Pembatalan sijil gagal: hos mana tidak sampai ke apa

Sijil boleh berada dalam tempoh sahnya sementara VPN masih melaporkan kegagalan pengesahan, dan seseorang membuat kesimpulan bahawa sijil itu telah dibatalkan. Itu tiga fakta berbeza. Data pembatalan mesti diambil oleh peranti yang melakukan pengesahan, daripada titik penerbitan yang dinamakan di dalam sijil itu sendiri. Apabila peranti itu tidak dapat mencapai titik tersebut, semakan gagal atas sebab yang tiada kaitan dengan status sijil.

Pengesah memiliki laluan pengambilan

Mulakan dengan mengenal pasti pengesah. Apabila komputer riba menyemak sijil gateway, komputer riba itu melakukan pengambilan; apabila gateway menyemak sijil klien, gateway yang melakukannya. Perkhidmatan pengesahan di bahagian belakang boleh menambah pengesah ketiga dengan kedudukan rangkaiannya sendiri. Setiap satu mempunyai laluan berbeza ke internet dan konfigurasi proksi berbeza. Bukti yang dikumpulkan di stesen kerja pentadbir tidak memberitahu apa-apa tentang pelayan di dalam DMZ.

Catat sijil, pengesah, masa percubaan dan kod status yang tepat sebelum mengubah apa-apa.

Baca titik penerbitan daripada sijil

Sijil menyatakan di mana statusnya berada. Baca medan itu daripada meneka alamat CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Sambungan pertama menyenaraikan titik pengedaran CRL, dan yang kedua menyenaraikan kaedah akses maklumat pihak berkuasa, yang boleh merangkumi status OCSP dan pengambilan sijil pengeluar. Itu mekanisme berbeza, dan responden OCSP bukan fail CRL. Hos penerbitan selalunya pelayan web biasa dan bukan mesin CA, kerana pengeluar luar talian boleh menandatangani CRL yang diedarkan oleh pelayan lain. Oleh itu, peraturan tembok api yang diterangkan sebagai akses kepada CA terlalu kabur untuk dilaksanakan atau disemak.

Uji pengambilan daripada peranti yang mengesahkan

Jalankan ujian pengambilan dalam persekitaran yang benar-benar melakukan pengesahan, dengan bahan sijil yang diluluskan dan tanpa kunci peribadi.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Menjalankan certutil mengesahkan rantai dan melaporkan pengambilan URL mana yang berjaya atau gagal, manakala panggilan curl menguji satu alamat penerbitan daripada hos yang sama dan hanya memulangkan kod status. Pengambilan gagal daripada alamat yang boleh dicapai menunjukkan masalah kandungan atau tandatangan; ralat sambungan menunjukkan penghalaan, DNS atau proksi. Simpan kedua-dua hasil, kerana satu pengambilan yang berjaya tidak membuktikan seluruh rantai boleh digunakan. Tukar hos dan laluan contoh kepada titik pengedaran yang ditemui dalam sijil.

Asingkan data yang hilang daripada status dibatalkan

Empat hasil kelihatan sama dari luar: titik tidak dapat dicapai, senarai sudah lapuk, senarai ditandatangani oleh pengeluar yang salah, atau sijil itu benar-benar dibatalkan. Hanya yang terakhir ialah hasil status, dan hanya itu yang mewajarkan akses dibuang. Caching menjadikan gambaran lebih rumit, kerana data yang diambil sebelum ini boleh menyembunyikan laluan penerbitan yang rosak sehingga muat semula seterusnya. Melumpuhkan semakan pembatalan, memadam sijil tidak berkaitan atau memulakan semula gateway semuanya menggantikan diagnosis dengan aktiviti.

Selepas pembaikan, paksa pengesahan baharu dan sahkan bahawa pengambilan status yang dimaksudkan berjaya. Di mana ada identiti ujian terkawal, sahkan ia masih ditolak, kerana ketersediaan yang membuang semakan bukan pembaikan.