VPN sertifikati hali yaroqli emas: uch sabab, bitta tekshiruv tartibi
«Hali yaroqli emas» qurilma soati orqada qolganini, oyna haqiqatan kechroq boshlanishini yoki oraliq sertifikat hali ochilmaganini bildiradi. Ularni shu tartibda tekshiring.
Klientni ochasiz, oylab ishlatgan profilingizni tanlaysiz va u "certificate is not yet valid" bilan to'xtaydi. Kirishingizda hech narsa o'zgarmagan va ishonch ombori, ehtimol, joyida: qo'l berib ko'rishishda taqdim etilgan sertifikat tekshiruvchi ishlatayotgan lahzadan kechroq boshlanadigan amallilik oynasini olib yuradi. Aynan shu xabarni uch xil holat keltirib chiqaradi va ular turli choralarni talab qiladi. Quyidagi tartib soat yoki sertifikat fayliga tegishdan oldin qaysi biri ekanini aytadi.
Uch sababdan qaysi birini ko'ryapsiz
Birinchi sabab mahalliy: tekshiruvni bajarayotgan qurilmaning soati sertifikatning boshlanish sanasidan oldinroq. Buni CMOS batareyasi o'lik texnikada, eski suratdan tiklangan virtual mashinalarda, vaqtni yo'qotish uchun yetarlicha uzoq o'chirilgan qurilmalarda va chiquvchi NTP bloklangan, ammo hech kim sezmagan tarmoqlarda ko'rasiz. Sertifikat to'liq yaroqli bo'lib, baribir shu tarzda muvaffaqiyatsiz bo'lishi mumkin.
Ikkinchi sabab chiqaruvchiga tegishli, chunki sertifikat haqiqatan kelajakda boshlanadi: erta chiqarilgan, aniq boshlanish vaqti bilan yaratilgan yoki hali bajarilmagan faollashtirish qadamining qismi sifatida imzolangan. Uchinchi sabab eng ko'p vaqtni yo'qotadi, chunki barg amaldagi, ammo taqdim etilgan zanjirdagi boshqa sertifikat bunday emas, shuning uchun xato siz hech qachon o'rnatmagan materialni nomlaydi.
Ularni bitta savol ajratadi. Muvaffaqiyatsizlik qurilmaga ergashadimi yoki xizmatga? Bir tarmoqdagi turlicha tutgan ikki mashina soatlarni ko'rsatadi. Har bir klient bir xil tarzda muvaffaqiyatsiz bo'lsa, bu sertifikat oynasi va uning orqasidagi zanjirni ko'rsatadi.
Oynani haqiqatan taqdim etilgan sertifikatdan o'qing
Avvalgi joylashtirishdan qolgan PEM faylni tekshirmang; xizmatdan hozir yuborayotgan zanjirni so'rang. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts zanjirdagi har bir sertifikatni chop etadi. Kerakli blokni saqlang va openssl x509 -noout -subject -issuer -dates ishga tushiring; oxirgisi notBefore va notAfter ni chop etadi va aynan shu ikki qiymat hal qiladi. Windows da ulanishning sertifikat oynasi va eksport qilingan faylda certutil -dump bir xil maydonlarni ko'rsatadi.
Oynaning ikki uchini o'qing, faqat boshlanishini emas. Ikki soatdan keyin ochiladigan sertifikat va ikki soatdan keyin yopiladigan sertifikat turli xabarlar bilan muvaffaqiyatsiz bo'ladi va turli jamoalarni jalb qiladi. Xato qaysi sertifikatni nomlashini qayd eting — barg, oraliq yoki ildiz — chunki bu klient tomonida biror narsani tuzatish mumkinligini belgilaydi.
Oynani kutmasdan ham sinab ko'rishingiz mumkin. Tekshirish aniq vaqtni qabul qiladi: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem zanjirni shu vaqt belgisida baholaydi. Muvaffaqiyatsizlikni takrorlash uchun joriy vaqt bilan, so'ngra oyna ochilgach xuddi shu zanjir o'tishini tasdiqlash uchun sertifikatning boshlanish vaqti bilan ishga tushiring. RFC 5280 amallilik maydoni va sertifikatni undan tashqarida ishlatmaslik qoidasini belgilaydi, klientingiz aynan shu qoidani hozir qo'lladi.
Sizning soatingizmi yoki ularniki
Qurilma soatini sertifikatning UTC bo'yicha boshlanishi bilan, ishonadigan manbangizdan solishtiring. date -u lahzani beradi, systemd xostida timedatectl status soat sinxronlanganini ham xabar qiladi. Windows da w32tm /query /status joriy manba va oxirgi muvaffaqiyatli sinxronlashni ko'rsatadi. Trayda ko'rsatilgan vaqt mintaqasi ko'rsatish tanlovi, noto'g'ri soat emas; tekshiruvchi UTC lahzalarini solishtiradi.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
Agar soat orqada qolsa, har qanday sertifikat materialini o'zgartirishdan oldin qayta sinxronlang va qayta sinang. Bir necha daqiqa yoki soat xato qurilma duch kelgan har bir yaqinda chiqarilgan sertifikatni rad etadi, faqat bitta xizmatni emas, shuning uchun bitta xizmat bilan izohlash odatda noto'g'ri. Agar soat to'g'ri va sinxronlangan bo'lsa, qurilmaga qarashni to'xtating: oyna chiqaruvchiga tegishli va uning o'tishi uchun hech qanday mahalliy sozlama o'zgartirilmasligi kerak.
O'sha jadval butun qaror. Soatni sertifikat kutgan qiymatga ko'chirish ta'mirlash emas, vaqt tekshiruvlarini o'chirish ham ta'mirlash emas, chunki ikkalasi ham xatoni keltirib chiqargan holatni yashiradi.
Barg yaxshi ko'ringanda zanjir nega muvaffaqiyatsiz bo'ladi
Yangilangan barglar va almashtiruvchi oraliq sertifikatlar odatda birga yuboriladi va har doim bir lahzada yetib kelmaydi. Xizmat o'zining oynasi kechroq boshlanadigan oraliq bilan imzolangan yangi barg yuborishi yoki yangi barg ostida eskiroq oraliqni taqdim etishni davom ettirishi mumkin. Har ikki holatda ham bargning o'z sanalari o'rinli ko'ringanda zanjir muvaffaqiyatsiz bo'ladi.
Yuklamasi muvozanatlangan oxirgi nuqtalar buni buzilgandan nomuvofiqga aylantiradi. Qayta urinish muvaffaqiyatli bo'lsa yoki bir tarmoq ishlab, boshqasi ishlamasa, sozlamalarni o'zgartirishdan oldin qaysi tengdosh javob bergani va qaysi zanjirni yuborganini yozib qo'ying. openssl s_client ulangan manzilni chop etadi, shuning uchun bir necha urinish har bir tugun bir xil zanjirni taqdim etishini ko'rsatadi.
Tekshiruvni saqlab qoladigan ta'mirlash yo'llari
Soat muammosi qurilmada tekshiruv yoqilgan holda tuzatiladi. Sertifikat muammosini operator hozirni allaqachon qamrab olgan oyna uchun chiqarilgan material bilan tuzatadi. Hech qanday klient sozlamasi hali yaroqli bo'lmagan sertifikatni yaroqli qilmaydi; vaqt tekshiruvlarini o'tkazib yuboradigan bayroqlar tashxisni tasdiqlash uchun bor, ishlab chiqarishga chiqarish uchun emas.
Sertifikat rejalashtirilgan faollashtirish uchun tayyorlangan bo'lsa, o'tish rejasiga rioya qiling. Oynasi ochilganda o'rnating yoki provayder hujjatlashtirgan qoplanish tartibini qo'llang, erta o'rnatib foydalanuvchilarga ogohlantirishlarni bosib o'tishni o'rgatish o'rniga. Odamlar e'tiborsiz qoldirishni o'rganadigan ogohlantirishlar qisqa kechikishdan qimmatroq turadi.
Nihoyat, muvaffaqiyatsizlik qanday sodir bo'lgan bo'lsa, shunday qayta sinang: yangi sessiya, o'sha klient, haqiqatan kerak bo'lgan resurs. TLS kutubxonalari tekshirilgan zanjirni ulanishning butun umri davomida keshlashi mumkin va tiklangan sessiya uni har doim ham qayta tekshirmaydi, shuning uchun eski sessiya tuzatishdan keyin ham muvaffaqiyatsiz bo'lishi yoki regressiyadan keyin ham ishlashi mumkin. Ko'rgazgichda ochiladigan fayl faqat fayl o'qilishini isbotlaydi; tugallangan qo'l berib ko'rishish zanjir tekshirilishini isbotlaydi.
Chiptani yopishdan oldin to'rt narsani tasdiqlang: muvaffaqiyatsiz qurilmaning UTC vaqti va sinxronlash holati, taqdim etilgan zanjirdagi har bir sertifikatning notBefore va notAfter qiymatlari, ikkinchi klientdan xuddi shu zanjir va xato sertifikatga beradigan nom. Agar soat to'g'ri bo'lib, oyna hali ochilmagan bo'lsa, qolgani operatorning ishi, va siz tomondan to'g'ri qadam tekshiruvni zaiflashtirish emas, oynani kutishdir.