Platnost certifikátu OpenVPN vypršela? Nejdřív zkontrolujte hodiny, pak certifikát

Klient se připojí, na sekundu vyjednává a pak ohlásí, že platnost certifikátu vypršela. Než někoho požádáte o opětovné vydání čehokoli, podívejte se na datum zařízení před sebou: notebook, který měsíc spal, telefon s ručně nastavenými hodinami a router bez funkčního zdroje NTP hlásí TLS zásobníku špatný okamžik. Certifikát je platný jen uvnitř časového okna a kontrola porovnává toto okno s tím, co tvrdí místní hodiny. Nastavte hodiny správně a potom rozhodněte, zda je problém skutečný.

Začněte hodinami v zařízení

Otevřete terminál a přečtěte si, co si systém myslí o UTC, ne widget hodin na ploše, který může zobrazovat pohled upravený podle časového pásma nebo zastaralou hodnotu uloženou v mezipaměti grafického rozhraní.

date -u
timedatectl status

Hodiny výrazně napřed dělají platný certifikát propadlým a hodiny výrazně pozadu ho dělají dosud neplatným, což někteří klienti hlásí stejnou obecnou chybou handshake. Pokud je synchronizace vypnutá nebo je zdroj času nedostupný, opravte to nejdřív a před dotykem jakéhokoli souboru to znovu otestujte. Vrácení hodin zpět, aby se obešla expirace, není řešení: rozbíjí ostatní služby v zařízení a problém s identitou nechává přesně tam, kde byl.

Pokud jsou hodiny správně, expirace je skutečná a zbytek tohoto postupu platí. Než porovnáte časová razítka ze dvou zařízení, všimněte si, jaké časové pásmo používá log klienta. Server v jiném pásmu může obnovení vykreslit jako brzké nebo pozdní, i když nebylo ani jedno. Porovnávejte s časovým razítkem na řádku vlastního logu klienta, ne s nástěnnými hodinami na stole.

Přečtěte řádek s chybou dřív než profil

Uchovejte přesný text. Selhání ověření v OpenVPN uvádí hloubku a důvod a tato dvě pole říkají, kdo musí jednat.

VERIFY ERROR s error=certificate has expired je selhání platnosti v konkrétním bodě řetězce. Není to odmítnutí hesla ani vypršení časového limitu a všechny tři vyžadují různé reakce.

Zkopírujte celý řádek do poznámek spolu s verzí klienta. Pokud zpráva naopak říká, že certifikát ještě není platný, jste zpět u otázky hodin. Pokud říká, že vydavatel je neznámý, máte problém důvěry, nikoli životnosti, a žádné obnovení to nezmění.

Zjistěte, který certifikát vypršel

Hloubka nula je certifikát předložený protějškem, ke kterému jste se připojili, a vyšší hloubky směřují ke kořeni. Pracovní VPN obvykle nechá vypršet identitu klienta nebo certifikát serveru a občas zprostředkující certifikát, o němž organizace zapomněla, že ho vlastní.

Vypište data souborů, na které profil skutečně odkazuje, počínaje tím v hloubce uvedené v chybě.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Pokud profil vkládá certifikáty jako vložené bloky místo odkazů na soubory, mohou být samostatné soubory na disku starší nebo novější než to, co klient používá, a proto spárování chyby se souborem vyžaduje čtení profilu, ne výpis adresáře.

Obnovte u vydavatele

Klientský certifikát nahrazuje ten, kdo ho vydal, a reset hesla účtu nic neobnovuje. Pro pracovní připojení použijte kanál obnovy, který vaše organizace zveřejňuje; u hostované služby se přihlaste do portálu poskytovatele přes ověřenou adresu, místo abyste otevírali přílohu, která tvrdí, že obsahuje nový profil. Nevyžádaný balíček není důvěryhodný jen proto, že název souboru zmiňuje VPN.

Pokud server provozujete, před výměnou materiálu zkontrolujte veřejné údaje a záznamy o vydání, protože změna CA ovlivní každého klienta, který jí důvěřuje.

Obnovení jedné identity by nemělo vyžadovat výměnu hierarchie důvěry. Pokud někdo navrhne novou CA na opravu jediného propadlého listu, nejdřív se zeptejte, co dalšího na staré závisí. Pravidla platnosti a cesty z RFC 5280 jsou modelem, který obě strany následují.

Přimějte klienta používat náhradu

Stáhnout soubor neznamená importovat ho. Zkontrolujte položku připojení, kterou skutečně vybíráte, a zkontrolujte, zda profil odkazuje na externí cesty certifikátů, které jste zapomněli přepsat.

Nechte starou položku viditelnou, dokud se nová nepřipojí, pak ji odstraňte, aby nikdo ze zvyku nevybíral propadlý profil. Připojte se znovu a potvrďte, že konkrétní chyba expirace zmizela.

Pokud zůstane jiná chyba TLS, berte ji jako nový problém, místo abyste oslabovali nastavení ověřování, abyste ji obešli. Odmítnutí účtu nebo chybějící trasa po úspěšném obnovení je samostatná závada se samostatným řešením.