OpenVPN-sertifikaat on aegunud? Kontrollige esmalt kella ja seejärel sertifikaati

Klient loob ühenduse, läbiräägib sekundi ja teatab seejärel, et sertifikaat on aegunud. Enne kui palute kellelgi midagi uuesti välja anda, vaadake seadme kuupäeva enda ees: kuu aega maganud sülearvuti, käsitsi seatud kellaga telefon ja töötava NTP-allikata ruuter teatavad TLS-i virnale kõik vale hetke. Sertifikaat kehtib ainult akna sees ja kontroll võrdleb seda akent sellega, mida väidab kohalik kell. Seadke kell õigeks ja otsustage seejärel, kas probleem on tegelik.

Alustage seadme kellast

Avage terminal ja lugege süsteemi arusaama UTC-st, mitte töölaua kella vidinat, mis võib näidata ajavööndi järgi kohandatud vaadet või graafilise liidese vahemällu salvestatud vananenud väärtust.

date -u
timedatectl status

Tublisti ette jooksev kell paneb kehtiva sertifikaadi aegununa näima ja tublisti maha jääv kell paneb selle veel mittekehtivana näima, mida mõned kliendid teatavad sama üldise käepigistuse veaga. Kui sünkroonimine on välja lülitatud või ajallikas on kättesaamatu, parandage see esmalt ja testige uuesti enne mis tahes faili puudutamist. Kella tagasi keeramine aegumisest möödasaamiseks ei ole lahendus: see rikub seadme teisi teenuseid ja jätab identiteediprobleemi täpselt sinna, kus see oli.

Kui kell on õige, on aegumine tegelik ja ülejäänud see juhend kehtib. Pange tähele, millist ajavööndit kliendi logi kasutab, enne kui võrdlete kahe seadme ajatempleid. Server teises vööndis võib panna uuenduse varase või hilisena näima, kui see polnud kumbki. Võrrelge kliendi enda logirea ajatempliga, mitte teie töölaual oleva seinakellaga.

Lugege vearida enne profiili

Hoidke täpne tekst alles. OpenVPN-i kontrolli ebaõnnestumine nimetab sügavuse ja põhjuse ning need kaks välja ütlevad, kes peab tegutsema.

VERIFY ERROR koos error=certificate has expired on kehtivustõrge ahela kindlas punktis. See ei ole parooli tagasilükkamine ega ajalõpp, ja kõik kolm nõuavad erinevaid vastuseid.

Kopeerige kogu rida koos kliendi versiooniga oma märkmetesse. Kui teade ütleb hoopis, et sertifikaat ei ole veel kehtiv, olete tagasi kella küsimuse juures. Kui see ütleb, et väljaandja on tundmatu, on teil usaldusprobleem, mitte elueaprobleem, ja ükski uuendamine ei muuda seda.

Tehke kindlaks, milline sertifikaat on aegunud

Sügavus null on sertifikaat, mille esitas partner, kellega ühenduse loote, ja suuremad sügavused liiguvad juure suunas. Töö-VPN laseb tavaliselt aeguda kliendi identiteedil või serveri sertifikaadil ja mõnikord vahesertifikaadil, mille organisatsioon unustas endale kuuluvat.

Printige profiili tegelikult viidatud failide kuupäevad, alustades sellest, mis on veas nimetatud sügavusel.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Kui profiil manustab sertifikaadid manustatud plokkidena, mitte ei viita failidele, võivad eraldiseisvad failid kettal olla vanemad või uuemad kui see, mida klient kasutab; seetõttu nõuab vea sobitamine failiga profiili lugemist, mitte kataloogi loendit.

Uuendage väljaandja kaudu

Kliendisertifikaadi asendab see, kes selle välja andis, ja konto parooli lähtestamine ei uuenda midagi. Tööühenduse jaoks kasutage uuenduskanalit, mille teie organisatsioon avaldab; majutatud teenuse jaoks logige teenusepakkuja portaali sisse kinnitatud aadressi kaudu, mitte ärge avage manust, mis väidab end sisaldavat uut profiili. Soovimatu pakett ei ole usaldusväärne ainult sellepärast, et failinimi mainib VPN-i.

Kui haldad serverit, kontrollige avalikke üksikasju ja väljaandmise kirjeid enne materjali asendamist, sest CA muutmine mõjutab iga klienti, kes seda usaldab.

Ühe identiteedi uuendamine ei peaks nõudma usaldushierarhia asendamist. Kui keegi pakub ühe aegunud lehe parandamiseks uut CA-d, küsige esmalt, mis veel vanast sõltub. Mudel, mida mõlemad pooled järgivad, on RFC 5280 kehtivus- ja teereeglid.

Pange klient asendust kasutama

Faili allalaadimine ei ole selle importimine. Kontrollige ühenduskirjet, mille tegelikult valite, ja kontrollige, kas profiil viitab välistele sertifikaaditeedele, mille ülekirjutamise unustasite.

Hoidke vana kirje nähtav, kuni uus ühenduse loob, seejärel eemaldage see, et keegi ei valiks harjumusest aegunud profiili. Looge ühendus uuesti ja kinnitage, et konkreetne aegumisviga on kadunud.

Kui alles jääb mõni muu TLS-viga, käsitlege seda uue probleemina, mitte ärge nõrgendage kontrolliseadeid selle möödaminekuks. Konto tagasilükkamine või puuduv marsruut pärast edukat uuendamist on eraldi rike eraldi lahendusega.