Certificado de OpenVPN caducado? Revise primeiro o reloxo e despois o certificado

O cliente conéctase, negocia durante un segundo e logo informa de que un certificado caducou. Antes de pedirlle a alguén que reemita algo, mire a data do dispositivo que ten diante: un portátil que durmiu un mes, un teléfono co reloxo manual e un router sen unha fonte NTP funcional informan todos ao momento equivocado a unha pila TLS. Un certificado só é válido dentro dunha xanela, e a comprobación compara esa xanela co que afirma o reloxo local. Corrixa o reloxo e despois decida se o problema é real.

Comece polo reloxo do dispositivo

Abra un terminal e lea a idea que ten o sistema de UTC, non o widget do reloxo do escritorio, que pode mostrar unha vista axustada por fuso horario ou un valor obsoleto almacenado na caché pola interface gráfica.

date -u
timedatectl status

Un reloxo moi adiantado fai que un certificado válido pareza caducado, e un moi atrasado fai que pareza aínda non válido, o que algúns clientes informan co mesmo fallo xenérico de handshake. Se a sincronización está desactivada ou a fonte de tempo non é accesible, arránxeo primeiro e volva probar antes de tocar calquera ficheiro. Atrasar o reloxo para saltar unha caducidade non é unha solución: rompe outros servizos do dispositivo e deixa o problema de identidade exactamente onde estaba.

Se o reloxo é correcto, a caducidade é real e o resto deste percorrido aplícase. Fíxese en que fuso horario usa o rexistro do cliente antes de comparar marcas de tempo de dous dispositivos. Un servidor noutro fuso pode facer que unha renovación pareza temperá ou tardía cando non o era. Compare coa marca de tempo da liña de rexistro do propio cliente en lugar do reloxo de parede do seu escritorio.

Lea a liña de erro antes do perfil

Conserve o texto exacto. O fallo de verificación de OpenVPN indica unha profundidade e un motivo, e eses dous campos dinnos quen debe actuar.

Un VERIFY ERROR con error=certificate has expired é un fallo de validez nun punto concreto da cadea. Non é un rexeitamento de contrasinal nin un tempo de espera esgotado, e os tres requiren respostas distintas.

Copie toda a liña nas súas notas xunto coa versión do cliente. Se a mensaxe di en cambio que o certificado aínda non é válido, volve á cuestión do reloxo. Se di que o emisor é descoñecido, ten un problema de confianza e non de vida útil, e ningunha renovación o cambiará.

Averigüe que certificado caducou

A profundidade cero é o certificado que presenta o par co que se conectou, e as profundidades maiores avanzan cara á raíz. Unha VPN de traballo adoita deixar caducar unha identidade de cliente ou un certificado de servidor, e ás veces un intermedio que a organización esqueceu que posuía.

Imprima as datas dos ficheiros aos que o perfil fai referencia realmente, empezando polo da profundidade indicada no erro.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Se o perfil incrusta certificados como bloques incrustados en lugar de apuntar a ficheiros, os ficheiros separados do disco poden ser máis antigos ou máis novos que os que usa o cliente, e por iso emparellar o erro cun ficheiro esixe ler o perfil e non a listaxe do directorio.

Renove a través do emisor

Un certificado de cliente substitúeo quen o emitiu, e restablecer o contrasinal da conta non renova nada. Para unha conexión de traballo, use a canle de renovación que publica a súa organización; para un servizo aloxado, inicie sesión no portal do provedor mediante un enderezo verificado en lugar de abrir un anexo que afirma conter un perfil novo. Un paquete non solicitado non é fiable só porque o nome do ficheiro mencione VPN.

Se vostede administra o servidor, revise os datos públicos e os rexistros de emisión antes de substituír material, porque un cambio de CA afecta todos os clientes que confían nel.

Renovar unha identidade non debería esixir substituír a xerarquía de confianza. Se alguén propón unha CA nova para arranxar unha soa folla caducada, pregunte primeiro que máis depende da vella. As RFC 5280 regras de validez e de ruta son o modelo que seguen ambas as partes.

Faga que o cliente use o substituto

Descargar un ficheiro non é importalo. Revise a entrada de conexión que escolle realmente e comprobe se o perfil fai referencia a rutas de certificados externas que esqueceu sobrescribir.

Manteña visible a entrada antiga ata que se conecte a nova e logo elimínea para que ninguén escolla o perfil caducado por costume. Volva conectarse e confirme que o erro de caducidade concreto desapareceu.

Se queda un erro TLS distinto, tráteo como un problema novo en lugar de debilitar a configuración de verificación para pasalo. Un rexeitamento de conta ou unha ruta ausente tras unha renovación correcta é un fallo separado cunha solución separada.