OpenVPN certifikat istekao? Prvo provjerite sat, pa certifikat

Klijent se povezuje, pregovara sekundu, a zatim javlja da je certifikat istekao. Prije nego što zamolite bilo koga da bilo šta ponovo izda, pogledajte datum na uređaju pred sobom: laptop koji je spavao mjesec dana, telefon s ručno podešenim satom i ruter bez ispravnog NTP izvora svi prijavljuju pogrešan trenutak TLS stogu. Certifikat je važeći samo unutar prozora, a provjera poredi taj prozor s onim što tvrdi lokalni sat. Namjestite sat, zatim odlučite je li problem stvaran.

Počnite sa satom na uređaju

Otvorite terminal i pročitajte šta sistem misli da je UTC, a ne widget sata na radnoj površini, koji može prikazivati prikaz prilagođen vremenskoj zoni ili zastarjelu vrijednost koju je keširao GUI.

date -u
timedatectl status

Sat koji jako žuri čini važeći certifikat isteklim, a onaj koji jako kasni čini ga još nevažećim, što neki klijenti prijavljuju istom općom greškom rukovanja. Ako je sinhronizacija onemogućena ili je izvor vremena nedostupan, prvo to popravite i ponovo testirajte prije nego što dirnete bilo koji fajl. Vraćanje sata unazad da bi se zaobišlo istekanje nije rješenje: to kvari druge usluge na uređaju i ostavlja problem identiteta tačno tamo gdje je bio.

Ako je sat tačan, istekanje je stvarno i ostatak ovog vodiča važi. Zabilježite koju vremensku zonu koristi klijentov zapis prije nego što uporedite vremenske oznake s dva uređaja. Server u drugoj zoni može učiniti da obnavljanje izgleda rano ili kasno kad nije bilo ni jedno ni drugo. Uporedite s vremenskom oznakom u klijentovoj vlastitoj liniji zapisa, a ne sa zidnim satom na vašem stolu.

Pročitajte liniju greške prije profila

Sačuvajte tačan tekst. OpenVPN-ova greška provjere navodi dubinu i razlog, a ta dva polja vam govore ko mora djelovati.

VERIFY ERROR s error=certificate has expired je neuspjeh valjanosti na određenoj tački u lancu. To nije odbijanje lozinke i nije tajmaut, i ta tri zahtijevaju različite odgovore.

Kopirajte cijelu liniju u svoje bilješke zajedno s verzijom klijenta. Ako poruka umjesto toga kaže da certifikat još nije važeći, vraćate se na pitanje sata. Ako kaže da je izdavalac nepoznat, imate problem povjerenja, a ne problem roka, i nikakvo obnavljanje to neće promijeniti.

Pronađite koji je certifikat istekao

Dubina nula je certifikat koji predstavlja drugi kraj s kojim ste se povezali, a veće dubine idu prema korijenu. Radni VPN obično pusti da istekne identitet klijenta ili certifikat servera, a povremeno i posrednički za koji je organizacija zaboravila da ga posjeduje.

Ispišite datume fajlova na koje profil zaista upućuje, počevši od onog na dubini navedenoj u grešci.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Ako profil ugrađuje certifikate kao umetnute blokove umjesto da upućuje na fajlove, odvojeni fajlovi na disku mogu biti stariji ili noviji od onoga što klijent koristi, zbog čega usklađivanje greške s fajlom zahtijeva čitanje profila, a ne popisa direktorija.

Obnovite preko izdavaoca

Klijentski certifikat zamjenjuje onaj ko ga je izdao, a reset lozinke računa ne obnavlja ništa. Za radnu vezu koristite kanal za obnavljanje koji vaša organizacija objavljuje; za hostanu uslugu prijavite se na portal pružaoca preko provjerene adrese umjesto da otvarate prilog koji tvrdi da sadrži novi profil. Neželjeni paket nije pouzdan samo zato što ime fajla spominje VPN.

Ako upravljate serverom, provjerite javne detalje i evidenciju izdavanja prije zamjene materijala, jer promjena CA utiče na svakog klijenta koji mu vjeruje.

Obnavljanje jednog identiteta ne bi trebalo zahtijevati zamjenu hijerarhije povjerenja. Ako neko predloži novi CA da popravi jedan istekli list, prvo pitajte šta još zavisi od starog. A RFC 5280 pravila valjanosti i putanje model su koji slijede obje strane.

Natjerajte klijenta da koristi zamjenu

Preuzimanje fajla nije njegovo uvoženje. Provjerite stavku veze koju zaista birate i provjerite upućuje li profil na vanjske putanje certifikata koje ste zaboravili prepisati.

Držite staru stavku vidljivom dok se nova ne poveže, zatim je uklonite da niko ne bi iz navike izabrao istekli profil. Ponovo se povežite i potvrdite da je konkretna greška isteka nestala.

Ako ostane druga TLS greška, tretirajte je kao novi problem umjesto da oslabite postavke provjere da biste je zaobišli. Odbijanje računa ili nedostajuća ruta nakon uspješnog obnavljanja je odvojen kvar s odvojenim rješenjem.