Тэрмін дзеяння сертыфіката OpenVPN скончыўся? Спачатку праверце гадзіннік, потым сертыфікат

Кліент падключаецца, вядзе перамовы секунду, а затым паведамляе, што тэрмін дзеяння сертыфіката скончыўся. Перш чым прасіць каго-небудзь нешта перавыдаць, паглядзіце на дату на прыладзе перад сабой: ноўтбук, які спаў месяц, тэлефон з ручным гадзіннікам і маршрутызатар без працоўнай крыніцы NTP — усе яны паведамляюць стэку TLS няправільны момант. Сертыфікат сапраўдны толькі ўнутры акна, і праверка параўноўвае гэтае акно з тым, што сцвярджае лакальны гадзіннік. Наладзіце гадзіннік, затым вырашыце, ці праблема рэальная.

Пачніце з гадзінніка на прыладзе

Адкрыйце тэрмінал і прачытайце ўяўленне сістэмы пра UTC, а не віджэт гадзінніка на працоўным стале, які можа паказваць выгляд, зменены паводле часавага пояса, або састарэлае значэнне, закешаванае графічным інтэрфейсам.

date -u
timedatectl status

Гадзіннік, які моцна спяшаецца, робіць сапраўдны сертыфікат падобным на пратэрмінаваны, а той, што моцна адстае, — на яшчэ не сапраўдны, і некаторыя кліенты паведамляюць пра гэта той самай агульнай памылкай рукапаціскання. Калі сінхранізацыя адключана або крыніца часу недасяжная, спачатку выпраўце гэта і пераправерце, перш чым чапаць які-небудзь файл. Перавесці гадзіннік назад, каб абысці заканчэнне тэрміну, — не рашэнне: гэта ламае іншыя службы на прыладзе і пакідае праблему ідэнтычнасці там жа, дзе яна была.

Калі гадзіннік правільны, тэрмін сапраўды скончыўся, і ўсё астатняе ў гэтым разборы дастасавальна. Заўважце, які часавы пояс выкарыстоўвае журнал кліента, перш чым параўноўваць адзнакі часу з дзвюх прылад. Сервер у іншым поясе можа зрабіць абнаўленне падобным на ранняе або позняе, калі яно такім не было. Параўноўвайце з адзнакай часу ў радку ўласнага журнала кліента, а не з насценным гадзіннікам на вашым стале.

Прачытайце радок памылкі перад профілем

Захавайце дакладны тэкст. Памылка праверкі OpenVPN называе глыбіню і прычыну, і гэтыя два палі кажуць, хто павінен дзейнічаць.

VERIFY ERROR з error=certificate has expired — гэта збой тэрміну дзеяння ў пэўным пункце ланцуга. Гэта не адмова па паролі і не тайм-аўт, і ўсе тры патрабуюць розных дзеянняў.

Скапіруйце ўвесь радок у свае нататкі разам з версіяй кліента. Калі паведамленне замест гэтага кажа, што сертыфікат яшчэ не сапраўдны, вы вярнуліся да пытання гадзінніка. Калі яно кажа, што выдавец невядомы, у вас праблема даверу, а не праблема тэрміну, і ніякае абнаўленне гэтага не зменіць.

Знайдзіце, які сертыфікат пратэрмінаваны

Глыбіня нуль — гэта сертыфікат, прадстаўлены суразмоўцам, да якога вы падключыліся, а вышэйшыя глыбіні вядуць да кораня. Працоўны VPN звычайна дапускае заканчэнне тэрміну ідэнтычнасці кліента або сертыфіката сервера, а часам і прамежкавага, які арганізацыя забылася, што валодае ім.

Выведзіце даты файлаў, на якія профіль сапраўды спасылаецца, пачынаючы з таго, што на глыбіні, названай у памылцы.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Калі профіль убудаваў сертыфікаты як убудаваныя блокі замест спасылак на файлы, асобныя файлы на дыску могуць быць старэйшымі або навейшымі за тое, што выкарыстоўвае кліент; менавіта таму супастаўленне памылкі з файлам патрабуе чытання профілю, а не спісу каталога.

Абнавіце праз выдаўца

Кліенцкі сертыфікат замяняе той, хто яго выдаў, а скід пароля ўліковага запісу нічога не абнаўляе. Для працоўнага злучэння выкарыстоўвайце канал абнаўлення, які публікуе ваша арганізацыя; для хостынг-сэрвісу ўвайдзіце ў партал пастаўшчыка праз правераны адрас, а не адкрывайце ўкладанне, якое нібыта змяшчае новы профіль. Незапытаны пакет не заслугоўвае даверу толькі таму, што ў імені файла згадваецца VPN.

Калі вы кіруеце серверам, праверце публічныя звесткі і запісы выпуску перад заменай матэрыялаў, бо змена CA ўплывае на кожнага кліента, які ёй давярае.

Абнаўленне адной ідэнтычнасці не павінна патрабаваць замены іерархіі даверу. Калі нехта прапануе новы CA, каб выправіць адзін пратэрмінаваны ліст, спачатку спытайце, што яшчэ залежыць ад старога. А RFC 5280 правілы тэрміну дзеяння і шляху — гэта мадэль, якой трымаюцца абодва бакі.

Прымусьце кліента выкарыстоўваць замену

Спампаваць файл — не значыць імпартаваць яго. Праверце запіс злучэння, які вы сапраўды выбіраеце, і праверце, ці спасылаецца профіль на знешнія шляхі сертыфікатаў, якія вы забыліся перазапісаць.

Трымайце стары запіс бачным, пакуль новы не падключыцца, затым выдаліце яго, каб ніхто не выбіраў пратэрмінаваны профіль з прывычкі. Падключыцеся зноў і пераканайцеся, што пэўная памылка заканчэння тэрміну знікла.

Калі застаецца іншая памылка TLS, разглядайце яе як новую праблему, а не паслабляйце налады праверкі, каб яе абысці. Адмова ўліковага запісу або адсутная маршрутызацыя пасля паспяховага абнаўлення — гэта асобны збой з асобным рашэннем.