Nepotrivire de nume sau expirare a certificatului: cum le deosebim

Două defecțiuni VPN arată identic din scaunul utilizatorului și cer corecții opuse. O nepotrivire de nume înseamnă că certificatul este valid, dar emis pentru altceva. O eroare de expirare înseamnă că certificatul nu este valid în acest moment. Niciuna nu este o problemă de parolă, iar resetarea acreditărilor este cea mai des irosită oră în ambele cazuri. Citiți etapa care eșuează înainte de a atinge ceva.

Textul erorii este diagnosticul

Clientul vă spune care verificare a eșuat, chiar și când mesajul este scurt. O nepotrivire numește numele de gazdă așteptat și numele găsit. O eroare de expirare menționează date de valabilitate sau o oră. Acele două propoziții indică părți diferite ale certificatului.

Citiți-le în etapa în care apar. Un eșec în timpul handshake-ului este o problemă de certificat; un eșec după ce tunelul este activ este o problemă de rutare sau de acreditări. Păstrarea etapei este cea care împiedică investigația să alunece către setări irelevante.

Dacă eșecul variază între încercări, aveți o a treia posibilitate: mai mult de un nod în spatele aceluiași nume.

Verificări de nume: ce compară clientul

Clientul compară identitatea pe care este configurat să o aștepte cu numele din certificat, care se află în extensia subjectAltName. Un IP brut în profil, un alias pe care certificatul nu îl listează sau un nume care pur și simplu se rezolvă la același server — toate eșuează această verificare. A ajunge la mașina corectă nu este același lucru cu a prezenta identitatea corectă.

Inspectați certificatul pe care serverul îl prezintă efectiv, nu un fișier dintr-o încercare anterioară. Comanda de mai jos cere numele pe care l-ați configurat, astfel încât răspunsul include certificatul pe care l-ar vedea un client real.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Un certificat de la un emitent de încredere poate fi totuși pentru alt serviciu. Păstrați verificările de nume ale clientului activate, deoarece încrederea într-o CA nu autorizează fiecare nume pe care acea CA l-a semnat vreodată. Dezactivarea verificării transformă o eroare de configurare într-o expunere.

Expirare: al cui ceas este citit

Valabilitatea este o pereche de momente de timp, iar verificatorul le compară cu propriul ceas. Un dispozitiv cu ceasul greșit raportează un certificat valid ca expirat sau ca încă nevalid, iar corecția este ceasul, nu certificatul. O diferență de afișare a fusului orar nu este același lucru cu o oră de bază greșită.

Comparați datele certificatului cu UTC pe client înainte de a concluziona ceva:

openssl x509 -in cert.pem -noout -dates
date -u

Dacă datele au trecut într-adevăr, reînnoiți prin emitent. Dacă există un înlocuitor, dar nu este încă valid, urmați tranziția acceptată în loc să mutați ceasul ca să îl acomodați. A retrodacta un dispozitiv pentru a satisface un certificat este o decizie cu consecințe mult dincolo de tunel.

De ce repararea unuia îl expune pe celălalt

Validarea rulează o secvență de verificări, iar primul eșec oprește raportul. Reparați numele și clientul vă poate spune apoi că lanțul este incomplet sau că certificatul a expirat. Asta nu înseamnă că prima verificare a fost inutilă. Înseamnă că lanțul a avut mai mult de o problemă, așa că așteptați-vă la a doua eroare în loc să o citiți ca dovadă că prima corecție a fost greșită.

Mai multe noduri agravează acest lucru. Un serviciu cu echilibrare de sarcină poate prezenta certificate diferite de la membri diferiți, așa că un test care trece de două ori și eșuează o dată vă vorbește despre flotă, nu despre clientul dvs. Păstrați adresa partenerului și ora încercării în diagnostic.

Acest detaliu este cel care transformă un tichet instabil într-unul reproductibil.

Dovediți-o cu o conexiune nouă

După reparație, deschideți o conexiune nouă în loc să o reluați pe cea veche și confirmați că etapa care eșua acum trece. Apoi confirmați că tunelul transportă efectiv trafic, deoarece un handshake reușit nu este o rută funcțională.

Păstrați etapa exactă a erorii și detaliile certificatului împreună cu tichetul.

Această înregistrare este cea care împiedică următoarea persoană să reseteze parole de cont pentru o problemă de certificat. Identitatea și valabilitatea sunt întrebări separate, iar RFC 5280 este referința pentru modul în care este evaluată a doua.