OpenVPN-varmenteen voimassaolo päättyi? Tarkista ensin kello ja sitten varmenne

Asiakas yhdistää, neuvottelee sekunnin ja ilmoittaa sitten, että varmenteen voimassaolo on päättynyt. Ennen kuin pyydät ketään myöntämään mitään uudelleen, katso edessäsi olevan laitteen päivämäärää: kuukauden nukkunut kannettava, käsin asetettu kello puhelimessa ja vailla toimivaa NTP-lähdettä oleva reititin ilmoittavat kaikki väärän hetken TLS-pinolle. Varmenne on kelvollinen vain aikaikkunan sisällä, ja tarkistus vertaa tätä ikkunaa siihen, mitä paikallinen kello väittää. Korjaa kello ja päätä vasta sitten, onko ongelma todellinen.

Aloita laitteen kellosta

Avaa pääte ja lue järjestelmän käsitys UTC-ajasta, älä työpöydän kellovimpainta, joka voi näyttää aikavyöhykkeen mukaan mukautetun näkymän tai graafisen käyttöliittymän välimuistiin tallentaman vanhentuneen arvon.

date -u
timedatectl status

Paljon edellä oleva kello saa kelvollisen varmenteen näyttämään vanhentuneelta ja paljon jäljessä oleva saa sen näyttämään vielä kelpaamattomalta, minkä jotkin asiakkaat ilmoittavat samalla yleisellä kättelyvirheellä. Jos synkronointi on poistettu käytöstä tai aikalähde ei ole tavoitettavissa, korjaa se ensin ja testaa uudelleen ennen minkään tiedoston koskettamista. Kellon siirtäminen taaksepäin vanhenemisen ohittamiseksi ei ole korjaus: se rikkoo laitteen muita palveluita ja jättää identiteettiongelman täsmälleen sinne, missä se oli.

Jos kello on oikea, vanheneminen on todellista ja loput tästä läpikäynnistä pätee. Huomioi, mitä aikavyöhykettä asiakkaan loki käyttää, ennen kuin vertaat kahden laitteen aikaleimoja. Toisen vyöhykkeen palvelin voi saada uusimisen näyttämään aikaiselta tai myöhäiseltä, vaikka se ei ollut kumpaakaan. Vertaa asiakkaan oman lokirivin aikaleimaan etkä työpöytäsi seinäkelloon.

Lue virherivi ennen profiilia

Säilytä tarkka teksti. OpenVPN:n vahvistusvirhe nimeää syvyyden ja syyn, ja nämä kaksi kenttää kertovat, kenen on toimittava.

VERIFY ERROR ja error=certificate has expired tarkoittaa kelpoisuusvirhettä ketjun tietyssä kohdassa. Se ei ole salasanan hylkäys eikä aikakatkaisu, ja kaikki kolme vaativat erilaisia vastauksia.

Kopioi koko rivi muistiinpanoihisi asiakkaan version kanssa. Jos viesti sen sijaan sanoo, ettei varmenne ole vielä kelvollinen, olet takaisin kellokysymyksessä. Jos se sanoo, ettei myöntäjä ole tuntematon, sinulla on luottamusongelma eikä elinikäongelma, eikä mikään uusiminen muuta sitä.

Selvitä, mikä varmenne on vanhentunut

Syvyys nolla on varmenne, jonka esitti se vastapuoli, johon yhdistit, ja suuremmat syvyydet kulkevat kohti juurta. Työ-VPN päästää yleensä vanhenemaan asiakasidentiteetin tai palvelinvarmenteen ja joskus välivarmenteen, jonka organisaatio unohti omistavansa.

Tulosta niiden tiedostojen päivämäärät, joihin profiili todella viittaa, alkaen siitä, joka on virheessä mainitulla syvyydellä.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Jos profiili upottaa varmenteet upotettuina lohkoina sen sijaan että viittaisi tiedostoihin, levyn erilliset tiedostot voivat olla vanhempia tai uudempia kuin se, mitä asiakas käyttää, minkä vuoksi virheen sovittaminen tiedostoon edellyttää profiilin lukemista eikä hakemistoluetteloa.

Uusi myöntäjän kautta

Asiakasvarmenteen korvaa se, joka sen myönsi, eikä tilin salasanan nollaus uusi mitään. Käytä työyhteyteen uusimiskanavaa, jonka organisaatiosi julkaisee; kirjaudu isännöityyn palveluun tarjoajan portaalissa vahvistetun osoitteen kautta sen sijaan että avaisit liitteen, joka väittää sisältävänsä uuden profiilin. Pyytämätön paketti ei ole luotettava vain siksi, että sen tiedostonimi mainitsee VPN:n.

Jos ylläpidät palvelinta, tarkista julkiset tiedot ja myöntämistiedot ennen materiaalin vaihtamista, koska CA:n muutos vaikuttaa jokaiseen asiakkaaseen, joka luottaa siihen.

Yhden identiteetin uusiminen ei pitäisi edellyttää luottamushierarkian vaihtamista. Jos joku ehdottaa uutta CA:ta yhden vanhentuneen lehden korjaamiseksi, kysy ensin, mitä muuta vanhasta riippuu. Malli, jota molemmat osapuolet noudattavat, on RFC 5280 kelpoisuus- ja polkusäännöt.

Saa asiakas käyttämään korvaavaa

Tiedoston lataaminen ei ole sen tuomista. Tarkista yhteysmerkintä, jonka todella valitset, ja tarkista, viittaako profiili ulkoisiin varmennepolkuihin, jotka unohdit korvata.

Pidä vanha merkintä näkyvissä, kunnes uusi yhdistää, ja poista se sitten, ettei kukaan valitse vanhentunutta profiilia tottumuksesta. Yhdistä uudelleen ja varmista, että nimenomainen vanhenemisvirhe on poissa.

Jos jäljelle jää eri TLS-virhe, käsittele sitä uutena ongelmana sen sijaan että heikentäisit vahvistusasetuksia sen ohittamiseksi. Tilin hylkäys tai puuttuva reitti onnistuneen uusimisen jälkeen on erillinen vika, jolla on erillinen korjaus.