Sertifikatni bekor qilish ishlamaydi: qaysi xost nimaga yetib bormaydi

Sertifikatlar amal qilish muddati ichida bo‘lishi mumkin, VPN esa baribir autentifikatsiya xatosini bildiradi, va kimdir sertifikat bekor qilingan deb xulosa qiladi. Bu uch xil fakt. Bekor qilish ma’lumotini tekshirishni bajaradigan qurilmaning o‘zi sertifikat ichida ko‘rsatilgan e’lon nuqtasidan olishi kerak. O‘sha qurilma nuqtaga yetib bormasa, tekshiruv sertifikat holatiga aloqasi bo‘lmagan sabablarga ko‘ra muvaffaqiyatsiz tugaydi.

Olish yo‘li tekshiruvchining qo‘lida

Tekshiruvchi tomonni aniqlashdan boshlang. Noutbuk shlyuz sertifikatini tekshirsa, ma’lumotni noutbuk oladi; shlyuz mijoz sertifikatini tekshirsa, buni shlyuz qiladi. Orqa fondagi autentifikatsiya xizmati o‘z tarmoq holatiga ega uchinchi tekshiruvchini qo‘shishi mumkin. Har birining internetga chiqish yo‘li va proksi sozlamasi boshqacha. Administratorning ish stantsiyasida yig‘ilgan dalillar DMZ ichidagi server haqida hech narsa demaydi.

Biror narsani o‘zgartirishdan oldin sertifikat, tekshiruvchi, urinish vaqti va aniq holat kodini yozib qo‘ying.

E’lon nuqtasini sertifikatdan o‘qing

Sertifikat o‘z holati qayerda ekanini ko‘rsatadi. CA manzilini taxmin qilish o‘rniga o‘sha maydonlarni o‘qing.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Birinchi kengaytma CRL tarqatish nuqtalarini sanaydi, ikkinchisi esa chiqaruvchi ma’lumotiga kirish usullarini sanaydi, ular OCSP holati va chiqaruvchi sertifikatini olishni qamrab olishi mumkin. Bular turli mexanizmlar, OCSP javob beruvchisi esa CRL fayli emas. E’lon xosti ko‘pincha CA mashinasi emas, oddiy veb-server bo‘ladi, chunki oflayn chiqaruvchi boshqa server tarqatadigan CRLni imzolashi mumkin. Shuning uchun CA ga kirish deb ta’riflangan fayervol qoidasi joriy etish yoki ko‘rib chiqish uchun juda noaniq.

Olishni tekshiruvchi qurilmadan sinang

Olish sinovini haqiqatda tekshirishni bajaradigan muhitda, tasdiqlangan sertifikat materiali bilan va shaxsiy kalitlarsiz ishga tushiring.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil ishga tushirilganda zanjir tekshiriladi va qaysi URL olishlari muvaffaqiyatli yoki muvaffaqiyatsiz bo‘lgani haqida hisobot beriladi, curl chaqiruvi esa o‘sha xostdan bitta e’lon manzilini sinab, faqat holat kodini qaytaradi. Yetib borish mumkin bo‘lgan manzildan muvaffaqiyatsiz olish mazmun yoki imzo muammosini ko‘rsatadi; ulanish xatosi marshrutlash, DNS yoki proksini ko‘rsatadi. Ikkala natijani ham saqlang, chunki bitta muvaffaqiyatli olish butun zanjir yaroqli ekanini isbotlamaydi. Namunadagi xost va yo‘lni sertifikatda topilgan tarqatish nuqtasi bilan almashtiring.

Yetishmayotgan ma’lumotni bekor qilingan holatdan ajrating

Tashqaridan to‘rtta natija bir xil ko‘rinadi: nuqta yetib bo‘lmaydigan, ro‘yxat eskirgan, ro‘yxat noto‘g‘ri chiqaruvchi tomonidan imzolangan yoki sertifikat haqiqatan bekor qilingan. Faqat oxirgisi holat natijasidir va faqat u kirishni olib tashlashni oqlaydi. Keshlash manzarani yanada murakkablashtiradi, chunki avval olingan ma’lumot keyingi yangilanishgacha buzilgan e’lon yo‘lini yashirishi mumkin. Bekor qilish tekshiruvini o‘chirish, aloqasiz sertifikatlarni o‘chirish yoki shlyuzni qayta ishga tushirish tashxis o‘rniga faoliyat qo‘yadi.

Tuzatishdan so‘ng yangi autentifikatsiyani majburan ishga tushiring va ko‘zlangan holat olishi muvaffaqiyatli ekanini tasdiqlang. Nazorat qilinadigan sinov identifikatori mavjud bo‘lsa, u hanuz rad etilishini tasdiqlang, chunki tekshiruvni olib tashlaydigan mavjudlik tuzatish emas.