Napačna ura naprave lahko ustavi VPN: najprej preverite čas

VPN se preneha povezovati, dnevnik omenja certifikat, in prvi impulz je zamenjati profil. Ura naprave, ki je za minute ali ure napačna, ustvari točno to napako, ker se veljavnost certifikata presoja glede na lokalni trenutek. Oznaka časovnega pasu na zaslonu ni težava; težava je sama ura. Preverite uro, preden se dotaknete kakršnegakoli gradiva certifikata.

Napaka je videti kot težava s certifikatom, ne z uro

Rokovanje TLS ne uspe, ko certifikat druge strani pade izven svojega okna veljavnosti glede na uro preverjevalca. Ta preveritev teče na odjemalcu, zato napačna ura odjemalca zavrne povsem dober certifikat. Besedilo napake imenuje certifikat, zato ga ljudje zamenjajo in znova vidijo isto napako. Ura je cenejša hipoteza in jo je treba preizkusiti prvo.

Ura, ki prehiteva resnični čas, zavrne veljaven certifikat kot potekel; ura, ki zaostaja, zavrne novejšega kot še ne veljavnega. Obe sporočili kažeta na datume, in obe nastaneta brez kakršnega koli stika s certifikacijskim organom. To je znak: resnično poteklo velja za vsakega odjemalca, medtem ko težava z uro prizadene samo tisti en stroj z napačnim časom.

Preberite trenutek, nato certifikat

Preden karkoli spremenite, izpišite uro v UTC in lastne datume certifikata. Primerjava dveh absolutnih trenutkov popolnoma odstrani vprašanje časovnega pasu iz preiskave. Če okno certifikata vsebuje trenutni trenutek, certifikat ni vaša napaka.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Če je lokalna ura napačna, preverite, ali je sinhronizirana in s čim. Stroj z izklopljeno sinhronizacijo ali z virom časa, do katerega ne seže, se odmika, dokler nekaj ne odpove. Izhod stanja imenuje vir in zadnjo uspešno prilagoditev, kar je bolj koristno kot samo trenutni odklon. Velik odklon brez nastavljenega vira je druga težava kot majhen odklon glede na delujoč vir.

timedatectl timesync-status
chronyc tracking

Ustavite se, če je certifikat res potekel za vsakega odjemalca. Potem je ura v redu in certifikat potrebuje obnovitev, ne prilagoditve.

Prijavne kode odpovejo iz sorodnega, a drugačnega razloga

Enkratna gesla, ki temeljijo na času, črpajo vrednost iz trenutnega časovnega koraka, običajno tridesetih sekund. Naprava, katere ura odstopa za več kot korak ali dva, ustvari kode, ki jih strežnik ne bo sprejel, tudi če je uporabnik vtipkal prave števke. Napaka je videti kot napačno geslo, kar ljudi požene v zanko ponastavitve, ki ure ne more popraviti.

Ugotovite, katera komponenta je poskus zavrnila, ker odjemalec VPN, prehod in ponudnik identitete poročajo o različnih stopnjah. Če je koda zavrnjena, geslo pa sprejeto, je račun verjetno v redu in sumljiva je ura. Če je zavrnjeno oboje, je račun morda zaklenjen in ura je lažna sled. Sledite navodilom ponudnika za obnovitev, namesto da odobrite zahteve, ki jih niste začeli.

Ure ne premikajte nazaj, da bi koda delovala. To skrije vzrok in pokvari naslednjo preveritev, ki temelji na času.

Popravite vir, ne prikazane ure

Sinhronizacija je omrežna storitev, in tunel lahko spremeni, ali je vir časa dosegljiv. Korporativni vir lahko zahteva tunel, medtem ko je javni vir lahko blokiran s politiko. Brskanje lahko deluje, medtem ko lastna pot časovne storitve odpove, zato je to odvisnost zlahka spregledati. NTP je protokol za prilagoditvijo in potrebuje svojo pot kot vsaka druga storitev.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Obstaja tudi težava z vrstnim redom zagona: zelo napačna ura lahko prepreči overjeno tunelsko povezavo, edini uporabni vir časa pa je lahko za tem tunelom. Upravljana flota potrebuje dokumentiran postopek za to stanje, in obhod preverjanja certifikata to ni. Na osebni napravi uporabite lastne časovne nastavitve operacijskega sistema in ugotovite, zakaj se ura izgubi po izklopu ali obnovitvi. Stroj, ki se odmika ob vsakem zagonu, ima težavo s strojno opremo ali konfiguracijo, ne težave z VPN.

Po popravilu znova poskusite prvotno povezavo in novo napako preberite ločeno. Slaba identiteta strežnika, certifikat, ki je res potekel, in zavrnjen račun so tri različne napake, in njihovo mešanje je način, kako preprost popravek ure postane teden menjav profilov.