VPN ధృవపత్రం ఇంకా చెల్లుబాటు కాదు: మూడు కారణాలు, ఒక తనిఖీ క్రమం
«ఇంకా చెల్లుబాటు కాదు» అంటే పరికరం గడియారం వెనుకబడి ఉంది, విండో నిజంగా తర్వాత ప్రారంభమవుతుంది, లేదా మధ్యవర్తి ధృవపత్రం ఇంకా తెరవబడలేదు. వాటిని అదే క్రమంలో తనిఖీ చేయండి.
మీరు క్లయింట్ తెరిచి, నెలలుగా ఉపయోగిస్తున్న ప్రొఫైల్ ఎంచుకున్నప్పుడు, అది "certificate is not yet valid" తో ఆగిపోతుంది. మీ సైన్-ఇన్లో ఏమీ మారలేదు, ట్రస్ట్ స్టోర్ బహుశా బాగానే ఉంది: హ్యాండ్షేక్లో ప్రదర్శించిన ధృవపత్రం ధృవీకర్త ఉపయోగిస్తున్న క్షణం కంటే తర్వాత ప్రారంభమయ్యే చెల్లుబాటు విండోను కలిగి ఉంటుంది. మూడు వేర్వేరు పరిస్థితులు అదే సందేశాన్ని ఉత్పత్తి చేస్తాయి, వాటికి వేర్వేరు చర్యలు అవసరం. క్రింది క్రమం గడియారం లేదా ధృవపత్రం ఫైల్ను తాకే ముందు మీకు ఏది ఉందో చెబుతుంది.
మూడు కారణాలలో మీరు చూస్తున్నది ఏది
మొదటి కారణం స్థానికం: తనిఖీ చేసే పరికరం గడియారం ధృవపత్రం ప్రారంభ తేదీ కంటే ముందుది. ఇది చనిపోయిన CMOS బ్యాటరీ ఉన్న హార్డ్వేర్లో, పాత స్నాప్షాట్ నుండి పునరుద్ధరించిన వర్చువల్ మెషీన్లలో, సమయాన్ని కోల్పోయేంత కాలం ఆఫ్ ఉన్న పరికరాలలో, మరియు బయటకు వెళ్లే NTP బ్లాక్ చేయబడి ఎవరూ గమనించని నెట్వర్క్లలో కనిపిస్తుంది. ధృవపత్రం పూర్తిగా చెల్లుబాటు అయినా ఈ విధంగా విఫలమవుతుంది.
రెండవ కారణం జారీచేసేవారిది, ఎందుకంటే ధృవపత్రం నిజంగా భవిష్యత్తులో ప్రారంభమవుతుంది: ముందుగా జారీ చేయబడింది, స్పష్టమైన ప్రారంభ సమయంతో సృష్టించబడింది, లేదా ఇంకా నడవని యాక్టివేషన్ దశలో భాగంగా సంతకం చేయబడింది. మూడవ కారణం ఎక్కువ సమయాన్ని వృథా చేస్తుంది, ఎందుకంటే ఆకు ప్రస్తుతం ఉంది కానీ ప్రదర్శించిన గొలుసులోని మరో ధృవపత్రం అలా లేదు, కాబట్టి లోపం మీరు ఎప్పుడూ ఇన్స్టాల్ చేయని పదార్థాన్ని పేర్కొంటుంది.
ఒక ప్రశ్న వాటిని వేరు చేస్తుంది. వైఫల్యం పరికరాన్ని అనుసరిస్తుందా లేదా సేవను? ఒకే నెట్వర్క్లో వేర్వేరుగా ప్రవర్తించే రెండు మెషీన్లు గడియారాలను సూచిస్తాయి. ప్రతి క్లయింట్ ఒకే విధంగా విఫలమైతే అది ధృవపత్రం విండోను మరియు దాని వెనుక ఉన్న గొలుసును సూచిస్తుంది.
నిజంగా ప్రదర్శించిన ధృవపత్రం నుండి విండోను చదవండి
మునుపటి అమరిక నుండి మిగిలిన PEM ఫైల్ను పరిశీలించవద్దు; ఇప్పుడు పంపుతున్న గొలుసు కోసం సేవను అడగండి. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts గొలుసులోని ప్రతి ధృవపత్రాన్ని ముద్రిస్తుంది. అవసరమైన బ్లాక్ను సేవ్ చేసి openssl x509 -noout -subject -issuer -dates అమలు చేయండి; చివరిది notBefore మరియు notAfter ముద్రిస్తుంది, ఆ రెండు విలువలే నిర్ణయిస్తాయి. Windows లో, కనెక్షన్ యొక్క ధృవపత్రం డైలాగ్ మరియు ఎగుమతి చేసిన ఫైల్పై certutil -dump అదే ఫీల్డ్లను చూపుతాయి.
విండో యొక్క రెండు చివరలను చదవండి, ప్రారంభాన్ని మాత్రమే కాదు. రెండు గంటల్లో తెరిచే ధృవపత్రం మరియు రెండు గంటల్లో మూసివేయబడే ధృవపత్రం వేర్వేరు సందేశాలతో విఫలమై వేర్వేరు బృందాలను నిమగ్నం చేస్తాయి. లోపం ఏ ధృవపత్రాన్ని పేర్కొంటుందో — ఆకు, మధ్యవర్తి లేదా మూలం — గమనించండి, ఎందుకంటే క్లయింట్ వైపు ఏదైనా సరిచేయగలరా అనేది అదే నిర్ణయిస్తుంది.
విండో కోసం ఎదురుచూడకుండానే పరీక్షించవచ్చు. ధృవీకరణ స్పష్టమైన సమయాన్ని అంగీకరిస్తుంది: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem ఆ టైమ్స్ట్యాంప్ వద్ద గొలుసును మూల్యాంకనం చేస్తుంది. వైఫల్యాన్ని పునరుత్పత్తి చేయడానికి ప్రస్తుత సమయంతో అమలు చేయండి, ఆ తర్వాత విండో తెరిచిన తర్వాత అదే గొలుసు దాటుతుందని నిర్ధారించడానికి ధృవపత్రం ప్రారంభ సమయంతో అమలు చేయండి. RFC 5280 చెల్లుబాటు ఫీల్డ్ను మరియు దాని వెలుపల ధృవపత్రాన్ని ఉపయోగించకూడదనే నియమాన్ని నిర్వచిస్తుంది, మీ క్లయింట్ ఇప్పుడే అమలు చేసినది అదే నియమం.
మీ గడియారమా, వారిదా
పరికరం గడియారాన్ని UTC లో ధృవపత్రం ప్రారంభంతో, మీరు విశ్వసించే మూలం నుండి పోల్చండి. date -u క్షణాన్ని ఇస్తుంది, systemd హోస్ట్లో timedatectl status గడియారం సింక్ అయిందా అని కూడా నివేదిస్తుంది. Windows లో, w32tm /query /status ప్రస్తుత మూలాన్ని మరియు చివరి విజయవంత సింక్ను చూపుతుంది. ట్రేలో చూపిన సమయ క్షేత్రం ప్రదర్శన ఎంపికే తప్ప తప్పు గడియారం కాదు; ధృవీకర్త UTC క్షణాలను పోలుస్తుంది.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
గడియారం వెనుకబడి ఉంటే, ఏదైనా ధృవపత్రం పదార్థాన్ని మార్చే ముందు మళ్లీ సింక్ చేసి మళ్లీ పరీక్షించండి. కొన్ని నిమిషాలు లేదా గంటలు తప్పుగా ఉన్న పరికరం తనకు ఎదురయ్యే ప్రతి ఇటీవల జారీ చేసిన ధృవపత్రాన్ని తిరస్కరిస్తుంది, ఒక సేవను మాత్రమే కాదు, కాబట్టి ఒకే-సేవ వివరణ సాధారణంగా తప్పు. గడియారం సరిగ్గా ఉండి సింక్ అయి ఉంటే పరికరం వైపు చూడటం ఆపండి: విండో జారీచేసేవారిది, దాన్ని దాటించడానికి ఏ స్థానిక సెట్టింగ్ మార్చకూడదు.
ఆ పట్టిక మొత్తం నిర్ణయం. ధృవపత్రం ఆశించే విలువకు గడియారాన్ని జరపడం మరమ్మత్తు కాదు, సమయ తనిఖీలను ఆఫ్ చేయడం కూడా మరమ్మత్తు కాదు, ఎందుకంటే రెండూ లోపాన్ని సృష్టించిన స్థితిని దాచుతాయి.
ఆకు బాగానే కనిపిస్తున్నప్పుడు గొలుసు ఎందుకు విఫలమవుతుంది
పునరుద్ధరించిన ఆకులు మరియు భర్తీ మధ్యవర్తి ధృవపత్రాలు సాధారణంగా కలిసి పంపబడతాయి, ఎల్లప్పుడూ ఒకే క్షణంలో చేరుకోవు. ఒక సేవ తన స్వంత విండో తర్వాత ప్రారంభమయ్యే మధ్యవర్తి సంతకం చేసిన కొత్త ఆకును పంపవచ్చు, లేదా కొత్త ఆకు కింద పాత మధ్యవర్తిని అందించడం కొనసాగించవచ్చు. ఏ విధంగానైనా ఆకు స్వంత తేదీలు సమంజసంగా కనిపిస్తున్నప్పుడు గొలుసు విఫలమవుతుంది.
లోడ్-సమతుల్య ముగింపు పాయింట్లు దీన్ని విరిగినది నుండి అస్థిరతకు మారుస్తాయి. మళ్లీ ప్రయత్నం విజయవంతమైతే, లేదా ఒక నెట్వర్క్ పనిచేసి మరొకటి పనిచేయకపోతే, సెట్టింగ్లను మార్చే ముందు ఏ పీర్ సమాధానమిచ్చింది మరియు ఏ గొలుసు పంపింది నమోదు చేయండి. openssl s_client కనెక్ట్ అయిన చిరునామాను ముద్రిస్తుంది, కాబట్టి కొన్ని ప్రయత్నాలు ప్రతి నోడ్ అదే గొలుసును అందిస్తుందా అని బయటపెడతాయి.
ధృవీకరణను చెక్కుచెదరకుండా ఉంచే మరమ్మతు మార్గాలు
గడియార సమస్య పరికరంలోనే ధృవీకరణ ఆన్ చేసి ఉంచి సరిచేయబడుతుంది. ధృవపత్ర సమస్యను ఆపరేటర్ ఇప్పటికే ఇప్పుడును కలిగి ఉన్న విండో కోసం జారీ చేసిన పదార్థంతో సరిచేస్తారు. ఏ క్లయింట్ సెట్టింగ్ ఇంకా-చెల్లని ధృవపత్రాన్ని చెల్లుబాటు చేయదు; సమయ తనిఖీలను దాటవేసే ఫ్లాగ్లు నిర్ధారణను ధృవీకరించడానికి ఉన్నాయి, ఉత్పత్తికి పంపడానికి కాదు.
ధృవపత్రం ప్రణాళికాబద్ధ యాక్టివేషన్ కోసం సిద్ధం చేయబడి ఉంటే, కట్ఓవర్ ప్రణాళికను అనుసరించండి. దాని విండో తెరిచినప్పుడు ఇన్స్టాల్ చేయండి, లేదా ప్రదాత డాక్యుమెంట్ చేసిన అతివ్యాప్తి విధానాన్ని ఉపయోగించండి, ముందుగా ఇన్స్టాల్ చేసి వినియోగదారులకు హెచ్చరికలను క్లిక్ చేయడం నేర్పించడం బదులు. ప్రజలు విస్మరించడం నేర్చుకునే హెచ్చరికలు చిన్న ఆలస్యం కంటే ఎక్కువ ఖర్చు చేస్తాయి.
చివరగా, వైఫల్యం సంభవించిన విధంగానే మళ్లీ పరీక్షించండి: కొత్త సెషన్, అదే క్లయింట్, నిజంగా అవసరమైన వనరు. TLS లైబ్రరీలు కనెక్షన్ జీవితకాలం మొత్తం ధృవీకరించిన గొలుసును కాష్ చేయగలవు, పునఃప్రారంభించిన సెషన్ దాన్ని తప్పనిసరిగా మళ్లీ తనిఖీ చేయదు, కాబట్టి పాత సెషన్ మరమ్మతు తర్వాత కూడా విఫలమవుతూ ఉండవచ్చు లేదా రిగ్రెషన్ తర్వాత కూడా పనిచేస్తూ ఉండవచ్చు. వ్యూయర్లో తెరిచే ఫైల్ ఫైల్ చదవగలిగేది అని మాత్రమే నిరూపిస్తుంది; పూర్తయిన హ్యాండ్షేక్ గొలుసు ధృవీకరించబడుతుందని నిరూపిస్తుంది.
టికెట్ మూసివేసే ముందు నాలుగు విషయాలను నిర్ధారించండి: విఫలమైన పరికరం యొక్క UTC సమయం మరియు సింక్ స్థితి, ప్రదర్శించిన గొలుసులోని ప్రతి ధృవపత్రం యొక్క notBefore మరియు notAfter, రెండవ క్లయింట్ నుండి అదే గొలుసు, మరియు లోపం ధృవపత్రానికి ఇచ్చే పేరు. గడియారం సరిగ్గా ఉండి విండో తెరవకపోతే, మిగిలినది ఆపరేటర్ పని, మీ వైపు సరైన చర్య ధృవీకరణను బలహీనపరచడం కాదు, విండో కోసం ఎదురుచూడటం.