Предупреждение о сертификате меняется с VPN: сравните оба пути

Предупреждение о сертификате появляется в офисной сети Wi-Fi и исчезает в момент подключения VPN. Это реальное наблюдение, но не диагноз. Вы знаете лишь то, что два сетевых условия дали разные результаты проверки, а список возможных причин длинный. Относитесь к этому как к контролируемому сравнению, а не как к доказательству компрометации роутера.

То же предупреждение может появляться и наоборот: чисто в локальной сети, сломано через туннель. Любое направление даёт две точки данных и никакого объяснения.

Держите сравнение на одной переменной за раз

Используйте одно и то же имя хоста, один и тот же профиль браузера и проверенные часы устройства. Записывайте точный текст ошибки и время для каждого условия. VPN включён и VPN выключен — это метки двух условий, а не объяснение разницы.

Меняйте по одной вещи за раз. Если в одной попытке сменить DNS-серверы, браузер и сеть, вы узнаете, что что-то в этом наборе важно, а это почти то же самое, что не узнать ничего.

Держите в заметках небольшую таблицу: условие, резолвер, адрес назначения, ошибка и отпечаток сертификата. Пять строк такой таблицы обычно лучше часа догадок.

Прочитайте категорию ошибки раньше сертификата

Несовпадение имени, недоверенный издатель и истёкший сертификат — разные находки. Руководство Chrome по ошибкам подключения разделяет их, а точный код на странице ошибки говорит, с каким вы имеете дело. Этот код определяет, что сравнивать дальше.

Если ошибка — несовпадение имени, предъявленный сертификат не покрывает запрошенное имя хоста. Если недоверенный издатель, цепочка не ведёт к корню, которому доверяет браузер. Если истечение срока, даты неверны, что может также означать неверные часы устройства.

Не проходите мимо предупреждения и не устанавливайте незнакомый корень, чтобы страница загрузилась. Это превращает находку в скрытое изменение.

Сравните лист, цепочку и контекст

Когда появляется другой сертификат, установите, принадлежит ли каждый нужному сервису. Одобренное продление или другая конечная точка сервиса могут объяснить законное изменение. Неожиданное имя или издатель — повод спросить владельца сервиса, а не приговор. Только отпечаток не говорит, какой из этих случаев вы видите.

Когда один и тот же лист появляется в обоих условиях, сравнивайте предоставленную цепочку и контекст проверки, а не останавливайтесь на совпадающем отпечатке. Ошибка может касаться промежуточного сертификата или настройки доверия, а не самого листа. Держите точную ошибку рядом со сравнением.

VPN может изменить путь резолвера, выбранный пункт назначения, путь через прокси или то, как отвечает сервис, зависящий от источника. Страница, загружающаяся через туннель, не показывает, какая из этих переменных имела значение. Переход на публичный резолвер и наблюдение загрузки страницы не является независимым подтверждением личности сайта.

Напишите передачу, по которой владелец сможет действовать

Полезный отчёт содержит нужное имя хоста, два времени попыток, точные ошибки и публичные сведения о сертификате: субъект, издатель, срок действия, отпечаток и цепочку. Скрывайте внутренние имена, если отчёт выходит за пределы согласованной аудитории.

После того как владелец предоставит проверенное исправление, повторите исходный запрос, сохранив обычную проверку нетронутой. Затем закройте сравнение записанным результатом.

Если доказательства по-прежнему показывают лишь то, что один путь успешен, а другой нет, скажите именно это. Ограниченная и точная находка полезнее широкого сброса роутера, изменения хранилища доверия или исключения безопасности, которое убирает симптом и скрывает причину.