VPN සහතිකය තවම වලංගු නැත: හේතු තුනක්, එක් පරීක්ෂණ අනුපිළිවෙලක්
«තවම වලංගු නැත» යන්නෙන් අදහස් වන්නේ උපාංගයේ ඔරලෝසුව පසුගාමී බව, කවුළුව ඇත්තටම පසුව ආරම්භ වන බව, හෝ අතරමැදි සහතිකයක් තවම විවෘත නොවී ඇති බවයි. ඒවා එම අනුපිළිවෙලින් පරීක්ෂා කරන්න.
ඔබ සේවාදායකය විවෘත කර, මාස ගණනක් භාවිත කළ පැතිකඩ තෝරන විට, එය "certificate is not yet valid" සමඟ නතර වේ. ඔබේ පිවිසුමේ කිසිවක් වෙනස් වී නැත, විශ්වාස ගබඩාව බොහෝ විට හොඳින් ඇත: අත්වැල් ගැසීමේදී ඉදිරිපත් කරන සහතිකයට පරීක්ෂකයා භාවිත කරන මොහොතට වඩා පසුව ආරම්භ වන වලංගුතා කවුළුවක් ඇත. වෙනස් අවස්ථා තුනක් එම පණිවිඩයම නිපදවන අතර ඒවාට වෙනස් ක්‍රියා අවශ්‍ය වේ. පහත අනුපිළිවෙල ඔරලෝසුවක් හෝ සහතික ගොනුවක් ස්පර්ශ කිරීමට පෙර ඔබට ඇත්තේ කුමක්දැයි කියයි.
හේතු තුනෙන් ඔබ දකින්නේ කුමක්ද
පළමු හේතුව දේශීයයි: පරීක්ෂාව සිදු කරන උපාංගයේ ඔරලෝසුව සහතිකයේ ආරම්භක දිනට පෙරය. මෙය මියගිය CMOS බැටරියක් සහිත දෘඪාංගවල, පැරණි ස්නැප්ෂොටයකින් ප්‍රතිසාධනය කළ අතථ්‍ය යන්ත්‍රවල, වේලාව නැති වීමට තරම් දිගු කාලයක් වසා තිබූ උපාංගවල, සහ පිටතට යන NTP අවහිර වී කිසිවෙකු නොදුටු ජාලවල දකිනු ඇත. සහතිකය සම්පූර්ණයෙන්ම වලංගු වුවද මෙලෙස අසාර්ථක විය හැක.
දෙවන හේතුව නිකුත් කරන්නාට අයත් වේ, මන්ද සහතිකය ඇත්තටම අනාගතයේ ආරම්භ වේ: කලින් නිකුත් කළ, පැහැදිලි ආරම්භක වේලාවක් සහිතව ජනනය කළ, හෝ තවම නොගිය සක්‍රීයකරණ පියවරක කොටසක් ලෙස අත්සන් කළ. තුන්වන හේතුව වැඩිම කාලය නාස්ති කරයි, මන්ද පත්‍රිකාව වත්මන් වන අතර ඉදිරිපත් කළ දාමයේ තවත් සහතිකයක් එසේ නොවන බැවින් දෝෂය ඔබ කිසිදා ස්ථාපනය නොකළ ද්‍රව්‍ය නම් කරයි.
එක් ප්‍රශ්නයක් ඒවා වෙන් කරයි. අසාර්ථකත්වය උපාංගය පසුපස යනවාද නැතහොත් සේවාව පසුපස? එකම ජාලයේ වෙනස් ලෙස හැසිරෙන යන්ත්‍ර දෙකක් ඔරලෝසු පෙන්වා දෙයි. සෑම සේවාදායකයක්ම එකම ආකාරයෙන් අසාර්ථක වුවහොත් එය සහතිකයේ කවුළුව සහ එහි පිටුපස ඇති දාමය පෙන්වා දෙයි.
ඇත්තටම ඉදිරිපත් කළ සහතිකයෙන් කවුළුව කියවන්න
පෙර යෙදවීමකින් ඉතිරි වූ PEM ගොනුවක් පරීක්ෂා නොකරන්න; දැන් යවන දාමය සඳහා සේවාවෙන් ඉල්ලා සිටින්න. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts දාමයේ සෑම සහතිකයක්ම මුද්‍රණය කරයි. ඔබට අවශ්‍ය කොටස සුරකින්න සහ openssl x509 -noout -subject -issuer -dates ධාවනය කරන්න; අවසාන එක notBefore සහ notAfter මුද්‍රණය කරන අතර එම අගයන් දෙක තීරණය කරයි. Windows හි, සම්බන්ධතාවයේ සහතික සංවාදය සහ අපනයනය කළ ගොනුවක certutil -dump එම ක්ෂේත්‍ර පෙන්වයි.
කවුළුවේ දෙකෙළවරම කියවන්න, ආරම්භය පමණක් නොව. පැය දෙකකින් විවෘත වන සහතිකයක් සහ පැය දෙකකින් වැසෙන සහතිකයක් වෙනස් පණිවිඩ සමඟ අසාර්ථක වන අතර වෙනස් කණ්ඩායම් සම්බන්ධ කරයි. දෝෂය කුමන සහතිකය නම් කරයිද සටහන් කරන්න — පත්‍රිකාව, අතරමැදි හෝ මූල — මන්ද සේවාදායක පැත්තේ කිසිවක් නිවැරදි කළ හැකිද යන්න එය තීරණය කරයි.
කවුළුව එය එනතුරු බලා නොසිටියද අත්හදා බැලිය හැක. සත්‍යාපනය පැහැදිලි වේලාවක් පිළිගනී: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem එම වේලා මුද්‍රාවේ දාමය ඇගයීම කරයි. අසාර්ථකත්වය නැවත ජනනය කිරීමට වත්මන් වේලාව සමඟ ධාවනය කරන්න, පසුව කවුළුව විවෘත වූ පසු එම දාමයම සමත් වන බව තහවුරු කිරීමට සහතිකයේ ආරම්භක වේලාව සමඟ ධාවනය කරන්න. RFC 5280 වලංගුතා ක්ෂේත්‍රය සහ ඉන් පිටත සහතිකයක් භාවිත නොකළ යුතු බවට නියමය නිර්වචනය කරයි, ඔබේ සේවාදායකය දැන් යෙදූ නියමයද එයමය.
ඔබේ ඔරලෝසුවද, ඔවුන්ගේද
උපාංගයේ ඔරලෝසුව සහතිකයේ UTC ආරම්භය සමඟ, ඔබ විශ්වාස කරන මූලාශ්‍රයකින් සසඳන්න. date -u මොහොත ලබා දෙන අතර systemd සත්කාරකයේ timedatectl status ඔරලෝසුව සමමුහුර්තද යන්නද වාර්තා කරයි. Windows හි, w32tm /query /status වත්මන් මූලාශ්‍රය සහ අවසන් සාර්ථක සමමුහුර්තකරණය පෙන්වයි. තැටියේ පෙන්වන වේලා කලාපය ප්‍රදර්ශන තේරීමක් මිස වැරදි ඔරලෝසුවක් නොවේ; පරීක්ෂකයා UTC මොහොත සසඳයි.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
ඔරලෝසුව පසුගාමී නම්, සහතික ද්‍රව්‍ය වෙනස් කිරීමට පෙර නැවත සමමුහුර්ත කර නැවත පරීක්ෂා කරන්න. මිනිත්තු හෝ පැය කිහිපයක් වැරදි උපාංගයක් එයට හමුවන සෑම මෑතකදී නිකුත් කළ සහතිකයක්ම ප්‍රතික්ෂේප කරයි, එක් සේවාවක් පමණක් නොව, එබැවින් තනි සේවා පැහැදිලි කිරීම සාමාන්‍යයෙන් වැරදි එකකි. ඔරලෝසුව නිවැරදි සහ සමමුහුර්ත නම් උපාංගය දෙස බැලීම නවත්වන්න: කවුළුව නිකුත් කරන්නාට අයත් වන අතර එය සමත් කරවීමට කිසිදු දේශීය සැකසුමක් වෙනස් නොකළ යුතුය.
එම වගුව සම්පූර්ණ තීරණයයි. සහතිකය බලාපොරොත්තු වන දෙයට ඔරලෝසුව ගෙන යාම අලුත්වැඩියාවක් නොවේ, වේලා පරීක්ෂණ ක්‍රියා විරහිත කිරීමද අලුත්වැඩියාවක් නොවේ, මන්ද දෙකම දෝෂය ඇති කළ තත්ත්වය සඟවයි.
පත්‍රිකාව හොඳින් පෙනෙද්දී දාමය අසාර්ථක වන්නේ ඇයි
අලුත් කළ පත්‍රිකා සහ ප්‍රතිස්ථාපන අතරමැදි සහතික සාමාන්‍යයෙන් එකට යවන අතර ඒවා සැමවිටම එකම මොහොතේ පැමිණෙන්නේ නැත. සේවාවකට තමන්ගේම කවුළුව පසුව ආරම්භ වන අතරමැදියෙකු විසින් අත්සන් කළ නව පත්‍රිකාවක් යැවිය හැක, නැතහොත් නව පත්‍රිකාවක් යටතේ පැරණි අතරමැදියෙකු සැපයීම දිගටම කරගෙන යා හැක. දෙයාකාරයෙන්ම පත්‍රිකාවේම දිනයන් සාධාරණ ලෙස පෙනෙද්දී දාමය අසාර්ථක වේ.
භාර-සමතුලිත අන්ත ලක්ෂ්‍ය මෙය කැඩුණු සිට අසංගත දක්වා වෙනස් කරයි. නැවත උත්සාහය සාර්ථක වුවහොත්, හෝ එක් ජාලයක් ක්‍රියා කර අනෙක නොකරන්නේ නම්, සැකසුම් වෙනස් කිරීමට පෙර කුමන සමතැන පිළිතුරු දුන්නේද සහ කුමන දාමය යැව්වේද සටහන් කරන්න. openssl s_client සම්බන්ධිත ලිපිනය මුද්‍රණය කරයි, එබැවින් උත්සාහ කිහිපයකින් සෑම නෝඩයක්ම එකම දාමය සපයන්නේද යන්න හෙළි වේ.
සත්‍යාපනය නොබිඳී තබන අලුත්වැඩියා මාර්ග
ඔරලෝසු ගැටලුවක් උපාංගයේම සත්‍යාපනය සක්‍රීයව තබා නිවැරදි කරයි. සහතික ගැටලුවක් ක්‍රියාකරු විසින් දැනටමත් දැන් ඇතුළත් කවුළුවක් සඳහා නිකුත් කළ ද්‍රව්‍යයෙන් නිවැරදි කරයි. කිසිදු සේවාදායක සැකසුමක් තවම-වලංගු-නොවන සහතිකයක් වලංගු නොකරයි; වේලා පරීක්ෂණ මඟහරින ධජ රෝග විනිශ්චයක් තහවුරු කිරීමට මිස නිෂ්පාදනයට යැවීමට නොවේ.
සහතිකය සැලසුම් කළ සක්‍රීයකරණයක් සඳහා සූදානම් කර ඇත්නම්, මාරු කිරීමේ සැලසුම අනුගමනය කරන්න. එහි කවුළුව විවෘත වූ විට එය ස්ථාපනය කරන්න, නැතහොත් සැපයුම්කරු ලේඛනගත කළ අතිච්ඡාදන ක්‍රියා පටිපාටිය භාවිත කරන්න, කලින් ස්ථාපනය කර පරිශීලකයන්ට අනතුරු ඇඟවීම් හරහා ක්ලික් කිරීමට උගන්වනවා වෙනුවට. මිනිසුන් නොසලකා හරින්නට ඉගෙන ගන්නා අනතුරු ඇඟවීම් කෙටි ප්‍රමාදයකට වඩා මිල අධිකය.
අවසාන වශයෙන්, අසාර්ථකත්වය සිදු වූ ආකාරයටම නැවත පරීක්ෂා කරන්න: නව සැසියක්, එම සේවාදායකය, ඔබට ඇත්තටම අවශ්‍ය සම්පත. TLS පුස්තකාල සම්බන්ධතාවයක ආයු කාලය තුළ සත්‍යාපිත දාමයක් හැඹිලිගත කළ හැකි අතර නැවත ආරම්භ කළ සැසියක් එය නැවත පරීක්ෂා කළ යුතුම නොවේ, එබැවින් පැරණි සැසියක් අලුත්වැඩියාවෙන් පසුවත් අසාර්ථක වෙමින් හෝ පසුබැසීමකින් පසුවත් ක්‍රියා කරමින් පැවතිය හැක. නරඹන්නක තුළ විවෘත වන ගොනුවක් සාධනය කරන්නේ ගොනුව කියවිය හැකි බව පමණි; සම්පූර්ණ වූ අත්වැල් ගැසීමක් දාමය සත්‍යාපනය වන බව සාධනය කරයි.
ටිකට් වසා දැමීමට පෙර කරුණු හතරක් තහවුරු කරන්න: අසාර්ථක වූ උපාංගයේ UTC වේලාව සහ සමමුහුර්ත තත්ත්වය, ඉදිරිපත් කළ දාමයේ සෑම සහතිකයකම notBefore සහ notAfter, දෙවන සේවාදායකයෙන් එම දාමයම, සහ දෝෂය සහතිකයට දෙන නම. ඔරලෝසුව නිවැරදි නම් සහ කවුළුව විවෘත වී නොමැති නම්, ඉතිරිය ක්‍රියාකරුගේ කාර්යය වන අතර ඔබේ පැත්තේ නිවැරදි පියවර වන්නේ සත්‍යාපනය දුර්වල කිරීම නොව කවුළුව එනතුරු බලා සිටීමයි.