VPN nie zamienia ostrzeżenia o certyfikacie w zaufanie

Porównuje się tu dwie rzeczy i nie są one tego samego rodzaju: szyfrowanie ścieżki oraz tożsamość serwera na jej końcu. VPN może wzmocnić pierwszą, a drugą pozostawić całkowicie bez odpowiedzi. Dlatego ostrzeżenie o niezgodności nazwy lub wygaśniętym certyfikacie nie staje się nieszkodliwe, gdy działa tunel. Kłódka i ostrzeżenie mówią o różnych właściwościach.

Tunel odpowiada, kto przenosi ruch; certyfikat odpowiada, kto go odbiera.

Ostrzeżenie dotyczy tożsamości, nie transportu

Przeglądarka zgłasza, że certyfikat drugiej strony nie został zweryfikowany według reguł, na które była skonfigurowana. Reguły te obejmują nazwę, łańcuch, daty ważności i bieżący czas. VPN nie zmienia żadnej z nich. Szyfrowanie ścieżki do serwera z błędną nazwą daje zaszyfrowane połączenie z błędnym serwerem, co nie jest poprawą.

Błędne zegary urządzeń powodują to częściej, niż ludzie się spodziewają, zwłaszcza po rozładowaniu baterii lub nieudanej zmianie strefy czasowej. Sprawdź zegar, zanim wyciągniesz jakiekolwiek wnioski o sieci.

Które połączenie faktycznie zawiodło?

Strona portalu, witryna docelowa i brama VPN wykonują każda własną kontrolę tożsamości, a błąd wymienia tylko jedną z nich. Zapisz rzeczywistą nazwę hosta i dokładny komunikat, zamiast traktować każdy certyfikat jako jeden obiekt. W zamkniętej sieci Wi-Fi portal zwykle przechwytuje i przedstawia własny certyfikat, dlatego istnieje normalny przepływ logowania systemu operacyjnego. Znana nazwa sieci niczego z tego nie rozwiązuje.

Użyj udokumentowanej procedury miejsca, zamiast akceptować niepowiązaną tożsamość, by dotrzeć do strony logowania.

Instalacja korzenia to inna decyzja

Kiedy organizacja naprawdę potrzebuje konfiguracji zaufania, rozpowszechnia ją przez zarządzane profile lub proces wsparcia, który można zweryfikować. Przypadkowa strona prosząca o instalację certyfikatu głównego opisuje przechwytywanie, a nie naprawę. Zaakceptowanie jej pozwala instalatorowi czytać wszystko, co przeglądarka wysyła do każdej witryny ufającej temu korzeniowi. To nie są równoważne działania, a drugie trudno cofnąć.

Dla bramy VPN użyj zweryfikowanego profilu operatora lub wydanej przez niego tożsamości zastępczej. Usunięcie weryfikacji, by uciszyć ostrzeżenie, może utworzyć połączenie z punktem końcowym, którego nie zamierzano.

Tunel chroni tylko jedną ścieżkę

Poprawnie ustanowiony tunel chroni ścieżkę, dla której został zbudowany. Nie uwierzytelnia każdej otwieranej strony i nie odzyskuje informacji już wysłanych przez przejęte połączenie. To właściwości walidacji przeglądarki i tego, co wydarzyło się wcześniej. Tunel to korytarz, a nie referencja charakteru dla wszystkich na jego końcu.

Jeśli certyfikat witryny jest błędny, użyteczne pytanie brzmi, czy dotarłeś do zamierzonej witryny. Tunel na to nie odpowiada i nie może.

Zapisz nazwę hosta, błąd oraz powiązany resolver lub portal. Ten zapis oddziela zły certyfikat od złej ścieżki.