OpenVPN ziurtagiria iraungita? Begiratu lehenik erlojua, gero ziurtagiria

Bezeroa konektatzen da, segundo batez negoziatzen du eta gero ziurtagiri bat iraungi dela jakinarazten du. Inori zerbait berriz jaulkitzeko eskatu aurretik, begiratu aurrean duzun gailuaren data: hilabete bat lo egin duen ordenagailu eramangarri batek, eskuz jarritako erlojua duen telefono batek eta funtzionatzen duen NTP iturririk gabeko router batek denek une okerra jakinarazten diote TLS pilari. Ziurtagiri bat leiho baten barruan soilik da baliozkoa, eta egiaztapenak leiho hori erloju lokalak dioenarekin alderatzen du. Zuzendu erlojua eta, gero, erabaki arazoa erreala den.

Hasi gailuko erlojuarekin

Ireki terminal bat eta irakurri sistemak UTCri buruz duen ideia, ez mahaigaineko erloju-trepeta, zeinak ordu-eremuaren arabera egokitutako ikuspegia edo interfaze grafikoak cachean gordetako balio zaharkitua erakutsi baitezake.

date -u
timedatectl status

Asko aurreratutako erloju batek baliozko ziurtagiria iraungita bezala ikusarazten du, eta asko atzeratutako batek oraindik baliozkoa ez bezala, eta bezero batzuek eskuko ukatze-errore generiko berarekin jakinarazten dute. Sinkronizazioa desgaituta badago edo denbora-iturria eskuragarri ez badago, konpondu hori lehenik eta probatu berriro edozein fitxategi ukitu aurretik. Erlojua atzeratzea iraungipen bat saihesteko ez da konponbidea: gailuko beste zerbitzu batzuk apurtzen ditu eta identitate-arazoa zegoen lekuan bertan uzten du.

Erlojua zuzena bada, iraungipena erreala da eta ibilbide honen gainerakoa aplikagarria da. Ohartu bezeroaren erregistroak zein ordu-eremu erabiltzen duen bi gailuren denbora-zigiluak alderatu aurretik. Beste eremu bateko zerbitzari batek berritze bat goiztiar edo berandu gisa ikusarazi dezake, ez bat ez bestea zenean. Alderatu bezeroaren beraren erregistro-lerroko denbora-zigiluarekin, zure mahai gaineko horma-erlojuarekin beharrean.

Irakurri errore-lerroa profilaren aurretik

Gorde testu zehatza. OpenVPNren egiaztapen-hutsegiteak sakonera eta arrazoi bat aipatzen ditu, eta bi eremu horiek nori dagokion jardutea esaten dizute.

VERIFY ERROR bat error=certificate has expired-rekin baliozkotasun-hutsegitea da katearen puntu jakin batean. Ez da pasahitzaren ukapen bat ez eta denbora-muga bat, eta hirurek erantzun desberdinak behar dituzte.

Kopiatu lerro osoa zure oharretara bezeroaren bertsioarekin batera. Mezuak, horren ordez, ziurtagiria oraindik baliozkoa ez dela esaten badu, erlojuaren galderara itzuli zara. Jaulkitzailea ezezaguna dela esaten badu, konfiantza-arazoa duzu, ez bizitza-arazoa, eta berritzeak ez du hori aldatuko.

Aurkitu zein ziurtagiri iraungi den

Zero sakonera konektatu zaren parekoak aurkeztutako ziurtagiria da, eta sakonera handiagoek erroterantz egiten dute. Laneko VPN batek normalean bezero-identitate bat edo zerbitzari-ziurtagiri bat uzten du iraungitzen, eta batzuetan erakundeak zeukan ahaztu zuen tarteko bat.

Inprimatu profilak benetan erreferentziatzen dituen fitxategien datak, errorean aipatutako sakonerako fitxategiarekin hasita.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Profilak ziurtagiriak bloke txertatu gisa txertatzen baditu fitxategiei erreferentzia egin beharrean, diskoan bereizitako fitxategiak bezeroak erabiltzen duena baino zaharragoak edo berriagoak izan daitezke, eta horregatik errorea fitxategi batekin parekatzeko profila irakurtzea behar da, ez direktorioaren zerrenda.

Berritu jaulkitzailearen bidez

Bezero-ziurtagiri bat jaulki zuenak ordezkatzen du, eta kontuaren pasahitza berrezartzeak ez du ezer berritzen. Laneko konexio baterako, erabili zure erakundeak argitaratzen duen berritze-kanala; ostatatutako zerbitzu baterako, hasi saioa hornitzailearen atarian egiaztatutako helbide baten bidez, profil berri bat duela dioen eranskin bat ireki beharrean. Eskatu gabeko pakete bat ez da fidagarria fitxategi-izenak VPN aipatzen duelako soilik.

Zerbitzaria kudeatzen baduzu, egiaztatu xehetasun publikoak eta jaulkipen-erregistroak materiala ordezkatu aurretik, CA aldaketa batek harengan konfiantza duen bezero guztiengan eragiten baitu.

Identitate bat berritzeak ez luke konfiantza-hierarkia ordezkatzea eskatuko. Norbaitek hosto iraungi bat konpontzeko CA berri bat proposatzen badu, galdetu lehenik zer gehiago dagoen zahararen mende. Eredua, bi aldeek jarraitzen dutena, RFC 5280 baliozkotasun- eta bide-arauak dira.

Egin bezeroak ordezkoa erabil dezan

Fitxategi bat deskargatzea ez da hura inportatzea. Egiaztatu benetan hautatzen duzun konexio-sarrera, eta egiaztatu profilak gainidaztea ahaztu zenuen kanpoko ziurtagiri-bideei erreferentzia egiten dien.

Mantendu sarrera zaharra ikusgai berria konektatu arte, eta gero kendu, inork ohituraz profil iraungia hautatu ez dezan. Konektatu berriro eta berretsi iraungipen-errore zehatza desagertu dela.

Beste TLS errore bat geratzen bada, tratatu arazo berri gisa, ez ahuldu egiaztapen-ezarpenak hura gainditzeko. Kontuaren ukapen bat edo falta den ibilbide bat berritze arrakastatsu baten ondoren akats bereizi bat da, konponbide bereiziarekin.