انتهت صلاحية شهادة OpenVPN؟ تحقّق من الساعة أولًا ثم من الشهادة

يتصل العميل، ويتفاوض لثانية، ثم يبلّغ بأن شهادة قد انتهت صلاحيتها. قبل أن تطلب من أي أحد إعادة إصدار أي شيء، انظر إلى التاريخ على الجهاز الذي أمامك: حاسوب محمول نام شهرًا، وهاتف بساعة يدوية، وموجّه بلا مصدر NTP عامل، كلها تبلّغ حزمة TLS باللحظة الخطأ. الشهادة صالحة فقط داخل نافذة زمنية، والفحص يقارن تلك النافذة بما تدّعيه الساعة المحلية. اضبط الساعة أولًا، ثم قرّر إن كانت المشكلة حقيقية.

ابدأ بالساعة على الجهاز

افتح طرفية واقرأ تصوّر النظام للتوقيت العالمي UTC، لا أداة ساعة سطح المكتب التي قد تعرض عرضًا معدّلًا حسب المنطقة الزمنية أو قيمة قديمة مخزّنة في واجهة الرسوميات.

date -u
timedatectl status

الساعة المتقدمة كثيرًا تجعل شهادة صالحة تبدو منتهية، والمتأخرة كثيرًا تجعلها تبدو غير صالحة بعد، وهو ما تبلّغ به بعض العملاء بخطأ المصافحة العام نفسه. إن كان التزامن معطّلًا أو مصدر الوقت غير قابل للوصول، أصلح ذلك أولًا وأعد الاختبار قبل لمس أي ملف. إرجاع الساعة إلى الوراء لتجاوز انتهاء الصلاحية ليس حلًا: فهو يعطّل خدمات أخرى على الجهاز ويترك مشكلة الهوية في مكانها تمامًا.

إن كانت الساعة صحيحة، فانتهاء الصلاحية حقيقي وينطبق بقية هذا الشرح. لاحظ المنطقة الزمنية التي يستخدمها سجل العميل قبل مقارنة الطوابع الزمنية من جهازين. خادم في منطقة أخرى قد يجعل التجديد يبدو مبكرًا أو متأخرًا وهو ليس كذلك. قارن بالطابع الزمني في سطر سجل العميل نفسه لا بساعة الحائط على مكتبك.

اقرأ سطر الخطأ قبل الملف الشخصي

احتفظ بالنص الدقيق. فشل التحقق في OpenVPN يذكر عمقًا وسببًا، وهذان الحقلان يخبرانك من عليه التصرف.

ظهور VERIFY ERROR مع error=certificate has expired هو فشل صلاحية عند نقطة محددة في السلسلة. وهو ليس رفضًا لكلمة مرور ولا مهلة انتظار، والثلاثة تحتاج إلى استجابات مختلفة.

انسخ السطر كاملًا في ملاحظاتك مع إصدار العميل. إذا قالت الرسالة بدلًا من ذلك إن الشهادة غير صالحة بعد، فقد عدت إلى مسألة الساعة. وإذا قالت إن الجهة المصدرة غير معروفة، فلديك مشكلة ثقة لا مشكلة عمر، ولن يغيّرها أي قدر من التجديد.

اعرف أي شهادة انتهت

العمق صفر هو الشهادة التي يقدّمها النظير الذي اتصلت به، والأعماق الأعلى تمضي نحو الجذر. شبكة VPN للعمل عادةً تنهي هوية عميل أو شهادة خادم، وأحيانًا شهادة وسيطة نسيت المؤسسة أنها تملكها.

اطبع تواريخ الملفات التي يشير إليها الملف الشخصي فعليًا، بدءًا من الملف عند العمق المذكور في الخطأ.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

إذا كان الملف الشخصي يضمّن الشهادات ككتل مضمّنة بدلًا من الإشارة إلى ملفات، فقد تكون الملفات المنفصلة على القرص أقدم أو أحدث مما يستخدمه العميل، ولهذا يتطلب مطابقة الخطأ بملف قراءة الملف الشخصي لا قائمة المجلد.

جدّد عبر الجهة المصدرة

تُستبدل شهادة العميل بيد من أصدرها، وإعادة تعيين كلمة مرور الحساب لا تجدّد شيئًا. لاتصال عمل، استخدم قناة التجديد التي تنشرها مؤسستك؛ ولخدمة مستضافة، سجّل الدخول إلى بوابة المزوّد عبر عنوان موثّق بدلًا من فتح مرفق يزعم أنه يحتوي ملفًا شخصيًا جديدًا. الحزمة غير المطلوبة ليست موثوقة لمجرد أن اسم ملفها يذكر VPN.

إذا كنت تشغّل الخادم، فتحقق من التفاصيل العامة وسجلات الإصدار قبل استبدال المواد، لأن تغيير CA يؤثر في كل عميل يثق به.

تجديد هوية واحدة لا ينبغي أن يتطلب استبدال تسلسل الثقة. إذا اقترح أحدهم CA جديدًا لإصلاح ورقة منتهية واحدة، فاسأل أولًا ما الذي يعتمد أيضًا على القديم. إن قواعد الصلاحية والمسار عند RFC 5280 هي النموذج الذي يتبعه الطرفان.

اجعل العميل يستخدم البديل

تنزيل ملف ليس استيرادًا له. تحقق من إدخال الاتصال الذي تختاره فعليًا، وتحقق مما إذا كان الملف الشخصي يشير إلى مسارات شهادات خارجية نسيت استبدالها.

أبقِ الإدخال القديم ظاهرًا حتى يتصل الجديد، ثم احذفه كي لا يختار أحد الملف المنتهي بالعادة. أعد الاتصال وأكّد أن خطأ الانتهاء المحدد قد زال.

إذا بقي خطأ TLS مختلف، فتعامل معه كمشكلة جديدة بدلًا من إضعاف إعدادات التحقق لتجاوزه. رفض الحساب أو غياب المسار بعد تجديد ناجح عطل منفصل بإصلاح منفصل.