OpenVPN-sertifikaat ferrûn? Kontrolearje earst de klok, dan it sertifikaat

De klient makket ferbining, ûnderhannelet in sekonde en meldt dan dat in sertifikaat ferrûn is. Foardat jo immen freegje om eat opnij út te jaan, sjoch nei de datum op it apparaat foar jo: in laptop dy't in moanne slepen hat, in tillefoan mei in hânmjittich ynstelde klok en in router sûnder wurkjende NTP-boarne melde allegear it ferkearde momint oan in TLS-stapel. In sertifikaat is allinnich jildich binnen in finster, en de kontrôle fergeliket dat finster mei wat de pleatslike klok beweart. Krekt de klok, en beslút dan oft it probleem echt is.

Begjin mei de klok op it apparaat

Iepenje in terminaal en lês de opfetting fan it systeem fan UTC, net de klok-widget fan it buroblêd, dy't in tiidsône-oanpaste werjeft of in ferâldere wearde toand wurde kin troch de GUI.

date -u
timedatectl status

In klok dy't fier foar rint lit in jildich sertifikaat ferrûn lykje, en ien dy't fier efter rint lit it noch net jildich lykje, wat guon kliïnten mei deselde algemiene hânskutelflater melde. As syngronisaasje útskeakele is of de tiidboarne net berikber is, reparearje dat earst en test opnij foardat jo hokker bestân dan ek oanreitsje. De klok weromsette om in ferrin te omgean is gjin oplossing: it brekt oare tsjinsten op it apparaat en lit it identiteitsprobleem krekt dêr't it wie.

As de klok krekt is, is it ferrin echt en jildt de rest fan dizze rûnlieding. Merk op hokker tiidsône it log fan de klient brûkt foardat jo tiidstimpels fan twa apparaten fergelikje. In server yn in oare sône kin in fernijing betiid of let lykje litte wylst it dat net wie. Fergelik mei de tiidstimpel yn de eigen logrigel fan de klient, net mei de muorrenklok op jo buro.

Lês de flaterrigel foar it profyl

Hâld de krekte tekst. De ferifikaasjeflater fan OpenVPN neamt in djipte en in reden, en dy twa fjilden fertelle jo wa't hannelje moat.

In VERIFY ERROR mei error=certificate has expired is in jildichheidsflater op in bepaald punt yn 'e keatling. It is gjin wachtwurd-ôfwizing en gjin time-out, en de trije fereaskje ferskate antwurden.

Kopiearje de hiele rigel yn jo notysjes tegearre mei de ferzje fan de klient. As it berjocht ynstee seit dat it sertifikaat noch net jildich is, binne jo wer by de klokfraach. As it seit dat de útjouwer ûnbekend is, hawwe jo in fertrouwensprobleem en gjin libbensdoerprobleem, en gjin fernijing sil dat feroarje.

Fyn hokker sertifikaat ferrûn is

Djipte nul is it sertifikaat dat presintearre wurdt troch de peer dêr't jo ferbining mei makken, en hegere djipten geane nei de woartel. In wurk-VPN lit meastentiids in kliïntidentiteit of in serversertifikaat ferrinne, en soms in tuskenlizzend dat de organisaasje fergetten wie dat it dat besiet.

Print de datums fan de bestannen dêr't it profyl echt nei ferwiist, te begjinnen mei dat op de djipte neamd yn de flater.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

As it profyl sertifikaten as ynbêde blokken ynbêdet ynstee fan nei bestannen te wizen, kinne de aparte bestannen op skiif âlder of nijer wêze as wat de klient brûkt, en dêrom fereasket it keppeljen fan de flater oan in bestân it lêzen fan it profyl ynstee fan de mapylisting.

Fernij fia de útjouwer

In kliïntsertifikaat wurdt ferfongen troch wa't it útjûn hat, en it weromsetten fan in accountwachtwurd fernijt neat. Brûk foar in wurkferbining it fernijingskanaal dat jo organisaasje publisearret; meld jo foar in hosted tsjinst oan by it portaal fan de provider fia in ferifiearre adres ynstee fan in taheaksel te iepenjen dat beweart in nij profyl te befetsjen. In net-frege bondel is net betrouber om't de bestânsnamme VPN neamt.

As jo de server beheare, kontrolearje de iepenbiere details en de útjaanregisters foardat jo materiaal ferfange, want in CA-wiziging beynfloedet elke klient dy't it fertrout.

Fernijing fan ien identiteit soe net it ferfangen fan de fertrouwenshierargy fereaskje moatte. As immen in nije CA foarstelt om ien ferrûn blêd te reparearjen, freegje earst wat oars fan de âlde ôfhinklik is. De RFC 5280 jildichheids- en paadregels binne it model dat beide kanten folgje.

Lit de klient de ferfanging brûke

In bestân downloade is it net ymportearje. Kontrolearje de ferbiningsynfier dy't jo eins kieze, en kontrolearje oft it profyl ferwiist nei eksterne sertifikaatpaden dy't jo fergetten binne te oerskriuwen.

Hâld de âlde ynfier sichtber oant de nije ferbining makket, ferwiderje dy dan sadat nimmen it ferrûne profyl út gewoante kiest. Ferbynje opnij en befêstigje dat de spesifike ferrinflater fuort is.

As in oare TLS-flater oerbliuwt, behannelje dy as in nij probleem ynstee fan de ferifikaasje-ynstellingen te ferswakjen om der foarby te kommen. In accountôfwizing of in ûntbrekkende rûte nei in suksesfolle fernijing is in apart defekt mei in aparte oplossing.