Ketidakpadanan nama atau tamat tempoh sijil: membezakan keduanya

Dua kegagalan VPN kelihatan serupa dari kerusi pengguna tetapi memerlukan pembetulan yang bertentangan. Ketidakpadanan nama bermaksud sijil itu sah tetapi dikeluarkan untuk sesuatu yang lain. Ralat tamat tempoh bermaksud sijil itu tidak sah pada saat ini. Kedua-duanya bukan masalah kata laluan, dan menetapkan semula kelayakan ialah jam yang paling kerap terbuang dalam kedua-dua kes. Baca peringkat yang gagal sebelum anda menyentuh apa-apa.

Teks ralat itulah diagnosisnya

Klien memberitahu anda pemeriksaan mana yang gagal, walaupun mesejnya ringkas. Ketidakpadanan menamakan nama hos yang dijangka dan nama yang ditemui. Ralat tamat tempoh menyebut tarikh kesahihan atau masa. Kedua-dua ayat itu menunjuk kepada bahagian sijil yang berbeza.

Bacalah pada peringkat ia muncul. Kegagalan semasa jabat tangan ialah masalah sijil; kegagalan selepas terowong naik ialah masalah penghalaan atau kelayakan. Mengekalkan peringkat itulah yang menghalang siasatan daripada hanyut ke tetapan yang tidak berkaitan.

Jika kegagalan berbeza antara cubaan, anda mempunyai kemungkinan ketiga: lebih daripada satu nod di belakang nama yang sama.

Pemeriksaan nama: apa yang dibandingkan oleh klien

Klien membandingkan identiti yang dikonfigurasikan untuk dijangka dengan nama dalam sijil, yang terletak dalam sambungan subjectAltName. IP mentah dalam profil, alias yang tidak disenaraikan oleh sijil, atau nama yang hanya menyelesaikan kepada pelayan yang sama — semuanya gagal dalam pemeriksaan ini. Mencapai mesin yang betul bukanlah sama dengan membentangkan identiti yang betul.

Periksa sijil yang sebenarnya dibentangkan oleh pelayan, bukan fail daripada cubaan terdahulu. Arahan di bawah meminta nama yang anda konfigurasikan, jadi jawapannya termasuk sijil yang akan dilihat oleh klien sebenar.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Sijil daripada pengeluar yang dipercayai masih boleh untuk perkhidmatan lain. Biarkan pemeriksaan nama klien dihidupkan, kerana mempercayai CA tidak memberi kuasa kepada setiap nama yang pernah ditandatangani oleh CA itu. Melumpuhkan pemeriksaan mengubah ralat konfigurasi menjadi pendedahan.

Tamat tempoh: jam siapa yang dibaca

Kesahihan ialah sepasang cap masa, dan pengesah membandingkannya dengan jamnya sendiri. Peranti yang jamnya salah melaporkan sijil yang sah sebagai tamat tempoh atau belum sah, dan pembetulannya ialah jam, bukan sijil. Perbezaan paparan zon waktu bukanlah sama dengan masa asas yang salah.

Bandingkan tarikh sijil dengan UTC pada klien sebelum membuat apa-apa kesimpulan:

openssl x509 -in cert.pem -noout -dates
date -u

Jika tarikhnya benar-benar telah berlalu, perbaharui melalui pengeluar. Jika pengganti wujud tetapi belum sah, ikuti peralihan yang disokong dan bukannya menggerakkan jam untuk menampungnya. Memundurkan tarikh peranti untuk memenuhi sijil ialah keputusan yang akibatnya jauh melepasi terowong.

Mengapa membaiki satu mendedahkan yang lain

Pengesahan menjalankan urutan pemeriksaan, dan kegagalan pertama menghentikan laporan. Betulkan nama itu dan klien mungkin memberitahu anda bahawa rantaian itu tidak lengkap atau sijil itu telah tamat tempoh. Itu tidak bermakna pemeriksaan pertama tidak perlu. Itu bermakna rantaian mempunyai lebih daripada satu masalah, jadi jangkakan ralat kedua dan bukannya membacanya sebagai bukti bahawa pembetulan pertama itu salah.

Banyak nod memburukkan lagi perkara ini. Perkhidmatan berimbang beban boleh membentangkan sijil berbeza daripada ahli berbeza, jadi ujian yang lulus dua kali dan gagal sekali memberitahu anda tentang armada, bukan tentang klien anda. Simpan alamat rakan dan masa cubaan dalam diagnosis.

Butiran itulah yang menjadikan tiket yang tidak menentu sebagai tiket yang boleh dihasilkan semula.

Buktikan dengan sambungan baharu

Selepas pembaikan, buka sambungan baharu dan bukannya menyambung semula yang lama, dan sahkan bahawa peringkat yang dahulunya gagal kini lulus. Kemudian sahkan bahawa terowong benar-benar membawa trafik, kerana jabat tangan yang berjaya bukanlah laluan yang berfungsi.

Simpan peringkat ralat yang tepat dan butiran sijil bersama tiket.

Rekod itulah yang menghalang orang seterusnya daripada menetapkan semula kata laluan akaun kerana masalah sijil. Identiti dan kesahihan ialah soalan berasingan, dan RFC 5280 ialah rujukan untuk cara yang kedua dinilai.