Certificat OpenVPN expiré ? Vérifiez d’abord l’horloge, puis le certificat

Le client se connecte, négocie pendant une seconde, puis signale qu’un certificat a expiré. Avant de demander à quiconque de réémettre quoi que ce soit, regardez la date de l’appareil devant vous : un ordinateur portable resté en veille un mois, un téléphone à l’horloge manuelle et un routeur sans source NTP fonctionnelle signalent tous le mauvais instant à une pile TLS. Un certificat n’est valide que dans une fenêtre, et le contrôle compare cette fenêtre à ce que prétend l’horloge locale. Réglez l’horloge, puis décidez si le problème est réel.

Commencez par l’horloge de l’appareil

Ouvrez un terminal et lisez l’idée que le système se fait de l’UTC, pas le widget d’horloge du bureau, qui peut afficher une vue ajustée au fuseau horaire ou une valeur obsolète mise en cache par l’interface graphique.

date -u
timedatectl status

Une horloge très en avance fait paraître expiré un certificat valide, et une horloge très en retard le fait paraître pas encore valide, ce que certains clients signalent par la même erreur générique de poignée de main. Si la synchronisation est désactivée ou si la source de temps est inaccessible, corrigez cela d’abord et testez à nouveau avant de toucher au moindre fichier. Reculer l’horloge pour contourner une expiration n’est pas une solution : cela casse d’autres services de l’appareil et laisse le problème d’identité exactement là où il était.

Si l’horloge est correcte, l’expiration est réelle et le reste de ce parcours s’applique. Notez quel fuseau horaire le journal du client utilise avant de comparer des horodatages de deux appareils. Un serveur dans un autre fuseau peut faire paraître un renouvellement précoce ou tardif alors qu’il n’était ni l’un ni l’autre. Comparez à l’horodatage de la ligne de journal du client lui-même plutôt qu’à l’horloge murale de votre bureau.

Lisez la ligne d’erreur avant le profil

Conservez le texte exact. L’échec de vérification d’OpenVPN nomme une profondeur et une raison, et ces deux champs vous disent qui doit agir.

Un VERIFY ERROR avec error=certificate has expired est un échec de validité à un point précis de la chaîne. Ce n’est pas un rejet de mot de passe ni un délai d’attente, et les trois exigent des réponses différentes.

Copiez toute la ligne dans vos notes avec la version du client. Si le message dit plutôt que le certificat n’est pas encore valide, vous revenez à la question de l’horloge. S’il dit que l’émetteur est inconnu, vous avez un problème de confiance et non de durée de vie, et aucun renouvellement n’y changera rien.

Déterminez quel certificat a expiré

La profondeur zéro est le certificat présenté par le pair auquel vous vous êtes connecté, et les profondeurs supérieures remontent vers la racine. Un VPN professionnel laisse généralement expirer une identité client ou un certificat serveur, et parfois un intermédiaire que l’organisation avait oublié posséder.

Affichez les dates des fichiers auxquels le profil fait réellement référence, en commençant par celui à la profondeur indiquée dans l’erreur.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Si le profil intègre les certificats sous forme de blocs intégrés au lieu de pointer vers des fichiers, les fichiers séparés sur le disque peuvent être plus anciens ou plus récents que ce que le client utilise, et c’est pourquoi associer l’erreur à un fichier exige de lire le profil plutôt que la liste du répertoire.

Renouvelez auprès de l’émetteur

Un certificat client est remplacé par celui qui l’a émis, et une réinitialisation du mot de passe du compte ne renouvelle rien. Pour une connexion professionnelle, utilisez le canal de renouvellement que votre organisation publie ; pour un service hébergé, connectez-vous au portail du fournisseur via une adresse vérifiée plutôt que d’ouvrir une pièce jointe prétendant contenir un nouveau profil. Un paquet non sollicité n’est pas fiable parce que son nom de fichier mentionne VPN.

Si vous exploitez le serveur, vérifiez les informations publiques et les registres d’émission avant de remplacer du matériel, car un changement d’AC affecte tous les clients qui lui font confiance.

Renouveler une identité ne devrait pas exiger de remplacer la hiérarchie de confiance. Si quelqu’un propose une nouvelle AC pour corriger une seule feuille expirée, demandez d’abord ce qui d’autre dépend de l’ancienne. Les RFC 5280 règles de validité et de chemin sont le modèle que les deux côtés suivent.

Faites en sorte que le client utilise le remplacement

Télécharger un fichier n’est pas l’importer. Vérifiez l’entrée de connexion que vous sélectionnez réellement, et vérifiez si le profil référence des chemins de certificats externes que vous avez oublié d’écraser.

Gardez l’ancienne entrée visible jusqu’à ce que la nouvelle se connecte, puis supprimez-la pour que personne ne choisisse par habitude le profil expiré. Reconnectez-vous et confirmez que l’erreur d’expiration précise a disparu.

Si une autre erreur TLS subsiste, traitez-la comme un nouveau problème plutôt que d’affaiblir les réglages de vérification pour la contourner. Un rejet de compte ou une route manquante après un renouvellement réussi est une défaillance distincte avec une solution distincte.