Certifikatvarningen ändras med VPN: jämför båda vägarna

En certifikatvarning visas på kontorets Wi-Fi och försvinner i samma stund som VPN ansluter. Det är en verklig observation, men ingen diagnos. Du vet bara att två nätverksförhållanden gav olika valideringsresultat, och listan över möjliga orsaker är lång. Behandla det som en kontrollerad jämförelse, inte som bevis för att en router komprometterats.

Samma varning kan också dyka upp omvänt: rent i det lokala nätverket, trasigt genom tunneln. Båda riktningarna ger två datapunkter och ingen förklaring.

Håll jämförelsen vid en variabel i taget

Använd samma värdnamn, samma webbläsarprofil och en kontrollerad enhetsklocka. Anteckna den exakta feltexten och tiden för varje förhållande. VPN på och VPN av är etiketter för två förhållanden; de är inte förklaringar till skillnaden.

Ändra en sak i taget. Om du byter DNS-servrar, webbläsare och nätverk i samma försök har du lärt dig att något i den mängden spelar roll, vilket nästan är samma sak som att inte lära sig något.

Håll en liten tabell i anteckningarna: förhållande, resolver, destinationsadress, fel och certifikatets fingeravtryck. Fem rader i den tabellen slår oftast en timmes spekulation.

Läs felkategorin före certifikatet

Namnmismatch, icke betrodd utfärdare och utgånget certifikat är olika fynd. Chroms vägledning om anslutningsfel skiljer dem, och den exakta koden på felsidan säger vilken du har. Den koden avgör vad du jämför härnäst.

Om felet är namnmismatch täcker inte det presenterade certifikatet det värdnamn du begärde. Om det är en icke betrodd utfärdare leder kedjan inte till en rot som webbläsaren litar på. Om det är utgång är datumen fel, vilket också kan betyda att enhetsklockan är fel.

Gå inte förbi varningen och installera ingen okänd rot för att få sidan att laddas. Det gör ett fynd till en dold ändring.

Jämför bladet, kedjan och sammanhanget

När ett annat certifikat dyker upp, avgör om var och en hör till den avsedda tjänsten. En godkänd förnyelse eller annan tjänsteändpunkt kan förklara en legitim ändring. Ett oväntat namn eller utfärdare är skäl att fråga tjänstens ägare, inte en dom. Fingeravtrycket ensamt säger inte vilket av dessa fall du tittar på.

När samma blad visas i båda förhållandena, jämför den levererade kedjan och valideringssammanhanget i stället för att stanna vid det matchande fingeravtrycket. Felet kan gälla ett mellancertifikat eller en förtroendeinställning snarare än bladet självt. Håll det exakta felet bredvid jämförelsen.

VPN kan ändra resolverns väg, den valda destinationen, en proxyväg eller hur en källbaserad tjänst svarar. En sida som laddas genom tunneln anger inte vilken av dessa variabler som spelade roll. Att byta till en offentlig resolver och se sidan laddas är inte en oberoende bekräftelse av webbplatsens identitet.

Skriv en överlämning som ägaren kan agera på

En användbar rapport innehåller det avsedda värdnamnet, de två försökstiderna, de exakta felen och certifikatets offentliga uppgifter: subjekt, utfärdare, giltighet, fingeravtryck och kedja. Maskera interna namn om rapporten lämnar din godkända publik.

När ägaren har levererat en verifierad rättelse, upprepa den ursprungliga begäran med normal validering intakt. Avsluta sedan jämförelsen med resultatet nedskrivet.

Om bevisen fortfarande bara visar att en väg lyckas och den andra misslyckas, säg exakt det. Ett begränsat och exakt fynd är mer användbart än en bred router-återställning, en ändring av förtroendelagret eller ett säkerhetsundantag som tar bort symptomet och döljer orsaken.