Sertifikatvarselet endrar seg med VPN: samanlikn begge vegane

Eit sertifikatvarsel dukkar opp på Wi-Fi-et på kontoret og forsvinn i det augneblinken VPN koplar til. Det er ein reell observasjon, men ikkje ein diagnose. Alt du veit, er at to nettverksforhold gav ulike valideringsresultat, og lista over ting som kan føre til det, er lang. Handsame det som ei kontrollert samanlikning, ikkje som bevis for at ein ruter er kompromittert.

Same varselet kan også dukke opp omvendt: reint på det lokale nettverket, øydelagt gjennom tunnelen. Begge retningar gjev deg to datapunkt og inga forklaring.

Hald samanlikninga på éin variabel om gongen

Bruk same vertsnamn, same nettlesarprofil og ei einingklokke du har kontrollert. Skriv ned den nøyaktige feilteksten og tida for kvar tilstand. VPN på og VPN av er etikettar for to tilstandar; dei forklarar ikkje skilnaden.

Endre éin ting om gongen. Viss du byter DNS-tenarar, nettlesar og nettverk i same forsøket, har du lært at noko i det settet betyr noko, noko som er nesten det same som å ikkje lære noko.

Hald ein liten tabell i notata: tilstand, oppløysar, måladdresse, feil og sertifikatfingertrykk. Fem radar i den tabellen slår vanlegvis ein times spekulasjon.

Les feilkategorien før sertifikatet

Namnemismatch, ikkje-klarert utgivar og utløpt sertifikat er ulike funn. Rettleiinga frå Chrome om tilkoplingsfeil skil dei, og den nøyaktige koden på feilsida fortel deg kva du har. Den koden avgjer kva du samanliknar neste gong.

Viss feilen er namnemismatch, dekkjer ikkje sertifikatet som vert presentert, vertsnamnet du bad om. Viss det er ein ikkje-klarert utgivar, fører kjeda ikkje til ei rot som nettlesaren stolar på. Viss det er utløp, er datoane feil, noko som også kan tyde på at einingklokka er feil.

Ikkje gå forbi varselet og ikkje installer ei ukjend rot for å få sida til å laste. Det gjer eit funn om til ei skjult endring.

Samanlikn bladet, kjeda og konteksten

Når eit anna sertifikat dukkar opp, avgjer om kvart av dei høyrer til tenesta som er meint. Ei godkjend fornying eller eit anna tenestesluttpunkt kan forklare ei legitim endring. Eit uventa namn eller ein uventa utgivar er grunn til å spørje tenesteeigaren, ikkje ein dom. Fingertrykket åleine fortel deg ikkje kva av desse tilfella du ser på.

Når same bladet viser seg i begge tilstandar, samanlikn den leverte kjeda og valideringskonteksten i staden for å stoppe ved det samsvarande fingertrykket. Feilen kan gjelde eit mellomcertifikat eller ei tillitsinnstilling snarare enn bladet sjølv. Hald den nøyaktige feilen ved sida av samanlikninga.

VPN kan endre vegen til oppløysaren, den valde destinasjonen, ein proxyveg eller korleis ei kjeldebasert teneste svarar. Ei side som lastar gjennom tunnelen, identifiserer ikkje kva av desse variablane som var viktig. Å byte til ein offentleg oppløysar og sjå at sida lastar, er ikkje ei uavhengig stadfesting av identiteten til nettstaden.

Skriv ei overlevering eigaren kan handle på

Ein nyttig rapport inneheld det meinte vertsnamnet, dei to forsøkstidene, dei nøyaktige feila og dei offentlege sertifikatdetaljane: subjekt, utgivar, gyldigheit, fingertrykk og kjede. Sladd interne namn viss rapporten forlèt det godkjende publikumet ditt.

Når eigaren har levert ei stadfesta retting, gjer den opphavlege førespurnaden på nytt med normal validering intakt. Lat så samanlikninga slutte med resultatet skrive ned.

Viss beviset framleis berre viser at éin veg lukkast og den andre mislukkast, sei nøyaktig det. Eit avgrensa og presist funn er nyttigare enn ein brei ruter-reset, ei endring av tillitslageret eller eit tryggleiksunntak som fjernar symptomet og skjuler årsaka.