นาฬิกาอุปกรณ์ผิดอาจทำให้ VPN หยุดทำงาน: ตรวจสอบเวลาก่อน

VPN หยุดเชื่อมต่อ บันทึกเอ่ยถึงใบรับรอง และปฏิกิริยาแรกคือเปลี่ยนโปรไฟล์ นาฬิกาอุปกรณ์ที่คลาดเคลื่อนเป็นนาทีหรือชั่วโมงทำให้เกิดข้อผิดพลาดนั้นพอดี เพราะความสมบูรณ์ของใบรับรองถูกตัดสินตามเวลาท้องถิ่น ป้ายเขตเวลาบนหน้าจอไม่ใช่ปัญหา ปัญหาคือเวลาที่อยู่ข้างใต้ ตรวจสอบนาฬิกาก่อนแตะวัสดุใบรับรองใด ๆ

ข้อผิดพลาดดูเหมือนปัญหาใบรับรอง ไม่ใช่ปัญหานาฬิกา

การจับมือ TLS ล้มเหลวเมื่อใบรับรองของอีกฝ่ายอยู่นอกหน้าต่างความสมบูรณ์เทียบกับนาฬิกาของผู้ตรวจสอบ การตรวจนั้นทำงานบนไคลเอนต์ นาฬิกาไคลเอนต์ที่ผิดจึงปฏิเสธใบรับรองที่ดีสมบูรณ์ ข้อความข้อผิดพลาดระบุชื่อใบรับรอง นั่นคือเหตุผลที่ผู้คนเปลี่ยนมันแล้วเห็นความล้มเหลวเดิมอีกครั้ง นาฬิกาคือสมมติฐานที่ถูกกว่าและควรถูกทดสอบก่อน

นาฬิกาที่เร็วกว่าเวลาจริงปฏิเสธใบรับรองปัจจุบันว่าหมดอายุ นาฬิกาที่ช้ากว่าปฏิเสธใบรับรองที่ใหม่กว่าว่ายังไม่สมบูรณ์ ข้อความทั้งสองชี้ไปที่วันที่ และทั้งสองถูกสร้างขึ้นโดยไม่มีการติดต่อกับหน่วยออกใบรับรองเลย นั่นคือเบาะแส การหมดอายุจริงกระทบทุกไคลเอนต์ ขณะที่ปัญหานาฬิกากระทบเพียงเครื่องเดียวที่มีเวลาผิด

อ่านช่วงเวลา แล้วจึงอ่านใบรับรอง

พิมพ์นาฬิกาเป็น UTC และวันที่ของใบรับรองเองก่อนเปลี่ยนแปลงสิ่งใด การเทียบสองช่วงเวลาสัมบูรณ์กำจัดคำถามเรื่องเขตเวลาออกจากการตรวจสอบอย่างสิ้นเชิง หากหน้าต่างของใบรับรองมีช่วงเวลาปัจจุบันอยู่ ใบรับรองก็ไม่ใช่ความล้มเหลวของคุณ

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

หากนาฬิกาท้องถิ่นผิด ให้ตรวจว่าซิงโครไนซ์หรือไม่และกับอะไร เครื่องที่ปิดการซิงโครไนซ์หรือมีแหล่งเวลาที่เข้าถึงไม่ได้จะคลาดเคลื่อนไปเรื่อย ๆ จนมีบางอย่างล้มเหลว เอาต์พุตสถานะระบุแหล่งและการปรับครั้งล่าสุดที่สำเร็จ ซึ่งมีประโยชน์กว่าค่าเบี่ยงเบนปัจจุบันเพียงอย่างเดียว ค่าเบี่ยงเบนมากโดยไม่มีแหล่งที่กำหนดเป็นปัญหาต่างจากค่าเบี่ยงเบนเล็กน้อยเทียบกับแหล่งที่ทำงานได้

timedatectl timesync-status
chronyc tracking

หยุดหากใบรับรองหมดอายุจริงสำหรับทุกไคลเอนต์ ตอนนั้นนาฬิกาเรียบร้อยและใบรับรองต้องต่ออายุ ไม่ใช่ปรับตั้ง

รหัสเข้าสู่ระบบล้มเหลวด้วยเหตุผลที่เกี่ยวข้องแต่ต่างกัน

รหัสผ่านใช้ครั้งเดียวตามเวลาดึงค่าจากขั้นเวลาปัจจุบัน ปกติสามสิบวินาที อุปกรณ์ที่นาฬิกาคลาดไปมากกว่าหนึ่งหรือสองขั้นจะสร้างรหัสที่เซิร์ฟเวอร์ไม่ยอมรับ แม้ผู้ใช้จะพิมพ์ตัวเลขถูกต้อง ข้อผิดพลาดดูเหมือนรหัสผ่านผิด ซึ่งผลักผู้คนเข้าสู่วงจรรีเซ็ตที่ไม่สามารถแก้ไขนาฬิกาได้

ระบุว่าองค์ประกอบใดปฏิเสธความพยายาม เพราะไคลเอนต์ VPN เกตเวย์ และผู้ให้บริการตัวตนรายงานขั้นตอนต่างกัน หากรหัสถูกปฏิเสธแต่รหัสผ่านได้รับการยอมรับ บัญชีมักเรียบร้อยและนาฬิกาคือผู้ต้องสงสัย หากทั้งสองถูกปฏิเสธ บัญชีอาจถูกล็อกและนาฬิกาคือเบาะแสลวง ปฏิบัติตามคำแนะนำการกู้คืนของผู้ให้บริการแทนการอนุมัติคำขอที่คุณไม่ได้เริ่ม

อย่าตั้งนาฬิกาถอยหลังเพื่อให้รหัสทำงาน มันซ่อนสาเหตุและทำลายการตรวจสอบตามเวลาครั้งถัดไป

แก้ที่แหล่ง ไม่ใช่ชั่วโมงที่แสดง

การซิงโครไนซ์เป็นบริการเครือข่าย และอุโมงค์อาจเปลี่ยนว่าแหล่งเวลาเข้าถึงได้หรือไม่ แหล่งขององค์กรอาจต้องใช้อุโมงค์ ขณะที่แหล่งสาธารณะอาจถูกบล็อกตามนโยบาย การท่องเว็บอาจทำงานได้ขณะที่เส้นทางของบริการเวลาเองล้มเหลว จึงเป็นเหตุให้การพึ่งพานี้ถูกมองข้ามได้ง่าย NTP คือโปรโตคอลที่อยู่เบื้องหลังการปรับตั้ง และต้องมีเส้นทางของตัวเองเหมือนบริการอื่นใด

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

ยังมีปัญหาเรื่องลำดับการบูตด้วย นาฬิกาที่ผิดมากอาจขัดขวางอุโมงค์ที่ผ่านการพิสูจน์ตัวตน และแหล่งเวลาที่ใช้ได้เพียงแหล่งเดียวอาจอยู่หลังอุโมงค์นั้น ฝูงเครื่องที่ได้รับการจัดการต้องมีขั้นตอนที่เขียนไว้สำหรับสภาวะนั้น และการข้ามการตรวจสอบใบรับรองไม่ใช่ขั้นตอนเช่นนั้น บนอุปกรณ์ส่วนตัว ให้ใช้การควบคุมเวลาของระบบปฏิบัติการเองและค้นหาว่าทำไมนาฬิกาจึงหายไปหลังปิดเครื่องหรือกู้คืน เครื่องที่คลาดเคลื่อนทุกครั้งที่บูตมีปัญหาฮาร์ดแวร์หรือการตั้งค่า ไม่ใช่ปัญหา VPN

หลังซ่อมแซม ให้ลองเชื่อมต่อเดิมอีกครั้งและอ่านข้อผิดพลาดใหม่อย่างแยกส่วน ตัวตนเซิร์ฟเวอร์ที่ไม่ดี ใบรับรองที่หมดอายุจริง และบัญชีที่ถูกปฏิเสธเป็นความล้มเหลวสามอย่างที่ต่างกัน และการผสมปนเปกันคือวิธีที่การแก้ไขนาฬิกาง่าย ๆ กลายเป็นการเปลี่ยนโปรไฟล์ทั้งสัปดาห์