Preklic certifikatov ne uspe: kateri gostitelj in česa ne doseže

Certifikati so lahko znotraj obdobja veljavnosti, VPN pa vseeno sporoči napako preverjanja pristnosti, in nekdo sklene, da je certifikat preklican. To so tri različna dejstva. Podatke o preklicu mora pridobiti naprava, ki izvaja preverjanje, z objavne točke, navedene v samem certifikatu. Ko ta naprava ne doseže točke, preverjanje ne uspe iz razlogov, ki niso povezani s stanjem certifikata.

Preverjevalec upravlja pot pridobivanja

Začnite z določitvijo preverjevalca. Ko prenosnik preverja certifikat prehoda, podatke pridobi prenosnik; ko prehod preverja certifikat odjemalca, to stori prehod. Storitev preverjanja pristnosti v ozadju lahko doda tretjega preverjevalca z lastnim omrežnim položajem. Vsak ima drugačno pot v internet in drugačno nastavitev proxyja. Dokazi, zbrani na delovni postaji skrbnika, ne povedo ničesar o strežniku znotraj DMZ.

Preden karkoli spremenite, zapišite certifikat, preverjevalca, čas poskusa in natančno kodo stanja.

Preberite objavno točko iz certifikata

Certifikat navaja, kje je njegovo stanje. Preberite ta polja, namesto da ugibate naslov CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Prva razširitev navaja distribucijske točke CRL, druga pa metode dostopa do podatkov o izdajatelju, ki lahko pokrivajo stanje OCSP in pridobivanje certifikata izdajatelja. To so različni mehanizmi in odzivnik OCSP ni datoteka CRL. Gostitelj objave je pogosto običajen spletni strežnik, ne stroj CA, ker lahko izdajatelj brez povezave podpiše CRL, ki jo razširja drug strežnik. Pravilo požarnega zidu, opisano kot dostop do CA, je zato preveč nejasno za izvedbo ali pregled.

Preizkusite pridobivanje z naprave, ki preverja

Zaženite preizkus pridobivanja v okolju, ki dejansko izvaja preverjanje, z odobrenim certifikatnim gradivom in brez zasebnih ključev.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Zagon certutil preveri verigo in poroča, katera pridobivanja URL so uspela ali spodletela, medtem ko klic curl preizkusi en naslov objave z istega gostitelja in vrne samo kodo stanja. Neuspešno pridobivanje z dosegljivega naslova kaže na težave z vsebino ali podpisom; napaka povezave kaže na usmerjanje, DNS ali proxy. Shranite oba rezultata, ker eno uspešno pridobivanje ne dokazuje, da je celotna veriga uporabna. Zamenjajte vzorčnega gostitelja in pot z distribucijsko točko, najdeno v certifikatu.

Ločite manjkajoče podatke od preklicanega stanja

Štirje izidi so od zunaj videti enaki: točka ni dosegljiva, seznam je zastarel, seznam je podpisal napačen izdajatelj ali je certifikat res preklican. Samo zadnji je rezultat stanja in samo on upravičuje odvzem dostopa. Predpomnjenje sliko še bolj zaplete, ker lahko prej pridobljeni podatki skrivajo pokvarjeno objavno pot do naslednjega osveževanja. Izklop preverjanja preklica, brisanje nepovezanih certifikatov ali ponovni zagon prehoda nadomestijo diagnozo z dejavnostjo.

Po popravku vsilite novo preverjanje pristnosti in potrdite, da želeno pridobivanje stanja uspe. Kjer obstaja nadzorovana preskusna identiteta, potrdite, da je še vedno zavrnjena, ker razpoložljivost, ki odstrani preverjanje, ni popravilo.