OpenVPN-Zertifikat abgelaufen? Prüfen Sie zuerst die Uhr, dann das Zertifikat

Der Client verbindet sich, verhandelt eine Sekunde lang und meldet dann, dass ein Zertifikat abgelaufen sei. Bevor Sie jemanden bitten, irgendetwas neu auszustellen, schauen Sie auf das Datum des Geräts vor Ihnen: ein Laptop, der einen Monat geschlafen hat, ein Telefon mit manueller Uhr und ein Router ohne funktionierende NTP-Quelle melden einem TLS-Stack alle den falschen Zeitpunkt. Ein Zertifikat ist nur innerhalb eines Zeitfensters gültig, und die Prüfung vergleicht dieses Fenster mit dem, was die lokale Uhr behauptet. Stellen Sie die Uhr richtig, und entscheiden Sie dann, ob das Problem echt ist.

Beginnen Sie mit der Uhr auf dem Gerät

Öffnen Sie ein Terminal und lesen Sie die Vorstellung des Systems von UTC, nicht das Uhr-Widget des Desktops, das eine zeitzonenangepasste Ansicht oder einen veralteten, von der GUI zwischengespeicherten Wert anzeigen kann.

date -u
timedatectl status

Eine weit vorgehende Uhr lässt ein gültiges Zertifikat abgelaufen aussehen, und eine weit nachgehende lässt es noch nicht gültig aussehen, was manche Clients mit demselben allgemeinen Handshake-Fehler melden. Wenn die Synchronisierung deaktiviert ist oder die Zeitquelle nicht erreichbar ist, beheben Sie das zuerst und testen Sie erneut, bevor Sie irgendeine Datei anfassen. Die Uhr zurückzustellen, um an einem Ablaufdatum vorbeizukommen, ist keine Lösung: Sie bricht andere Dienste auf dem Gerät und lässt das Identitätsproblem genau dort, wo es war.

Wenn die Uhr korrekt ist, ist der Ablauf echt und der Rest dieser Anleitung gilt. Notieren Sie, welche Zeitzone das Protokoll des Clients verwendet, bevor Sie Zeitstempel von zwei Geräten vergleichen. Ein Server in einer anderen Zone kann eine Erneuerung früh oder spät aussehen lassen, obwohl sie weder das eine noch das andere war. Vergleichen Sie mit dem Zeitstempel in der Logzeile des Clients selbst statt mit der Wanduhr auf Ihrem Schreibtisch.

Lesen Sie die Fehlerzeile vor dem Profil

Behalten Sie den genauen Text. Der Verifizierungsfehler von OpenVPN nennt eine Tiefe und einen Grund, und diese beiden Felder sagen Ihnen, wer handeln muss.

Ein VERIFY ERROR mit error=certificate has expired ist ein Gültigkeitsfehler an einer bestimmten Stelle der Kette. Er ist keine Passwortablehnung und kein Timeout, und die drei erfordern unterschiedliche Reaktionen.

Kopieren Sie die ganze Zeile zusammen mit der Clientversion in Ihre Notizen. Wenn die Meldung stattdessen sagt, das Zertifikat sei noch nicht gültig, sind Sie wieder bei der Uhrfrage. Wenn sie sagt, der Aussteller sei unbekannt, haben Sie ein Vertrauensproblem und kein Laufzeitproblem, und keine Erneuerung wird das ändern.

Finden Sie heraus, welches Zertifikat abgelaufen ist

Tiefe null ist das Zertifikat, das der Peer, mit dem Sie sich verbunden haben, vorlegt, und höhere Tiefen führen zur Wurzel hin. Ein Arbeits-VPN lässt üblicherweise eine Clientidentität oder ein Serverzertifikat ablaufen und gelegentlich ein Zwischenzertifikat, von dem die Organisation vergessen hat, dass sie es besitzt.

Drucken Sie die Daten der Dateien, auf die das Profil tatsächlich verweist, beginnend mit der auf der in der Fehlermeldung genannten Tiefe.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Wenn das Profil Zertifikate als eingebettete Blöcke einbettet, statt auf Dateien zu verweisen, können die separaten Dateien auf der Festplatte älter oder neuer sein als das, was der Client verwendet; deshalb erfordert das Abgleichen des Fehlers mit einer Datei das Lesen des Profils und nicht der Verzeichnisliste.

Erneuern Sie über den Aussteller

Ein Clientzertifikat wird von dem ersetzt, der es ausgestellt hat, und ein Zurücksetzen des Kontopassworts erneuert nichts. Verwenden Sie für eine Arbeitsverbindung den Erneuerungskanal, den Ihre Organisation veröffentlicht; melden Sie sich für einen gehosteten Dienst über eine verifizierte Adresse im Portal des Anbieters an, statt einen Anhang zu öffnen, der angeblich ein neues Profil enthält. Ein unverlangtes Paket ist nicht vertrauenswürdig, nur weil sein Dateiname VPN erwähnt.

Wenn Sie den Server betreiben, prüfen Sie die öffentlichen Angaben und die Ausstellungsunterlagen, bevor Sie Material ersetzen, denn eine CA-Änderung betrifft jeden Client, der ihr vertraut.

Die Erneuerung einer Identität sollte nicht den Austausch der Vertrauenshierarchie erfordern. Wenn jemand eine neue CA vorschlägt, um ein einziges abgelaufenes Blatt zu reparieren, fragen Sie zuerst, was sonst noch von der alten abhängt. Die RFC 5280 gibt die Gültigkeits- und Pfadregeln vor, denen beide Seiten folgen.

Bringen Sie den Client dazu, den Ersatz zu verwenden

Eine Datei herunterzuladen heißt nicht, sie zu importieren. Prüfen Sie den Verbindungseintrag, den Sie tatsächlich auswählen, und prüfen Sie, ob das Profil auf externe Zertifikatspfade verweist, die Sie zu überschreiben vergessen haben.

Lassen Sie den alten Eintrag sichtbar, bis der neue sich verbindet, und entfernen Sie ihn dann, damit niemand aus Gewohnheit das abgelaufene Profil auswählt. Verbinden Sie sich erneut und bestätigen Sie, dass der spezifische Ablauffehler verschwunden ist.

Wenn ein anderer TLS-Fehler bleibt, behandeln Sie ihn als neues Problem, statt die Verifizierungseinstellungen zu schwächen, um daran vorbeizukommen. Eine Kontoablehnung oder eine fehlende Route nach einer erfolgreichen Erneuerung ist ein separater Fehler mit einer separaten Lösung.