Sertifika adı uyuşmazlığı veya süre bitimi: ikisini ayırt etmek

İki VPN arızası kullanıcının koltuğundan aynı görünür ama zıt düzeltmeler gerektirir. Ad uyuşmazlığı sertifikanın geçerli olduğunu ama başka bir şey için düzenlendiğini söyler. Süre bitimi hatası sertifikanın şu anda geçerli olmadığını söyler. İkisi de parola sorunu değildir ve her iki durumda da kimlik bilgilerini sıfırlamak en sık harcanan boşa saat. Bir şeye dokunmadan önce başarısız olan aşamayı okuyun.

Hata metni tanıdır

İleti kısa olsa bile istemci hangi denetimin başarısız olduğunu söyler. Uyuşmazlık beklenen ana bilgisayar adını ve bulunan adı belirtir. Süre bitimi hatası geçerlilik tarihlerinden veya bir saatten söz eder. Bu iki cümle sertifikanın farklı bölümlerini işaret eder.

Onları göründükleri aşamada okuyun. El sıkışma sırasındaki bir arıza sertifika sorunudur; tünel kurulduktan sonraki arıza yönlendirme veya kimlik bilgisi sorunudur. Aşamayı korumak, incelemenin ilgisiz ayarlara kaymasını engelleyen şeydir.

Arıza denemeler arasında değişiyorsa üçüncü bir olasılığınız var: aynı adın arkasında birden fazla düğüm.

Ad denetimleri: istemci neyi karşılaştırır

İstemci, beklemek üzere yapılandırıldığı kimliği sertifikadaki adlarla karşılaştırır; bu adlar subjectAltName uzantısındadır. Profildeki ham IP, sertifikanın listelemediği bir takma ad veya yalnızca aynı sunucuya çözülen bir ad — hepsi bu denetimde başarısız olur. Doğru makineye ulaşmak, doğru kimliği sunmakla aynı şey değildir.

Önceki bir denemenin dosyası yerine sunucunun gerçekten sunduğu sertifikayı inceleyin. Aşağıdaki komut yapılandırdığınız adı sorar, böylece yanıt gerçek bir istemcinin göreceği sertifikayı içerir.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Güvenilen bir vericiden alınan sertifika yine de başka bir hizmet için olabilir. İstemcinin ad denetimlerini açık tutun, çünkü bir CA'ya güvenmek o CA'nın bugüne kadar imzaladığı her adı yetkilendirmez. Denetimi kapatmak, bir yapılandırma hatasını açığa dönüştürür.

Süre bitimi: kimin saati okunuyor

Geçerlilik bir çift zaman damgasıdır ve doğrulayıcı bunları kendi saatiyle karşılaştırır. Saati yanlış bir aygıt geçerli bir sertifikayı süresi dolmuş veya henüz geçerli değil diye bildirir ve düzeltme saattir, sertifika değil. Saat dilimi görüntüleme farkı, alttaki saatin yanlış olmasıyla aynı şey değildir.

Herhangi bir sonuca varmadan önce istemcide sertifika tarihlerini UTC ile karşılaştırın:

openssl x509 -in cert.pem -noout -dates
date -u

Tarihler gerçekten geçmişse verici aracılığıyla yenileyin. Bir yedek varsa ama henüz geçerli değilse, saati ona uydurmak yerine desteklenen geçişi izleyin. Bir sertifikayı memnun etmek için aygıtın tarihini geri almak, tünelin çok ötesinde sonuçları olan bir karardır.

Birini düzeltmek diğerini neden açığa çıkarır

Doğrulama bir denetim dizisi çalıştırır ve ilk arıza raporu durdurur. Adı düzeltin, istemci size artık zincir eksik ya da sertifikanın süresi doldu diyebilir. Bu, ilk denetimin gereksiz olduğu anlamına gelmez. Zincirin birden fazla sorunu olduğu anlamına gelir; bu yüzden ikinci hatayı bekleyin, onu ilk düzeltmenin yanlış olduğunun kanıtı olarak okumayın.

Birden fazla düğüm bunu kötüleştirir. Yük dengeli bir hizmet farklı üyelerden farklı sertifikalar sunabilir; iki kez geçip bir kez başarısız olan bir test size istemcinizden değil filodan bahseder. Tanıya eş adresini ve deneme zamanını ekleyin.

Tam da bu ayrıntı, kararsız bir bileti yeniden üretilebilir bir bilete dönüştürür.

Yeni bir bağlantıyla kanıtlayın

Onarımdan sonra eski bir bağlantıyı sürdürmek yerine yeni bir bağlantı açın ve eskiden başarısız olan aşamanın artık geçtiğini doğrulayın. Ardından tünelin gerçekten trafik taşıdığını doğrulayın, çünkü başarılı bir el sıkışma çalışan bir yol değildir.

Kesin hata aşamasını ve sertifika ayrıntılarını biletle birlikte saklayın.

Tam da o kayıt, bir sonraki kişinin sertifika sorunu yüzünden hesap parolalarını sıfırlamasını engeller. Kimlik ve geçerlilik ayrı sorulardır ve RFC 5280 ikincisinin nasıl değerlendirildiği için referanstır.