VPN சான்றிதழ் இன்னும் செல்லுபடியாகவில்லை: மூன்று காரணங்கள், ஒரு சரிபார்ப்பு வரிசை
«இன்னும் செல்லுபடியாகவில்லை» என்பது சாதனத்தின் கடிகாரம் பின்தங்கியுள்ளது, சாளரம் உண்மையில் பின்னர் தொடங்குகிறது, அல்லது இடைநிலைச் சான்றிதழ் இன்னும் திறக்கப்படவில்லை என்பதாகும். அவற்றை அதே வரிசையில் சரிபார்க்கவும்.
நீங்கள் கிளையண்டைத் திறந்து, மாதங்களாகப் பயன்படுத்திய சுயவிவரத்தைத் தேர்ந்தெடுக்கும்போது, அது "certificate is not yet valid" உடன் நிற்கிறது. உங்கள் உள்நுழைவில் எதுவும் மாறவில்லை, நம்பிக்கைக் களஞ்சியம் அநேகமாக சரியாக உள்ளது: கைக்குலுக்கலில் வழங்கப்படும் சான்றிதழ், சரிபார்ப்பாளர் பயன்படுத்தும் தருணத்தை விட பின்னர் தொடங்கும் செல்லுபடித்தன்மை சாளரத்தைக் கொண்டுள்ளது. மூன்று வெவ்வேறு சூழ்நிலைகள் அதே செய்தியை உருவாக்குகின்றன, அவற்றுக்கு வெவ்வேறு நடவடிக்கைகள் தேவை. கீழேயுள்ள வரிசை கடிகாரம் அல்லது சான்றிதழ் கோப்பைத் தொடுவதற்கு முன் உங்களிடம் எது என்பதைச் சொல்லும்.
மூன்று காரணங்களில் நீங்கள் பார்ப்பது எது
முதல் காரணம் உள்ளூரானது: சரிபார்ப்பைச் செய்யும் சாதனத்தின் கடிகாரம் சான்றிதழின் தொடக்கத் தேதிக்கு முந்தையது. இது இறந்த CMOS பேட்டரி உள்ள வன்பொருளில், பழைய ஸ்னாப்ஷாட்டிலிருந்து மீட்டெடுக்கப்பட்ட மெய்நிகர் இயந்திரங்களில், நேரத்தை இழக்கும் அளவுக்கு நீண்ட நேரம் அணைக்கப்பட்ட சாதனங்களில், மற்றும் வெளிச்செல்லும் NTP தடுக்கப்பட்டு யாரும் கவனிக்காத நெட்வொர்க்குகளில் தெரியும். சான்றிதழ் முழுமையாக செல்லுபடியாக இருந்தாலும் இவ்வாறு தோல்வியடையலாம்.
இரண்டாவது காரணம் வழங்குநருக்கு உரியது, ஏனெனில் சான்றிதழ் உண்மையில் எதிர்காலத்தில் தொடங்குகிறது: முன்கூட்டியே வழங்கப்பட்டது, வெளிப்படையான தொடக்க நேரத்துடன் உருவாக்கப்பட்டது, அல்லது இன்னும் இயங்காத செயல்படுத்தல் படிநிலையின் பகுதியாகக் கையொப்பமிடப்பட்டது. மூன்றாவது காரணம் அதிக நேரத்தை வீணாக்குகிறது, ஏனெனில் இலை தற்போதையது ஆனால் வழங்கப்பட்ட சங்கிலியில் உள்ள மற்றொரு சான்றிதழ் அல்ல, எனவே பிழை நீங்கள் ஒருபோதும் நிறுவாத பொருளைக் குறிப்பிடுகிறது.
ஒரு கேள்வி அவற்றைப் பிரிக்கிறது. தோல்வி சாதனத்தைப் பின்தொடர்கிறதா அல்லது சேவையை? ஒரே நெட்வொர்க்கில் வெவ்வேறாக நடந்துகொள்ளும் இரண்டு இயந்திரங்கள் கடிகாரங்களைக் காட்டுகின்றன. ஒவ்வொரு கிளையண்டும் ஒரே வழியில் தோல்வியடைந்தால் அது சான்றிதழின் சாளரத்தையும் அதன் பின்னால் உள்ள சங்கிலியையும் காட்டுகிறது.
உண்மையில் வழங்கப்பட்ட சான்றிதழிலிருந்து சாளரத்தைப் படியுங்கள்
முந்தைய பயன்பாட்டிலிருந்து எஞ்சிய PEM கோப்பை ஆய்வு செய்ய வேண்டாம்; இப்போது அனுப்பும் சங்கிலியைச் சேவையிடம் கேளுங்கள். openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts சங்கிலியில் உள்ள ஒவ்வொரு சான்றிதழையும் அச்சிடுகிறது. தேவையான தொகுதியைச் சேமித்து openssl x509 -noout -subject -issuer -dates இயக்கவும்; கடைசியானது notBefore மற்றும் notAfter ஐ அச்சிடுகிறது, அந்த இரண்டு மதிப்புகளே தீர்மானிக்கின்றன. Windows இல், இணைப்பின் சான்றிதழ் உரையாடலும் ஏற்றுமதி செய்யப்பட்ட கோப்பில் certutil -dump உம் அதே புலங்களைக் காட்டுகின்றன.
சாளரத்தின் இரு முனைகளையும் படியுங்கள், தொடக்கத்தை மட்டுமல்ல. இரண்டு மணி நேரத்தில் திறக்கும் சான்றிதழும் இரண்டு மணி நேரத்தில் மூடப்படும் சான்றிதழும் வெவ்வேறு செய்திகளுடன் தோல்வியடைந்து வெவ்வேறு குழுக்களை ஈடுபடுத்துகின்றன. பிழை எந்தச் சான்றிதழைக் குறிப்பிடுகிறது — இலை, இடைநிலை அல்லது வேர் — என்பதைக் குறிக்கவும், ஏனெனில் கிளையண்ட் பக்கத்தில் எதையாவது சரிசெய்ய முடியுமா என்பதை அது தீர்மானிக்கிறது.
சாளரத்திற்காகக் காத்திருக்காமலும் சோதிக்கலாம். சரிபார்ப்பு வெளிப்படையான நேரத்தை ஏற்கிறது: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem அந்த நேரமுத்திரையில் சங்கிலியை மதிப்பிடுகிறது. தோல்வியை மீண்டும் உருவாக்க தற்போதைய நேரத்துடன் இயக்கவும், பின்னர் சாளரம் திறந்த பிறகு அதே சங்கிலி கடக்கிறதா என்பதை உறுதிப்படுத்த சான்றிதழின் தொடக்க நேரத்துடன் இயக்கவும். RFC 5280 செல்லுபடித்தன்மை புலத்தையும் அதற்கு வெளியே சான்றிதழைப் பயன்படுத்தக்கூடாது என்ற விதியையும் வரையறுக்கிறது, உங்கள் கிளையண்ட் இப்போது பயன்படுத்தியதும் அதே விதியே.
உங்கள் கடிகாரமா, அவர்களுடையதா
சாதனத்தின் கடிகாரத்தை UTC இல் சான்றிதழின் தொடக்கத்துடன், நீங்கள் நம்பும் மூலத்திலிருந்து ஒப்பிடுங்கள். date -u தருணத்தைத் தருகிறது, systemd ஹோஸ்ட்டில் timedatectl status கடிகாரம் ஒத்திசைக்கப்பட்டுள்ளதா என்பதையும் தெரிவிக்கிறது. Windows இல், w32tm /query /status தற்போதைய மூலத்தையும் கடைசி வெற்றிகரமான ஒத்திசைவையும் காட்டுகிறது. தட்டில் காட்டப்படும் நேர மண்டலம் காட்சித் தேர்வே தவிர தவறான கடிகாரம் அல்ல; சரிபார்ப்பாளர் UTC தருணங்களை ஒப்பிடுகிறார்.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
கடிகாரம் பின்தங்கியிருந்தால், சான்றிதழ் பொருளை மாற்றுவதற்கு முன் மீண்டும் ஒத்திசைத்து மீண்டும் சோதிக்கவும். சில நிமிடங்கள் அல்லது மணிநேரங்கள் தவறாக இருக்கும் சாதனம் தனக்கு எதிர்படும் ஒவ்வொரு சமீபத்தில் வழங்கப்பட்ட சான்றிதழையும் நிராகரிக்கிறது, ஒரு சேவையை மட்டுமல்ல, எனவே ஒற்றை-சேவை விளக்கம் பொதுவாக தவறானது. கடிகாரம் சரியாகவும் ஒத்திசைக்கப்பட்டதாகவும் இருந்தால் சாதனத்தைப் பார்ப்பதை நிறுத்துங்கள்: சாளரம் வழங்குநருக்கு உரியது, அது கடக்க எந்த உள்ளூர் அமைப்பையும் மாற்றக்கூடாது.
அந்த அட்டவணையே முழு முடிவு. சான்றிதழ் எதிர்பார்ப்பதற்கு கடிகாரத்தை நகர்த்துவது பழுதுநீக்கமல்ல, நேரச் சரிபார்ப்புகளை அணைப்பதும் பழுதுநீக்கமல்ல, ஏனெனில் இரண்டும் பிழையை உருவாக்கிய நிலையை மறைக்கின்றன.
இலை நன்றாகத் தெரியும்போது சங்கிலி ஏன் தோல்வியடைகிறது
புதுப்பிக்கப்பட்ட இலைகளும் மாற்று இடைநிலைச் சான்றிதழ்களும் பொதுவாக ஒன்றாக அனுப்பப்படுகின்றன, எப்போதும் ஒரே தருணத்தில் வந்து சேருவதில்லை. ஒரு சேவை தனது சொந்த சாளரம் பின்னர் தொடங்கும் இடைநிலையால் கையொப்பமிடப்பட்ட புதிய இலையை அனுப்பலாம், அல்லது புதிய இலைக்குக் கீழே பழைய இடைநிலையை வழங்குவதைத் தொடரலாம். எப்படியிருந்தாலும் இலையின் சொந்தத் தேதிகள் நியாயமாகத் தெரியும்போது சங்கிலி தோல்வியடைகிறது.
சுமை-சமநிலை முனைகள் இதை உடைந்ததிலிருந்து சீரற்றதாக மாற்றுகின்றன. மீண்டும் முயற்சி வெற்றியடைந்தால், அல்லது ஒரு நெட்வொர்க் வேலை செய்து மற்றொன்று செய்யாவிட்டால், அமைப்புகளை மாற்றுவதற்கு முன் எந்தச் சக எந்தப் பதிலளித்தது, எந்தச் சங்கிலியை அனுப்பியது என்பதைப் பதிவு செய்யுங்கள். openssl s_client இணைக்கப்பட்ட முகவரியை அச்சிடுகிறது, எனவே சில முயற்சிகள் ஒவ்வொரு முனையும் அதே சங்கிலியை வழங்குகிறதா என்பதை வெளிப்படுத்தும்.
சரிபார்ப்பை அப்படியே வைத்திருக்கும் பழுதுநீக்கு பாதைகள்
கடிகாரச் சிக்கல் சாதனத்திலேயே சரிபார்ப்பை இயக்கத்தில் வைத்து சரிசெய்யப்படுகிறது. சான்றிதழ்ச் சிக்கலை இயக்குபவர் இப்போதை ஏற்கனவே உள்ளடக்கிய சாளரத்திற்கு வழங்கப்பட்ட பொருளால் சரிசெய்கிறார். எந்தக் கிளையண்ட் அமைப்பும் இன்னும்-செல்லுபடியாகாத சான்றிதழை செல்லுபடியாக்காது; நேரச் சரிபார்ப்புகளைத் தவிர்க்கும் கொடிகள் நோயறிதலை உறுதிப்படுத்தவே உள்ளன, உற்பத்திக்கு அனுப்ப அல்ல.
சான்றிதழ் திட்டமிட்ட செயல்படுத்தலுக்குத் தயாராக இருந்தால், மாற்றல் திட்டத்தைப் பின்பற்றுங்கள். அதன் சாளரம் திறக்கும்போது நிறுவுங்கள், அல்லது வழங்குநர் ஆவணப்படுத்திய ஒன்றுடன் ஒன்று மேற்பொருந்தும் நடைமுறையைப் பயன்படுத்துங்கள், முன்கூட்டியே நிறுவி பயனர்களுக்கு எச்சரிக்கைகளைக் கடந்து கிளிக் செய்யக் கற்பிப்பதற்குப் பதிலாக. மக்கள் புறக்கணிக்கக் கற்றுக்கொள்ளும் எச்சரிக்கைகள் சிறு தாமதத்தை விட விலை அதிகம்.
இறுதியாக, தோல்வி நிகழ்ந்த அதே வழியில் மீண்டும் சோதிக்கவும்: புதிய அமர்வு, அதே கிளையண்ட், உண்மையில் தேவையான வளம். TLS நூலகங்கள் இணைப்பின் ஆயுள் முழுவதும் சரிபார்க்கப்பட்ட சங்கிலியைத் தற்காலிகச் சேமிப்பில் வைத்திருக்கலாம், மீண்டும் தொடங்கப்பட்ட அமர்வு அதை மீண்டும் சரிபார்ப்பதில்லை, எனவே பழைய அமர்வு பழுதுநீக்கத்திற்குப் பிறகும் தோல்வியடைந்து கொண்டிருக்கலாம் அல்லது பின்னடைவுக்குப் பிறகும் வேலை செய்து கொண்டிருக்கலாம். பார்வையில் திறக்கும் கோப்பு கோப்பு படிக்கக்கூடியது என்பதை மட்டுமே நிரூபிக்கிறது; முடிந்த கைக்குலுக்கல் சங்கிலி சரிபார்க்கப்படுவதை நிரூபிக்கிறது.
டிக்கெட்டை மூடுவதற்கு முன் நான்கு விஷயங்களை உறுதிப்படுத்துங்கள்: தோல்வியடைந்த சாதனத்தின் UTC நேரம் மற்றும் ஒத்திசைவு நிலை, வழங்கப்பட்ட சங்கிலியில் உள்ள ஒவ்வொரு சான்றிதழின் notBefore மற்றும் notAfter, இரண்டாவது கிளையண்டிலிருந்து அதே சங்கிலி, மற்றும் பிழை சான்றிதழுக்கு வழங்கும் பெயர். கடிகாரம் சரியாகவும் சாளரம் திறக்கப்படவில்லை என்றாலும், மீதமுள்ளது இயக்குபவரின் வேலை, உங்கள் பக்கத்தின் சரியான நடவடிக்கை சரிபார்ப்பை பலவீனப்படுத்துவதற்குப் பதிலாக சாளரத்திற்காகக் காத்திருப்பதாகும்.