Sertifikat nomining mos kelmasligi yoki muddati tugashi: ularni qanday ajratish mumkin

Ikki VPN nosozligi foydalanuvchi kursisidan bir xil ko‘rinadi, ammo qarama-qarshi tuzatishlarni talab qiladi. Nomning mos kelmasligi sertifikat haqiqiy, lekin boshqa narsa uchun berilganini bildiradi. Muddati o‘tganlik xatosi sertifikat ayni damda haqiqiy emasligini bildiradi. Ikkisi ham parol muammosi emas, va ikkala holatda ham hisob ma’lumotlarini tiklash eng ko‘p yo‘qotilgan soatdir. Biror narsaga tegishdan oldin muvaffaqiyatsiz bo‘lgan bosqichni o‘qing.

Xato matni — tashxis

Xabar qisqa bo‘lsa ham, qaysi tekshiruv muvaffaqiyatsiz bo‘lganini klient aytadi. Mos kelmaslik kutilgan host nomini va topilgan nomni ko‘rsatadi. Muddati o‘tganlik xatosi amal qilish sanalari yoki vaqtni eslatadi. Bu ikki gap sertifikatning turli qismlariga ishora qiladi.

Ularni paydo bo‘lgan bosqichda o‘qing. Qo‘l siqish paytidagi nosozlik sertifikat muammosi; tunnel ko‘tarilgandan keyingi nosozlik marshrutlash yoki hisob ma’lumotlari muammosi. Bosqichni saqlab qolish tekshiruvning aloqasiz sozlamalarga burilib ketishining oldini oladi.

Agar nosozlik urinishlar orasida o‘zgarsa, uchinchi imkoniyat bor: bir nom orqasida bir nechta tugun.

Nom tekshiruvlari: klient nimani taqqoslaydi

Klient kutish uchun sozlangan identifikatsiyani sertifikatdagi nomlar bilan taqqoslaydi, ular subjectAltName kengaytmasida joylashgan. Profildagi xom IP, sertifikat ro‘yxatga olmagan taxallus yoki faqat shu serverga hal qilinadigan nom — barchasi bu tekshiruvdan o‘tmaydi. To‘g‘ri mashinaga yetish to‘g‘ri identifikatsiyani taqdim etish bilan bir xil emas.

Oldingi urinish faylini emas, server haqiqatan taqdim etadigan sertifikatni tekshiring. Quyidagi buyruq siz sozlagan nomni so‘raydi, shuning uchun javob haqiqiy klient ko‘radigan sertifikatni o‘z ichiga oladi.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Ishonchli emitentning sertifikati ham boshqa xizmat uchun bo‘lishi mumkin. Klientning nom tekshiruvlarini yoqilgan holda tuting, chunki CA ga ishonish o‘sha CA qachonlardir imzolagan har bir nomga ruxsat bermaydi. Tekshiruvni o‘chirish sozlama xatosini fosh qilishga aylantiradi.

Muddat tugashi: kimning soati o‘qilmoqda

Amal qilish — bu ikki vaqt belgisi juftligi, va tekshiruvchi ularni o‘z soati bilan taqqoslaydi. Soati noto‘g‘ri qurilma haqiqiy sertifikatni muddati o‘tgan yoki hali haqiqiy emas deb xabar qiladi, va tuzatish sertifikat emas, soat. Vaqt mintaqasi ko‘rinishidagi farq noto‘g‘ri asosiy vaqt bilan bir xil emas.

Biror xulosa chiqarishdan oldin klientda sertifikat sanalarini UTC bilan taqqoslang:

openssl x509 -in cert.pem -noout -dates
date -u

Agar sanalar haqiqatan o‘tgan bo‘lsa, emitent orqali yangilang. Agar almashtirish mavjud bo‘lsa, lekin hali haqiqiy bo‘lmagan bo‘lsa, soatni unga moslashtirish o‘rniga qo‘llab-quvvatlanadigan o‘tishga rioya qiling. Sertifikatni qondirish uchun qurilma sanasini orqaga qaytarish tunneldan ancha uzoq oqibatlarga olib keladigan qaror.

Nega birini tuzatish ikkinchisini ochib beradi

Tekshiruv tekshiruvlar ketma-ketligini bajaradi, va birinchi nosozlik hisobotni to‘xtatadi. Nomni tuzating, shunda klient sizga zanjir to‘liq emas yoki sertifikat muddati o‘tgan deb aytishi mumkin. Bu birinchi tekshiruv ortiqcha bo‘lganini bildirmaydi. Bu zanjirda bir nechta muammo bo‘lganini bildiradi, shuning uchun birinchi tuzatish noto‘g‘ri bo‘lganining dalili sifatida o‘qish o‘rniga ikkinchi xatoni kuting.

Ko‘p tugun buni yomonlashtiradi. Yukni muvozanatlaydigan xizmat turli a’zolardan turli sertifikatlar taqdim etishi mumkin, shuning uchun ikki marta o‘tib bir marta muvaffaqiyatsiz bo‘lgan sinov sizga park haqida aytadi, mijozingiz haqida emas. Tashxisda hamkor manzili va urinish vaqtini saqlang.

Aynan shu tafsilot beqaror chiptani qayta hosil qilinadigan chiptaga aylantiradi.

Buni yangi ulanish bilan isbotlang

Tuzatishdan keyin eskisini davom ettirish o‘rniga yangi ulanish oching va ilgari muvaffaqiyatsiz bo‘lgan bosqich endi o‘tishini tasdiqlang. Keyin tunnel haqiqatan trafik tashishini tasdiqlang, chunki muvaffaqiyatli qo‘l siqish ishlaydigan marshrut emas.

Aniq xato bosqichini va sertifikat tafsilotlarini chipta bilan birga saqlang.

Aynan shu yozuv keyingi odamning sertifikat muammosi uchun hisob parollarini tiklashini to‘xtatadi. Identifikatsiya va amal qilish alohida savollardir, va ikkinchisining qanday baholanishi bo‘yicha RFC 5280 manba hisoblanadi.