cert8.db — не одноразовый кэш: проверьте владельца хранилища

Старая ветка поддержки советует удалить файл с именем cert8.db, и VPN снова работает. Такая последовательность чаще совпадение, чем исправление. Файл — это база сертификатов, и его удаление меняет постоянное состояние безопасности так, чего успешный запуск не показывает.

Зависший вход — это не проблема кэша

Кэш браузера хранит копии ресурсов; база сертификатов хранит решения о доверии, сертификаты и связанные с ними ключи. Удалить второе ближе к сбросу идентичности, чем к очистке истории. Если клиент завис при входе, полезное доказательство — какой процесс открыл какой профиль и что записал в журнал, а не какой файл удалил пост на форуме. Воспроизвести зависание и прочитать журнал клиента дольше, чем удалить файл, и это единственный путь к настоящей причине.

Имя файла тоже несёт историю: NSS различает старые cert8.db и key3.db и основанные на SQLite cert9.db и key4.db. Запишите строку журнала, которую видели перед зависанием, потому что это единственное долговечное доказательство, которое у вас есть.

Какой профиль клиент действительно открывает

Определите клиент, его способ аутентификации и хранилище, которое он читает. Здесь есть три пути входа: с помощью браузера, встроенный браузер и собственный клиент, и они не обязаны делить профиль. База с правильным именем в другом каталоге не доказывает, что зависший процесс открыл её. В Linux хранилище NSS обычно находится в ~/.pki/nssdb пользователя или в каталоге профиля приложения. Оба варианта могут сосуществовать на одной машине, поэтому проверьте оба, если миграция недавняя.

Прежде чем менять, перечислите, что содержит хранилище: certutil -L -d sql:$HOME/.pki/nssdb печатает сертификаты, а тот же инструмент с -K показывает, есть ли ключи.

Если команда сообщает, что базу нельзя открыть, вы нашли профиль, который использует инструмент, но не обязательно тот, что использовал VPN.

Сделайте резервную копию профиля перед любым исправлением

Закройте затронутые приложения, затем скопируйте весь каталог профиля одобренным способом резервного копирования. Базы сертификатов и ключей — связанное, но отдельное состояние, и сохранение одного произвольного файла не является планом восстановления всей идентичности. Защитите копию, потому что профиль может содержать закрытые ключи. Запишите, что и куда вы скопировали, чтобы неудачное исправление имело путь назад.

Затем согласуйте точный объём исправления с сопровождающим. Полный сброс хранилища, удаление одного известного устаревшего сертификата и исправление профиля браузера — три разных изменения с тремя разными рисками.

После исправления войдите и проверьте хранилище

После разрешённого исправления войдите в VPN и подтвердите, что сертификат сервера по-прежнему проверяется как задумано. Проверьте, что нужные рабочему процессу идентичности на месте и что не появился неожиданный якорь доверия. Исправление, которое заставляет соединение работать за счёт большего доверия, чем раньше, не является исправлением.

Держите наблюдение и инструкцию отдельно: одно удаление и один успешный запуск — не общее решение.

Если зависание вернётся, зафиксируйте журнал клиента и используемый профиль, прежде чем менять что-то ещё. Именно эта запись превращает догадку в диагноз.