Sertifikat OpenVPN kedaluwarsa? Periksa jamnya dulu, baru sertifikatnya

Klien terhubung, bernegosiasi selama sedetik, lalu melaporkan bahwa sertifikat telah kedaluwarsa. Sebelum meminta siapa pun menerbitkan ulang apa pun, lihat tanggal pada perangkat di depan Anda: laptop yang tertidur sebulan, ponsel dengan jam manual, dan router tanpa sumber NTP yang berfungsi semuanya melaporkan momen yang salah ke tumpukan TLS. Sertifikat hanya valid di dalam jendela waktu, dan pemeriksaan membandingkan jendela itu dengan apa yang diklaim jam lokal. Benarkan jamnya, lalu putuskan apakah masalahnya nyata.

Mulailah dari jam di perangkat

Buka terminal dan baca anggapan sistem tentang UTC, bukan widget jam desktop, yang mungkin menampilkan tampilan yang disesuaikan zona waktu atau nilai usang yang di-cache oleh GUI.

date -u
timedatectl status

Jam yang jauh di depan membuat sertifikat valid terlihat kedaluwarsa, dan yang jauh di belakang membuatnya terlihat belum valid, yang dilaporkan sebagian klien dengan kegagalan handshake generik yang sama. Jika sinkronisasi dimatikan atau sumber waktu tidak terjangkau, perbaiki itu dulu dan uji ulang sebelum menyentuh file apa pun. Memundurkan jam agar lolos dari kedaluwarsa bukan solusi: itu merusak layanan lain di perangkat dan meninggalkan masalah identitas tepat di tempatnya.

Jika jamnya benar, kedaluwarsanya nyata dan sisa panduan ini berlaku. Perhatikan zona waktu apa yang dipakai log klien sebelum membandingkan stempel waktu dari dua perangkat. Server di zona lain dapat membuat pembaruan terlihat terlalu awal atau terlambat padahal bukan keduanya. Bandingkan dengan stempel waktu di baris log klien itu sendiri, bukan dengan jam dinding di meja Anda.

Baca baris kesalahan sebelum profil

Simpan teks persisnya. Kegagalan verifikasi OpenVPN menyebut kedalaman dan alasan, dan kedua bidang itu memberi tahu Anda siapa yang harus bertindak.

Sebuah VERIFY ERROR dengan error=certificate has expired adalah kegagalan validitas pada titik tertentu dalam rantai. Ini bukan penolakan kata sandi dan bukan batas waktu, dan ketiganya memerlukan respons berbeda.

Salin seluruh baris ke catatan Anda bersama versi klien. Jika pesannya justru mengatakan sertifikat belum valid, Anda kembali ke pertanyaan jam. Jika dikatakan penerbitnya tidak dikenal, Anda punya masalah kepercayaan, bukan masalah masa berlaku, dan tidak ada pembaruan yang akan mengubahnya.

Cari tahu sertifikat mana yang kedaluwarsa

Kedalaman nol adalah sertifikat yang disajikan oleh peer yang Anda hubungi, dan kedalaman yang lebih tinggi bergerak menuju akar. VPN kantor biasanya membiarkan identitas klien atau sertifikat server kedaluwarsa, dan kadang sertifikat perantara yang organisasi lupa memilikinya.

Cetak tanggal file yang benar-benar dirujuk profil, dimulai dari file pada kedalaman yang disebut dalam kesalahan.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Jika profil menyematkan sertifikat sebagai blok tersemat alih-alih menunjuk ke file, file terpisah di disk mungkin lebih lama atau lebih baru daripada yang dipakai klien, dan itulah sebabnya mencocokkan kesalahan dengan file memerlukan pembacaan profil, bukan daftar direktori.

Perbarui melalui penerbit

Sertifikat klien diganti oleh pihak yang menerbitkannya, dan pengaturan ulang kata sandi akun tidak memperbarui apa pun. Untuk koneksi kantor, gunakan saluran pembaruan yang diterbitkan organisasi Anda; untuk layanan terkelola, masuk ke portal penyedia melalui alamat yang terverifikasi alih-alih membuka lampiran yang mengklaim berisi profil baru. Bundel yang tidak diminta tidak dapat dipercaya hanya karena nama filenya menyebut VPN.

Jika Anda mengoperasikan server, periksa detail publik dan catatan penerbitan sebelum mengganti materi, karena perubahan CA memengaruhi setiap klien yang memercayainya.

Memperbarui satu identitas seharusnya tidak memerlukan penggantian hierarki kepercayaan. Jika seseorang mengusulkan CA baru untuk memperbaiki satu daun yang kedaluwarsa, tanyakan dulu apa lagi yang bergantung pada yang lama. Aturan validitas dan jalur RFC 5280 adalah model yang diikuti kedua pihak.

Buat klien menggunakan penggantinya

Mengunduh file bukan berarti mengimpornya. Periksa entri koneksi yang benar-benar Anda pilih, dan periksa apakah profil merujuk ke jalur sertifikat eksternal yang lupa Anda timpa.

Biarkan entri lama terlihat sampai yang baru terhubung, lalu hapus agar tidak ada yang memilih profil kedaluwarsa karena kebiasaan. Hubungkan ulang dan pastikan kesalahan kedaluwarsa yang spesifik sudah hilang.

Jika kesalahan TLS lain masih tersisa, perlakukan sebagai masalah baru alih-alih melemahkan pengaturan verifikasi untuk melewatinya. Penolakan akun atau rute yang hilang setelah pembaruan berhasil adalah kesalahan terpisah dengan perbaikan terpisah.