OpenVPN-certifikat udløbet? Tjek først uret, derefter certifikatet

Klienten opretter forbindelse, forhandler i et sekund og rapporterer derefter, at et certifikat er udløbet. Før du beder nogen om at genudstede noget, så på datoen på enheden foran dig: en bærbar computer, der har sovet en måned, en telefon med et manuelt ur og en router uden en fungerende NTP-kilde rapporterer alle det forkerte tidspunkt til en TLS-stak. Et certifikat er kun gyldigt inden for et vindue, og kontrollen sammenligner dette vindue med det, det lokale ur påstår. Ret uret, og afgør derefter, om problemet er reelt.

Start med uret på enheden

Åbn en terminal, og læs systemets opfattelse af UTC, ikke ur-widgetten på skrivebordet, som kan vise en tidszonejusteret visning eller en forældet værdi cachelagret af GUI'en.

date -u
timedatectl status

Et ur langt foran får et gyldigt certifikat til at se udløbet ud, og et langt bagefter får det til at se endnu ikke gyldigt ud, hvilket nogle klienter rapporterer med den samme generiske håndtryksfejl. Hvis synkronisering er deaktiveret, eller tidskilden ikke kan nås, skal du rette det først og teste igen, før du rører nogen fil. At stille uret tilbage for at komme uden om en udløbsdato er ikke en løsning: det ødelægger andre tjenester på enheden og efterlader identitetsproblemet præcis, hvor det var.

Hvis uret er korrekt, er udløbet reelt, og resten af denne gennemgang gælder. Bemærk, hvilken tidszone klientens log bruger, før du sammenligner tidsstempler fra to enheder. En server i en anden zone kan få en fornyelse til at se tidlig eller sen ud, når den hverken var det ene eller det andet. Sammenlign med tidsstemplet i klientens egen loglinje i stedet for væguret på dit skrivebord.

Læs fejl-linjen før profilen

Gem den præcise tekst. OpenVPN's verifikationsfejl angiver en dybde og en årsag, og de to felter fortæller, hvem der skal handle.

En VERIFY ERROR med error=certificate has expired er en gyldighedsfejl på et bestemt punkt i kæden. Det er ikke en afvisning af adgangskoden og ikke en timeout, og de tre kræver forskellige svar.

Kopier hele linjen til dine noter sammen med klientversionen. Hvis meddelelsen i stedet siger, at certifikatet endnu ikke er gyldigt, er du tilbage ved ur-spørgsmålet. Hvis den siger, at udstederen er ukendt, har du et tillidsproblem snarere end et levetidsproblem, og ingen mængde fornyelse vil ændre det.

Find ud af, hvilket certifikat der er udløbet

Dybde nul er det certifikat, som den peer, du oprettede forbindelse til, præsenterede, og højere dybder går mod roden. En arbejds-VPN lader normalt en klientidentitet eller et servercertifikat udløbe, og af og til et mellemliggende certifikat, som organisationen havde glemt, at den ejede.

Udskriv datoerne for de filer, som profilen faktisk refererer til, begyndende med den på den dybde, der er nævnt i fejlen.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Hvis profilen indlejrer certifikater som indlejrede blokke i stedet for at pege på filer, kan de separate filer på disken være ældre eller nyere end det, klienten bruger, og derfor kræver afstemning af fejlen med en fil, at du læser profilen i stedet for mappelisten.

Forny via udstederen

Et klientcertifikat erstattes af den, der udstedte det, og en nulstilling af kontoadgangskoden fornyer intet. Brug fornyelseskanalen, som din organisation offentliggør, til en arbejdsforbindelse; for en hostet tjeneste skal du logge ind på udbyderens portal via en verificeret adresse i stedet for at åbne en vedhæftet fil, der hævder at indeholde en ny profil. En uopfordret pakke er ikke troværdig, fordi dens filnavn nævner VPN.

Hvis du driver serveren, skal du kontrollere de offentlige detaljer og udstedelsesregistrene, før du udskifter materiale, fordi en CA-ændring påvirker enhver klient, der stoler på den.

Fornyelse af én identitet bør ikke kræve udskiftning af tillidshierarkiet. Hvis nogen foreslår en ny CA for at rette et enkelt udløbet blad, så spørg først, hvad ellers der afhænger af den gamle. Reglerne for gyldighed og sti i RFC 5280 er den model, som begge parter følger.

Få klienten til at bruge erstatningen

At downloade en fil er ikke at importere den. Kontroller den forbindelsespost, du faktisk vælger, og kontroller, om profilen refererer til eksterne certifikatstier, som du glemte at overskrive.

Behold den gamle post synlig, indtil den nye opretter forbindelse, og fjern den derefter, så ingen vælger den udløbne profil af vane. Opret forbindelse igen, og bekræft, at den specifikke udløbsfejl er væk.

Hvis en anden TLS-fejl forbliver, skal du behandle den som et nyt problem i stedet for at svække verifikationsindstillingerne for at komme uden om den. En kontoafvisning eller en manglende rute efter en vellykket fornyelse er en separat fejl med en separat løsning.