O aviso de certificado muda com a VPN: compare os dois caminhos

Um aviso de certificado aparece na Wi-Fi do escritório e desaparece no momento em que a VPN se liga. É uma observação real, mas não um diagnóstico. Só sabe que duas condições de rede produziram resultados de validação diferentes, e a lista de coisas que o podem causar é longa. Trate-o como uma comparação controlada, não como prova de que um router foi comprometido.

O mesmo aviso também pode aparecer ao contrário: limpo na rede local, quebrado através do túnel. Qualquer das direções dá-lhe dois pontos de dados e nenhuma explicação.

Mantenha a comparação numa só variável de cada vez

Use o mesmo nome de anfitrião, o mesmo perfil de navegador e um relógio do dispositivo que tenha verificado. Registe o texto exato do erro e a hora de cada condição. VPN ligada e VPN desligada são etiquetas de duas condições; não são explicações da diferença.

Mude uma coisa de cada vez. Se mudar servidores DNS, navegador e rede na mesma tentativa, aprendeu que algo nesse conjunto importa, o que é quase o mesmo que não aprender nada.

Mantenha uma pequena tabela nas notas: condição, resolvedor, endereço de destino, erro e impressão digital do certificado. Cinco linhas dessa tabela costumam valer mais do que uma hora de especulação.

Leia a categoria do erro antes do certificado

Uma discrepância de nome, um emissor não fidedigno e um certificado expirado são constatações diferentes. A orientação do Chrome sobre erros de ligação separa-os, e o código exato na página de erro diz-lhe qual tem. Esse código decide o que comparar a seguir.

Se o erro for uma discrepância de nome, o certificado apresentado não cobre o nome de anfitrião pedido. Se for um emissor não fidedigno, a cadeia não leva a uma raiz em que o navegador confie. Se for expiração, as datas estão erradas, o que também pode significar que o relógio do dispositivo está errado.

Não passe o aviso nem instale uma raiz desconhecida para a página carregar. Isso transforma uma constatação numa alteração oculta.

Compare a folha, a cadeia e o contexto

Quando aparece um certificado diferente, determine se cada um pertence ao serviço previsto. Uma renovação aprovada ou um ponto final de serviço diferente podem explicar uma alteração legítima. Um nome ou emissor inesperado é motivo para perguntar ao proprietário do serviço, não um veredicto. A impressão digital sozinha não lhe diz a qual desses casos está a olhar.

Quando a mesma folha aparece em ambas as condições, compare a cadeia fornecida e o contexto de validação em vez de parar na impressão digital coincidente. O erro pode dizer respeito a um certificado intermédio ou a uma definição de confiança, e não à própria folha. Mantenha o erro exato junto da comparação.

A VPN pode alterar o caminho do resolvedor, o destino selecionado, um caminho de proxy ou a forma como um serviço baseado na origem responde. Uma página que carrega através do túnel não identifica qual dessas variáveis foi importante. Passar para um resolvedor público e ver a página carregar não é uma confirmação independente da identidade do site.

Escreva uma passagem de testemunho sobre a qual o proprietário possa agir

Um relatório útil contém o nome de anfitrião previsto, as duas horas das tentativas, os erros exatos e os detalhes públicos do certificado: sujeito, emissor, validade, impressão digital e cadeia. Oculte nomes internos se o relatório sair do público aprovado.

Depois de o proprietário fornecer uma correção verificada, repita o pedido original com a validação normal intacta. Em seguida, feche a comparação com o resultado escrito.

Se as provas continuarem a mostrar apenas que um caminho tem sucesso e o outro falha, diga exatamente isso. Uma constatação limitada e precisa é mais útil do que um reinício amplo do router, uma alteração do armazenamento de confiança ou uma exclusão de segurança que elimina o sintoma e esconde a causa.