Yanlış cihaz saati VPN’i durdurabilir: önce saati kontrol edin

VPN bağlanmayı durdurur, günlük bir sertifikadan söz eder ve ilk refleks profili değiştirmektir. Dakikalar veya saatler boyunca yanlış olan cihaz saati tam olarak bu hatayı üretir, çünkü sertifikanın geçerliliği yerel ana göre değerlendirilir. Ekrandaki saat dilimi etiketi sorun değildir; sorun alttaki zamandır. Herhangi bir sertifika malzemesine dokunmadan önce saati kontrol edin.

Hata saat sorunu gibi değil, sertifika sorunu gibi görünüyor

TLS el sıkışması, karşı tarafın sertifikası doğrulayıcının saatine göre geçerlilik penceresinin dışına düştüğünde başarısız olur. Bu kontrol istemcide çalışır, dolayısıyla yanlış istemci saati tamamen iyi bir sertifikayı reddeder. Hata metni sertifikayı adlandırır, bu yüzden insanlar onu değiştirir ve aynı başarısızlığı yeniden görür. Saat daha ucuz hipotezdir ve önce sınanmalıdır.

Gerçek zamandan ileri olan saat, mevcut bir sertifikayı süresi dolmuş diye reddeder; geride kalan saat daha yenisini henüz geçerli değil diye reddeder. Her iki mesaj da tarihlere işaret eder ve ikisi de sertifika otoritesiyle hiçbir temas olmadan üretilir. İşaret budur: gerçek bir süre sonu her istemciyi etkiler, saat sorunu ise yalnızca saati yanlış olan tek makineyi etkiler.

Anı okuyun, sonra sertifikayı

Herhangi bir şeyi değiştirmeden önce saati UTC olarak ve sertifikanın kendi tarihlerini yazdırın. İki mutlak anı karşılaştırmak saat dilimi sorusunu soruşturmadan tamamen çıkarır. Sertifikanın penceresi mevcut anı içeriyorsa sertifika sizin başarısızlığınız değildir.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Yerel saat yanlışsa, senkronize olup olmadığını ve neyle senkronize olduğunu kontrol edin. Senkronizasyonu kapalı veya ulaşamadığı bir saat kaynağı olan makine, bir şey bozulana kadar kayar. Durum çıktısı kaynağı ve son başarılı ayarlamayı adlandırır, bu da tek başına mevcut sapmadan daha faydalıdır. Kaynak yapılandırılmadan büyük bir sapma, çalışan bir kaynağa göre küçük sapmadan farklı bir sorundur.

timedatectl timesync-status
chronyc tracking

Sertifika gerçekten her istemci için süresi dolmuşsa durun. O zaman saat iyidir ve sertifikanın ayarlamaya değil yenilemeye ihtiyacı vardır.

Giriş kodları ilgili ama farklı bir nedenle başarısız olur

Zamana dayalı tek kullanımlık parolalar değerlerini geçerli zaman adımından alır, genellikle otuz saniye. Saati bir veya iki adımdan fazla kayan cihaz, kullanıcı doğru rakamları yazsa bile sunucunun kabul etmeyeceği kodlar üretir. Hata yanlış parola gibi görünür, bu da insanları saati düzeltemeyen bir sıfırlama döngüsüne iter.

Denemeyi hangi bileşenin reddettiğini belirleyin, çünkü VPN istemcisi, ağ geçidi ve kimlik sağlayıcı farklı aşamalar bildirir. Kod reddedilip parola kabul edilirse hesap büyük olasılıkla iyidir ve şüpheli saattir. İkisi de reddedilirse hesap kilitlenmiş olabilir ve saat yanlış bir izdir. Başlatmadığınız istekleri onaylamak yerine sağlayıcının kurtarma yönergelerini izleyin.

Bir kod çalışsın diye saati geri almayın. Bu nedeni gizler ve sonraki zamana dayalı kontrolü bozar.

Gösterilen saati değil kaynağı düzeltin

Senkronizasyon bir ağ hizmetidir ve tünel, saat kaynağına ulaşılabilirliği değiştirebilir. Kurumsal bir kaynak tüneli gerektirebilir, oysa genel bir kaynak politikayla engellenebilir. Tarama çalışırken saat hizmetinin kendi yolu başarısız olabilir, bu yüzden bu bağımlılığı kaçırmak kolaydır. NTP ayarlamanın arkasındaki protokoldür ve her hizmet gibi kendi yoluna ihtiyaç duyar.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Bir de önyükleme sırası sorunu vardır: çok yanlış bir saat kimliği doğrulanmış bir tüneli engelleyebilir ve kullanılabilir tek saat kaynağı o tünelin arkasında olabilir. Yönetilen bir filo o durum için belgelenmiş bir prosedüre ihtiyaç duyar ve sertifika doğrulamasını atlamak böyle bir prosedür değildir. Kişisel bir cihazda işletim sisteminin kendi saat denetimlerini kullanın ve kapatma veya geri yükleme sonrası saatin neden kaybolduğunu bulun. Her açılışta kayan makine bir donanım veya yapılandırma sorunu yaşar, VPN sorunu değil.

Onarımdan sonra özgün bağlantıyı yeniden deneyin ve yeni hatayı ayrıca okuyun. Kötü sunucu kimliği, gerçekten süresi dolmuş bir sertifika ve reddedilmiş bir hesap üç farklı başarısızlıktır ve bunları karıştırmak basit bir saat düzeltmesini bir haftalık profil değişimine dönüştürür.