахын тулд төхөөрөмжийн огноог буцаах нь туннельээс хамаагүй хол үр дагавартай шийдвэр юм.

Яагаад нэгийг засах нь нөгөөг илчилдэг

Баталгаажуулалт шалгалтын дарааллыг гүйцэтгэдэг бөгөөд эхний бүтэлгүйтэл тайланг зогсоодог. Нэрийг засаарай, тэгвэл клиент танд гинжин холбоо бүрэн бус эсвэл гэрчилгээний хугацаа дууссан гэж хэлж болно. Энэ нь эхний шалгалт шаардлагагүй байсан гэсэн үг биш. Гинжин холбоо нэгээс олон асуудалтай байсан гэсэн үг тул эхний засвар буруу байсны нотолгоо гэж уншихын оронд хоёр дахь алдааг хүлээнэ үү.

Олон зангилаа үүнийг дордуулдаг. Ачаалал тэнцвэржүүлсэн үйлчилгээ өөр өөр гишүүдээс өөр өөр гэрчилгээ үзүүлж болох тул хоёр удаа тэнцэж нэг удаа бүтэлгүйтсэн туршилт танд флотын тухай өгүүлдэг, клиентийн тань тухай биш. Оношилгоонд хамтрагчийн хаяг болон оролдлогын цагийг хадгална уу.

Тэр нарийн ширийн зүйл л тогтворгүй тасалбарыг дахин үүсгэх боломжтой болгоно.

Үүнийг шинэ холболтоор батал

Засварын дараа хуучин холболтыг үргэлжлүүлэхийн оронд шинэ холболт нээж, өмнө нь бүтэлгүйтэж байсан үе шат одоо тэнцэж байгааг батална уу. Дараа нь туннель үнэхээр урсгал зөөж байгааг батална уу, учир нь амжилттай гар барих нь ажилладаг зам биш.

Алдааны яг үе шат болон гэрчилгээний дэлгэрэнгүй мэдээллийг тасалбартай хамт хадгална уу.

Тэр бүртгэл л дараагийн хүнийг гэрчилгээний асуудлаас болж бүртгэлийн нууц үгийг дахин тохируулахаас сэргийлдэг. Таних тэмдэг ба хүчинтэй байдал нь тусдаа асуулт бөгөөд хоёр дахь нь хэрхэн үнэлэгдэх талаар RFC 5280 нь лавлагаа юм.