Mospërputhje emri ose skadim i certifikatës: si t’i dallosh

Dy dështime VPN duken njësoj nga karrigia e përdoruesit dhe kërkojnë rregullime të kundërta. Mospërputhja e emrit do të thotë që certifikata është e vlefshme, por e lëshuar për diçka tjetër. Gabimi i skadimit do të thotë që certifikata nuk është e vlefshme në këtë moment. Asnjëra nuk është problem fjalëkalimi, dhe rivendosja e kredencialeve është ora më e humbur në të dyja rastet. Lexoni fazën që dështon përpara se të prekni çdo gjë.

Teksti i gabimit është diagnoza

Klienti ju tregon cila kontroll dështoi, edhe kur mesazhi është i kursyer. Mospërputhja emërton emrin e pritur të hostit dhe emrin e gjetur. Gabimi i skadimit përmend datat e vlefshmërisë ose një orë. Këto dy fjali tregojnë pjesë të ndryshme të certifikatës.

Lexojini në fazën ku shfaqen. Një dështim gjatë handshake është problem certifikate; një dështim pasi tuneli është ngritur është problem rrugëtimi ose kredencialesh. Mbajtja e fazës është ajo që parandalon hetimin të rrëshqasë drejt cilësimeve të palidhura.

Nëse dështimi ndryshon midis provave, keni një mundësi të tretë: më shumë se një nyje pas të njëjtit emër.

Kontrollat e emrit: çfarë krahason klienti

Klienti krahason identitetin që është konfiguruar të presë me emrat në certifikatë, të cilët ndodhen në shtojcën subjectAltName. Një IP e papërpunuar në profil, një alias që certifikata nuk e liston, ose një emër që thjesht zgjidhet në të njëjtin server — të gjitha dështojnë në këtë kontroll. Të arrish makinën e duhur nuk është njësoj si të paraqesësh identitetin e duhur.

Inspektoni certifikatën që serveri paraqet vërtet, jo një skedar nga një provë e mëparshme. Komanda më poshtë kërkon emrin që keni konfiguruar, kështu që përgjigjja përfshin certifikatën që do të shihte një klient i vërtetë.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Një certifikatë nga një lëshues i besuar mund të jetë ende për një shërbim tjetër. Mbajini kontrollet e emrit të klientit të aktivizuara, sepse besimi te një CA nuk autorizon çdo emër që ai CA ka nënshkruar ndonjëherë. Çaktivizimi i kontrollit e kthen një gabim konfigurimi në ekspozim.

Skadimi: ora e kujt lexohet

Vlefshmëria është një palë vulash kohore, dhe verifikuesi i krahason ato me orën e vet. Një pajisje me orë të gabuar raporton një certifikatë të vlefshme si të skaduar ose si ende jo të vlefshme, dhe rregullimi është ora, jo certifikata. Një ndryshim në shfaqjen e zonës kohore nuk është njësoj si një kohë bazë e gabuar.

Krahasoni datat e certifikatës me UTC në klient përpara se të përfundoni çdo gjë:

openssl x509 -in cert.pem -noout -dates
date -u

Nëse datat kanë kaluar vërtet, rinovoni përmes lëshuesit. Nëse ekziston një zëvendësim, por ende nuk është i vlefshëm, ndiqni kalimin e mbështetur në vend që të zhvendosni orën për t’u përshtatur me të. Kthimi mbrapa i datës së një pajisjeje për të kënaqur një certifikatë është një vendim me pasoja shumë përtej tunelit.

Pse rregullimi i njërës zbulon tjetrën

Validimi ekzekuton një sekuencë kontrollesh, dhe dështimi i parë ndalon raportin. Rregulloni emrin dhe klienti mund t’ju thotë atëherë se zinxhiri është i paplotë ose se certifikata ka skaduar. Kjo nuk do të thotë se kontrolli i parë ishte i panevojshëm. Do të thotë se zinxhiri kishte më shumë se një problem, ndaj prisni gabimin e dytë në vend që ta lexoni si provë se rregullimi i parë ishte i gabuar.

Shumë nyje e përkeqësojnë këtë. Një shërbim me balancim ngarkese mund të paraqesë certifikata të ndryshme nga anëtarë të ndryshëm, kështu që një test që kalon dy herë dhe dështon një herë ju flet për flotën, jo për klientin tuaj. Mbani adresën e palës dhe kohën e provës në diagnozë.

Ky detaj është ai që e kthen një tiketë të paqëndrueshme në të riprodhueshme.

Provojeni me një lidhje të re

Pas riparimit, hapni një lidhje të re në vend që të rifilloni një të vjetër, dhe konfirmoni se faza që dështonte tani kalon. Pastaj konfirmoni se tuneli vërtet mbart trafik, sepse një handshake i suksesshëm nuk është rrugë që funksionon.

Mbani fazën e saktë të gabimit dhe detajet e certifikatës bashkë me tiketën.

Ai regjistrim është ai që e pengon personin tjetër të rivendosë fjalëkalimet e llogarisë për një problem certifikate. Identiteti dhe vlefshmëria janë pyetje të veçanta, dhe RFC 5280 është referenca për mënyrën se si vlerësohet e dyta.