OpenVPN-sertifikaat verval? Kyk eers na die horlosie, dan na die sertifikaat

Die kliënt maak verbinding, onderhandel vir 'n oomblik en meld dan dat 'n sertifikaat verval het. Voordat jy enigiemand vra om iets weer uit te reik, kyk na die datum op die toestel voor jou: 'n skootrekenaar wat 'n maand lank geslaap het, 'n selfoon met 'n handmatige horlosie en 'n router sonder 'n werkende NTP-bron rapporteer almal die verkeerde oomblik aan 'n TLS-stapel. 'n Sertifikaat is net binne 'n venster geldig, en die kontrole vergelyk daardie venster met wat die plaaslike horlosie beweer. Kry die horlosie reg, besluit dan of die probleem werklik is.

Begin met die horlosie op die toestel

Maak 'n terminaal oop en lees die stelsel se idee van UTC, nie die lessenaarhorlosie-widget nie, wat 'n tydsone-aangepaste beeld of 'n verouderde waarde wat deur die GUI gekas is, kan wys.

date -u
timedatectl status

'n Horlosie ver voor maak 'n geldige sertifikaat laat lyk of dit verval het, en een ver agter maak dit laat lyk of dit nog nie geldig is nie, wat sommige kliënte met dieselfde generiese handskuddingsfout rapporteer. As sinchronisasie gedeaktiveer is of die tydbron onbereikbaar is, maak dit eers reg en toets weer voordat jy enige lêer aanraak. Om die horlosie terug te stel om 'n vervaldatum verby te kom, is nie 'n oplossing nie: dit breek ander dienste op die toestel en laat die identiteitsprobleem presies waar dit was.

As die horlosie korrek is, is die verval egter werklik en geld die res van hierdie uiteensetting. Let op watter tydsone die kliënt se log gebruik voordat jy tydstempels van twee toestelle vergelyk. 'n Bediener in 'n ander sone kan 'n hernuwing vroeg of laat laat lyk terwyl dit nóg was. Vergelyk met die tydstempel in die kliënt se eie logreël eerder as die muurhorlosie op jou lessenaar.

Lees eers die foutreël, dan die profiel

Hou die presiese teks. OpenVPN se verifikasiefout noem 'n diepte en 'n rede, en daardie twee velde sê vir jou wie moet optree.

'n VERIFY ERROR met error=certificate has expired is 'n geldigheidsfout op 'n spesifieke punt in die ketting. Dit is nie 'n wagwoordverwerping en nie 'n tydverstryking nie, en die drie vereis verskillende reaksies.

Kopieer die hele reël in jou notas saam met die kliëntweergawe. As die boodskap eerder sê die sertifikaat is nog nie geldig nie, is jy terug by die horlosievraag. As dit sê die uitreiker is onbekend, het jy 'n vertrouensprobleem eerder as 'n leeftydprobleem, en geen hoeveelheid hernuwing sal dit verander nie.

Vind watter sertifikaat verval het

Diepte nul is die sertifikaat wat deur die eweknie aangebied word aan wie jy gekoppel het, en hoër dieptes beweeg na die wortel. 'n Werk-VPN laat gewoonlik 'n kliëntidentiteit of 'n bediener-sertifikaat verval, en soms 'n tussenliggende sertifikaat wat die organisasie vergeet het om te besit.

Druk die datums van die lêers wat die profiel werklik verwys, beginnend met die een op die diepte wat in die fout genoem word.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

As die profiel sertifikate as ingebedde blokke insluit eerder as om na lêers te wys, kan die aparte lêers op skyf ouer of nuwer wees as wat die kliënt gebruik, en daarom vereis die pas van die fout by 'n lêer dat jy die profiel lees eerder as die gidslys.

Hernu deur die uitreiker

'n Kliëntsertifikaat word vervang deur wie dit uitgereik het, en 'n herstel van 'n rekeningwagwoord hernu niks nie. Vir 'n werkverbinding, gebruik die hernuwingskanaal wat jou organisasie publiseer; vir 'n gasheerdiens, meld aan by die verskaffer se portaal deur 'n geverifieerde adres eerder as om 'n aanhegsel oop te maak wat beweer dit bevat 'n nuwe profiel. 'n Ongevraagde bondel is nie betroubaar omdat die lêernaam VPN noem nie.

As jy die bediener bestuur, kyk na die openbare besonderhede en die uitreikingsrekords voordat jy materiaal vervang, want 'n CA-verandering raak elke kliënt wat dit vertrou.

Om een identiteit te hernu behoort nie die vervanging van die vertrouenshiërargie te vereis nie. As iemand 'n nuwe CA voorstel om 'n enkele vervalde blaar reg te maak, vra eers wat anders van die ou een afhanklik is. Die RFC 5280 geldigheids- en padreëls is die model wat beide kante volg.

Maak dat die kliënt die vervanging gebruik

Om 'n lêer af te laai is nie om dit in te voer nie. Kyk na die verbindingsinskrywing wat jy werklik kies, en kyk of die profiel na eksterne sertifikaatpaaie verwys wat jy vergeet het om te oorskryf.

Hou die ou inskrywing sigbaar totdat die nuwe een verbind, verwyder dit dan sodat niemand die vervalde profiel uit gewoonte kies nie. Herverbind en bevestig dat die spesifieke vervalfout weg is.

As 'n ander TLS-fout oorbly, behandel dit as 'n nuwe probleem eerder as om verifikasie-instellings te verswak om daarby verby te kom. 'n Rekeningverwerping of 'n ontbrekende roete ná 'n suksesvolle hernuwing is 'n aparte fout met 'n aparte oplossing.