Sertifika iptali başarısız: hangi ana makine neye ulaşamıyor

Sertifikalar geçerlilik dönemleri içinde olabilir ama VPN yine de bir kimlik doğrulama hatası bildirir, ve biri sertifikanın iptal edildiği sonucuna varır. Bunlar üç ayrı gerçektir. İptal verisini doğrulamayı yapan cihazın, sertifikanın kendi içinde belirtilen bir yayın uç noktasından alması gerekir. O cihaz uç noktaya ulaşamadığında denetim, sertifikanın durumuyla ilgisi olmayan nedenlerle başarısız olur.

Getirme yolunun sahibi doğrulayıcıdır

Doğrulayıcıyı belirleyerek başlayın. Bir dizüstü bilgisayar geçidin sertifikasını denetlediğinde veriyi dizüstü bilgisayar alır; geçit bir istemci sertifikasını denetlediğinde bunu geçit yapar. Arka uçtaki bir kimlik doğrulama hizmeti, kendi ağ konumuna sahip üçüncü bir doğrulayıcı ekleyebilir. Her birinin internete farklı bir yolu ve farklı bir vekil sunucu yapılandırması vardır. Bir yöneticinin iş istasyonunda toplanan kanıtlar, DMZ içindeki bir sunucu hakkında hiçbir şey söylemez.

Herhangi bir şeyi değiştirmeden önce sertifikayı, doğrulayıcıyı, deneme zamanını ve tam durum kodunu yazın.

Yayın uç noktasını sertifikadan okuyun

Sertifika, durumunun nerede olduğunu belirtir. Bir CA adresi tahmin etmek yerine bu alanları okuyun.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

İlk uzantı CRL dağıtım noktalarını listeler, ikincisi ise OCSP durumunu ve veren sertifikasının getirilmesini kapsayabilen veren bilgisi erişim yöntemlerini listeler. Bunlar farklı mekanizmalardır ve bir OCSP yanıtlayıcısı CRL dosyası değildir. Yayın ana makinesi çoğu zaman CA makinesi değil sıradan bir web sunucusudur, çünkü çevrimdışı bir veren başka bir sunucunun dağıttığı bir CRL imzalayabilir. Bu nedenle CA erişimi olarak tanımlanan bir güvenlik duvarı kuralı, uygulanması veya gözden geçirilmesi için fazla belirsizdir.

Getirmeyi doğrulama yapan cihazdan test edin

Getirme testini gerçekten doğrulama yapan ortamda, onaylanmış sertifika malzemesiyle ve özel anahtarlar olmadan çalıştırın.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil çalıştırması zinciri doğrular ve hangi URL getirmelerinin başarılı veya başarısız olduğunu bildirir; curl çağrısı ise aynı ana makineden tek bir yayın adresini test eder ve yalnızca bir durum kodu döndürür. Erişilebilir bir adresten başarısız getirme, içerik veya imza sorunlarına işaret eder; bağlantı hatası yönlendirme, DNS veya vekil sunucuya işaret eder. Her iki sonucu da saklayın, çünkü tek bir başarılı getirme tüm zincirin kullanılabilir olduğunu kanıtlamaz. Örnek ana makineyi ve yolu sertifikada bulunan dağıtım noktasıyla değiştirin.

Eksik veriyi iptal durumundan ayırın

Dört sonuç dışarıdan benzer görünür: uç noktaya ulaşılamıyor, liste eski, liste yanlış veren tarafından imzalanmış veya sertifika gerçekten iptal edilmiş. Yalnızca sonuncusu bir durum sonucudur ve yalnızca o erişimin kaldırılmasını haklı çıkarır. Önbellekleme tabloyu daha da karmaşıklaştırır, çünkü daha önce getirilen veriler bir sonraki yenilemeye kadar bozuk bir yayın yolunu gizleyebilir. İptal denetimini kapatmak, ilgisiz sertifikaları silmek veya geçidi yeniden başlatmak tanı yerine etkinlik koyar.

Düzeltmeden sonra yeni bir kimlik doğrulamayı zorunlu kılın ve amaçlanan durum getirmesinin başarılı olduğunu doğrulayın. Kontrollü bir test kimliği varsa, hâlâ reddedildiğini doğrulayın, çünkü denetimi kaldıran kullanılabilirlik bir onarım değildir.