Neujemanje imena ali iztek potrdila: kako ju ločiti

Dve napaki VPN sta s stola uporabnika videti enaki, zahtevata pa nasprotna popravka. Neujemanje imena pomeni, da je potrdilo veljavno, a izdano za nekaj drugega. Napaka zaradi izteka pomeni, da potrdilo v tem trenutku ni veljavno. Nobena ni težava z geslom, ponastavitev poverilnic pa je v obeh primerih najpogosteje zapravljena ura. Preberite stopnjo, ki odpove, preden se česar koli dotaknete.

Besedilo napake je diagnoza

Odjemalec vam pove, katero preverjanje ni uspelo, tudi ko je sporočilo jedrnato. Neujemanje navede pričakovano ime gostitelja in najdeno ime. Napaka zaradi izteka omenja datume veljavnosti ali čas. Ta dva stavka kažeta na različne dele potrdila.

Berite ju na stopnji, kjer se pojavita. Napaka med rokovanjem je težava s potrdilom; napaka po vzpostavitvi tunela je težava z usmerjanjem ali poverilnicami. Ohranjanje stopnje je tisto, kar prepreči, da bi preiskava zašla v nepovezane nastavitve.

Če se napaka med poskusi razlikuje, imate tretjo možnost: več kot eno vozlišče za istim imenom.

Preverjanja imena: kaj primerja odjemalec

Odjemalec primerja identiteto, ki jo pričakuje po konfiguraciji, z imeni v potrdilu, ki se nahajajo v razširitvi subjectAltName. Surov IP v profilu, vzdevek, ki ga potrdilo ne navaja, ali ime, ki se preprosto razreši v isti strežnik – vsi spodletijo pri tem preverjanju. Doseči pravi stroj ni isto kot predstaviti pravo identiteto.

Preglejte potrdilo, ki ga strežnik dejansko predstavi, ne datoteke iz prejšnjega poskusa. Spodnji ukaz zahteva ime, ki ste ga konfigurirali, zato odgovor vključuje potrdilo, ki bi ga videl resničen odjemalec.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Potrdilo zaupanja vrednega izdajatelja je lahko še vedno za drugo storitev. Pustite preverjanja imena pri odjemalcu vključena, ker zaupanje v CA ne pooblasti vsakega imena, ki ga je ta CA kdaj podpisal. Izklop preverjanja spremeni konfiguracijsko napako v izpostavljenost.

Iztek: čigava ura se bere

Veljavnost je par časovnih žigov, preverjevalnik pa ju primerja z lastno uro. Naprava z napačno uro sporoči veljavno potrdilo kot poteklo ali kot še ne veljavno, popravek pa je ura, ne potrdilo. Razlika v prikazu časovnega pasu ni isto kot napačen osnovni čas.

Primerjajte datume potrdila z UTC na odjemalcu, preden karkoli sklepate:

openssl x509 -in cert.pem -noout -dates
date -u

Če so datumi res minili, obnovite pri izdajatelju. Če zamenjava obstaja, a še ni veljavna, sledite podprtemu prehodu, namesto da premikate uro, da bi se ji prilagodila. Premikanje datuma naprave nazaj zaradi potrdila je odločitev s posledicami daleč onkraj tunela.

Zakaj popravek enega razkrije drugega

Preverjanje izvede zaporedje preverjanj in prva napaka ustavi poročilo. Popravite ime in odjemalec vam lahko nato pove, da je veriga nepopolna ali da je potrdilo poteklo. To ne pomeni, da je bilo prvo preverjanje nepotrebno. Pomeni, da je imela veriga več kot eno težavo, zato pričakujte drugo napako, namesto da bi jo brali kot dokaz, da je bil prvi popravek napačen.

Več vozlišč to poslabša. Storitev z razporejanjem obremenitve lahko predstavi različna potrdila različnih članov, zato test, ki dvakrat uspe in enkrat spodleti, govori o floti in ne o vašem odjemalcu. V diagnozi ohranite naslov partnerja in čas poskusa.

Prav ta podrobnost spremeni nestabilno zahtevo v ponovljivo.

Dokažite to z novo povezavo

Po popravilu odprite novo povezavo, namesto da bi nadaljevali staro, in potrdite, da stopnja, ki je prej spodletela, zdaj uspe. Nato potrdite, da tunel res prenaša promet, saj uspešno rokovanje ni delujoča pot.

Ohranite natančno stopnjo napake in podrobnosti potrdila skupaj z zahtevo.

Prav ta zapis prepreči naslednji osebi, da ponastavi gesla računa zaradi težave s potrdilom. Identiteta in veljavnost sta ločeni vprašanji, RFC 5280 pa je referenca za to, kako se ocenjuje drugo.