Ċertifikat VPN għadu mhux validu: tliet kawżi, ordni ta' verifika waħda
Għadu mhux validu jfisser li l-arloġġ tal-apparat huwa lura, it-tieqa tibda tassew aktar tard, jew ċertifikat intermedju għadu ma nfetax. Ivverifikahom f'dik l-ordni.
Tiftaħ il-klijent, tagħżel il-profil li ilu tintuża xhur, u jieqaf b'"certificate is not yet valid". Xejn mid-dħul tiegħek ma nbidel, u l-maħżen tal-fiduċja x'aktarx tajjeb: iċ-ċertifikat ippreżentat fil-handshake iġorr tieqa ta' validità li tibda aktar tard mill-mument li qed juża l-verifikatur. Tliet sitwazzjonijiet differenti jipproduċu eżatt dak il-messaġġ, u jeħtieġu azzjonijiet differenti. L-ordni hawn taħt tgħidlek liema għandek qabel ma tmiss arloġġ jew fajl taċ-ċertifikat.
Liema mit-tliet kawżi qed tara
L-ewwel kawża hija lokali: l-apparat li jagħmel il-verifika għandu arloġġ aktar kmieni mid-data tal-bidu taċ-ċertifikat. Tara dan fuq ħardwer b'batterija CMOS mejta, fuq magni virtwali restawrati minn snapshot qadima, fuq tagħmir li dam mitfi biżżejjed biex jitlef il-ħin, u fuq netwerks fejn l-NTP li joħroġ huwa mblukkat u ħadd ma nduna. Iċ-ċertifikat jista' jkun għal kollox validu u xorta jonqos b'dan il-mod.
It-tieni kawża tappartjeni lill-emittent, għax iċ-ċertifikat tassew jibda fil-futur: maħruġ kmieni, iġġenerat b'ħin tal-bidu espliċitu, jew iffirmat bħala parti minn pass ta' attivazzjoni li għadu ma tħaddimx. It-tielet kawża taħli l-aktar ħin, għax il-werqa hija kurrenti waqt li ċertifikat ieħor fil-katina ppreżentata mhuwiex, u għalhekk l-iżball isemmi materjal li qatt ma installajt.
Mistoqsija waħda tifridhom. Il-falliment isegwi l-apparat jew is-servizz? Żewġ magni fuq l-istess netwerk li jġibu ruħhom differenti jindikaw arloġġi. Jekk kull klijent jonqos bl-istess mod, dan jindika t-tieqa taċ-ċertifikat u l-katina warajha.
Aqra t-tieqa miċ-ċertifikat li tassew ġie ppreżentat
Tispezzjonax fajl PEM li baqa' minn implimentazzjoni preċedenti; itlob lis-servizz il-katina li qed jibgħat bħalissa. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts jistampa kull ċertifikat fil-katina. Issejvja l-blokka li tagħtik każ u mexxt openssl x509 -noout -subject -issuer -dates; l-aħħar jistampa notBefore u notAfter, u dawk iż-żewġ valuri jiddeċiedu. Fuq Windows, id-djalogu taċ-ċertifikat għall-konnessjoni u certutil -dump fuq fajl esportat juru l-istess oqsma.
Aqra ż-żewġ trufijiet tat-tieqa, mhux il-bidu biss. Ċertifikat li jiftaħ fi żmien sagħtejn u ieħor li jagħlaq fi żmien sagħtejn jonqsu b'messaġġi differenti u jinvolvu timijiet differenti. Innota liema ċertifikat isemmi l-iżball — werqa, intermedju jew għerq — għax dan jiddetermina jekk jistax jiġi msewwi xi ħaġa fuq in-naħa tal-klijent.
Tista' wkoll tittestja t-tieqa mingħajr ma tistennieha. Il-verifika taċċetta ħin espliċitu: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem jevalwa l-katina f'dak it-timestamp. Mexxt bħall-ħin attwali biex tirriproduċi l-falliment, imbagħad bil-ħin tal-bidu taċ-ċertifikat biex tikkonferma li l-istess katina tgħaddi ladarba tiftaħ it-tieqa. RFC 5280 jiddefinixxi l-qasam tal-validità u r-regola li ċertifikat m'għandux jintuża barra minnu, u dik hija r-regola li l-klijent tiegħek għadu kemm applika.
L-arloġġ tiegħek, jew tagħhom
Qabbel l-arloġġ tal-apparat mal-bidu taċ-ċertifikat fl-UTC, minn sors li tafda. date -u jagħti l-mument, u timedatectl status fuq host systemd jirrapporta wkoll jekk l-arloġġ huwiex sinkronizzat. Fuq Windows, w32tm /query /status juri s-sors attwali u l-aħħar sinkronizzazzjoni b'suċċess. Iż-żona tal-ħin murija fil-tray hija għażla ta' wiri, mhux arloġġ żbaljat; il-verifikatur iqabbel mumenti UTC.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
Jekk l-arloġġ huwa lura, erġa' sinkronizza u erġa' ttestja qabel ma tibdel xi materjal taċ-ċertifikat. Apparat li huwa barra b'minuti jew sigħat jirrifjuta kull ċertifikat maħruġ reċentement li jiltaqa' miegħu, mhux servizz wieħed biss, għalhekk spjegazzjoni ta' servizz wieħed normalment hija dik żbaljata. Jekk l-arloġġ huwa korrett u sinkronizzat, waqaf milli tħares lejn l-apparat: it-tieqa tappartjeni lill-emittent, u l-ebda setting lokali m'għandu jiġi aġġustat biex tgħaddi.
Dik it-tabella hija d-deċiżjoni kollha. Li ċċaqlaq l-arloġġ għal dak li jistenna ċ-ċertifikat mhijiex tiswija, u li titfi l-verifiki tal-ħin lanqas, għax it-tnejn jaħbu l-kundizzjoni li pproduċiet l-iżball.
Għaliex il-katina tonqos waqt li l-werqa tidher tajba
Werqiet imġedda u intermedji ta' sostituzzjoni normalment jintbagħtu flimkien, u mhux dejjem jinżlu fl-istess mument. Servizz jista' jibgħat werqa ġdida ffirmata minn intermedju li t-tieqa tiegħu stess tibda aktar tard, jew ikompli jservi intermedju eqdem taħt werqa friska. B'xi mod jew ieħor il-katina tonqos waqt li d-dati tal-werqa stess jidhru raġonevoli.
Punti tat-tarf ibbilanċjati bit-tagħbija jbiddlu dan minn miksur għal inkonsistenti. Jekk erġajt ippruvajt u rnexxiet, jew netwerk wieħed jaħdem u ieħor le, innota liema peer wieġeb u liema katina bagħat qabel ma tibdel is-settings. openssl s_client jistampa l-indirizz konness, għalhekk ftit tentattivi jiżvelaw jekk kull node jservix l-istess katina.
Mogħdijiet ta' tiswija li jżommu l-verifika intatta
Problema tal-arloġġ tiġi fissa fuq l-apparat bil-verifika mħollija mixgħula. Problema taċ-ċertifikat tissewwa mill-operatur b'materjal maħruġ għal tieqa li diġà tinkludi issa. L-ebda setting tal-klijent ma jagħmel ċertifikat għadu mhux validu validu; il-bnadar li jaqbżu l-verifiki tal-ħin jeżistu biex tikkonferma dijanjosi, mhux biex tqassamhom fil-produzzjoni.
Meta ċ-ċertifikat ikun ippreparat għal attivazzjoni ppjanata, segwi l-pjan tal-qalba. Installah meta tiftaħ it-tieqa tiegħu, jew uża l-proċedura ta' sovrappożizzjoni li tiddokumenta l-fornitur, minflok ma tinstallah kmieni u tgħallem lill-utenti jikklikkjaw il-wisjiet. Il-wisjiet li n-nies jitgħallmu jinjoraw jiswew aktar minn dewmien qasir.
Fl-aħħar, erġa' ttestja kif seħħ il-falliment: sessjoni ġdida, l-istess klijent, ir-riżorsa li tassew teħtieġ. Il-libreriji TLS jistgħu jaħżnu katina vverifikata għall-ħajja kollha ta' konnessjoni, u sessjoni mġedda ma neċessarjament tivverifikax mill-ġdid, għalhekk sessjoni qadima tista' tibqa' tonqos wara t-tiswija jew tibqa' taħdem wara rigressjoni. Fajl li jinfetaħ f'viewer juri biss li l-fajl jinqara; handshake komplut juri li l-katina tivverifika.
Qabel ma tagħlaq it-ticket, ikkonferma erba' affarijiet: il-ħin UTC u l-istat tas-sinkronizzazzjoni tal-apparat li qed jonqos, in-notBefore u notAfter ta' kull ċertifikat fil-katina ppreżentata, l-istess katina minn klijent ieħor, u l-isem li l-iżball jagħti liċ-ċertifikat. Jekk l-arloġġ huwa korrett u t-tieqa għadha ma nfetħitx, il-bqija huwa xogħol tal-operatur, u l-mossa korretta min-naħa tiegħek hija li tistenna t-tieqa minflok ma dgħajjef il-verifika.