گواهی OpenVPN منقضی شده است؟ ابتدا ساعت را بررسی کنید، سپس گواهی را

کلاینت متصل می‌شود، یک ثانیه مذاکره می‌کند و سپس گزارش می‌دهد که یک گواهی منقضی شده است. پیش از آنکه از کسی بخواهید چیزی را دوباره صادر کند، به تاریخ روی دستگاه روبه‌رویتان نگاه کنید: لپ‌تاپی که یک ماه خوابیده، تلفنی با ساعت دستی و روتری بدون منبع NTP کارآمد همگی لحظه اشتباهی را به پشته TLS گزارش می‌دهند. گواهی فقط درون یک بازه زمانی معتبر است و بررسی، آن بازه را با آنچه ساعت محلی ادعا می‌کند مقایسه می‌کند. ساعت را درست کنید، سپس تصمیم بگیرید آیا مشکل واقعی است.

با ساعت روی دستگاه شروع کنید

یک ترمینال باز کنید و برداشت سیستم از UTC را بخوانید، نه ویجت ساعت رومیزی را که ممکن است نمایی تنظیم‌شده با منطقه زمانی یا مقدار کهنه‌ای که رابط گرافیکی در حافظه پنهان کرده نشان دهد.

date -u
timedatectl status

ساعتی که بسیار جلو باشد گواهی معتبری را منقضی نشان می‌دهد و ساعتی که بسیار عقب باشد آن را هنوز معتبرنشده نشان می‌دهد، که برخی کلاینت‌ها آن را با همان خطای عمومی دست‌دادن گزارش می‌دهند. اگر همگام‌سازی غیرفعال است یا منبع زمان در دسترس نیست، ابتدا آن را درست کنید و پیش از دست زدن به هیچ فایلی دوباره آزمایش کنید. عقب بردن ساعت برای گذر از انقضا راه‌حل نیست: سرویس‌های دیگر روی دستگاه را خراب می‌کند و مشکل هویت را دقیقاً همان‌جا که بود رها می‌کند.

اگر ساعت درست است، انقضا واقعی است و بقیه این راهنما اعمال می‌شود. پیش از مقایسه مهرهای زمانی دو دستگاه، توجه کنید که گزارش کلاینت از کدام منطقه زمانی استفاده می‌کند. سروری در منطقه دیگر می‌تواند تمدیدی را زودهنگام یا دیرهنگام نشان دهد در حالی که هیچ‌کدام نبوده است. با مهر زمانی در خط گزارش خود کلاینت مقایسه کنید نه با ساعت دیواری روی میزتان.

خط خطا را پیش از پروفایل بخوانید

متن دقیق را نگه دارید. خطای تأیید OpenVPN یک عمق و یک دلیل را نام می‌برد و این دو فیلد به شما می‌گویند چه کسی باید اقدام کند.

یک VERIFY ERROR همراه با error=certificate has expired یک خطای اعتبار در نقطه مشخصی از زنجیره است. این رد رمز عبور نیست و اتمام مهلت هم نیست، و این سه به پاسخ‌های متفاوتی نیاز دارند.

کل خط را همراه با نسخه کلاینت در یادداشت‌هایتان کپی کنید. اگر پیام به‌جای آن بگوید گواهی هنوز معتبر نیست، به پرسش ساعت برگشته‌اید. اگر بگوید صادرکننده ناشناخته است، مشکل اعتماد دارید نه مشکل عمر، و هیچ تمدیدی آن را تغییر نمی‌دهد.

پیدا کنید کدام گواهی منقضی شده است

عمق صفر گواهی‌ای است که همتایی که به آن متصل شده‌اید ارائه کرده و عمق‌های بالاتر به سمت ریشه می‌روند. یک VPN کاری معمولاً هویت کلاینت یا گواهی سرور را منقضی می‌کند و گاهی یک گواهی میانی را که سازمان فراموش کرده مالک آن است.

تاریخ فایل‌هایی را که پروفایل واقعاً به آن‌ها ارجاع می‌دهد چاپ کنید، با فایلی در عمق ذکرشده در خطا شروع کنید.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

اگر پروفایل گواهی‌ها را به‌صورت بلوک‌های درون‌خطی جاسازی می‌کند نه با اشاره به فایل‌ها، فایل‌های جداگانه روی دیسک ممکن است قدیمی‌تر یا جدیدتر از آنچه کلاینت استفاده می‌کند باشند، و به همین دلیل تطبیق خطا با یک فایل نیازمند خواندن پروفایل است نه فهرست دایرکتوری.

از طریق صادرکننده تمدید کنید

گواهی کلاینت را همان کسی جایگزین می‌کند که آن را صادر کرده و بازنشانی رمز عبور حساب چیزی را تمدید نمی‌کند. برای اتصال کاری از کانال تمدیدی که سازمانتان منتشر می‌کند استفاده کنید؛ برای سرویس میزبانی‌شده از طریق نشانی تأییدشده وارد پورتال ارائه‌دهنده شوید نه با باز کردن پیوستی که ادعا می‌کند پروفایل جدیدی دارد. بسته ناخواسته تنها به این دلیل که نام فایلش VPN را ذکر می‌کند قابل اعتماد نیست.

اگر سرور را اداره می‌کنید، پیش از جایگزینی مواد، جزئیات عمومی و سوابق صدور را بررسی کنید، زیرا تغییر CA بر هر کلاینتی که به آن اعتماد دارد اثر می‌گذارد.

تمدید یک هویت نباید به جایگزینی سلسله‌مراتب اعتماد نیاز داشته باشد. اگر کسی برای اصلاح یک برگ منقضی، CA جدیدی پیشنهاد می‌کند، ابتدا بپرسید چه چیز دیگری به CA قدیمی وابسته است. قواعد اعتبار و مسیر RFC 5280 الگویی است که هر دو طرف آن را دنبال می‌کنند.

کاری کنید کلاینت از جایگزین استفاده کند

دانلود یک فایل به معنای وارد کردن آن نیست. ورودی اتصالی را که واقعاً انتخاب می‌کنید بررسی کنید و ببینید آیا پروفایل به مسیرهای گواهی خارجی اشاره می‌کند که فراموش کرده‌اید بازنویسی کنید.

ورودی قدیمی را تا زمانی که جدید متصل شود قابل مشاهده نگه دارید، سپس آن را حذف کنید تا کسی از روی عادت پروفایل منقضی را انتخاب نکند. دوباره متصل شوید و تأیید کنید که خطای انقضای مشخص رفع شده است.

اگر خطای TLS متفاوتی باقی ماند، آن را مشکل جدیدی بدانید نه اینکه تنظیمات تأیید را برای گذشتن از آن تضعیف کنید. رد حساب یا مسیر گمشده پس از تمدید موفق، خطای جداگانه‌ای با راه‌حل جداگانه است.