תעודת OpenVPN פגה? בדקו קודם את השעון, ואחר כך את התעודה

הלקוח מתחבר, מנהל משא ומתן לשנייה ואז מדווח שתעודה פגה. לפני שתבקשו ממישהו להנפיק מחדש משהו, הביטו בתאריך שבמכשיר שלפניכם: מחשב נייד שישן חודש, טלפון עם שעון ידני ונתב בלי מקור NTP עובד מדווחים כולם על הרגע הלא נכון לערימת TLS. תעודה תקפה רק בתוך חלון, והבדיקה משווה את החלון הזה למה שהשעון המקומי טוען. כוונו את השעון, ואז החליטו אם הבעיה אמיתית.

התחילו בשעון שבמכשיר

פתחו מסוף וקראו את תפיסת המערכת את UTC, לא את ווידג'ט השעון בשולחן העבודה, שעלול להציג תצוגה מותאמת לאזור זמן או ערך מיושן שנשמר במטמון על ידי ממשק המשתמש הגרפי.

date -u
timedatectl status

שעון שמקדים בהרבה גורם לתעודה תקפה להיראות פגה, ושעון שמפגר בהרבה גורם לה להיראות עדיין לא תקפה, מה שלקוחות אחדים מדווחים עליו באותה שגיאת לחיצת יד כללית. אם הסינכרון מושבת או שמקור הזמן אינו נגיש, תקנו זאת קודם ובדקו שוב לפני שתיגעו בקובץ כלשהו. החזרת השעון לאחור כדי לעקוף פקיעה אינה פתרון: היא שוברת שירותים אחרים במכשיר ומשאירה את בעיית הזהות בדיוק במקום שבו הייתה.

אם השעון נכון, הפקיעה אמיתית ושאר המדריך הזה חל. שימו לב באיזה אזור זמן משתמש יומן הלקוח לפני שתשוו חותמות זמן משני מכשירים. שרת באזור אחר יכול לגרום לחידוש להיראות מוקדם או מאוחר כשהוא לא היה לא זה ולא זה. השוו לחותמת הזמן בשורת היומן של הלקוח עצמו ולא לשעון הקיר שעל שולחנכם.

קראו את שורת השגיאה לפני הפרופיל

שמרו את הטקסט המדויק. כשל האימות של OpenVPN מציין עומק וסיבה, ושני השדות האלה אומרים לכם מי צריך לפעול.

VERIFY ERROR עם error=certificate has expired הוא כשל תוקף בנקודה מסוימת בשרשרת. הוא לא דחיית סיסמה ולא פסק זמן, ושלושתם דורשים תגובות שונות.

העתיקו את השורה כולה להערותיכם יחד עם גרסת הלקוח. אם ההודעה אומרת במקום זאת שהתעודה עדיין אינה תקפה, חזרתם לשאלת השעון. אם היא אומרת שהמנפיק אינו ידוע, יש לכם בעיית אמון ולא בעיית תוקף, ושום חידוש לא ישנה זאת.

אתרו איזו תעודה פגה

עומק אפס הוא התעודה שמוצגת על ידי העמית שאליו התחברתם, ועומקים גבוהים יותר מתקדמים לעבר השורש. VPN בעבודה בדרך כלל מניח לזהות לקוח או לתעודת שרת לפוג, ולפעמים לתעודת ביניים שהארגון שכח שבבעלותו.

הדפיסו את התאריכים של הקבצים שהפרופיל באמת מפנה אליהם, החל בזה שבעומק הנקוב בשגיאה.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

אם הפרופיל מטביע תעודות כבלוקים מוטמעים במקום להפנות לקבצים, הקבצים הנפרדים בדיסק עשויים להיות ישנים או חדשים יותר ממה שהלקוח משתמש בו, ולכן התאמת השגיאה לקובץ מחייבת קריאת הפרופיל ולא את רשימת התיקייה.

חדשו דרך המנפיק

תעודת לקוח מוחלפת על ידי מי שהנפיק אותה, ואיפוס סיסמת חשבון אינו מחדש דבר. לחיבור עבודה השתמשו בערוץ החידוש שהארגון שלכם מפרסם; לשירות מתארח התחברו לפורטל של הספק דרך כתובת מאומתת במקום לפתוח קובץ מצורף שטוען שהוא מכיל פרופיל חדש. חבילה לא מבוקשת אינה אמינה רק מפני ששם הקובץ שלה מזכיר VPN.

אם אתם מפעילים את השרת, בדקו את הפרטים הפומביים ואת רשומות ההנפקה לפני החלפת חומר, כי שינוי CA משפיע על כל לקוח שסומך עליו.

חידוש זהות אחת לא אמור לחייב החלפה של היררכיית האמון. אם מישהו מציע CA חדש כדי לתקן עלה פג אחד, שאלו קודם מה עוד תלוי בישן. כללי התוקף והנתיב של RFC 5280 הם המודל ששני הצדדים עוקבים אחריו.

גרמו ללקוח להשתמש בהחלפה

הורדת קובץ אינה ייבוא שלו. בדקו את רשומת החיבור שאתם באמת בוחרים, ובדקו אם הפרופיל מפנה לנתיבי תעודות חיצוניים ששכחתם לדרוס.

השאירו את הרשומה הישנה גלויה עד שהחדשה מתחברת, ואז הסירו אותה כדי שאיש לא יבחר את הפרופיל הפג מתוך הרגל. התחברו מחדש ואשרו ששגיאת הפקיעה הספציפית נעלמה.

אם נותרת שגיאת TLS אחרת, התייחסו אליה כבעיה חדשה במקום להחליש את הגדרות האימות כדי לעבור אותה. דחיית חשבון או מסלול חסר לאחר חידוש מוצלח הם תקלה נפרדת עם תיקון נפרד.