Navnemismatch eller utløpt sertifikat: hvordan skille dem

To VPN-feil ser identiske ut fra brukerens stol og krever motsatte rettelser. Navnemismatch betyr at sertifikatet er gyldig, men utstedt til noe annet. En utløpsfeil betyr at sertifikatet ikke er gyldig akkurat nå. Ingen av dem er et passordproblem, og tilbakestilling av påloggingsinformasjon er den vanligste bortkastede timen i begge tilfeller. Les trinnet som feiler før du rører noe.

Feilteksten er diagnosen

Klienten forteller deg hvilken sjekk som feilet, selv når meldingen er kort. En mismatch navngir vertsnavnet den forventet og navnet den fant. En utløpsfeil nevner gyldighetsdatoer eller et klokkeslett. De to setningene peker på ulike deler av sertifikatet.

Les dem på trinnet der de dukker opp. En feil under håndtrykket er et sertifikatproblem; en feil etter at tunnelen er oppe er et ruting- eller påloggingsproblem. Det å beholde trinnet er det som hindrer undersøkelsen i å drive over i urelaterte innstillinger.

Hvis feilen varierer mellom forsøk, har du en tredje mulighet: mer enn én node bak samme navn.

Navnesjekker: hva klienten sammenligner

Klienten sammenligner identiteten den er konfigurert til å forvente med navnene i sertifikatet, som ligger i subjectAltName-utvidelsen. En rå IP i profilen, et alias sertifikatet ikke lister, eller et navn som bare slår opp til samme server – alle feiler denne sjekken. Å nå riktig maskin er ikke det samme som å presentere riktig identitet.

Undersøk sertifikatet serveren faktisk presenterer, ikke en fil fra et tidligere forsøk. Kommandoen nedenfor spør etter navnet du konfigurerte, så svaret inneholder sertifikatet en ekte klient ville sett.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Et sertifikat fra en klarert utsteder kan fortsatt gjelde en annen tjeneste. La klientens navnesjekker stå på, fordi tillit til en CA ikke autoriserer hvert navn den CA-en noen gang har signert. Å slå av sjekken gjør en konfigurasjonsfeil om til en eksponering.

Utløp: hvis klokke blir lest

Gyldighet er et par tidsstempler, og verifisereren sammenligner dem med sin egen klokke. En enhet med feil klokke rapporterer et gyldig sertifikat som utløpt eller som ennå ikke gyldig, og rettelsen er klokken, ikke sertifikatet. En forskjell i visning av tidssone er ikke det samme som feil underliggende tid.

Sammenlign sertifikatdatoene med UTC på klienten før du konkluderer noe:

openssl x509 -in cert.pem -noout -dates
date -u

Hvis datoene virkelig er passert, forny gjennom utstederen. Hvis en erstatning finnes men ennå ikke er gyldig, følg den støttede overgangen i stedet for å flytte klokken for å tilpasse den. Å tilbakedatere en enhet for å tilfredsstille et sertifikat er en beslutning med konsekvenser langt utenfor tunnelen.

Hvorfor retting av det ene avdekker det andre

Validering kjører en sekvens med sjekker, og den første feilen stopper rapporten. Rett navnet og klienten kan da fortelle deg at kjeden er ufullstendig eller at sertifikatet er utløpt. Det betyr ikke at den første sjekken var unødvendig. Det betyr at kjeden hadde mer enn ett problem, så forvent den andre feilen i stedet for å lese den som bevis på at den første rettelsen var feil.

Flere noder gjør dette verre. En lastbalansert tjeneste kan presentere ulike sertifikater fra ulike medlemmer, så en test som passerer to ganger og feiler én gang forteller deg om flåten og ikke om klienten din. Behold peer-adressen og tidspunktet for forsøket i diagnosen.

Den detaljen er det som gjør en ustabil sak til en reproduserbar sak.

Bevis det med en ny tilkobling

Etter reparasjonen, åpne en ny tilkobling i stedet for å gjenoppta en gammel, og bekreft at trinnet som pleide å feile nå passerer. Bekreft deretter at tunnelen faktisk bærer trafikk, fordi et vellykket håndtrykk ikke er en fungerende rute.

Behold det nøyaktige feiltrinnet og sertifikatdetaljene sammen med saken.

Den registreringen er det som hindrer neste person i å tilbakestille kontopassord for et sertifikatproblem. Identitet og gyldighet er separate spørsmål, og RFC 5280 er referansen for hvordan det andre vurderes.