Nesprávne hodiny zariadenia môžu zastaviť VPN: najprv skontrolujte čas

VPN sa prestane pripájať, log spomína certifikát a prvým inštinktom je vymeniť profil. Hodiny zariadenia, ktoré sú o minúty alebo hodiny mimo, vytvárajú presne túto chybu, pretože platnosť certifikátu sa posudzuje voči miestnemu okamihu. Označenie časového pásma na obrazovke nie je problém; problémom je samotný čas. Skontrolujte hodiny, skôr než sa dotknete akéhokoľvek materiálu certifikátu.

Chyba vyzerá ako problém s certifikátom, nie s hodinami

TLS handshake zlyhá, keď certifikát druhej strany vypadne mimo svojho okna platnosti voči hodinám overovateľa. Táto kontrola beží na klientovi, takže nesprávne klientske hodiny odmietnu úplne dobrý certifikát. Text chyby pomenúva certifikát, a preto ho ľudia vymenia a znova vidia rovnaké zlyhanie. Hodiny sú lacnejšia hypotéza a mali by sa testovať prvé.

Hodiny popredu voči skutočnému času odmietnu aktuálny certifikát ako vypršaný; hodiny pozadu odmietnu novší ako zatiaľ neplatný. Obe správy ukazujú na dátumy a obe vznikajú bez akéhokoľvek kontaktu s certifikačnou autoritou. To je stopa: skutočné vypršanie postihuje každého klienta, kým problém s hodinami postihuje jediný stroj s nesprávnym časom.

Prečítajte okamih, potom certifikát

Pred akoukoľvek zmenou vypíšte hodiny v UTC a vlastné dátumy certifikátu. Porovnanie dvoch absolútnych okamihov úplne odstráni otázku časového pásma z vyšetrovania. Ak okno certifikátu obsahuje aktuálny okamih, certifikát nie je vaše zlyhanie.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Ak sú miestne hodiny nesprávne, skontrolujte, či sú synchronizované a s čím. Stroj s vypnutou synchronizáciou alebo so zdrojom času, na ktorý sa nedostane, sa rozchádza, kým niečo nezlyhá. Výstup stavu pomenúva zdroj a poslednú úspešnú korekciu, čo je užitočnejšie ako samotná aktuálna odchýlka. Veľká odchýlka bez nastaveného zdroja je iný problém ako malá odchýlka voči fungujúcemu zdroju.

timedatectl timesync-status
chronyc tracking

Zastavte sa, ak certifikát skutočne vypršal pre každého klienta. Potom sú hodiny v poriadku a certifikát potrebuje obnovu, nie korekciu.

Prihlasovacie kódy zlyhávajú z príbuzného, ale iného dôvodu

Jednorazové heslá založené na čase čerpajú svoju hodnotu z aktuálneho časového kroku, zvyčajne tridsiatich sekúnd. Zariadenie, ktorého hodiny sa rozchádzajú o viac ako krok alebo dva, vytvára kódy, ktoré server neprijme, aj keď používateľ zadal správne číslice. Chyba vyzerá ako nesprávne heslo, čo ľudí pošle do cyklu obnovy, ktorý hodiny opraviť nedokáže.

Zistite, ktorý komponent pokus odmietol, pretože klient VPN, brána a poskytovateľ identity hlásia rôzne fázy. Ak je kód odmietnutý, ale heslo prijaté, účet je pravdepodobne v poriadku a podozrivým sú hodiny. Ak je odmietnuté oboje, účet môže byť uzamknutý a hodiny sú falošná stopa. Riaďte sa pokynmi poskytovateľa na obnovu, namiesto toho aby ste schvaľovali žiadosti, ktoré ste nezačali.

Nevracajte hodiny späť, aby kód fungoval. Skryje to príčinu a pokazí nasledujúcu kontrolu založenú na čase.

Opravte zdroj, nie zobrazenú hodinu

Synchronizácia je sieťová služba a tunel môže zmeniť, či je zdroj času dostupný. Firemný zdroj môže vyžadovať tunel, kým verejný zdroj môže byť zablokovaný politikou. Prehliadanie môže fungovať, kým vlastná cesta časovej služby zlyháva, a preto je túto závislosť ľahké prehliadnuť. NTP je protokol za korekciou a potrebuje vlastnú cestu ako každá iná služba.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Existuje aj problém poradia zavádzania: veľmi nesprávne hodiny môžu zabrániť autentifikovanému tunelu a jediný použiteľný zdroj času môže byť za tým tunelom. Spravovaná flotila potrebuje pre taký stav zdokumentovaný postup a obchádzanie overenia certifikátu ním nie je. Na osobnom zariadení použite vlastné ovládanie času operačného systému a zistite, prečo sa hodiny stratia po vypnutí alebo obnovení. Stroj, ktorý sa rozchádza pri každom štarte, má problém s hardvérom alebo konfiguráciou, nie problém s VPN.

Po oprave skúste znova pôvodné pripojenie a novú chybu čítajte zvlášť. Zlá identita servera, certifikát, ktorý skutočne vypršal, a odmietnutý účet sú tri rôzne zlyhania a ich miešanie je spôsob, akým sa z jednoduchej korekcie hodín stane týždeň výmen profilov.