Un ceas greșit al dispozitivului poate opri VPN-ul: verificați mai întâi ora

VPN-ul nu se mai conectează, jurnalul menționează un certificat, iar primul impuls este să înlocuiți profilul. Un ceas al dispozitivului care este cu minute sau ore în urmă sau înainte produce exact acea eroare, deoarece validitatea certificatului este judecată față de momentul local. Eticheta fusului orar de pe ecran nu este problema; ora de dedesubt este. Verificați ceasul înainte de a atinge orice material al certificatului.

Eroarea arată ca o problemă de certificat, nu ca o problemă de ceas

Strângerea de mână TLS eșuează când certificatul celeilalte părți iese din fereastra sa de valabilitate față de ceasul verificatorului. Acea verificare rulează pe client, așa că un ceas de client greșit respinge un certificat perfect bun. Textul erorii numește certificatul, și de aceea oamenii îl înlocuiesc și văd aceeași eroare din nou. Ceasul este ipoteza mai ieftină și ar trebui testat primul.

Un ceas înaintea timpului real respinge un certificat curent ca expirat; un ceas în urmă respinge unul mai nou ca încă nevalid. Ambele mesaje indică date, și ambele sunt produse fără niciun contact cu autoritatea de certificare. Acesta este indiciul: o expirare reală afectează fiecare client, în timp ce o problemă de ceas afectează doar acea singură mașină cu ora greșită.

Citiți momentul, apoi certificatul

Afișați ceasul în UTC și datele proprii ale certificatului înainte de a schimba ceva. Compararea a două momente absolute elimină complet întrebarea despre fusul orar din investigație. Dacă fereastra certificatului conține momentul curent, certificatul nu este eșecul dumneavoastră.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Dacă ceasul local este greșit, verificați dacă este sincronizat și cu ce. O mașină cu sincronizarea oprită, sau cu o sursă de timp pe care nu o poate atinge, derivă până când ceva eșuează. Ieșirea de stare numește sursa și ultima ajustare reușită, ceea ce este mai util decât abaterea curentă singură. O abatere mare fără sursă configurată este o problemă diferită de o abatere mică față de o sursă funcțională.

timedatectl timesync-status
chronyc tracking

Opriți-vă dacă certificatul este într-adevăr expirat pentru fiecare client. Atunci ceasul este în regulă și certificatul are nevoie de reînnoire, nu de ajustare.

Codurile de autentificare eșuează dintr-un motiv înrudit, dar diferit

Parolele de unică folosință bazate pe timp își iau valoarea din pasul de timp curent, de obicei treizeci de secunde. Un dispozitiv al cărui ceas este decalat cu mai mult de un pas sau două produce coduri pe care serverul nu le va accepta, chiar dacă utilizatorul a tastat cifrele corecte. Eroarea arată ca o parolă greșită, ceea ce îi împinge pe oameni într-o buclă de resetare care nu poate repara un ceas.

Stabiliți care componentă a respins încercarea, deoarece clientul VPN, poarta de acces și furnizorul de identitate raportează etape diferite. Dacă codul este respins, dar parola este acceptată, contul este probabil în regulă și suspectul este ceasul. Dacă ambele sunt respinse, contul poate fi blocat și ceasul este o pistă falsă. Urmați îndrumările de recuperare ale furnizorului în loc să aprobați cereri pe care nu le-ați inițiat.

Nu dați ceasul înapoi pentru ca un cod să funcționeze. Ascunde cauza și strică următoarea verificare bazată pe timp.

Reparați sursa, nu ora afișată

Sincronizarea este un serviciu de rețea, iar tunelul poate schimba dacă sursa de timp este accesibilă. O sursă corporativă poate necesita tunelul, în timp ce o sursă publică poate fi blocată de politică. Navigarea poate funcționa în timp ce ruta proprie a serviciului de timp eșuează, motiv pentru care această dependență este ușor de ratat. NTP este protocolul din spatele ajustării și are nevoie de propria rută ca orice alt serviciu.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Există și o problemă de ordine la pornire: un ceas foarte greșit poate împiedica un tunel autentificat, iar singura sursă de timp utilizabilă poate sta în spatele acelui tunel. O flotă gestionată are nevoie de o procedură documentată pentru acea stare, iar ocolirea verificării certificatului nu este una. Pe un dispozitiv personal, folosiți controalele de timp ale sistemului de operare și aflați de ce ceasul se pierde după oprire sau restaurare. O mașină care derivă la fiecare pornire are o problemă de hardware sau de configurare, nu o problemă de VPN.

După reparație, reîncercați conexiunea originală și citiți noua eroare separat. O identitate de server slabă, un certificat care chiar a expirat și un cont respins sunt trei eșecuri diferite, iar amestecarea lor este modul în care o simplă corectare a ceasului devine o săptămână de schimbări de profil.