Namnemismatch eller utløpt sertifikat: korleis skilje dei

To VPN-feil ser identiske ut frå stolen til brukaren og krev motsette rettingar. Namnemismatch betyr at sertifikatet er gyldig, men utstedt til noko anna. Ein utløpsfeil betyr at sertifikatet ikkje er gyldig akkurat no. Ingen av dei er eit passordproblem, og tilbakestilling av påloggingsinformasjon er den vanlegaste bortkasta timen i begge tilfelle. Les trinnet som feilar før du rører noko.

Feilteksten er diagnosen

Klienten fortel deg kva sjekk som feila, sjølv når meldinga er kort. Ein mismatch namngir vertsnamnet han venta og namnet han fann. Ein utløpsfeil nemner gyldigheitsdatoar eller eit klokkeslett. Dei to setningane peikar på ulike delar av sertifikatet.

Les dei på trinnet der dei dukkar opp. Ein feil under handtrykket er eit sertifikatproblem; ein feil etter at tunnelen er oppe er eit rutings- eller påloggingsproblem. Det å halde på trinnet er det som hindrar undersøkinga i å drive over i urelaterte innstillingar.

Viss feilen varierer mellom forsøk, har du ein tredje moglegheit: meir enn éin node bak same namn.

Namnesjekkar: kva klienten samanliknar

Klienten samanliknar identiteten han er konfigurert til å vente med namna i sertifikatet, som ligg i subjectAltName-utvidinga. Ein rå IP i profilen, eit alias sertifikatet ikkje listar, eller eit namn som berre slår opp til same server – alle feilar denne sjekken. Å nå rett maskin er ikkje det same som å presentere rett identitet.

Undersøk sertifikatet serveren faktisk presenterer, ikkje ei fil frå eit tidlegare forsøk. Kommandoen nedanfor spør etter namnet du konfigurerte, så svaret inneheld sertifikatet ein ekte klient ville sett.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Eit sertifikat frå ein klarert utferdar kan framleis gjelde ei anna teneste. La namnesjekkane til klienten stå på, fordi tillit til ein CA autoriserer ikkje kvart namn den CA-en nokon gong har signert. Å slå av sjekken gjer ein konfigurasjonsfeil om til ei eksponering.

Utløp: kven si klokke blir lesen

Gyldigheit er eit par tidsstempel, og verifiseraren samanliknar dei med si eiga klokke. Eining med feil klokke rapporterer eit gyldig sertifikat som utløpt eller som enno ikkje gyldig, og rettinga er klokka, ikkje sertifikatet. Ein skilnad i vising av tidssone er ikkje det same som feil underliggjande tid.

Samanlikn sertifikatdatoane med UTC på klienten før du konkluderer noko:

openssl x509 -in cert.pem -noout -dates
date -u

Viss datoane verkeleg er passerte, forny gjennom utferdaren. Viss ei erstatning finst men enno ikkje er gyldig, følg den støtta overgangen i staden for å flytte klokka for å tilpasse han. Å tilbakedatere ei eining for å tilfredsstille eit sertifikat er ei avgjerd med konsekvensar langt utanfor tunnelen.

Kvifor retting av det eine avdekkjer det andre

Validering køyrer ein sekvens med sjekkar, og den første feilen stoppar rapporten. Rett namnet og klienten kan då fortelje deg at kjeda er ufullstendig eller at sertifikatet er utløpt. Det betyr ikkje at den første sjekken var unødvendig. Det betyr at kjeda hadde meir enn eitt problem, så vent den andre feilen i staden for å lese han som prov på at den første rettinga var feil.

Fleire nodar gjer dette verre. Ein lastbalansert teneste kan presentere ulike sertifikat frå ulike medlemmer, så ein test som passerer to gonger og feilar éin gong fortel deg om flåten og ikkje om klienten din. Hald på peer-adressa og tidspunktet for forsøket i diagnosen.

Den detaljen er det som gjer ei ustabil sak til ei reproduserbar sak.

Prov det med ei ny tilkopling

Etter reparasjonen, opne ei ny tilkopling i staden for å halde fram med ei gammal, og stadfest at trinnet som før feila no passerer. Stadfest deretter at tunnelen faktisk ber trafikk, fordi eit vellukka handtrykk er ikkje ei fungerande rute.

Hald på det nøyaktige feiltrinnet og sertifikatdetaljane saman med saka.

Den registreringa er det som hindrar neste person i å tilbakestille kontopassord for eit sertifikatproblem. Identitet og gyldigheit er separate spørsmål, og RFC 5280 er referansen for korleis det andre blir vurdert.