Sertifikatvarselet endres med VPN: sammenlign begge veiene

Et sertifikatvarsel vises på kontorets Wi-Fi og forsvinner i det øyeblikket VPN kobler til. Det er en reell observasjon, men ikke en diagnose. Alt du vet er at to nettverksforhold ga ulike valideringsresultater, og listen over ting som kan forårsake det, er lang. Behandle det som en kontrollert sammenligning, ikke som bevis for at en ruter er kompromittert.

Samme varsel kan også dukke opp omvendt: rent på det lokale nettverket, ødelagt gjennom tunnelen. Begge retninger gir deg to datapunkter og ingen forklaring.

Hold sammenligningen på én variabel om gangen

Bruk samme vertsnavn, samme nettleserprofil og en enhetsklokke du har kontrollert. Noter den nøyaktige feilteksten og tidspunktet for hver tilstand. VPN på og VPN av er etiketter for to tilstander; de er ikke forklaringer på forskjellen.

Endre én ting om gangen. Hvis du bytter DNS-servere, nettleser og nettverk i samme forsøk, har du lært at noe i det settet betyr noe, noe som er nesten det samme som å ikke lære noe.

Hold en liten tabell i notatene: tilstand, resolver, destinasjonsadresse, feil og sertifikatfingeravtrykk. Fem rader i den tabellen slår vanligvis en times spekulasjon.

Les feilkategorien før sertifikatet

Navnemismatch, ikke-klarert utsteder og utløpt sertifikat er forskjellige funn. Chroms veiledning om tilkoblingsfeil skiller dem, og den nøyaktige koden på feilsiden forteller deg hvilken du har. Den koden avgjør hva du sammenligner neste gang.

Hvis feilen er navnemismatch, dekker ikke sertifikatet som presenteres, vertsnavnet du ba om. Hvis det er en ikke-klarert utsteder, fører kjeden ikke til en rot som nettleseren stoler på. Hvis det er utløp, er datoene feil, noe som også kan bety at enhetsklokken er feil.

Ikke gå forbi varselet og ikke installer en ukjent rot for å få siden til å laste. Det gjør et funn om til en skjult endring.

Sammenlign bladet, kjeden og konteksten

Når et annet sertifikat dukker opp, avgjør om hvert av dem hører til tjenesten som er ment. En godkjent fornyelse eller et annet tjenestesluttpunkt kan forklare en legitim endring. Et uventet navn eller en uventet utsteder er grunn til å spørre tjenesteeieren, ikke en dom. Fingeravtrykket alene forteller deg ikke hvilket av disse tilfellene du ser på.

Når samme blad vises i begge tilstander, sammenlign den leverte kjeden og valideringskonteksten i stedet for å stoppe ved det samsvarende fingeravtrykket. Feilen kan gjelde et mellomsertifikat eller en tillitsinnstilling snarere enn bladet selv. Hold den nøyaktige feilen ved siden av sammenligningen.

VPN kan endre resolverstien, den valgte destinasjonen, en proxy-sti eller hvordan en kildebasert tjeneste svarer. En side som lastes gjennom tunnelen, identifiserer ikke hvilken av disse variablene som var viktig. Å bytte til en offentlig resolver og se at siden lastes, er ikke en uavhengig bekreftelse av nettstedets identitet.

Skriv en overlevering eieren kan handle på

En nyttig rapport inneholder det tiltenkte vertsnavnet, de to forsøkstidspunktene, de nøyaktige feilene og de offentlige sertifikatdetaljene: subjekt, utsteder, gyldighet, fingeravtrykk og kjede. Sladd interne navn hvis rapporten forlater det godkjente publikummet ditt.

Når eieren har levert en verifisert rettelse, gjenta den opprinnelige forespørselen med normal validering intakt. Lukk deretter sammenligningen med resultatet skrevet ned.

Hvis bevisene fortsatt bare viser at én vei lykkes og den andre mislykkes, si nøyaktig det. Et begrenset og presist funn er nyttigere enn en bred ruter-tilbakestilling, en endring av tillitslageret eller et sikkerhetsunntak som fjerner symptomet og skjuler årsaken.