OpenVPN-ի վկայագիրը լրացե՞լ է. նախ ստուգե՛ք ժամացույցը, ապա՝ վկայագիրը

Հաճախորդը միանում է, մեկ վայրկյան բանակցում և հետո հայտնում, որ վկայագիրը լրացել է։ Նախքան որևէ մեկից ինչ-որ բան նորից թողարկել խնդրելը, նայեք ձեր առջևի սարքի ամսաթվին. մեկ ամիս քնած նոութբուքը, ձեռքով կարգավորված ժամացույցով հեռախոսը և աշխատող NTP աղբյուր չունեցող երթուղիչը բոլորը TLS կույտին հայտնում են սխալ պահը։ Վկայագիրը վավեր է միայն պատուհանի ներսում, և ստուգումը համեմատում է այդ պատուհանը տեղական ժամացույցի պնդածի հետ։ Ուղղեք ժամացույցը, ապա որոշեք՝ խնդիրն իրական է։

Սկսեք սարքի ժամացույցից

Բացեք տերմինալ և կարդացեք համակարգի պատկերացումը UTC-ի մասին, ոչ թե աշխատասեղանի ժամացույցի վիջեթը, որը կարող է ցույց տալ ժամային գոտով շտկված տեսք կամ գրաֆիկական միջերեսի պահած հին արժեք։

date -u
timedatectl status

Շատ առաջ ընթացող ժամացույցը վավեր վկայագիրը ցույց է տալիս լրացած, իսկ շատ հետ մնացողը՝ դեռ վավեր չդարձած, ինչը որոշ հաճախորդներ հաղորդում են նույն ընդհանուր ձեռքսեղմման սխալով։ Եթե սինխրոնացումը անջատված է կամ ժամանակի աղբյուրն անհասանելի է, նախ ուղղեք դա և նորից փորձարկեք նախքան որևէ ֆայլի դիպչելը։ Ժամացույցը հետ տալ լրացումից խուսափելու համար լուծում չէ. դա կոտրում է սարքի այլ ծառայություններ և ինքնության խնդիրը թողնում է հենց այնտեղ, որտեղ եղել է։

Եթե ժամացույցը ճիշտ է, լրացումն իրական է և այս ուղեցույցի մնացած մասը կիրառելի է։ Նկատեք, թե հաճախորդի մատյանն որ ժամային գոտին է օգտագործում, նախքան երկու սարքերի ժամանակադրոշմները համեմատելը։ Այլ գոտու սերվերը կարող է նորացումը վաղ կամ ուշ ցույց տալ, երբ այն ոչ մեկն էր, ոչ մյուսը։ Համեմատեք հաճախորդի սեփական մատյանի տողի ժամանակադրոշմի հետ, այլ ոչ թե ձեր գրասեղանի պատի ժամացույցի։

Կարդացեք սխալի տողը նախքան պրոֆիլը

Պահեք ճշգրիտ տեքստը։ OpenVPN-ի ստուգման ձախողումը նշում է խորություն և պատճառ, և այդ երկու դաշտերը ձեզ ասում են, թե ով պետք է գործի։

VERIFY ERROR-ը error=certificate has expired-ի հետ վավերականության ձախողում է շղթայի որոշակի կետում։ Սա ոչ գաղտնաբառի մերժում է, ոչ էլ ժամանակի սպառում, և երեքը տարբեր արձագանքներ են պահանջում։

Պատճենեք ամբողջ տողը ձեր նշումների մեջ հաճախորդի տարբերակի հետ միասին։ Եթե հաղորդագրությունը փոխարենը ասում է, որ վկայագիրը դեռ վավեր չէ, դուք վերադարձել եք ժամացույցի հարցին։ Եթե այն ասում է, որ թողարկողը անհայտ է, դուք ունեք վստահության խնդիր, ոչ թե ժամկետի, և ոչ մի նորացում դա չի փոխի։

Պարզեք, թե որ վկայագիրն է լրացել

Զրո խորությունը այն վկայագիրն է, որը ներկայացրել է այն կողմը, որին դուք միացել եք, իսկ ավելի մեծ խորությունները գնում են դեպի արմատը։ Աշխատանքային VPN-ը սովորաբար թույլ է տալիս, որ լրանա հաճախորդի ինքնությունը կամ սերվերի վկայագիրը, և երբեմն՝ միջանկյալ վկայագիր, որը կազմակերպությունը մոռացել էր, որ պատկանում է իրեն։

Տպեք այն ֆայլերի ամսաթվերը, որոնց պրոֆիլը իրականում հղում է անում, սկսած սխալի մեջ նշված խորության ֆայլից։

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Եթե պրոֆիլը վկայագրերը ներկառուցում է որպես ներկառուցված բլոկներ՝ ֆայլերին հղում անելու փոխարեն, սկավառակի առանձին ֆայլերը կարող են ավելի հին կամ նոր լինել, քան այն, ինչ օգտագործում է հաճախորդը, և դրա համար է, որ սխալը ֆայլի հետ համադրելը պահանջում է կարդալ պրոֆիլը, ոչ թե թղթապանակի ցանկը։

Նորացրեք թողարկողի միջոցով

Հաճախորդի վկայագիրը փոխարինում է նա, ով թողարկել է այն, և հաշվի գաղտնաբառի վերականգնումը ոչինչ չի նորացնում։ Աշխատանքային կապի համար օգտագործեք ձեր կազմակերպության հրապարակած նորացման ուղին. հոսթինգային ծառայության դեպքում մուտք գործեք մատակարարի պորտալ ստուգված հասցեով, փոխարենը բացելու այն կցորդը, որը պնդում է, թե պարունակում է նոր պրոֆիլ։ Չպահանջված փաթեթը վստահելի չէ միայն այն պատճառով, որ նրա ֆայլի անունը հիշատակում է VPN։

Եթե դուք ղեկավարում եք սերվերը, նախքան նյութերը փոխարինելը ստուգեք հրապարակային մանրամասները և թողարկման գրառումները, որովհետև CA-ի փոփոխությունը ազդում է յուրաքանչյուր հաճախորդի վրա, որը վստահում է նրան։

Մեկ ինքնության նորացումը չպետք է պահանջի վստահության հիերարխիայի փոխարինում։ Եթե ինչ-որ մեկը առաջարկում է նոր CA՝ մեկ լրացած տերև ուղղելու համար, նախ հարցրեք, թե ինչ այլ բան է կախված հինից։ RFC 5280 -ի վավերականության և ուղու կանոնները այն մոդելն են, որին հետևում են երկու կողմերը։

Ստիպեք հաճախորդին օգտագործել փոխարինումը

Ֆայլ ներբեռնելը դրա ներմուծումը չէ։ Ստուգեք այն կապի գրառումը, որը դուք իրականում ընտրում եք, և ստուգեք՝ արդյոք պրոֆիլը հղում է անում արտաքին վկայագրերի ուղիներին, որոնք դուք մոռացել եք վերագրել։

Պահեք հին գրառումը տեսանելի, մինչև նորը միանա, ապա հեռացրեք այն, որպեսզի ոչ ոք սովորությունից չընտրի լրացած պրոֆիլը։ Նորից միացեք և հաստատեք, որ կոնկրետ լրացման սխալն անհետացել է։

Եթե մնում է այլ TLS սխալ, վերաբերվեք դրան որպես նոր խնդրի, փոխարենը թուլացնելու ստուգման կարգավորումները՝ դա շրջանցելու համար։ Հաշվի մերժումը կամ բացակայող երթուղին հաջող նորացումից հետո առանձին խափանում է՝ առանձին լուծումով։