د VPN سند لا تر اوسه معتبر نه دی: درې لاملونه، یو د پلټنې ترتیب
«لا تر اوسه معتبر نه دی» مانا دا ده چې د وسیلې ساعت وروسته دی، کړکۍ واقعاً وروسته پیلېږي، یا منځنی سند لا نه دی خلاص شوی. هغوی په همدې ترتیب پلټئ.
کلاینټ پرانیزئ، هغه پروفایل غوره کړئ چې میاشتې یې کارولی دی، او دا د "certificate is not yet valid" سره ودريږي. ستاسو په ننوتلو کې هېڅ نه دی بدل شوی، او د باور زېرمه به سمه وي: هغه سند چې په لاس ورکولو کې وړاندې کېږي، د اعتبار کړکۍ لري چې د پلټونکي له کارول شوي شیبې وروسته پیلېږي. درې بېلابېلې حالات همدا پیغام جوړوي، او هر یو بېلابېل ګامونه غواړي. لاندې ترتیب تاسو ته وایي چې کوم یو لرئ، مخکې له دې چې ساعت یا د سند فایل ته لاس ووهئ.
د درې لاملونو کوم یو ګورئ
لومړی لامل ځایي دی: هغه وسیله چې پلټنه کوي، ساعت یې د سند له پیل نېټې مخکې دی. دا په هغه هارډویر کې ګورئ چې CMOS بټري مړه وي، په هغو مجازي ماشینونو کې چې له زوړ انځور څخه بیا رغول شوي، په هغو وسایلو کې چې د وخت د له لاسه ورکولو لپاره کافي موده بند وو، او په هغو شبکو کې چې وتونکی NTP بند دی او چا نه دی لیدلی. سند کولای شي بشپړ معتبر وي او بیا هم په دې توګه پاتې شي.
دویم لامل د صادروونکي دی، ځکه سند واقعاً په راتلونکي کې پیلېږي: ژر صادر شوی، د پیل ښکاره وخت سره جوړ شوی، یا د فعالولو هغه ګام برخې په توګه لاسلیک شوی چې لا نه دی ترسره شوی. دریم لامل تر ټولو ډېر وخت ضایع کوي، ځکه پاڼه اوسنۍ ده خو د وړاندې شوې زنځیر بل سند نه دی، نو تېروتنه هغه مواد نوموي چې تاسو هېڅکله نه دي نصب کړي.
یو پوښتنه هغوی جلا کوي. آیا ناکامي وسیله تعقیبوي که خدمت؟ په یوه شبکه کې دوه ماشینونه چې بېلابېل چلند کوي، ساعتونو ته اشاره کوي. که هر کلاینټ په یوه توګه ناکام شي، دا د سند کړکۍ او د هغې شاته زنځیر ته اشاره کوي.
کړکۍ له هغه سند څخه ولولئ چې واقعاً وړاندې شوی
له پخواني ځای پرځای کولو څخه پاتې PEM فایل مه پلټئ؛ له خدمت څخه هغه زنځیر وغواړئ چې اوس یې لېږي. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts په زنځیر کې هر سند چاپوي. خپل اړین بلاک خوندي کړئ او openssl x509 -noout -subject -issuer -dates وچلوئ؛ وروستی notBefore او notAfter چاپوي، او همدا دوه ارزښتونه فیصله کوي. په Windows کې، د اړیکې د سند ډیالوګ او په صادر شوي فایل certutil -dump ورته ساحې ښیي.
د کړکۍ دواړه سرونه ولولئ، نه یوازې پیل. هغه سند چې په دوو ساعتونو کې خلاصېږي او هغه چې په دوو ساعتونو کې بندېږي، بېلابېلو پیغامونو سره ناکام شي او بېلابېل ټیمونه ښکېل کوي. یادونه وکړئ چې تېروتنه کوم سند نوموي — پاڼه، منځنی که ریښه — ځکه دا فیصله کوي چې د کلاینټ په اړخ کې څه سمېدلای شي که نه.
کړکۍ پرته له دې چې ورباندې انتظار وکړئ هم ازموئ. تصدیق ښکاره وخت مني: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem زنځیر په هغه وخت نښه کې ارزوي. د ناکامۍ بیا جوړولو لپاره یې د اوسني وخت سره وچلوئ، بیا د سند د پیل وخت سره ترڅو تایید کړئ چې کړکۍ خلاصېدو سره هماغه زنځیر تېریږي. RFC 5280 د اعتبار ساحه او هغه قاعده تعریفوي چې سند باید له هغې بهر ونه کارول شي، او ستاسو کلاینټ همدا قاعده همدا اوس پلي کړه.
ستاسو ساعت، که د هغوی
د وسیلې ساعت د سند له پیل سره په UTC کې پرتله کړئ، له هغه سرچینې چې تاسو ورباندې باور لرئ. date -u شیبه درکوي، او په systemd کوربه timedatectl status هم راپور ورکوي چې ساعت همغږی دی که نه. په Windows کې، w32tm /query /status اوسنۍ سرچینه او وروستی بریالی همغږي ښیي. په ټرې کې ښودل شوې وخت سیمه د ښودنې غوراوي ده، نه غلط ساعت؛ پلټونکی د UTC شیبې پرتله کوي.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
که ساعت وروسته وي، د کوم سند مواد بدلولو مخکې بیا همغږي او بیا ازموینه وکړئ. هغه وسیله چې څو دقیقې یا ساعتونه غلطه وي، هره نژدې صادر شوې سند چې ورسره مخ شي ردوي، نه یوازې یو خدمت، نو د یو خدمت توضیح معمولاً غلطه ده. که ساعت سم او همغږی وي، وسیلې ته کتل بند کړئ: کړکۍ د صادروونکي ده، او د هغې د تېرولو لپاره باید هېڅ ځایي تنظیم ونه بدل شي.
هماغه جدول ټول تصمیم دی. ساعت ته د سند د تمې مطابق لېږدول ترمیم نه دی، او د وخت پلټنې بندول هم ترمیم نه دی، ځکه دواړه هغه حالت پټوي چې تېروتنه یې جوړه کړې.
ولې زنځیر ناکامېږي پداسې حال کې چې پاڼه ښه ښکاري
نوي شوي پاڼې او د بدیل منځني سندونه معمولاً یوځای لېږل کېږي، او تل په یوه شیبه نه رسیږي. خدمت کولای شي نوی پاڼه ولېږي چې د هغه منځني لخوا لاسلیک شوې چې خپله کړکۍ یې وروسته پیلېږي، یا تر نوې پاڼې لاندې زوړ منځنی وړاندې کول جاري وساتي. په دواړو حالاتو کې زنځیر ناکامېږي پداسې حال کې چې د پاڼې خپلې نېټې معقولې ښکاري.
د بار د توازن لرونکي پای ټکي دا له ماتې څخه نا همغږي ته بدلوي. که بیا هڅه بریالۍ شي، یا یوه شبکه کار وکړي او بله نه، مخکې له دې چې تنظیمات بدل کړئ ولیکئ چې کوم همتا ځواب ورکړ او کوم زنځیر یې ولېږه. openssl s_client نښلول شوی پته چاپوي، نو څو هڅې ښیي چې هر نوډ هماغه زنځیر وړاندې کوي که نه.
د ترمیم هغه لارې چې تصدیق ساتي
د ساعت ستونزه په وسیله کې د تصدیق په خلاص حالت کې سمېږي. د سند ستونزه operator د هغه کړکۍ لپاره صادر شوي مواد سره سمېږي چې اوس دمخه پکې شامل دی. هېڅ د کلاینټ تنظیم لا-معتبر سند معتبر نه کوي؛ هغه بیرغونه چې د وخت پلټنې تېروي د تشخیص د تایید لپاره دي، د تولید ته د لېږلو لپاره نه.
کله چې سند د پلان شوې فعالولو لپاره چمتو شوی وي، د لېږد پلان تعقیب کړئ. هغه وخت یې نصب کړئ چې کړکۍ یې خلاصېږي، یا د عرضي کېدو هغه طرزالعمل وکاروئ چې عرضه کوونکی یې مستند کوي، پرځای دې چې ژر یې نصب کړئ او کاروونکو ته د خبرداریو له لارې کلیک کول ور زده کړئ. هغه خبرداری چې خلک یې له پامه غورځول زده کوي، له لنډ ځنډ څخه ډېر لګښت لري.
په پای کې، لکه څنګه چې ناکامي پېښه شوه بیا ازموینه وکړئ: نوی ناسته، هماغه کلاینټ، هغه سرچینه چې واقعاً ورته اړتیا لرئ. TLS کتابتونونه کولای شي تصدیق شوی زنځیر د اړیکې په ټول ژوند کې کاش کړي، او بیا پیل شوې ناسته یې لازم نه ده بیا وپلټي، نو زړه ناسته کولای شي د ترمیم وروسته هم ناکامه وي یا د رګریشن وروسته هم کار وکړي. هغه فایل چې په کتونکي کې خلاصېږي یوازې دا ثابتوي چې فایل لوستل کېدای شي؛ بشپړه لاس ورکونه ثابتوي چې زنځیر تصدیقېږي.
د ټکټ بندولو مخکې څلور شیان تایید کړئ: د ناکامې وسیلې UTC وخت او همغږي حالت، په وړاندې شوي زنځیر کې د هر سند notBefore او notAfter، له دویم کلاینټ څخه هماغه زنځیر، او هغه نوم چې تېروتنه سند ته ورکوي. که ساعت سم وي او کړکۍ لا نه ده خلاصه شوې، پاتې کار د operator دی، او ستاسو له اړخ څخه سم ګام دا دی چې تصدیق کمزوری کړئ نه، بلکې کړکۍ ته انتظار وکړئ.