Гэрчилгээний хүчингүй болголт бүтэлгүйтэж байна: аль хост юунд хүрч чадахгүй байна

Гэрчилгээнүүд хүчинтэй хугацааны дотор байж болох ч VPN нь баталгаажуулалтын алдаа мэдээлсээр байна, тэгээд хэн нэгэн гэрчилгээг хүчингүй болгосон гэж дүгнэдэг. Эдгээр нь гурван өөр баримт юм. Хүчингүй болголтын өгөгдлийг баталгаажуулалт хийдэг төхөөрөмж өөрөө гэрчилгээний дотор нэрлэсэн нийтлэх цэгээс татах ёстой. Тэр төхөөрөмж цэгт хүрч чадахгүй бол шалгалт нь гэрчилгээний төлөвтэй холбоогүй шалтгаанаар бүтэлгүйтдэг.

Татах замыг баталгаажуулагч эзэмшинэ

Баталгаажуулагчийг тодорхойлох замаар эхэл. Зөөврийн компьютер гарцын гэрчилгээг шалгах үед таталтыг зөөврийн компьютер хийнэ; гарц клиентийн гэрчилгээг шалгах үед гарц хийнэ. Арын баталгаажуулалтын үйлчилгээ өөрийн сүлжээний байрлалтай гурав дахь баталгаажуулагчийг нэмж болно. Тус бүр интернетэд гарах өөр зам, өөр прокси тохиргоотой. Администраторын ажлын станц дээр цуглуулсан нотолгоо DMZ доторх серверийн талаар юу ч хэлэхгүй.

Ямар нэгэн зүйлийг өөрчлөхөөс өмнө гэрчилгээ, баталгаажуулагч, оролдлогын цаг, яг төлвийн кодыг бичиж ав.

Гэрчилгээнээс нийтлэх цэгийг уншина уу

Гэрчилгээ нь өөрийн төлөв хаана байгааг нэрлэдэг. CA хаягийг таамаглахын оронд тэдгээр талбарыг унш.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Эхний өргөтгөл CRL түгээх цэгүүдийг жагсааж, хоёр дахь нь эрх бүхий байгууллагын мэдээлэлд хандах аргуудыг жагсаадаг бөгөөд эдгээр нь OCSP төлөв, олгогчийн гэрчилгээг татахыг хамарч болно. Эдгээр нь өөр механизмууд бөгөөд OCSP хариулагч нь CRL файл биш. Нийтлэх хост нь ихэвчлэн CA машин биш, энгийн вэб сервер байдаг, учир нь офлайн олгогч өөр сервер түгээдэг CRL-д гарын үсэг зурж чадна. Тиймээс CA-д хандах гэж тодорхойлсон галт хананы дүрэм нь хэрэгжүүлэх эсвэл хянахад хэтэрхий бүрхэг юм.

Баталгаажуулалт хийдэг төхөөрөмжөөс таталтыг шалгана уу

Таталтын шалгалтыг баталгаажуулалтыг бодитоор хийдэг орчинд, зөвшөөрөгдсөн гэрчилгээний материалтай, хувийн түлхүүргүйгээр гүйцэтгэ.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil ажиллуулах нь гинжийг шалгаж, аль URL таталт амжилттай эсвэл бүтэлгүй болсныг мэдээлдэг бол curl дуудлага нь ижил хостноос нэг нийтлэх хаягийг шалгаж, зөвхөн төлвийн код буцаана. Хүрч болох хаягаас бүтэлгүй татах нь агуулга эсвэл гарын үсгийн асуудлыг заана; холболтын алдаа нь маршрутлалт, DNS эсвэл проксиг заана. Хоёр үр дүнг хоёуланг нь хадгал, учир нь нэг амжилттай таталт бүх гинж ашиглах боломжтой гэдгийг нотлохгүй. Жишээн дэх хост болон замыг гэрчилгээнээс олдсон түгээх цэгээр соль.

Дутуу өгөгдлийг хүчингүй болголтын төлөвөөс ялгаарай

Дөрвөн үр дүн гаднаас ижил харагдана: цэгт хүрэх боломжгүй, жагсаалт хуучирсан, жагсаалтад буруу олгогч гарын үсэг зурсан, эсвэл гэрчилгээ үнэхээр хүчингүй болсон. Зөвхөн сүүлийнх нь төлвийн үр дүн бөгөөд зөвхөн тэр нь хандалтыг хасахыг зөвтгөдөг. Кэшлэх нь зургийг улам хүндрүүлдэг, учир нь өмнө татсан өгөгдөл дараагийн шинэчлэлт хүртэл эвдэрхий нийтлэх замыг нууж чадна. Хүчингүй болголтын шалгалтыг унтраах, холбоогүй гэрчилгээг устгах эсвэл гарцыг дахин ачаалах нь бүгд оношлогоог үйл ажиллагаагаар орлуулдаг.

Засварын дараа шинэ баталгаажуулалтыг албадаж, зорьсон төлөв таталт амжилттай болсныг батал. Хяналттай туршилтын таних тэмдэг байгаа газарт түүнийг одоо ч татгалзаж байгааг батал, учир нь шалгалтыг арилгаж олдсон хүртээмж нь засвар биш.