Lejárt az OpenVPN-tanúsítvány? Először az órát ellenőrizze, aztán a tanúsítványt

A kliens csatlakozik, egy másodpercig egyeztet, majd jelenti, hogy lejárt egy tanúsítvány. Mielőtt bárkitől bármi újrakibocsátását kérné, nézze meg az előtte lévő eszköz dátumát: egy hónapig alvó laptop, kézzel beállított órájú telefon és működő NTP-forrás nélküli router mind a rossz pillanatot jelenti a TLS-veremnek. A tanúsítvány csak egy időablakon belül érvényes, és az ellenőrzés ezt az ablakot a helyi óra állításához hasonlítja. Állítsa be helyesen az órát, aztán döntse el, valódi-e a probléma.

Kezdje az eszköz órájával

Nyisson terminált, és olvassa ki a rendszer UTC-felfogását, ne az asztali óra-widgetet, amely időzónához igazított nézetet vagy a grafikus felület által gyorsítótárazott elavult értéket mutathat.

date -u
timedatectl status

Egy jóval előre járó óra érvényes tanúsítványt mutat lejártnak, egy jóval elmaradó pedig még nem érvényesnek, amit egyes kliensek ugyanazzal az általános kézfogási hibával jeleznek. Ha a szinkronizálás le van tiltva, vagy az időforrás nem érhető el, először azt javítsa, és csak utána teszteljen újra, mielőtt bármely fájlhoz nyúlna. Az óra visszaállítása a lejárat megkerülésére nem megoldás: más szolgáltatásokat tör el az eszközön, és pontosan ott hagyja az identitásproblémát, ahol volt.

Ha az óra pontos, a lejárat valódi, és a bemutató többi része érvényes. Jegyezze meg, milyen időzónát használ a kliens naplója, mielőtt két eszköz időbélyegét összehasonlítja. Egy másik zónában lévő szerver miatt egy megújítás korainak vagy későinek tűnhet, pedig egyik sem volt az. Hasonlítsa össze a kliens saját naplósorában lévő időbélyeggel, ne az asztalán álló faliórával.

A profil előtt olvassa el a hibasort

Tartsa meg a pontos szöveget. Az OpenVPN ellenőrzési hibája mélységet és okot nevez meg, és ez a két mező megmondja, kinek kell cselekednie.

Egy VERIFY ERROR error=certificate has expired-vel érvényességi hiba a lánc egy adott pontján. Ez nem jelszóelutasítás és nem időtúllépés, és mindhárom eltérő választ igényel.

Másolja a teljes sort a jegyzeteibe a kliens verziójával együtt. Ha az üzenet helyette azt mondja, hogy a tanúsítvány még nem érvényes, visszatért az óra kérdéséhez. Ha azt mondja, hogy a kibocsátó ismeretlen, bizalmi problémája van, nem élettartam-problémája, és semmilyen megújítás nem változtat rajta.

Állapítsa meg, melyik tanúsítvány járt le

A nulla mélység az a tanúsítvány, amelyet az a fél mutat be, amelyhez csatlakozott, a nagyobb mélységek a gyökér felé haladnak. Egy munkahelyi VPN általában lejárni hagyja egy ügyfél identitását vagy egy szervertanúsítványt, és néha egy köztes tanúsítványt, amelyről a szervezet megfeledkezett, hogy az övé.

Nyomtassa ki azoknak a fájloknak a dátumait, amelyekre a profil valóban hivatkozik, kezdve a hibaüzenetben megnevezett mélységen lévővel.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Ha a profil beágyazott blokkokként tartalmazza a tanúsítványokat ahelyett, hogy fájlokra mutatna, a lemezen lévő külön fájlok régebbiek vagy újabbak lehetnek annál, amit a kliens használ, ezért a hiba fájlhoz rendeléséhez a profilt kell olvasni, nem a könyvtárlistát.

Újítsa meg a kibocsátón keresztül

Az ügyféltanúsítványt az cseréli le, aki kibocsátotta, a fiók jelszavának visszaállítása pedig semmit nem újít meg. Munkahelyi kapcsolathoz használja a szervezete által közzétett megújítási csatornát; hosztolt szolgáltatásnál jelentkezzen be a szolgáltató portáljára ellenőrzött címen keresztül, ahelyett hogy megnyitna egy mellékletet, amely új profilt állít tartalmazni. Egy kéretlen csomag nem megbízható csak azért, mert a fájlnevében szerepel a VPN.

Ha Ön üzemelteti a szervert, az anyagok cseréje előtt ellenőrizze a nyilvános adatokat és a kibocsátási nyilvántartásokat, mert a CA változása minden őt megbízó klienst érint.

Egy identitás megújítása nem igényelheti a bizalmi hierarchia cseréjét. Ha valaki új CA-t javasol egyetlen lejárt levél javítására, először kérdezze meg, mi más függ a régitől. A RFC 5280 érvényességi és útvonalszabályok az a modell, amelyet mindkét fél követ.

Vegye rá a klienst, hogy a cserét használja

Egy fájl letöltése nem az importálása. Ellenőrizze a ténylegesen kiválasztott kapcsolatbejegyzést, és nézze meg, hivatkozik-e a profil olyan külső tanúsítványútvonalakra, amelyek felülírását elfelejtette.

Tartsa láthatóan a régi bejegyzést, amíg az új csatlakozik, majd távolítsa el, hogy senki ne válassza szokásból a lejárt profilt. Csatlakozzon újra, és erősítse meg, hogy az adott lejárati hiba eltűnt.

Ha más TLS-hiba marad, kezelje új problémaként, ahelyett hogy gyengítené az ellenőrzési beállításokat, hogy megkerülje. Egy fiók elutasítása vagy egy hiányzó útvonal sikeres megújítás után külön hiba, külön megoldással.