Ostrzeżenie o certyfikacie zmienia się z VPN: porównaj obie ścieżki

Ostrzeżenie o certyfikacie pojawia się w biurowym Wi-Fi i znika w chwili połączenia VPN. To realna obserwacja, ale nie diagnoza. Wiesz tylko, że dwa warunki sieciowe dały różne wyniki walidacji, a lista możliwych przyczyn jest długa. Traktuj to jako kontrolowane porównanie, nie jako dowód przejęcia routera.

To samo ostrzeżenie może pojawić się też odwrotnie: czysto w sieci lokalnej, zepsute przez tunel. Oba kierunki dają dwa punkty danych i żadnego wyjaśnienia.

Utrzymuj porównanie na jednej zmiennej naraz

Użyj tej samej nazwy hosta, tego samego profilu przeglądarki i sprawdzonego zegara urządzenia. Zapisz dokładny tekst błędu i czas dla każdego warunku. VPN włączony i VPN wyłączony to etykiety dwóch warunków; nie są wyjaśnieniem różnicy.

Zmieniaj jedną rzecz naraz. Jeśli w tej samej próbie zmienisz serwery DNS, przeglądarkę i sieć, dowiesz się, że coś w tym zbiorze ma znaczenie, co jest prawie tym samym, co nie dowiedzieć się niczego.

Prowadź w notatkach małą tabelę: warunek, resolver, adres docelowy, błąd i odcisk certyfikatu. Pięć wierszy takiej tabeli zwykle bije godzinę domysłów.

Przeczytaj kategorię błędu przed certyfikatem

Niezgodność nazwy, niezaufany wystawca i wygasły certyfikat to różne ustalenia. Wskazówki Chrome dotyczące błędów połączenia rozróżniają je, a dokładny kod na stronie błędu mówi, który masz. Ten kod decyduje, co porównać dalej.

Jeśli błąd to niezgodność nazwy, przedstawiony certyfikat nie obejmuje żądanej nazwy hosta. Jeśli to niezaufany wystawca, łańcuch nie prowadzi do korzenia, któremu przeglądarka ufa. Jeśli to wygaśnięcie, daty są błędne, co może też oznaczać, że zegar urządzenia jest błędny.

Nie przechodź obok ostrzeżenia i nie instaluj nieznanego korzenia, aby strona się załadowała. To zamienia ustalenie w ukrytą zmianę.

Porównaj liść, łańcuch i kontekst

Gdy pojawia się inny certyfikat, ustal, czy każdy należy do zamierzonej usługi. Zatwierdzone odnowienie lub inny punkt końcowy usługi mogą wyjaśniać uzasadnioną zmianę. Nieoczekiwana nazwa lub wystawca to powód, by zapytać właściciela usługi, a nie wyrok. Sam odcisk nie mówi, na który z tych przypadków patrzysz.

Gdy ten sam liść pojawia się w obu warunkach, porównaj dostarczony łańcuch i kontekst walidacji, zamiast zatrzymywać się na zgodnym odcisku. Błąd może dotyczyć certyfikatu pośredniego lub ustawienia zaufania, a nie samego liścia. Trzymaj dokładny błąd obok porównania.

VPN może zmienić ścieżkę resolvera, wybrane miejsce docelowe, ścieżkę proxy lub sposób odpowiedzi usługi opartej na źródle. Strona ładowana przez tunel nie wskazuje, która z tych zmiennych miała znaczenie. Przejście na publiczny resolver i zobaczenie, że strona się ładuje, nie jest niezależnym potwierdzeniem tożsamości witryny.

Napisz przekazanie, na którym właściciel może działać

Przydatny raport zawiera zamierzoną nazwę hosta, dwa czasy prób, dokładne błędy i publiczne dane certyfikatu: podmiot, wystawca, ważność, odcisk i łańcuch. Zredaguj nazwy wewnętrzne, jeśli raport wychodzi poza zatwierdzoną grupę odbiorców.

Gdy właściciel dostarczy zweryfikowaną poprawkę, powtórz pierwotne żądanie z nienaruszonym normalnym sprawdzaniem. Następnie zamknij porównanie z zapisanym wynikiem.

Jeśli dowody nadal pokazują tylko, że jedna ścieżka się udaje, a druga nie, powiedz dokładnie to. Ograniczone i trafne ustalenie jest bardziej użyteczne niż szeroki reset routera, zmiana magazynu zaufania lub wyjątek bezpieczeństwa, który usuwa objaw i ukrywa przyczynę.