Ora e gabuar e pajisjes mund të ndalojë VPN-në: kontrolloni fillimisht kohën

VPN-ja ndalon së lidhuri, regjistri përmend një certifikatë, dhe instinkti i parë është zëvendësimi i profilit. Një orë e pajisjes që është minuta ose orë gabim prodhon pikërisht atë gabim, sepse vlefshmëria e certifikatës gjykohet sipas momentit lokal. Etiketa e zonës kohore në ekran nuk është problemi; është koha themelore. Kontrolloni orën përpara se të prekni çdo material të certifikatës.

Gabimi duket si problem certifikate, jo si problem ore

Shtrëngimi i duarve TLS dështon kur certifikata e palës tjetër bie jashtë dritares së vlefshmërisë në raport me orën e verifikuesit. Ky kontroll ekzekutohet në klient, kështu që një orë klienti e gabuar refuzon një certifikatë krejt të mirë. Teksti i gabimit emërton certifikatën, dhe për këtë arsye njerëzit e zëvendësojnë dhe shohin përsëri të njëjtin dështim. Ora është hipoteza më e lirë dhe duhet testuar e para.

Një orë përpara kohës reale refuzon një certifikatë aktuale si të skaduar; një orë prapa refuzon një më të re si ende jo të vlefshme. Të dyja mesazhet tregojnë datat, dhe të dyja prodhohen pa asnjë kontakt me autoritetin e certifikimit. Kjo është shenja: një skadim i vërtetë prek çdo klient, ndërsa një problem ore prek vetëm atë makinë të vetme me kohën e gabuar.

Lexoni momentin, pastaj certifikatën

Shtypni orën në UTC dhe datat e vetë certifikatës përpara se të ndryshoni diçka. Krahasimi i dy momenteve absolute e heq plotësisht çështjen e zonës kohore nga hetimi. Nëse dritarja e certifikatës përmban momentin aktual, certifikata nuk është dështimi juaj.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Nëse ora lokale është gabim, kontrolloni nëse është sinkronizuar dhe me çfarë. Një makinë me sinkronizim të çaktivizuar, ose me një burim kohe që nuk e arrin, devijon derisa diçka dështon. Dalja e statusit emërton burimin dhe rregullimin e fundit të suksesshëm, çka është më e dobishme se devijimi aktual i vetëm. Një devijim i madh pa burim të konfiguruar është problem i ndryshëm nga një devijim i vogël ndaj një burimi që funksionon.

timedatectl timesync-status
chronyc tracking

Ndaloni nëse certifikata ka skaduar vërtet për çdo klient. Atëherë ora është në rregull dhe certifikata ka nevojë për rinovim, jo për rregullim.

Kodet e hyrjes dështojnë për një arsye të lidhur, por të ndryshme

Fjalëkalimet njëpërdorimshe bazuar në kohë e marrin vlerën nga hapi aktual i kohës, zakonisht tridhjetë sekonda. Një pajisje, ora e së cilës është devijuar më shumë se një ose dy hapa, prodhon kode që serveri nuk do t'i pranojë, edhe pse përdoruesi ka shtypur shifrat e sakta. Gabimi duket si fjalëkalim i gabuar, çka i fut njerëzit në një cikël rivendosjeje që nuk mund të rregullojë një orë.

Zbuloni cili komponent e refuzoi përpjekjen, sepse klienti VPN, porta dhe ofruesi i identitetit raportojnë faza të ndryshme. Nëse kodi refuzohet, por fjalëkalimi pranohet, llogaria është ndoshta në rregull dhe i dyshuari është ora. Nëse të dyja refuzohen, llogaria mund të jetë e bllokuar dhe ora është një gjurmë e rreme. Ndiqni udhëzimet e ofruesit për rikuperim, në vend që të miratoni kërkesa që nuk i keni nisur.

Mos e ktheni orën pas për ta bërë një kod të funksionojë. Kjo fsheh shkakun dhe prish kontrollin tjetër të bazuar në kohë.

Rregulloni burimin, jo orën e shfaqur

Sinkronizimi është shërbim rrjeti, dhe tuneli mund të ndryshojë nëse burimi i kohës është i arritshëm. Një burim korporativ mund të kërkojë tunelin, ndërsa një burim publik mund të bllokohet nga politika. Shfletimi mund të funksionojë ndërsa rruga e vetë shërbimit të kohës dështon, dhe për këtë arsye ky varësi është e lehtë të humbet. NTP është protokolli pas rregullimit, dhe ka nevojë për rrugën e vet si çdo shërbim tjetër.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Ka edhe një problem të rendit të nisjes: një orë shumë e gabuar mund të pengojë një tunel të vërtetuar, dhe burimi i vetëm i përdorshëm i kohës mund të qëndrojë prapa atij tuneli. Një flotë e menaxhuar ka nevojë për një procedurë të dokumentuar për atë gjendje, dhe anashkalimi i verifikimit të certifikatës nuk është një e tillë. Në një pajisje personale, përdorni kontrollet e kohës të vetë sistemit operativ dhe zbuloni pse ora humbet pas fikjes ose rikthimit. Një makinë që devijon në çdo nisje ka problem harduerik ose konfigurimi, jo problem VPN.

Pas riparimit, riprovoni lidhjen origjinale dhe lexoni gabimin e ri veçmas. Një identitet i keq serveri, një certifikatë që ka skaduar vërtet dhe një llogari e refuzuar janë tre dështime të ndryshme, dhe përzierja e tyre është mënyra si një korrigjim i thjeshtë ore bëhet një javë zëvendësimesh profili.