Maling orasan ng device ay makapipigil sa VPN: tingnan muna ang oras

Tumitigil ang VPN sa pagkonekta, binabanggit ng log ang isang sertipiko, at ang unang reaksyon ay palitan ang profile. Ang orasan ng device na mali nang ilang minuto o oras ay gumagawa ng eksaktong error na iyon, dahil ang bisa ng sertipiko ay hinuhusgahan laban sa lokal na sandali. Ang label ng time zone sa screen ay hindi ang problema; ang pinagbabatayang oras ang problema. Tingnan ang orasan bago hawakan ang anumang materyal ng sertipiko.

Mukhang problema sa sertipiko ang error, hindi problema sa orasan

Nabibigo ang TLS handshake kapag ang sertipiko ng kabilang panig ay lumabas sa validity window nito kaugnay ng orasan ng verifier. Tumatakbo ang pagsusuring iyon sa client, kaya tinatanggihan ng maling orasan ng client ang isang ganap na maayos na sertipiko. Binabanggit ng teksto ng error ang sertipiko, at kaya pinapalitan ito ng mga tao at nakikitang muli ang parehong kabiguan. Ang orasan ang mas murang haka-haka at dapat unang subukan.

Tinatanggihan ng orasang nauuna sa tunay na oras ang kasalukuyang sertipiko bilang expired; tinatanggihan ng orasang nahuhuli ang mas bago bilang hindi pa valid. Pareho ang mga mensaheng tumutukoy sa mga petsa, at parehong nabubuo nang walang anumang ugnayan sa awtoridad ng sertipiko. Iyan ang palatandaan: ang tunay na pag-expire ay umaapekto sa bawat client, samantalang ang problema sa orasan ay umaapekto lamang sa nag-iisang makina na may maling oras.

Basahin ang sandali, pagkatapos ang sertipiko

I-print ang orasan sa UTC at ang sariling mga petsa ng sertipiko bago magbago ng kahit ano. Ang paghahambing ng dalawang ganap na sandali ay nag-aalis nang lubusan ng tanong tungkol sa time zone sa pagsisiyasat. Kung ang window ng sertipiko ay naglalaman ng kasalukuyang sandali, hindi ang sertipiko ang iyong kabiguan.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Kung mali ang lokal na orasan, tingnan kung naka-sync ito at kanino. Ang makina na naka-off ang synchronization, o may pinagmumulan ng oras na hindi maabot, ay dumadausdos hanggang may mabigo. Binabanggit ng status output ang pinagmumulan at ang huling matagumpay na pagsasaayos, na mas kapaki-pakinabang kaysa sa kasalukuyang deviation lamang. Ang malaking deviation na walang naka-configure na pinagmumulan ay ibang problema kaysa sa maliit na deviation laban sa gumaganang pinagmumulan.

timedatectl timesync-status
chronyc tracking

Huminto kung talagang nag-expire ang sertipiko para sa bawat client. Kung gayon maayos ang orasan at ang sertipiko ay kailangan ng renewal, hindi pagsasaayos.

Nabibigo ang mga login code dahil sa kaugnay pero ibang dahilan

Ang time-based one-time password ay kumukuha ng halaga mula sa kasalukuyang time step, karaniwang tatlumpung segundo. Ang device na ang orasan ay lumihis nang higit sa isa o dalawang hakbang ay gumagawa ng mga code na hindi tatanggapin ng server, kahit na nag-type ang user ng tamang mga digit. Mukhang maling password ang error, na nagtutulak sa mga tao sa reset loop na hindi kayang ayusin ang orasan.

Alamin kung aling component ang tumanggi sa pagtatangka, dahil ang VPN client, gateway at identity provider ay nag-uulat ng iba't ibang yugto. Kung tinanggihan ang code pero tinanggap ang password, malamang maayos ang account at ang orasan ang pinaghihinalaan. Kung pareho ang tinanggihan, maaaring naka-lock ang account at ang orasan ay maling bakas. Sundin ang gabay sa recovery ng provider sa halip na aprubahan ang mga request na hindi mo sinimulan.

Huwag ibalik ang orasan para gumana ang isang code. Tinatakpan nito ang dahilan at sinisira ang susunod na time-based na pagsusuri.

Ayusin ang pinagmumulan, hindi ang ipinapakitang oras

Ang synchronization ay serbisyo ng network, at maaaring baguhin ng tunnel kung maabot ang pinagmumulan ng oras. Maaaring kailanganin ng corporate source ang tunnel, samantalang ang public source ay maaaring harangan ng policy. Gumagana ang pagba-browse habang nabibigo ang sariling ruta ng serbisyo ng oras, at kaya madaling makaligtaan ang dependency na ito. NTP ang protocol sa likod ng pagsasaayos, at kailangan nito ng sariling ruta tulad ng anumang serbisyo.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

May problema rin sa pagkakasunod-sunod ng boot: ang sobrang maling orasan ay makahahadlang sa authenticated tunnel, at ang tanging magagamit na pinagmumulan ng oras ay maaaring nasa likod ng tunnel na iyon. Kailangan ng pinamamahalaang fleet ang dokumentadong pamamaraan para sa kalagayang iyon, at ang paglaktaw sa certificate verification ay hindi isang pamamaraan. Sa personal na device, gamitin ang sariling mga kontrol ng oras ng operating system at alamin kung bakit nawawala ang orasan pagkatapos ng shutdown o restore. Ang makinang dumadausdos sa bawat boot ay may problema sa hardware o configuration, hindi problema sa VPN.

Pagkatapos ng pag-aayos, subukan muli ang orihinal na koneksyon at basahin nang hiwalay ang bagong error. Ang masamang server identity, sertipikong talagang nag-expire at tinanggihang account ay tatlong magkakaibang kabiguan, at ang paghahalo sa kanila ang dahilan kung bakit ang simpleng pagwawasto ng orasan ay nagiging isang linggong pagpapalit ng profile.