Ĉu la atestilo de OpenVPN eksvalidiĝis? Kontrolu unue la horloĝon, poste la atestilon

La kliento konektiĝas, intertraktas dum sekundo, kaj poste raportas, ke atestilo eksvalidiĝis. Antaŭ ol vi petu iun ajn reeldoni ion ajn, rigardu la daton sur la aparato antaŭ vi: tekokomputilo, kiu dormis unu monaton, telefono kun permane agordita horloĝo kaj enkursigilo sen funkcianta NTP-fonto ĉiuj raportas la malĝustan momenton al TLS-stako. Atestilo validas nur ene de fenestro, kaj la kontrolo komparas tiun fenestron kun tio, kion asertas la loka horloĝo. Agordu la horloĝon ĝuste, poste decidu, ĉu la problemo estas reala.

Komencu per la horloĝo sur la aparato

Malfermu terminalon kaj legu la ideon de la sistemo pri UTC, ne la horloĝan fenestraĵon de la labortablo, kiu povas montri tempzonan adaptitan vidon aŭ malnovan valoron kaŝmemorigitan de la grafika interfaco.

date -u
timedatectl status

Horloĝo tre antaŭe igas validan atestilon aspekti eksdata, kaj horloĝo tre malantaŭe igas ĝin aspekti ankoraŭ ne valida, kion iuj klientoj raportas per la sama ĝenerala manprema eraro. Se sinkronigo estas malŝaltita aŭ la tempa fonto neatingebla, riparu tion unue kaj retestu antaŭ ol tuŝi ajnan dosieron. Retroprezi la horloĝon por preterpasi eksvalidiĝon ne estas solvo: ĝi rompas aliajn servojn sur la aparato kaj lasas la identecan problemon ĝuste tie, kie ĝi estis.

Se la horloĝo estas ĝusta, la eksvalidiĝo estas reala kaj la resto de ĉi tiu klarigo validas. Notu, kiun tempzonon uzas la protokolo de la kliento, antaŭ ol kompari tempostampojn de du aparatoj. Servilo en alia zono povas igi renovigon aspekti frua aŭ malfrua, kiam ĝi estis nek la unua nek la dua. Komparu kun la tempostampo en la propra protokollinio de la kliento, anstataŭ kun la murhorloĝo sur via skribotablo.

Legu la erarlinion antaŭ la profilo

Konservu la precizan tekston. La kontrolmalsukceso de OpenVPN nomas profundon kaj kaŭzon, kaj tiuj du kampoj diras al vi, kiu devas agi.

VERIFY ERROR kun error=certificate has expired estas valideca malsukceso ĉe difinita punkto de la ĉeno. Ĝi ne estas pasvorta malakcepto nek tempolimo, kaj la tri postulas malsamajn respondojn.

Kopiu la tutan linion en viajn notojn kune kun la klienta versio. Se la mesaĝo anstataŭe diras, ke la atestilo ankoraŭ ne validas, vi revenis al la horloĝa demando. Se ĝi diras, ke la eldoninto estas nekonata, vi havas fidproblemon anstataŭ vivdaŭran problemon, kaj neniu renovigo ŝanĝos tion.

Trovu, kiu atestilo eksvalidiĝis

Profundo nulo estas la atestilo prezentita de la samtavolano, al kiu vi konektiĝis, kaj pli altaj profundoj iras al la radiko. Laboreja VPN kutime lasas eksvalidiĝi klientan identecon aŭ servilan atestilon, kaj foje peran, pri kiu la organizo forgesis, ke ĝi posedas ĝin.

Presu la datojn de la dosieroj, al kiuj la profilo efektive referencas, komencante per tiu ĉe la profundo nomita en la eraro.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Se la profilo enigas atestilojn kiel enigitajn blokojn anstataŭ montri al dosieroj, la apartaj dosieroj sur la disko povas esti pli malnovaj aŭ pli novaj ol tio, kion la kliento uzas, kaj tial kongruigi la eraron al dosiero postulas legi la profilon anstataŭ la dosierujan liston.

Renovigu ĉe la eldoninto

Klientan atestilon anstataŭas tiu, kiu ĝin eldonis, kaj restarigo de la konta pasvorto renovigas nenion. Por laboreja konekto uzu la renovigan kanalon, kiun via organizo publikigas; por gastigata servo ensalutu al la portalo de la provizanto per kontrolita adreso anstataŭ malfermi aldonaĵon, kiu asertas enhavi novan profilon. Nesolicitita pakaĵo ne estas fidinda nur ĉar ĝia dosiernomo mencias VPN.

Se vi administras la servilon, kontrolu la publikajn detalojn kaj la eldonajn registrojn antaŭ ol anstataŭigi materialon, ĉar ŝanĝo de CA efikas al ĉiu kliento, kiu fidas ĝin.

Renovigo de unu identeco ne devus postuli anstataŭigon de la fida hierarkio. Se iu proponas novan CA por ripari unu solan eksvalidiĝintan folion, unue demandu, kio alia dependas de la malnova. La RFC 5280 validaj kaj vojaj reguloj estas la modelo, kiun ambaŭ flankoj sekvas.

Igu la klienton uzi la anstataŭaĵon

Elŝuti dosieron ne signifas enporti ĝin. Kontrolu la konektekzempleron, kiun vi efektive elektas, kaj kontrolu, ĉu la profilo referencas eksterajn atestilajn vojojn, kiujn vi forgesis anstataŭigi.

Tenu la malnovan ekzempleron videbla, ĝis la nova konektiĝos, poste forigu ĝin, por ke neniu kutime elektu la eksvalidiĝintan profilon. Rekonektiĝu kaj konfirmu, ke la specifa eksvalidiĝa eraro malaperis.

Se restas malsama TLS-eraro, traktu ĝin kiel novan problemon anstataŭ malfortigi la kontrolajn agordojn por preterpasi ĝin. Konta malakcepto aŭ mankanta vojo post sukcesa renovigo estas aparta difekto kun aparta solvo.