Πιστοποιητικό OpenVPN έληξε; Ελέγξτε πρώτα το ρολόι και μετά το πιστοποιητικό

Ο πελάτης συνδέεται, διαπραγματεύεται για ένα δευτερόλεπτο και έπειτα αναφέρει ότι ένα πιστοποιητικό έχει λήξει. Πριν ζητήσετε από οποιονδήποτε να επανεκδώσει οτιδήποτε, κοιτάξτε την ημερομηνία στη συσκευή μπροστά σας: ένας φορητός υπολογιστής που κοιμήθηκε έναν μήνα, ένα τηλέφωνο με χειροκίνητο ρολόι και ένας δρομολογητής χωρίς λειτουργική πηγή NTP αναφέρουν όλοι τη λάθος στιγμή σε μια στοίβα TLS. Ένα πιστοποιητικό είναι έγκυρο μόνο μέσα σε ένα παράθυρο, και ο έλεγχος συγκρίνει αυτό το παράθυρο με ό,τι ισχυρίζεται το τοπικό ρολόι. Διορθώστε το ρολόι και μετά αποφασίστε αν το πρόβλημα είναι πραγματικό.

Ξεκινήστε με το ρολόι στη συσκευή

Ανοίξτε ένα τερματικό και διαβάστε την αντίληψη του συστήματος για την UTC, όχι το γραφικό ρολόι της επιφάνειας εργασίας, που μπορεί να δείχνει προβολή προσαρμοσμένη στη ζώνη ώρας ή παλιά τιμή αποθηκευμένη στην προσωρινή μνήμη από το γραφικό περιβάλλον.

date -u
timedatectl status

Ένα ρολόι πολύ μπροστά κάνει ένα έγκυρο πιστοποιητικό να φαίνεται ληγμένο, και ένα πολύ πίσω το κάνει να φαίνεται ότι δεν είναι ακόμη έγκυρο, κάτι που ορισμένοι πελάτες αναφέρουν με το ίδιο γενικό σφάλμα χειραψίας. Αν ο συγχρονισμός είναι απενεργοποιημένος ή η πηγή ώρας δεν είναι προσβάσιμη, διορθώστε το πρώτα και ελέγξτε ξανά πριν αγγίξετε οποιοδήποτε αρχείο. Το να γυρίσετε το ρολόι πίσω για να ξεπεράσετε μια λήξη δεν είναι λύση: σπάει άλλες υπηρεσίες στη συσκευή και αφήνει το πρόβλημα ταυτότητας ακριβώς εκεί που ήταν.

Αν το ρολόι είναι σωστό, η λήξη είναι πραγματική και ισχύει το υπόλοιπο αυτής της διαδικασίας. Σημειώστε ποια ζώνη ώρας χρησιμοποιεί το αρχείο καταγραφής του πελάτη πριν συγκρίνετε χρονικές σφραγίδες από δύο συσκευές. Ένας διακομιστής σε άλλη ζώνη μπορεί να κάνει μια ανανέωση να φαίνεται πρώιμη ή καθυστερημένη όταν δεν ήταν ούτε το ένα ούτε το άλλο. Συγκρίνετε με τη χρονική σφραγίδα στη γραμμή καταγραφής του ίδιου του πελάτη και όχι με το ρολόι τοίχου στο γραφείο σας.

Διαβάστε τη γραμμή σφάλματος πριν από το προφίλ

Κρατήστε το ακριβές κείμενο. Η αποτυχία επαλήθευσης του OpenVPN αναφέρει βάθος και αιτία, και αυτά τα δύο πεδία σας λένε ποιος πρέπει να ενεργήσει.

Ένα VERIFY ERROR με error=certificate has expired είναι αποτυχία εγκυρότητας σε συγκεκριμένο σημείο της αλυσίδας. Δεν είναι απόρριψη κωδικού πρόσβασης ούτε υπέρβαση χρόνου, και τα τρία απαιτούν διαφορετικές απαντήσεις.

Αντιγράψτε ολόκληρη τη γραμμή στις σημειώσεις σας μαζί με την έκδοση του πελάτη. Αν το μήνυμα λέει αντ' αυτού ότι το πιστοποιητικό δεν είναι ακόμη έγκυρο, επιστρέφετε στο ερώτημα του ρολογιού. Αν λέει ότι ο εκδότης είναι άγνωστος, έχετε πρόβλημα εμπιστοσύνης και όχι διάρκειας ζωής, και καμία ανανέωση δεν θα το αλλάξει.

Βρείτε ποιο πιστοποιητικό έληξε

Το βάθος μηδέν είναι το πιστοποιητικό που παρουσίασε ο ομότιμος με τον οποίο συνδεθήκατε, και τα μεγαλύτερα βάθη κινούνται προς τη ρίζα. Ένα VPN εργασίας συνήθως αφήνει να λήξει μια ταυτότητα πελάτη ή ένα πιστοποιητικό διακομιστή, και περιστασιακά ένα ενδιάμεσο που ο οργανισμός ξέχασε ότι κατείχε.

Εκτυπώστε τις ημερομηνίες των αρχείων στα οποία αναφέρεται πραγματικά το προφίλ, ξεκινώντας από εκείνο στο βάθος που αναφέρεται στο σφάλμα.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Αν το προφίλ ενσωματώνει πιστοποιητικά ως ενσωματωμένα μπλοκ αντί να δείχνει αρχεία, τα ξεχωριστά αρχεία στον δίσκο μπορεί να είναι παλαιότερα ή νεότερα από αυτό που χρησιμοποιεί ο πελάτης, γι' αυτό η αντιστοίχιση του σφάλματος σε αρχείο απαιτεί ανάγνωση του προφίλ και όχι της λίστας καταλόγου.

Ανανεώστε μέσω του εκδότη

Ένα πιστοποιητικό πελάτη το αντικαθιστά όποιος το εξέδωσε, και η επαναφορά του κωδικού πρόσβασης λογαριασμού δεν ανανεώνει τίποτα. Για σύνδεση εργασίας, χρησιμοποιήστε το κανάλι ανανέωσης που δημοσιεύει ο οργανισμός σας· για φιλοξενούμενη υπηρεσία, συνδεθείτε στην πύλη του παρόχου μέσω επαληθευμένης διεύθυνσης αντί να ανοίξετε ένα συνημμένο που ισχυρίζεται ότι περιέχει νέο προφίλ. Ένα ανεπιθύμητο πακέτο δεν είναι αξιόπιστο επειδή το όνομα αρχείου του αναφέρει VPN.

Αν διαχειρίζεστε τον διακομιστή, ελέγξτε τις δημόσιες λεπτομέρειες και τα αρχεία έκδοσης πριν αντικαταστήσετε υλικό, γιατί μια αλλαγή CA επηρεάζει κάθε πελάτη που την εμπιστεύεται.

Η ανανέωση μιας ταυτότητας δεν θα έπρεπε να απαιτεί αντικατάσταση της ιεραρχίας εμπιστοσύνης. Αν κάποιος προτείνει νέο CA για να διορθώσει ένα μόνο ληγμένο φύλλο, ρωτήστε πρώτα τι άλλο εξαρτάται από το παλιό. Οι RFC 5280 κανόνες εγκυρότητας και διαδρομής είναι το μοντέλο που ακολουθούν και οι δύο πλευρές.

Κάντε τον πελάτη να χρησιμοποιήσει την αντικατάσταση

Η λήψη ενός αρχείου δεν είναι εισαγωγή του. Ελέγξτε την καταχώριση σύνδεσης που επιλέγετε πραγματικά, και ελέγξτε αν το προφίλ παραπέμπει σε εξωτερικές διαδρομές πιστοποιητικών που ξεχάσατε να αντικαταστήσετε.

Κρατήστε την παλιά καταχώριση ορατή μέχρι να συνδεθεί η νέα και μετά αφαιρέστε την, ώστε κανείς να μην επιλέγει από συνήθεια το ληγμένο προφίλ. Συνδεθείτε ξανά και επιβεβαιώστε ότι το συγκεκριμένο σφάλμα λήξης έχει φύγει.

Αν παραμένει διαφορετικό σφάλμα TLS, αντιμετωπίστε το ως νέο πρόβλημα αντί να αποδυναμώσετε τις ρυθμίσεις επαλήθευσης για να το προσπεράσετε. Μια απόρριψη λογαριασμού ή μια διαδρομή που λείπει μετά από επιτυχή ανανέωση είναι ξεχωριστό σφάλμα με ξεχωριστή λύση.