OpenVPN प्रमाणपत्र समाप्त हो गया? पहले घड़ी जाँचें, फिर प्रमाणपत्र

क्लाइंट कनेक्ट होता है, एक सेकंड तक बातचीत करता है और फिर बताता है कि एक प्रमाणपत्र समाप्त हो गया है। किसी से कुछ भी फिर से जारी करने के लिए कहने से पहले, अपने सामने रखे उपकरण की तारीख देखें: एक महीने सोया लैपटॉप, हाथ से सेट की गई घड़ी वाला फ़ोन और बिना काम करने वाले NTP स्रोत वाला राउटर—सभी TLS स्टैक को गलत क्षण बताते हैं। प्रमाणपत्र केवल एक समय-खिड़की के भीतर ही वैध होता है, और जाँच उस खिड़की की तुलना स्थानीय घड़ी के दावे से करती है। घड़ी सही करें, फिर तय करें कि समस्या वास्तविक है या नहीं।

उपकरण की घड़ी से शुरू करें

एक टर्मिनल खोलें और सिस्टम की UTC संबंधी धारणा पढ़ें, डेस्कटॉप की घड़ी विजेट नहीं, जो समय क्षेत्र के अनुसार समायोजित दृश्य या GUI द्वारा कैश की गई पुरानी वैल्यू दिखा सकती है।

date -u
timedatectl status

बहुत आगे चलती घड़ी किसी वैध प्रमाणपत्र को समाप्त दिखाती है, और बहुत पीछे रहने वाली घड़ी उसे अभी वैध नहीं दिखाती, जिसे कुछ क्लाइंट उसी सामान्य हैंडशेक विफलता के रूप में बताते हैं। यदि सिंक्रोनाइज़ेशन अक्षम है या समय स्रोत उपलब्ध नहीं है, तो पहले उसे ठीक करें और किसी भी फ़ाइल को छूने से पहले फिर से परीक्षण करें। समाप्ति से बचने के लिए घड़ी पीछे करना समाधान नहीं है: इससे उपकरण की अन्य सेवाएँ टूटती हैं और पहचान की समस्या ठीक वहीं रह जाती है जहाँ थी।

यदि घड़ी सही है, तो समाप्ति वास्तविक है और इस मार्गदर्शिका का बाकी हिस्सा लागू होता है। दो उपकरणों के टाइमस्टैम्प की तुलना करने से पहले ध्यान दें कि क्लाइंट का लॉग कौन-सा समय क्षेत्र उपयोग करता है। दूसरे क्षेत्र का सर्वर नवीनीकरण को जल्दी या देर से दिखा सकता है जबकि वह दोनों में से कुछ नहीं था। अपने डेस्क की दीवार घड़ी के बजाय क्लाइंट की अपनी लॉग पंक्ति के टाइमस्टैम्प से तुलना करें।

प्रोफ़ाइल से पहले त्रुटि पंक्ति पढ़ें

सटीक पाठ रखें। OpenVPN की सत्यापन विफलता गहराई और कारण बताती है, और ये दो फ़ील्ड आपको बताते हैं कि किसे कार्रवाई करनी है।

VERIFY ERROR के साथ error=certificate has expired श्रृंखला में एक विशिष्ट बिंदु पर वैधता विफलता है। यह पासवर्ड अस्वीकृति नहीं है और टाइमआउट भी नहीं है, और तीनों को अलग-अलग प्रतिक्रियाओं की आवश्यकता है।

क्लाइंट संस्करण के साथ पूरी पंक्ति अपने नोट्स में कॉपी करें। यदि संदेश इसके बजाय कहता है कि प्रमाणपत्र अभी वैध नहीं है, तो आप घड़ी के प्रश्न पर लौट आए हैं। यदि वह कहता है कि जारीकर्ता अज्ञात है, तो आपके पास विश्वास की समस्या है, आयु की नहीं, और कोई भी नवीनीकरण इसे नहीं बदलेगा।

पता लगाएँ कि कौन-सा प्रमाणपत्र समाप्त हुआ

शून्य गहराई वह प्रमाणपत्र है जो उस पीयर ने प्रस्तुत किया जिससे आप जुड़े, और अधिक गहराइयाँ जड़ की ओर बढ़ती हैं। कार्यस्थल का VPN आमतौर पर क्लाइंट पहचान या सर्वर प्रमाणपत्र को समाप्त होने देता है, और कभी-कभी एक मध्यवर्ती प्रमाणपत्र को भी, जिसे संगठन यह भूल गया था कि उसके पास है।

प्रोफ़ाइल वास्तव में जिन फ़ाइलों का संदर्भ देता है उनकी तारीखें प्रिंट करें, त्रुटि में बताई गई गहराई वाली फ़ाइल से शुरू करके।

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

यदि प्रोफ़ाइल फ़ाइलों की ओर इशारा करने के बजाय प्रमाणपत्रों को अंतर्निहित ब्लॉक के रूप में समाहित करता है, तो डिस्क पर अलग फ़ाइलें क्लाइंट द्वारा उपयोग की जाने वाली फ़ाइलों से पुरानी या नई हो सकती हैं; इसलिए त्रुटि को फ़ाइल से मिलाने के लिए प्रोफ़ाइल पढ़ना आवश्यक है, निर्देशिका सूची नहीं।

जारीकर्ता के माध्यम से नवीनीकृत करें

क्लाइंट प्रमाणपत्र को वही बदलता है जिसने उसे जारी किया, और खाते का पासवर्ड रीसेट करने से कुछ भी नवीनीकृत नहीं होता। कार्यस्थल कनेक्शन के लिए अपने संगठन द्वारा प्रकाशित नवीनीकरण चैनल का उपयोग करें; होस्टेड सेवा के लिए नया प्रोफ़ाइल होने का दावा करने वाला अटैचमेंट खोलने के बजाय सत्यापित पते के माध्यम से प्रदाता के पोर्टल में साइन इन करें। अनचाहा बंडल केवल इसलिए भरोसेमंद नहीं है कि उसके फ़ाइल नाम में VPN लिखा है।

यदि आप सर्वर चलाते हैं, तो सामग्री बदलने से पहले सार्वजनिक विवरण और जारीकरण रिकॉर्ड जाँचें, क्योंकि CA परिवर्तन उस पर भरोसा करने वाले हर क्लाइंट को प्रभावित करता है।

एक पहचान का नवीनीकरण विश्वास पदानुक्रम को बदलने की मांग नहीं करना चाहिए। यदि कोई एक समाप्त पत्ती ठीक करने के लिए नया CA प्रस्तावित करता है, तो पहले पूछें कि पुराने पर और क्या निर्भर है। RFC 5280 के वैधता और पथ नियम वही मॉडल हैं जिनका दोनों पक्ष पालन करते हैं।

क्लाइंट से प्रतिस्थापन का उपयोग करवाएँ

फ़ाइल डाउनलोड करना उसे आयात करना नहीं है। जिस कनेक्शन प्रविष्टि को आप वास्तव में चुनते हैं उसे जाँचें, और जाँचें कि प्रोफ़ाइल उन बाहरी प्रमाणपत्र पथों का संदर्भ देता है या नहीं जिन्हें ओवरराइट करना आप भूल गए।

नई प्रविष्टि के कनेक्ट होने तक पुरानी प्रविष्टि दिखाई देती रखें, फिर उसे हटा दें ताकि कोई आदतवश समाप्त प्रोफ़ाइल न चुने। फिर से कनेक्ट करें और पुष्टि करें कि विशिष्ट समाप्ति त्रुटि चली गई है।

यदि कोई भिन्न TLS त्रुटि शेष है, तो उससे बचने के लिए सत्यापन सेटिंग्स कमज़ोर करने के बजाय उसे नई समस्या मानें। सफल नवीनीकरण के बाद खाता अस्वीकृति या अनुपस्थित रूट एक अलग खराबी है जिसका समाधान अलग है।