Погрешан сат уређаја може зауставити VPN: прво проверите време

VPN престаје да се повезује, дневник помиње сертификат, а први инстинкт је замена профила. Сат уређаја који касни или жури неколико минута или сати производи управо ту грешку, јер се важност сертификата оцењује према локалном тренутку. Ознака временске зоне на екрану није проблем; проблем је само време. Проверите сат пре него што дотакнете било који материјал сертификата.

Грешка изгледа као проблем са сертификатом, а не са сатом

TLS руковање не успева када сертификат друге стране падне изван свог рока важности у односу на сат провераваоца. Та провера се изводи на клијенту, па погрешан клијентски сат одбија потпуно исправан сертификат. Текст грешке именује сертификат, и зато га људи замене и поново виде исти неуспех. Сат је јефтинија хипотеза и треба га прво испитати.

Сат који жури у односу на стварно време одбија важећи сертификат као истекао; сат који касни одбија новији као још није важећи. Обе поруке указују на датуме и обе настају без икаквог контакта са издаваоцем сертификата. То је знак: стварни истек погађа сваког клијента, док проблем са сатом погађа једну једину машину са погрешним временом.

Прочитајте тренутак, па сертификат

Испишите сат у UTC-у и сопствене датуме сертификата пре него што било шта промените. Поређење два апсолутна тренутка потпуно уклања питање временске зоне из истраге. Ако оквир сертификата садржи тренутни тренутак, сертификат није ваш неуспех.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Ако локални сат није тачан, проверите да ли је синхронизован и са чим. Машина са искљученом синхронизацијом или са извором времена до којег не може да дође одступа док нешто не падне. Излаз статуса именује извор и последње успешно подешавање, што је корисније од самог тренутног одступања. Велико одступање без подешеног извора је други проблем од малог одступања према извору који ради.

timedatectl timesync-status
chronyc tracking

Зауставите се ако је сертификат заиста истекао за сваког клијента. Тада је сат у реду и сертификат треба обнову, а не подешавање.

Кодови за пријаву не успевају из повезаног али другог разлога

Једнократне лозинке засноване на времену црпе вредност из тренутног временског корака, обично тридесет секунди. Уређај чији сат одступа више од корака или два производи кодове које сервер неће прихватити, иако је корисник откуцао тачне цифре. Грешка изгледа као погрешна лозинка, што људе шаље у циклус ресетовања који не може да поправи сат.

Утврдите која је компонента одбила покушај, јер VPN клијент, мрежни пролаз и давалац идентитета извештавају о различитим фазама. Ако је код одбијен а лозинка прихваћена, налог је вероватно у реду и сумњив је сат. Ако је обоје одбијено, налог је можда закључан и сат је лажни траг. Следите упутства даваоца за опоравак уместо да одобравате захтеве које нисте покренули.

Не враћајте сат уназад да би код прорадио. То скрива узрок и квари следећу проверу засновану на времену.

Поправите извор, а не приказани сат

Синхронизација је мрежна услуга, а тунел може променити да ли је извор времена доступан. Корпоративни извор може захтевати тунел, док јавни извор може бити блокиран политиком. Прегледање може радити док сопствена путања временске услуге не успева, због чега је ту зависност лако пропустити. NTP је протокол иза подешавања и потребна му је сопствена путања као и свакој другој услузи.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Постоји и проблем редоследа подизања: јако погрешан сат може спречити аутентификовани тунел, а једини употребљив извор времена може стајати иза тог тунела. Управљана флота треба документован поступак за то стање, а заобилажење провере сертификата то није. На личном уређају користите сопствене контроле времена оперативног система и откријте зашто се сат губи после искључивања или враћања. Машина која одступа при сваком подизању има хардверски или конфигурацијски проблем, не VPN проблем.

Након поправке поново покушајте оригиналну везу и прочитајте нову грешку одвојено. Лош идентитет сервера, сертификат који је заиста истекао и одбијен налог три су различита неуспеха, а њихово мешање је начин на који једноставна корекција сата постане недеља замене профила.