Opoziv certifikata ne uspijeva: koji host i što ne može dosegnuti

Certifikati mogu biti unutar razdoblja valjanosti, a VPN ipak prijavljuje pogrešku autentikacije, i netko zaključi da je certifikat opozvan. To su tri različite činjenice. Podatke o opozivu mora dohvatiti uređaj koji provodi validaciju, s objavljivačke točke navedene u samom certifikatu. Kada taj uređaj ne može dosegnuti točku, provjera ne uspijeva iz razloga nepovezanih sa statusom certifikata.

Validator upravlja putem dohvata

Počnite s prepoznavanjem validatora. Kada prijenosno računalo provjerava certifikat pristupnika, ono dohvaća podatke; kada pristupnik provjerava certifikat klijenta, to čini pristupnik. Usluga autentikacije u pozadini može dodati treći validator s vlastitim mrežnim položajem. Svaki ima drukčiju rutu prema internetu i drukčiju konfiguraciju proxyja. Dokazi prikupljeni na radnoj stanici administratora ne govore ništa o poslužitelju unutar DMZ-a.

Zapišite certifikat, validator, vrijeme pokušaja i točan statusni kod prije nego što bilo što promijenite.

Pročitajte objavljivačku točku iz certifikata

Certifikat navodi gdje se nalazi njegov status. Pročitajte ta polja umjesto da nagađate adresu CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Prvo proširenje navodi točke distribucije CRL-a, a drugo navodi metode pristupa podacima o izdavatelju, koje mogu pokrivati OCSP status i dohvat certifikata izdavatelja. To su različiti mehanizmi, a OCSP odgovarač nije datoteka CRL. Host objave često je običan web poslužitelj, a ne stroj CA, jer izdavatelj izvan mreže može potpisati CRL koju distribuira drugi poslužitelj. Pravilo vatrozida opisano kao pristup CA-u stoga je previše neodređeno za primjenu ili pregled.

Ispitajte dohvat s uređaja koji provjerava

Pokrenite test dohvata u okruženju koje doista provodi validaciju, s odobrenim certifikatnim materijalom i bez privatnih ključeva.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Pokretanje certutila provjerava lanac i izvješćuje koji su dohvati URL-a uspjeli ili nisu, dok poziv curl testira jednu adresu objave s istog hosta i vraća samo statusni kod. Neuspjeli dohvat s dostupne adrese upućuje na probleme sa sadržajem ili potpisom; pogreška veze upućuje na usmjeravanje, DNS ili proxy. Sačuvajte oba rezultata jer jedan uspješan dohvat ne dokazuje da je cijeli lanac upotrebljiv. Zamijenite primjer hosta i putanje točkom distribucije nađenom u certifikatu.

Odvojite nedostajuće podatke od opozvanog statusa

Četiri ishoda izvana izgledaju jednako: točka je nedostupna, popis je zastario, popis je potpisao pogrešan izdavatelj ili je certifikat doista opozvan. Samo je posljednji statusni rezultat i samo on opravdava ukidanje pristupa. Predmemoriranje dodatno komplicira sliku jer prethodno dohvaćeni podaci mogu skrivati pokvaren put objave do sljedećeg osvježavanja. Isključivanje provjere opoziva, brisanje nepovezanih certifikata ili ponovno pokretanje pristupnika zamjenjuju dijagnozu aktivnošću.

Nakon popravka prisilite novu autentikaciju i potvrdite da namjeravani dohvat statusa uspijeva. Gdje postoji kontrolirani testni identitet, potvrdite da se i dalje odbija, jer dostupnost koja uklanja provjeru nije popravak.