Đồng hồ thiết bị sai có thể chặn VPN: hãy kiểm tra thời gian trước

VPN ngừng kết nối, nhật ký nhắc đến chứng chỉ, và phản xạ đầu tiên là thay hồ sơ. Đồng hồ thiết bị lệch vài phút hoặc vài giờ tạo ra đúng lỗi đó, vì hiệu lực của chứng chỉ được đánh giá theo thời điểm cục bộ. Nhãn múi giờ trên màn hình không phải vấn đề; thời gian bên dưới mới là vấn đề. Hãy kiểm tra đồng hồ trước khi chạm vào bất kỳ vật liệu chứng chỉ nào.

Lỗi trông giống vấn đề chứng chỉ, không phải vấn đề đồng hồ

Bắt tay TLS thất bại khi chứng chỉ của bên kia nằm ngoài cửa sổ hiệu lực so với đồng hồ của bên kiểm tra. Việc kiểm tra đó chạy trên máy khách, nên đồng hồ máy khách sai sẽ từ chối một chứng chỉ hoàn toàn tốt. Văn bản lỗi nêu tên chứng chỉ, và đó là lý do người ta thay nó rồi lại thấy cùng thất bại. Đồng hồ là giả thuyết rẻ hơn và nên được thử trước.

Đồng hồ nhanh hơn thời gian thực từ chối chứng chỉ hiện tại là đã hết hạn; đồng hồ chậm hơn từ chối chứng chỉ mới hơn là chưa có hiệu lực. Cả hai thông báo đều chỉ vào ngày tháng, và cả hai được tạo ra mà không có bất kỳ liên hệ nào với tổ chức cấp chứng chỉ. Đó là dấu hiệu: hết hạn thật ảnh hưởng đến mọi máy khách, còn vấn đề đồng hồ chỉ ảnh hưởng đến chiếc máy duy nhất có thời gian sai.

Đọc thời điểm, rồi đọc chứng chỉ

In đồng hồ theo UTC và ngày của chính chứng chỉ trước khi thay đổi bất cứ điều gì. So sánh hai thời điểm tuyệt đối loại bỏ hoàn toàn câu hỏi về múi giờ khỏi cuộc điều tra. Nếu cửa sổ của chứng chỉ chứa thời điểm hiện tại, thì chứng chỉ không phải thất bại của bạn.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Nếu đồng hồ cục bộ sai, hãy kiểm tra xem nó có được đồng bộ và đồng bộ với cái gì. Một máy tắt đồng bộ hóa, hoặc có nguồn thời gian không thể tiếp cận, sẽ trôi cho đến khi có thứ gì đó hỏng. Kết quả trạng thái nêu tên nguồn và lần điều chỉnh thành công gần nhất, hữu ích hơn chỉ độ lệch hiện tại. Độ lệch lớn mà không có nguồn được cấu hình là vấn đề khác với độ lệch nhỏ so với một nguồn đang hoạt động.

timedatectl timesync-status
chronyc tracking

Dừng lại nếu chứng chỉ thực sự hết hạn với mọi máy khách. Khi đó đồng hồ ổn và chứng chỉ cần gia hạn, không phải điều chỉnh.

Mã đăng nhập thất bại vì lý do liên quan nhưng khác

Mật khẩu một lần dựa trên thời gian lấy giá trị từ bước thời gian hiện tại, thường là ba mươi giây. Một thiết bị có đồng hồ lệch hơn một hoặc hai bước sẽ tạo ra mã mà máy chủ không chấp nhận, dù người dùng đã nhập đúng các chữ số. Lỗi trông giống mật khẩu sai, đẩy người ta vào vòng lặp đặt lại không thể sửa đồng hồ.

Xác định thành phần nào đã từ chối lần thử, vì máy khách VPN, cổng và nhà cung cấp danh tính báo cáo các giai đoạn khác nhau. Nếu mã bị từ chối nhưng mật khẩu được chấp nhận, tài khoản có lẽ ổn và đồng hồ là nghi phạm. Nếu cả hai bị từ chối, tài khoản có thể bị khóa và đồng hồ là manh mối sai. Hãy làm theo hướng dẫn khôi phục của nhà cung cấp thay vì phê duyệt các yêu cầu bạn không khởi tạo.

Đừng lùi đồng hồ để một mã hoạt động. Nó che giấu nguyên nhân và phá hỏng lần kiểm tra dựa trên thời gian tiếp theo.

Sửa nguồn, không phải giờ hiển thị

Đồng bộ hóa là một dịch vụ mạng, và đường hầm có thể thay đổi việc nguồn thời gian có tiếp cận được hay không. Nguồn của doanh nghiệp có thể yêu cầu đường hầm, trong khi nguồn công cộng có thể bị chặn bởi chính sách. Duyệt web có thể hoạt động trong khi đường đi riêng của dịch vụ thời gian thất bại, và đó là lý do dễ bỏ sót sự phụ thuộc này. NTP là giao thức đằng sau việc điều chỉnh, và nó cần đường đi riêng như mọi dịch vụ khác.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Còn có vấn đề thứ tự khởi động: đồng hồ rất sai có thể ngăn một đường hầm đã xác thực, và nguồn thời gian duy nhất dùng được có thể nằm sau đường hầm đó. Một đội máy được quản lý cần quy trình có tài liệu cho trạng thái đó, và bỏ qua kiểm tra chứng chỉ không phải là quy trình như vậy. Trên thiết bị cá nhân, hãy dùng các điều khiển thời gian của chính hệ điều hành và tìm hiểu tại sao đồng hồ bị mất sau khi tắt máy hoặc khôi phục. Máy trôi mỗi lần khởi động có vấn đề phần cứng hoặc cấu hình, không phải vấn đề VPN.

Sau khi sửa, hãy thử lại kết nối ban đầu và đọc lỗi mới riêng rẽ. Danh tính máy chủ kém, chứng chỉ thực sự hết hạn và tài khoản bị từ chối là ba thất bại khác nhau, và trộn chúng là cách một chỉnh sửa đồng hồ đơn giản trở thành một tuần thay hồ sơ.