Nuqqas ta’ qbil fl-isem jew skadenza taċ-ċertifikat: kif tiddistingwihom

Żewġ fallimenti tal-VPN jidhru identiċi mis-siġġu tal-utent iżda jeħtieġu tiswijiet opposti. Nuqqas ta’ qbil fl-isem ifisser li ċ-ċertifikat huwa validu iżda maħruġ għal xi ħaġa oħra. Żball ta’ skadenza jfisser li ċ-ċertifikat mhuwiex validu f’dan il-mument. L-ebda waħda mhi problema ta’ password, u r-reset tal-kredenzjali hija l-iktar siegħa moħlija fiż-żewġ każi. Aqra l-istadju li qed ifalli qabel ma tmiss xejn.

It-test tal-iżball huwa d-dijanjosi

Il-klijent jgħidlek liema verifika falliet, anke meta l-messaġġ huwa qasir. In-nuqqas ta’ qbil isemmi l-isem tal-host mistenni u l-isem li nstab. Żball ta’ skadenza jsemmi dati ta’ validità jew ħin. Dawk iż-żewġ sentenzi jindikaw partijiet differenti taċ-ċertifikat.

Aqrahom fl-istadju fejn jidhru. Falliment waqt l-handshake hija problema taċ-ċertifikat; falliment wara li t-tunnel jinbena hija problema ta’ routing jew ta’ kredenzjali. Iż-żamma tal-istadju hija dik li żżomm l-investigazzjoni milli tbiegħed lejn settings mhux relatati.

Jekk il-falliment ivarja bejn tentattivi, għandek it-tielet possibbiltà: aktar minn node wieħed wara l-istess isem.

Verifiki tal-isem: x’iqabbel il-klijent

Il-klijent iqabbel l-identità li huwa kkonfigurat biex jistenna man-nomi fiċ-ċertifikat, li jinsabu fl-estensjoni subjectAltName. IP mhux ipproċessat fil-profil, alias li ċ-ċertifikat ma jelenkax, jew isem li sempliċement jiġi riżolt għall-istess server — kollha jonqsu f’din il-verifika. Li tasal għall-magna t-tajba mhuwiex l-istess bħal li tippreżenta l-identità t-tajba.

Iċċekkja ċ-ċertifikat li s-server fil-fatt jippreżenta minflok fajl minn tentattiv preċedenti. Il-kmand hawn taħt jitlob l-isem li kkonfigurajt, għalhekk it-tweġiba tinkludi ċ-ċertifikat li klijent reali jara.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Ċertifikat minn emittent fdat xorta jista’ jkun għal servizz ieħor. Żomm il-verifiki tal-isem tal-klijent mixgħula, għax li tafda CA ma jawtorizzax kull isem li dik is-CA qatt iffirmat. Li tiddiżattiva l-verifika tbiddel żball ta’ konfigurazzjoni f’espożizzjoni.

Skadenza: ta’ min qed jinqara l-arloġġ

Il-validità hija par ta’ timbri tal-ħin, u l-verifikatur iqabbelhom mal-arloġġ tiegħu stess. Apparat b’arloġġ żbaljat jirrapporta ċertifikat validu bħala skadut jew għadu mhux validu, u t-tiswija hija l-arloġġ, mhux iċ-ċertifikat. Differenza fid-display taż-żona tal-ħin mhijiex l-istess bħal ħin bażiku żbaljat.

Qabbel id-dati taċ-ċertifikat ma’ UTC fuq il-klijent qabel ma tikkonkludi xejn:

openssl x509 -in cert.pem -noout -dates
date -u

Jekk id-dati tassew għaddew, ġedded permezz tal-emittent. Jekk teżisti sostituzzjoni iżda għadha mhix valida, segwi l-qtugħ appoġġat minflok ma ċċaqlaq l-arloġġ biex takkomodaha. Li tmur lura d-data ta’ apparat biex tissodisfa ċertifikat hija deċiżjoni b’konsegwenzi ferm lil hinn mit-tunnel.

Għaliex it-tiswija ta’ wieħed tikxef l-ieħor

Il-validazzjoni tmexxi sekwenza ta’ verifiki, u l-ewwel falliment iwaqqaf ir-rapport. Sewwi l-isem u l-klijent imbagħad jista’ jgħidlek li il-katina mhijiex kompluta jew li ċ-ċertifikat skada. Dan ma jfissirx li l-ewwel verifika kienet bla bżonn. Ifisser li l-katina kellha aktar minn problema waħda, għalhekk stenna t-tieni żball minflok ma taqrah bħala prova li l-ewwel tiswija kienet żbaljata.

Ħafna nodi jagħmlu dan agħar. Servizz b’bilanċ tat-tagħbija jista’ jippreżenta ċertifikati differenti minn membri differenti, għalhekk test li jgħaddi darbtejn u jonqos darba qed jgħidlek dwar il-flotta, mhux dwar il-klijent tiegħek. Żomm l-indirizz tal-peer u l-ħin tat-tentattiv fid-dijanjosi.

Dik id-dettall hija dik li tbiddel biljett instabbli fi biljett riproduċibbli.

Ipprovah b’konnessjoni ġdida

Wara t-tiswija, iftaħ konnessjoni ġdida minflok ma tkompli waħda qadima, u kkonferma li l-istadju li qabel kien ifalli issa jgħaddi. Imbagħad ikkonferma li t-tunnel fil-fatt iġorr traffiku, għax handshake ta’ suċċess mhuwiex rotta li taħdem.

Żomm l-istadju eżatt tal-iżball u d-dettalji taċ-ċertifikat mal-biljett.

Dak ir-rekord huwa dak li jżomm lill-persuna li jmiss milli terġa’ tistabbilixxi passwords tal-kont għal problema taċ-ċertifikat. Identità u validità huma mistoqsijiet separati, u RFC 5280 hija r-referenza għal kif tiġi evalwata t-tieni.