OpenVPN sertifikatının müddəti bitib? Əvvəlcə saatı, sonra sertifikatı yoxlayın

Müştəri qoşulur, bir saniyə danışıq aparır və sonra sertifikatın müddətinin bitdiyini bildirir. Kimdənsə nəyisə yenidən verməsini istəməzdən əvvəl qarşınızdakı cihazın tarixinə baxın: bir ay yatmış noutbuk, əl ilə qurulmuş saatı olan telefon və işlək NTP mənbəyi olmayan marşrutizator hamısı TLS yığınına yanlış anı bildirir. Sertifikat yalnız müəyyən pəncərə daxilində etibarlıdır və yoxlama bu pəncərəni lokal saatın iddia etdiyi vaxtla müqayisə edir. Saatı düzəldin, sonra problemin həqiqi olub-olmadığına qərar verin.

Cihazdakı saatdan başlayın

Terminal açın və sistemin UTC təsəvvürünü oxuyun, masaüstü saat vidcetini deyil, çünki o, saat qurşağına uyğunlaşdırılmış görünüş və ya GUI-nin keşlədiyi köhnə dəyər göstərə bilər.

date -u
timedatectl status

Çox irəli saat etibarlı sertifikatı vaxtı keçmiş kimi göstərir, çox geri saat isə hələ etibarlı deyil kimi göstərir; bəzi müştərilər bunu eyni ümumi əl sıxma xətası ilə bildirir. Sinxronizasiya söndürülübsə və ya vaxt mənbəyi əlçatmazdırsa, əvvəlcə onu düzəldin və hər hansı fayla toxunmadan əvvəl yenidən sınaqdan keçirin. Vaxtı geri qaytarmaqla bitmə tarixini keçmək həll deyil: bu, cihazdakı digər xidmətləri pozur və şəxsiyyət problemini olduğu yerdə qoyur.

Saat düzgündürsə, bitmə tarixi həqiqidir və bu gedişatın qalanı keçərlidir. İki cihazın vaxt damğalarını müqayisə etməzdən əvvəl müştəri jurnalının hansı saat qurşağından istifadə etdiyinə diqqət yetirin. Başqa zonadakı server yenilənməni nə vaxtından əvvəl, nə də gec göstərə bilər. Masanızdakı divar saatı ilə deyil, müştərinin öz jurnal sətrindəki vaxt damğası ilə müqayisə edin.

Profildən əvvəl xəta sətrini oxuyun

Dəqiq mətni saxlayın. OpenVPN-in yoxlama uğursuzluğu dərinlik və səbəb göstərir və bu iki sahə kimin hərəkət etməli olduğunu deyir.

VERIFY ERROR və error=certificate has expired birlikdə zəncirdə müəyyən nöqtədə etibarlılıq uğursuzluğudur. Bu nə şifrə rəddi, nə də vaxt aşımıdır, və üçü fərqli cavab tələb edir.

Bütün sətri müştəri versiyası ilə birlikdə qeydlərinizə köçürün. Əgər mesaj əvəzinə sertifikatın hələ etibarlı olmadığını deyirsə, yenidən saat sualına qayıtmısınız. Əgər verən orqanın bilinmədiyini deyirsə, ömür problemi deyil, etimad probleminiz var və heç bir yeniləmə bunu dəyişməyəcək.

Hansı sertifikatın vaxtının bitdiyini tapın

Sıfır dərinlik qoşulduğunuz həmin tərəfin təqdim etdiyi sertifikatdır, daha yüksək dərinliklər kökə doğru gedir. İş VPN-i adətən müştəri şəxsiyyətini və ya server sertifikatını, bəzən də təşkilatın sahibi olduğunu unutduğu aralıq sertifikatı bitirir.

Profilin həqiqətən istinad etdiyi faylların tarixlərini çap edin, xətada göstərilən dərinlikdəki fayldan başlayaraq.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Əgər profil sertifikatları fayllara işarə etmək əvəzinə daxili bloklar kimi yerləşdirirsə, diskdəki ayrı fayllar müştərinin istifadə etdiyindən köhnə və ya yeni ola bilər; buna görə xətanı fayla uyğunlaşdırmaq kataloq siyahısını deyil, profili oxumağı tələb edir.

Verən orqan vasitəsilə yeniləyin

Müştəri sertifikatı onu verən tərəfindən dəyişdirilir və hesab şifrəsinin sıfırlanması heç nəyi yeniləmir. İş bağlantısı üçün təşkilatınızın dərc etdiyi yeniləmə kanalından istifadə edin; hostinq xidməti üçün yeni profil ehtiva etdiyini iddia edən qoşmanı açmaq əvəzinə təsdiqlənmiş ünvandan provayderin portalına daxil olun. Tələb olunmamış paket fayl adında VPN qeyd olunduğu üçün etibarlı deyil.

Serveri siz idarə edirsinizsə, materialı dəyişməzdən əvvəl açıq detallara və buraxılış qeydlərinə baxın, çünki CA dəyişikliyi ona güvənən hər müştəriyə təsir edir.

Bir şəxsiyyətin yenilənməsi etimad iyerarxiyasının dəyişdirilməsini tələb etməməlidir. Kimsə tək vaxtı keçmiş yarpağı düzəltmək üçün yeni CA təklif edirsə, əvvəlcə köhnədən başqa nəyin asılı olduğunu soruşun. Yəni RFC 5280 etibarlılıq və yol qaydaları hər iki tərəfin izlədiyi modeldir.

Müştərini əvəzləmədən istifadə etməyə vadar edin

Faylı yükləmək onu idxal etmək deyil. Həqiqətən seçdiyiniz bağlantı qeydini yoxlayın və profilin üzərinə yazmağı unutduğunuz xarici sertifikat yollarına istinad edib-etmədiyini yoxlayın.

Yeni qoşulana qədər köhnə qeydi görünən saxlayın, sonra onu silin ki, heç kim vərdişlə vaxtı keçmiş profili seçməsin. Yenidən qoşulun və konkret bitmə xətasının yox olduğunu təsdiqləyin.

Fərqli TLS xətası qalırsa, onu keçmək üçün yoxlama parametrlərini zəiflətmək əvəzinə yeni problem kimi qəbul edin. Uğurlu yeniləmədən sonra hesab rəddi və ya çatışmayan marşrut ayrı qüsur və ayrı həlldir.