Неусклађеност назива или истек сертификата: како их разликовати

Два квара VPN-а изгледају исто са корисничке столице, а траже супротне поправке. Неусклађеност назива значи да је сертификат важећи, али издат за нешто друго. Грешка истека значи да сертификат није важећи у овом тренутку. Ниједно није проблем лозинке, а поништавање акредитива је најчешће изгубљени сат у оба случаја. Прочитајте фазу која пада пре него што било шта дотакнете.

Текст грешке је дијагноза

Клијент вам каже која провера није прошла, чак и кад је порука кратка. Неусклађеност наводи очекивано име хоста и име које је пронашла. Грешка истека спомиње датуме важности или време. Те две реченице упућују на различите делове сертификата.

Читајте их у фази у којој се појављују. Пад током руковања проблем је сертификата; пад након подизања тунела проблем је усмеравања или акредитива. Задржавање фазе оно је што спречава да истрага одлута у неповезане поставке.

Ако се пад разликује међу покушајима, имате трећу могућност: више од једног чвора иза истог имена.

Провере назива: шта клијент упоређује

Клијент упоређује идентитет који је конфигурисан да очекује са називима у сертификату, који се налазе у проширењу subjectAltName. Сирови IP у профилу, алиас који сертификат не наводи или назив који се само разрешава на исти сервер — сви падају на овој провери. Доћи до правог строја није исто што и представити прави идентитет.

Прегледајте сертификат који сервер стварно представља, а не датотеку из ранијег покушаја. Наредба испод тражи назив који сте конфигурисали, па одговор укључује сертификат који би прави клијент видео.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Сертификат поузданог издаваоца ипак може бити за другу услугу. Држите провере назива на клијенту укљученима, јер поверење у CA не овлашћује сваки назив који је тај CA икада потписао. Искључивање провере претвара грешку конфигурације у изложеност.

Истек: чији се сат чита

Важност је пар временских ознака, а проверавалац их упоређује са сопственим сатом. Уређај са погрешним сатом пријављује важећи сертификат као истекао или као још неважећи, а поправка је сат, не сертификат. Разлика у приказу временске зоне није исто што и погрешно основно време.

Упоредите датуме сертификата са UTC-ом на клијенту пре него што ишта закључите:

openssl x509 -in cert.pem -noout -dates
date -u

Ако су датуми заиста прошли, обновите преко издаваоца. Ако замена постоји, али још није постала важећа, следите подржани прелаз уместо да померате сат да јој се прилагоди. Враћање датума уређаја уназад ради задовољавања сертификата одлука је са последицама далеко изван тунела.

Зашто поправка једног открива друго

Валидација изводи низ провера, а први пад зауставља извештај. Поправите назив и клијент вам тада може рећи да ланац није потпун или да је сертификат истекао. То не значи да је прва провера била непотребна. Значи да је ланац имао више од једног проблема, па очекујте другу грешку уместо да је читате као доказ да је прва поправка била погрешна.

Више чворова то погоршава. Услуга са балансирањем оптерећења може представљати различите сертификате из различитих чланова, па тест који двапут прође и једном падне говори вам о флоти, а не о вашем клијенту. Задржите адресу друге стране и време покушаја у дијагнози.

Тај детаљ претвара нестабилан тикет у репродуцибилан.

Докажите то новом везом

Након поправке отворите нову везу уместо да наставите стару и потврдите да фаза која је пре падала сада пролази. Затим потврдите да тунел заиста преноси саобраћај, јер успешно руковање није радна рута.

Задржите тачну фазу грешке и појединости сертификата уз тикет.

Тај запис оно је што следећу особу спречава да поништи лозинке налога због проблема са сертификатом. Идентитет и важност одвојена су питања, а RFC 5280 референца је за то како се друго оцењује.