Neusklađenost naziva ili istek certifikata: kako ih razlikovati

Dva kvara VPN-a izgledaju isto sa korisničke stolice, a traže suprotne popravke. Neusklađenost naziva znači da je certifikat valjan, ali izdan za nešto drugo. Greška isteka znači da certifikat nije valjan u ovom trenutku. Nijedno nije problem lozinke, a poništavanje vjerodajnica je najčešće izgubljeni sat u oba slučaja. Pročitajte fazu koja pada prije nego što bilo šta dotaknete.

Tekst greške je dijagnoza

Klijent vam kaže koja provjera nije prošla, čak i kad je poruka kratka. Neusklađenost navodi očekivano ime hosta i ime koje je pronašla. Greška isteka spominje datume valjanosti ili vrijeme. Te dvije rečenice upućuju na različite dijelove certifikata.

Čitajte ih u fazi u kojoj se pojavljuju. Pad tokom rukovanja problem je certifikata; pad nakon podizanja tunela problem je usmjeravanja ili vjerodajnica. Zadržavanje faze ono je što sprječava da istraga odluta u nepovezane postavke.

Ako se pad razlikuje među pokušajima, imate treću mogućnost: više od jednog čvora iza istog imena.

Provjere naziva: što klijent upoređuje

Klijent upoređuje identitet koji je konfigurisan da očekuje sa nazivima u certifikatu, koji se nalaze u proširenju subjectAltName. Sirovi IP u profilu, alias koji certifikat ne navodi ili naziv koji se samo razrješava na isti server — svi padaju na ovoj provjeri. Doći do pravog stroja nije isto što i predstaviti pravi identitet.

Pregledajte certifikat koji server stvarno predstavlja, a ne datoteku iz ranijeg pokušaja. Naredba ispod traži naziv koji ste konfigurisali, pa odgovor uključuje certifikat koji bi pravi klijent vidio.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Certifikat pouzdanog izdavaoca ipak može biti za drugu uslugu. Držite provjere naziva na klijentu uključenima, jer povjerenje u CA ne ovlašćuje svaki naziv koji je taj CA ikad potpisao. Isključivanje provjere pretvara grešku konfiguracije u izloženost.

Istek: čiji se sat čita

Valjanost je par vremenskih oznaka, a provjeravalac ih upoređuje sa sopstvenim satom. Uređaj sa pogrešnim satom prijavljuje valjan certifikat kao istekao ili kao još nevaljan, a popravka je sat, ne certifikat. Razlika u prikazu vremenske zone nije isto što i pogrešno osnovno vrijeme.

Uporedite datume certifikata sa UTC-om na klijentu prije nego što išta zaključite:

openssl x509 -in cert.pem -noout -dates
date -u

Ako su datumi zaista prošli, obnovite preko izdavaoca. Ako zamjena postoji, ali još nije postala valjana, slijedite podržani prelaz umjesto da pomjerate sat da joj se prilagodi. Vraćanje datuma uređaja unazad radi zadovoljavanja certifikata odluka je sa posljedicama daleko izvan tunela.

Zašto popravka jednog otkriva drugo

Validacija izvodi niz provjera, a prvi pad zaustavlja izvještaj. Popravite naziv i klijent vam tada može reći da lanac nije potpun ili da je certifikat istekao. To ne znači da je prva provjera bila nepotrebna. Znači da je lanac imao više od jednog problema, pa očekujte drugu grešku umjesto da je čitate kao dokaz da je prva popravka bila pogrešna.

Više čvorova to pogoršava. Usluga sa balansiranjem opterećenja može predstavljati različite certifikate iz različitih članova, pa test koji dvaput prođe i jednom padne govori vam o floti, a ne o vašem klijentu. Zadržite adresu druge strane i vrijeme pokušaja u dijagnozi.

Taj detalj pretvara nestabilan tiket u reproducibilan.

Dokažite to novom vezom

Nakon popravke otvorite novu vezu umjesto da nastavite staru i potvrdite da faza koja je prije padala sada prolazi. Zatim potvrdite da tunel zaista prenosi promet, jer uspješno rukovanje nije radna ruta.

Zadržite tačnu fazu greške i pojedinosti certifikata uz tiket.

Taj zapis ono je što sljedeću osobu sprječava da poništi lozinke računa zbog problema sa certifikatom. Identitet i valjanost odvojena su pitanja, a RFC 5280 referenca je za to kako se drugo ocjenjuje.