Опозив сертификата не успева: који хост и шта не може да достигне

Сертификати могу бити унутар периода важења, а VPN ипак пријављује грешку аутентикације, и неко закључи да је сертификат опозван. То су три различите чињенице. Податке о опозиву мора да преузме уређај који спроводи валидацију, са објављивачке тачке наведене у самом сертификату. Када тај уређај не може да достигне тачку, провера не успева из разлога неповезаних са статусом сертификата.

Валидатор управља путом преузимања

Почните са препознавањем валидатора. Када преносни рачунар проверава сертификат гејтвеја, он преузима податке; када гејтвеј проверава сертификат клијента, то чини гејтвеј. Услуга аутентикације у позадини може да дода трећи валидатор са сопственим мрежним положајем. Сваки има другачију руту ка интернету и другачију конфигурацију проксија. Докази прикупљени на радној станици администратора не говоре ништа о серверу унутар DMZ-а.

Запишите сертификат, валидатора, време покушаја и тачан статусни код пре него што било шта промените.

Прочитајте објављивачку тачку из сертификата

Сертификат наводи где се налази његов статус. Прочитајте та поља уместо да нагађате адресу CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Прво проширење наводи тачке дистрибуције CRL-а, а друго наводи методе приступа подацима о издаваоцу, које могу покривати OCSP статус и преузимање сертификата издаваоца. То су различити механизми, а OCSP одговорач није датотека CRL. Хост објаве је често обичан веб сервер, а не машина CA, јер издавалац ван мреже може да потпише CRL коју дистрибуира други сервер. Правило заштитног зида описано као приступ CA-у стога је превише неодређено за примену или преглед.

Испитајте преузимање са уређаја који проверава

Покрените тест преузимања у окружењу које заиста спроводи валидацију, са одобреним сертификатним материјалом и без приватних кључева.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Покретање certutil-а проверава ланац и извештава који су преузимања URL-а успела или нису, док позив curl тестира једну адресу објаве са истог хоста и враћа само статусни код. Неуспешно преузимање са доступне адресе указује на проблеме са садржајем или потписом; грешка везе указује на усмеравање, DNS или прокси. Сачувајте оба резултата јер једно успешно преузимање не доказује да је цео ланац употребљив. Замените пример хоста и путање тачком дистрибуције пронађеном у сертификату.

Одвојте податке који недостају од опозваног статуса

Четири исхода споља изгледају исто: тачка је недоступна, листа је застарела, листу је потписао погрешан издавалац или је сертификат заиста опозван. Само је последњи статусни резултат и само он оправдава укидање приступа. Кеширање додатно компликује слику јер претходно преузети подаци могу да скривају покварен пут објаве до следећег освежавања. Искључивање провере опозива, брисање неповезаних сертификата или поновно покретање гејтвеја замењују дијагнозу активношћу.

Након поправке присилите нову аутентикацију и потврдите да намеравано преузимање статуса успева. Где постоји контролисани тестни идентитет, потврдите да се и даље одбија, јер доступност која уклања проверу није поправка.