Tystysgrif OpenVPN wedi dod i ben? Edrychwch ar y cloc, yna ar y dystysgrif

Mae’r cleient yn cysylltu, yn trafod am eiliad, ac yna’n adrodd bod tystysgrif wedi dod i ben. Cyn i chi ofyn i unrhyw un ailgyhoeddi unrhyw beth, edrychwch ar y dyddiad ar y ddyfais o’ch blaen: mae gliniadur sydd wedi cysgu am fis, ffôn â chloc â llaw a llwybrydd heb ffynhonnell NTP weithredol i gyd yn adrodd y foment anghywir i stac TLS. Dim ond o fewn ffenestr y mae tystysgrif yn ddilys, ac mae’r gwiriad yn cymharu’r ffenestr honno â’r hyn y mae’r cloc lleol yn ei hawlio. Cywirwch y cloc, yna penderfynwch a yw’r broblem yn un go iawn.

Dechreuwch gyda’r cloc ar y ddyfais

Agorwch derfynell a darllen syniad y system o UTC, nid teclyn cloc y bwrdd gwaith, a all ddangos golwg wedi’i haddasu at barth amser neu werth hen a gafodd ei gacheio gan y GUI.

date -u
timedatectl status

Mae cloc ymhell ar y blaen yn gwneud tystysgrif ddilys i edrych fel pe bai wedi dod i ben, ac un ymhell ar ei hôl yn ei gwneud i edrych fel nad yw’n ddilys eto, ac mae rhai cleientiaid yn adrodd hyn gyda’r un methiant ysgwyd llaw cyffredinol. Os yw cysoni wedi’i analluogi neu os yw’r ffynhonnell amser yn un na ellir ei chyrraedd, trwsiwch hynny’n gyntaf ac ailbrofwch cyn cyffwrdd ag unrhyw ffeil. Nid yw troi’r cloc yn ôl i osgoi dyddiad dod i ben yn ateb: mae’n torri gwasanaethau eraill ar y ddyfais ac yn gadael y broblem hunaniaeth yn union lle’r oedd.

Os yw’r cloc yn gywir, mae’r dod i ben yn real ac mae gweddill y daith hon yn berthnasol. Sylwch pa barth amser y mae log y cleient yn ei ddefnyddio cyn cymharu stampiau amser o ddwy ddyfais. Gall gweinydd mewn parth arall wneud adnewyddiad i edrych yn gynnar neu’n hwyr pan nad oedd y naill na’r llall. Cymharwch â’r stamp amser yn llinell log y cleient ei hun yn hytrach na’r cloc wal ar eich desg.

Darllenwch y llinell wall cyn y proffil

Cadwch y testun union. Mae methiant dilysu OpenVPN yn enwi dyfnder a rheswm, ac mae’r dau faes hynny’n dweud wrthych pwy sydd raid gweithredu.

Mae VERIFY ERROR gyda error=certificate has expired yn fethiant dilysrwydd ar bwynt penodol yn y gadwyn. Nid yw’n wrthod cyfrinair ac nid yn amseru allan, ac mae angen ymatebion gwahanol ar y tri.

Copïwch y llinell gyfan i’ch nodiadau ynghyd â fersiwn y cleient. Os yw’r neges yn dweud yn lle hynny nad yw’r dystysgrif yn ddilys eto, rydych yn ôl at gwestiwn y cloc. Os yw’n dweud bod y dyroeswr yn anhysbys, mae gennych broblem ymddiriedaeth yn hytrach na phroblem oes, ac ni fydd unrhyw faint o adnewyddu yn newid hynny.

Canfyddwch pa dystysgrif sydd wedi dod i ben

Dyfnder sero yw’r dystysgrif a gyflwynir gan y cymar y gwnaethoch gysylltu ag ef, ac mae dyfnderoedd uwch yn cerdded tuag at y gwraidd. Mae VPN gwaith fel arfer yn gadael hunaniaeth cleient neu dystysgrif gweinydd i ddod i ben, ac weithiau un canolraddol yr oedd y sefydliad wedi anghofio ei fod yn berchen arno.

Printiwch ddyddiadau’r ffeiliau y mae’r proffil yn cyfeirio atynt mewn gwirionedd, gan ddechrau gyda’r un ar y dyfnder a enwir yn y gwall.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Os yw’r proffil yn mewnosod tystysgrifau fel blociau mewnol yn hytrach na phwyntio at ffeiliau, gall y ffeiliau ar wahân ar y disg fod yn hŷn neu’n newyddach na’r hyn y mae’r cleient yn ei ddefnyddio, a dyna pam mae paru’r gwall â ffeil angen darllen y proffil yn hytrach na’r rhestr cyfeiriadur.

Adnewyddwch drwy’r dyroeswr

Mae tystysgrif cleient yn cael ei disodli gan bwy bynnag a’i cyhoeddodd, ac nid yw ailosod cyfrinair cyfrif yn adnewyddu unrhyw beth. Ar gyfer cysylltiad gwaith, defnyddiwch y sianel adnewyddu y mae’ch sefydliad yn ei chyhoeddi; ar gyfer gwasanaeth a gynhelir, mewngofnodwch i borth y darparwr drwy gyfeiriad dilysedig yn hytrach nag agor atodiad sy’n honni ei fod yn cynnwys proffil newydd. Nid yw bwndel heb ei ofyn yn ddibynadwy oherwydd bod ei enw ffeil yn sôn am VPN.

Os ydych yn gweithredu’r gweinydd, gwiriwch y manylion cyhoeddus a’r cofnodion cyhoeddi cyn disodli deunydd, oherwydd mae newid CA yn effeithio ar bob cleient sy’n ymddiried ynddo.

Ni ddylai adnewyddu un hunaniaeth olygu disodli’r hierarchaeth ymddiriedaeth. Os yw rhywun yn cynnig CA newydd i drwsio un ddalen sydd wedi dod i ben, gofynnwch yn gyntaf beth arall sy’n dibynnu ar yr hen un. Mae rheolau dilysrwydd a llwybr RFC 5280 yn fodel y mae’r ddwy ochr yn ei ddilyn.

Gwnewch i’r cleient ddefnyddio’r disodliad

Nid yw lawrlwytho ffeil yn ei fewnforio. Gwiriwch y cofnod cysylltiad rydych yn ei ddewis mewn gwirionedd, a gwiriwch a yw’r proffil yn cyfeirio at lwybrau tystysgrif allanol rydych wedi anghofio eu trosysgrifo.

Cadwch y cofnod hen yn weladwy nes bod yr un newydd yn cysylltu, yna ei dynnu fel na fydd neb yn dewis y proffil sydd wedi dod i ben o arfer. Ailgysylltwch a chadarnhau bod y gwall dod-i-ben penodol wedi diflannu.

Os bydd gwall TLS gwahanol yn parhau, triniwch ef fel problem newydd yn hytrach na gwanhau gosodiadau dilysu i fynd heibio iddo. Mae gwrthodiad cyfrif neu lwybr ar goll ar ôl adnewyddiad llwyddiannus yn fai ar wahân â chyfryng ar wahân.