Certificat OpenVPN caducat? Primer mireu el rellotge i després el certificat

El client es connecta, negocia durant un segon i després informa que un certificat ha caducat. Abans de demanar a ningú que reemetti res, mireu la data del dispositiu que teniu davant: un portàtil que ha dormit un mes, un telèfon amb el rellotge manual i un encaminador sense una font NTP funcional informen tots al moment equivocat a la pila TLS. Un certificat només és vàlid dins d’una finestra, i la comprovació compara aquesta finestra amb el que afirma el rellotge local. Poseu el rellotge bé i després decidiu si el problema és real.

Comenceu pel rellotge del dispositiu

Obriu un terminal i llegiu la idea que té el sistema de l’UTC, no el giny del rellotge de l’escriptori, que pot mostrar una vista ajustada per zona horària o un valor antic emmagatzemat a la memòria cau per la interfície gràfica.

date -u
timedatectl status

Un rellotge molt avançat fa que un certificat vàlid sembli caducat, i un de molt endarrerit el fa semblar encara no vàlid, cosa que alguns clients informen amb la mateixa fallada genèrica d’apretada de mà. Si la sincronització està desactivada o la font de temps no és accessible, arregleu-ho primer i torneu a provar abans de tocar cap fitxer. Enrereure el rellotge per saltar-se una caducitat no és cap solució: trenca altres serveis del dispositiu i deixa el problema d’identitat exactament on era.

Si el rellotge és correcte, la caducitat és real i la resta d’aquest recorregut s’aplica. Fixeu-vos en quina zona horària fa servir el registre del client abans de comparar marques de temps de dos dispositius. Un servidor en una altra zona pot fer que una renovació sembli primerenca o tardana quan no ho era. Compareu amb la marca de temps de la línia de registre del propi client en lloc del rellotge de paret del vostre escriptori.

Llegiu la línia d’error abans del perfil

Conserveu el text exacte. La fallada de verificació d’OpenVPN indica una profunditat i un motiu, i aquests dos camps us diuen qui ha d’actuar.

Un VERIFY ERROR amb error=certificate has expired és una fallada de validesa en un punt concret de la cadena. No és un rebuig de contrasenya ni un temps d’espera esgotat, i els tres requereixen respostes diferents.

Copieu tota la línia a les vostres notes juntament amb la versió del client. Si el missatge diu en canvi que el certificat encara no és vàlid, torneu a la qüestió del rellotge. Si diu que l’emissor és desconegut, teniu un problema de confiança i no de vida útil, i cap renovació ho canviarà.

Esbrineu quin certificat ha caducat

La profunditat zero és el certificat que presenta l’extrem amb qui us heu connectat, i les profunditats més altes avancen cap a l’arrel. Una VPN de feina sol deixar caducar una identitat de client o un certificat de servidor, i de vegades un intermediari que l’organització va oblidar que posseïa.

Imprimiu les dates dels fitxers als quals el perfil fa referència realment, començant pel de la profunditat indicada a l’error.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Si el perfil incrusta els certificats com a blocs incrustats en lloc d’apuntar a fitxers, els fitxers separats al disc poden ser més antics o més nous que els que fa servir el client, i per això aparellar l’error amb un fitxer requereix llegir el perfil i no el llistat del directori.

Renoveu a través de l’emissor

Un certificat de client el substitueix qui l’ha emès, i restablir la contrasenya del compte no renova res. Per a una connexió de feina, feu servir el canal de renovació que publica la vostra organització; per a un servei allotjat, inicieu sessió al portal del proveïdor mitjançant una adreça verificada en lloc d’obrir un adjunt que afirma contenir un perfil nou. Un paquet no sol·licitat no és fiable pel sol fet que el nom del fitxer esmenti VPN.

Si gestioneu el servidor, reviseu les dades públiques i els registres d’emissió abans de substituir material, perquè un canvi de CA afecta tots els clients que hi confien.

Renovar una identitat no hauria d’exigir substituir la jerarquia de confiança. Si algú proposa una CA nova per arreglar una sola fulla caducada, pregunteu primer què més depèn de la vella. La RFC 5280 defineix les regles de validesa i de camí que segueixen les dues parts.

Feu que el client faci servir la substitució

Baixar un fitxer no és importar-lo. Reviseu l’entrada de connexió que trieu realment i comproveu si el perfil fa referència a rutes de certificats externes que heu oblidat de sobreescriure.

Manteniu l’entrada antiga visible fins que la nova es connecti i després elimineu-la perquè ningú no triï el perfil caducat per costum. Torneu a connectar-vos i confirmeu que l’error de caducitat concret ha desaparegut.

Si queda un error TLS diferent, tracteu-lo com un problema nou en lloc d’afeblir la configuració de verificació per passar-lo. Un rebuig de compte o una ruta absent després d’una renovació correcta és una fallada separada amb una solució separada.