Jam peranti yang salah boleh menghentikan VPN: semak masa dahulu

VPN berhenti menyambung, log menyebut sijil, dan naluri pertama ialah menggantikan profil. Jam peranti yang tersasar beberapa minit atau jam menghasilkan ralat itu tepat, kerana kesahan sijil dinilai terhadap detik tempatan. Label zon waktu pada skrin bukan masalahnya; masa di bawahnya yang menjadi masalah. Semak jam sebelum anda menyentuh sebarang bahan sijil.

Ralat itu kelihatan seperti masalah sijil, bukan masalah jam

Jabat tangan TLS gagal apabila sijil pihak lain jatuh di luar tetingkap kesahannya berbanding jam pengesah. Semakan itu berjalan pada klien, jadi jam klien yang salah menolak sijil yang sempurna baik. Teks ralat menamakan sijil, dan itulah sebabnya orang menggantikannya lalu melihat kegagalan yang sama lagi. Jam ialah hipotesis yang lebih murah dan patut diuji dahulu.

Jam yang mendahului masa sebenar menolak sijil semasa sebagai tamat tempoh; jam yang ketinggalan menolak sijil yang lebih baharu sebagai belum sah. Kedua-dua mesej menunjuk tarikh, dan kedua-duanya dihasilkan tanpa sebarang hubungan dengan pihak berkuasa sijil. Itulah tandanya: tamat tempoh sebenar menjejaskan setiap klien, manakala masalah jam hanya menjejaskan satu mesin yang masanya salah.

Baca detik itu, kemudian sijil

Cetak jam dalam UTC dan tarikh sijil itu sendiri sebelum mengubah apa-apa. Membandingkan dua detik mutlak menghapuskan soal zon waktu daripada siasatan sepenuhnya. Jika tetingkap sijil mengandungi detik semasa, sijil itu bukan kegagalan anda.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Jika jam tempatan salah, semak sama ada ia disegerakkan dan dengan apa. Mesin yang penyegerakannya dimatikan, atau yang sumber masanya tidak dapat dicapai, hanyut sehingga sesuatu gagal. Output status menamakan sumber dan pelarasan terakhir yang berjaya, yang lebih berguna daripada sisihan semasa sahaja. Sisihan besar tanpa sumber dikonfigurasikan ialah masalah berbeza daripada sisihan kecil terhadap sumber yang berfungsi.

timedatectl timesync-status
chronyc tracking

Berhenti jika sijil benar-benar tamat tempoh untuk setiap klien. Maka jam itu baik dan sijil perlu pembaharuan, bukan pelarasan.

Kod log masuk gagal atas sebab berkaitan tetapi berbeza

Kata laluan sekali guna berasaskan masa memperoleh nilainya daripada langkah masa semasa, biasanya tiga puluh saat. Peranti yang jamnya tersasar lebih daripada satu atau dua langkah menghasilkan kod yang tidak akan diterima pelayan, walaupun pengguna menaip digit yang betul. Ralat itu kelihatan seperti kata laluan salah, yang mendorong orang ke gelung set semula yang tidak dapat membaiki jam.

Kenal pasti komponen mana yang menolak percubaan itu, kerana klien VPN, get laluan dan penyedia identiti melaporkan peringkat berbeza. Jika kod ditolak tetapi kata laluan diterima, akaun itu mungkin baik dan jam ialah suspek. Jika kedua-duanya ditolak, akaun mungkin dikunci dan jam ialah petunjuk palsu. Ikut panduan pemulihan penyedia daripada meluluskan permintaan yang anda tidak mulakan.

Jangan undurkan jam untuk membuat kod berfungsi. Ia menyembunyikan punca dan merosakkan semakan berasaskan masa yang seterusnya.

Betulkan sumber, bukan jam yang dipaparkan

Penyegerakan ialah perkhidmatan rangkaian, dan terowong boleh mengubah sama ada sumber masa boleh dicapai. Sumber korporat mungkin memerlukan terowong, manakala sumber awam mungkin disekat oleh dasar. Pelayaran boleh berfungsi sementara laluan perkhidmatan masa itu sendiri gagal, dan itulah sebabnya kebergantungan ini mudah terlepas pandang. NTP ialah protokol di sebalik pelarasan, dan ia memerlukan laluannya sendiri seperti mana-mana perkhidmatan lain.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Ada juga masalah urutan but: jam yang sangat salah boleh menghalang terowong yang disahkan, dan satu-satunya sumber masa yang boleh digunakan mungkin berada di belakang terowong itu. Armada terurus memerlukan prosedur berdokumen untuk keadaan itu, dan memintas pengesahan sijil bukanlah prosedur sedemikian. Pada peranti peribadi, gunakan kawalan masa sistem pengendalian itu sendiri dan ketahui mengapa jam hilang selepas dimatikan atau dipulihkan. Mesin yang hanyut pada setiap but mempunyai masalah perkakasan atau konfigurasi, bukan masalah VPN.

Selepas pembaikan, cuba semula sambungan asal dan baca ralat baharu secara berasingan. Identiti pelayan yang buruk, sijil yang benar-benar tamat tempoh dan akaun yang ditolak ialah tiga kegagalan berbeza, dan mencampurkannya ialah cara pembetulan jam yang mudah menjadi seminggu pertukaran profil.