Arlogġ ħażin fuq it-tagħmir jista’ jwaqqaf il-VPN: iċċekkja l-ħin l-ewwel

Il-VPN jieqaf jikkonnettja, il-log isemmi ċertifikat, u l-ewwel instinkt huwa li tibdel il-profil. Arlogg tat-tagħmir li jkun barra b’minuti jew sigħat jipproduċi eżattament dak l-iżball, għax il-validità taċ-ċertifikat tiġi ġġudikata kontra l-mument lokali. It-tikketta taż-żona tal-ħin fuq l-iskrin mhix il-problema; il-ħin ta’ taħt huwa l-problema. Iċċekkja l-arlogg qabel ma tmiss xi materjal taċ-ċertifikat.

L-iżball jidher bħala problema taċ-ċertifikat, mhux problema tal-arlogg

Il-handshake TLS ifalli meta ċ-ċertifikat tal-parti l-oħra joħroġ barra mit-tieqa tal-validità tiegħu meta mqabbel mal-arlogg tal-verifikatur. Dik il-verifika sseħħ fuq il-klijent, għalhekk arlogg tal-klijent ħażin jirrifjuta ċertifikat tajjeb għalkollox. It-test tal-iżball isemmi ċ-ċertifikat, u għalhekk in-nies ibiddlu u jerġgħu jaraw l-istess falliment. L-arlogg huwa l-ipoteżi orħos u għandu jiġi ttestjat l-ewwel.

Arlogg li jmur qabel il-ħin reali jirrifjuta ċertifikat kurrenti bħala skadut; arlogg li jibqa’ lura jirrifjuta wieħed aktar ġdid bħala għadu mhux validu. Iż-żewġ messaġġi jindikaw dati, u t-tnejn jiġu prodotti mingħajr ebda kuntatt mal-awtorità taċ-ċertifikati. Dak huwa s-sinjal: skadenza vera tolqot kull klijent, filwaqt li problema tal-arlogg tolqot biss il-magna waħda bil-ħin ħażin.

Aqra l-mument, imbagħad iċ-ċertifikat

Ipprintja l-arlogg fl-UTC u d-dati taċ-ċertifikat stess qabel ma tbiddel xi ħaġa. Li tqabbel żewġ mumenti assoluti jneħħi l-kwistjoni taż-żona tal-ħin mill-investigazzjoni għalkollox. Jekk it-tieqa taċ-ċertifikat fiha l-mument kurrenti, iċ-ċertifikat mhuwiex il-falliment tiegħek.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Jekk l-arlogg lokali huwa ħażin, iċċekkja jekk huwiex sinkronizzat u ma’ xiex. Magna b’sinkronizzazzjoni mitfija, jew b’sors tal-ħin li ma tistax tilħaq, tiddrifta sakemm xi ħaġa tfalli. L-output tal-istat isemmi s-sors u l-aħħar aġġustament li rnexxa, li huwa aktar utli mid-devjazzjoni kurrenti waħedha. Devjazzjoni kbira mingħajr sors ikkonfigurat hija problema differenti minn devjazzjoni żgħira kontra sors li jaħdem.

timedatectl timesync-status
chronyc tracking

Ieqaf jekk iċ-ċertifikat tassew skada għal kull klijent. Allura l-arlogg huwa sew u ċ-ċertifikat jeħtieġ tiġdid, mhux aġġustament.

Il-kodiċijiet tad-dħul ifallu għal raġuni relatata iżda differenti

Il-passwords ta’ darba bbażati fuq il-ħin jieħdu l-valur tagħhom mill-pass tal-ħin kurrenti, normalment tletin sekonda. Tagħmir li l-arlogg tiegħu huwa barra b’aktar minn pass jew tnejn jipproduċi kodiċijiet li s-server mhux se jaċċetta, anki jekk l-utent ittajpja ċ-ċifri t-tajba. L-iżball jidher bħala password ħażina, li tixħet lin-nies f’ċiklu ta’ reset li ma jistax isewwi arlogg.

Sib liema komponent irrifjuta l-attentat, għax il-klijent VPN, il-gateway u l-fornitur tal-identità jirrappurtaw stadji differenti. Jekk il-kodiċi jiġi rrifjutat imma l-password tiġi aċċettata, il-kont x’aktarx huwa sew u l-arlogg huwa s-suspettat. Jekk it-tnejn jiġu rrifjutati, il-kont jista’ jkun imsakkar u l-arlogg huwa ħjiel falz. Segwi l-gwida tal-irkupru tal-fornitur minflok ma tapprova talbiet li ma bdejtx.

Twarrabx l-arlogg lura biex kodiċi jaħdem. Dan jaħbi l-kawża u jkisser il-verifika li jmiss ibbażata fuq il-ħin.

Sewwi s-sors, mhux is-siegħa murija

Is-sinkronizzazzjoni hija servizz tan-netwerk, u l-mina tista’ tbiddel jekk is-sors tal-ħin huwiex aċċessibbli. Sors korporattiv jista’ jeħtieġ il-mina, filwaqt li sors pubbliku jista’ jiġi mblukkat mill-politika. Il-browsing jista’ jaħdem waqt li r-rotta tas-servizz tal-ħin stess tfalli, u għalhekk din id-dipendenza hija faċli li tinqabeż. NTP huwa l-protokoll wara l-aġġustament, u jeħtieġ rotta tiegħu bħal kull servizz ieħor.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Hemm ukoll problema tal-ordni tal-boot: arlogg ħafna ħażin jista’ jipprevjeni mina awtentikata, u l-uniku sors tal-ħin użabbli jista’ jkun wara dik il-mina. Flotta ġestita teħtieġ proċedura dokumentata għal dak l-istat, u li tevita l-verifika taċ-ċertifikat mhijiex waħda. Fuq tagħmir personali, uża l-kontrolli tal-ħin tas-sistema operattiva nnifisha u sib għaliex l-arlogg jintilef wara t-tifi jew ir-restawr. Magna li tiddrifta f’kull boot għandha problema ta’ ħardwer jew konfigurazzjoni, mhux problema tal-VPN.

Wara t-tiswija, erġa’ pprova l-konnessjoni oriġinali u aqra l-iżball il-ġdid separatament. Identità tal-server ħażina, ċertifikat li tassew skada u kont rrifjutat huma tliet fallimenti differenti, u li tħallathom huwa kif korrezzjoni sempliċi tal-arlogg issir ġimgħa ta’ tibdil tal-profili.