OpenVPN-ის სერტიფიკატი ვადაგასულია? ჯერ საათი შეამოწმეთ, შემდეგ სერტიფიკატი

კლიენტი უერთდება, ერთი წამით აწარმოებს მოლაპარაკებას და შემდეგ იტყობინება, რომ სერტიფიკატს ვადა გაუვიდა. სანამ ვინმეს რაიმეს ხელახლა გამოცემას სთხოვთ, შეხედეთ თქვენს წინ მდებარე მოწყობილობის თარიღს: ერთი თვე მძინარე ლეპტოპი, ხელით დაყენებული საათის მქონე ტელეფონი და მოქმედი NTP წყაროს გარეშე როუტერი ყველა არასწორ დროს აცნობებს TLS სტეკს. სერტიფიკატი მოქმედია მხოლოდ ფანჯრის შიგნით და შემოწმება ადარებს ამ ფანჯარას იმას, რასაც ლოკალური საათი ამბობს. გაასწორეთ საათი, შემდეგ გადაწყვიტეთ პრობლემა რეალურია თუ არა.

დაიწყეთ მოწყობილობის საათით

გახსენით ტერმინალი და წაიკითხეთ სისტემის წარმოდგენა UTC-ზე, და არა სამუშაო მაგიდის საათის ვიჯეტი, რომელმაც შეიძლება აჩვენოს დროის სარტყელზე მორგებული ხედი ან გრაფიკული ინტერფეისის მიერ დაქეშირებული მოძველებული მნიშვნელობა.

date -u
timedatectl status

ძალიან წინ წასული საათი სწორ სერტიფიკატს ვადაგასულად აჩვენებს, ხოლო ძალიან უკან დარჩენილი — ჯერ კიდევ არამოქმედად, რასაც ზოგი კლიენტი იმავე ზოგადი ხელის ჩამორთმევის შეცდომით აცნობებს. თუ სინქრონიზაცია გამორთულია ან დროის წყარო მიუწვდომელია, ჯერ ის გაასწორეთ და ხელახლა შეამოწმეთ, სანამ რომელიმე ფაილს შეეხებით. საათის უკან დაბრუნება ვადის გასვლის ასარიდებლად გამოსავალი არ არის: ეს ამტვრევს მოწყობილობის სხვა სერვისებს და იდენტობის პრობლემას ზუსტად იქ ტოვებს, სადაც იყო.

თუ საათი სწორია, ვადის გასვლა რეალურია და ამ სახელმძღვანელოს დარჩენილი ნაწილი მოქმედებს. დააკვირდით, რომელ დროის სარტყელს იყენებს კლიენტის ჟურნალი, სანამ ორი მოწყობილობის დროის ნიშნებს შეადარებთ. სხვა სარტყელში მდებარე სერვერს შეუძლია განახლება ნაადრევ ან დაგვიანებულად აჩვენოს, როცა არც ერთი იყო. შეადარეთ კლიენტის საკუთარი ჟურნალის ხაზში არსებულ დროის ნიშანს და არა თქვენს მაგიდაზე მდგარ კედლის საათს.

წაიკითხეთ შეცდომის ხაზი პროფილამდე

შეინახეთ ზუსტი ტექსტი. OpenVPN-ის შემოწმების წარუმატებლობა ასახელებს სიღრმეს და მიზეზს და ეს ორი ველი გეუბნებათ, ვინ უნდა იმოქმედოს.

VERIFY ERROR error=certificate has expired-თან ერთად ვალიდურობის წარუმატებლობაა ჯაჭვის გარკვეულ წერტილში. ეს არ არის პაროლის უარყოფა და არც დროის ამოწურვა, და სამივე სხვადასხვა რეაგირებას მოითხოვს.

დააკოპირეთ მთელი ხაზი თქვენს ჩანაწერებში კლიენტის ვერსიასთან ერთად. თუ შეტყობინება ნაცვლად ამბობს, რომ სერტიფიკატი ჯერ არ არის მოქმედი, თქვენ დაბრუნდით საათის კითხვასთან. თუ ამბობს, რომ გამომცემელი უცნობია, თქვენ გაქვთ ნდობის პრობლემა და არა ვადის, და არც ერთი განახლება ამას არ შეცვლის.

გაარკვიეთ, რომელ სერტიფიკატს გაუვიდა ვადა

ნულოვანი სიღრმე არის სერტიფიკატი, რომელიც წარმოადგინა იმ მხარემ, რომელსაც დაუკავშირდით, ხოლო უფრო მაღალი სიღრმეები ფესვისკენ მიდიან. სამუშაო VPN ჩვეულებრივ ვადის გასვლის საშუალებას აძლევს კლიენტის იდენტობას ან სერვერის სერტიფიკატს, ზოგჯერ კი შუალედურ სერტიფიკატს, რომელიც ორგანიზაციას დაავიწყდა, რომ ეკუთვნოდა.

ამობეჭდეთ იმ ფაილების თარიღები, რომლებზეც პროფილი რეალურად მიუთითებს, შეცდომაში დასახელებული სიღრმის ფაილიდან დაწყებული.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

თუ პროფილი სერტიფიკატებს ჩაშენებულ ბლოკებად შეიცავს და არა ფაილებზე მითითებას, დისკზე ცალკეული ფაილები შეიძლება იყოს უფრო ძველი ან ახალი, ვიდრე ის, რასაც კლიენტი იყენებს, და ამიტომ შეცდომის ფაილთან შესაბამისობა მოითხოვს პროფილის წაკითხვას და არა საქაღალდის სიას.

განაახლეთ გამომცემლის მეშვეობით

კლიენტის სერტიფიკატს ცვლის ის, ვინც ის გამოსცა, და ანგარიშის პაროლის აღდგენა არაფერს აახლებს. სამუშაო კავშირისთვის გამოიყენეთ განახლების არხი, რომელსაც თქვენი ორგანიზაცია აქვეყნებს; ჰოსტინგური სერვისისთვის შედით პროვაიდერის პორტალზე დადასტურებული მისამართით და არ გახსნათ დანართი, რომელიც აცხადებს, რომ ახალ პროფილს შეიცავს. მოუთხოვნელი პაკეტი სანდო არ არის მხოლოდ იმიტომ, რომ მისი ფაილის სახელი VPN-ს ახსენებს.

თუ სერვერს თქვენ მართავთ, მასალის შეცვლამდე შეამოწმეთ საჯარო დეტალები და გამოცემის ჩანაწერები, რადგან CA-ს ცვლილება ყველა იმ კლიენტზე მოქმედებს, რომელიც მას ენდობა.

ერთი იდენტობის განახლება არ უნდა მოითხოვდეს ნდობის იერარქიის შეცვლას. თუ ვინმე სთავაზობს ახალ CA-ს ერთი ვადაგასული ფოთლის გასასწორებლად, ჯერ იკითხეთ, კიდევ რა არის დამოკიდებული ძველზე. მოდელი, რომელსაც ორივე მხარე მიჰყვება, არის RFC 5280 -ის ვალიდურობისა და ბილიკის წესები.

აიძულეთ კლიენტი გამოიყენოს ჩანაცვლება

ფაილის ჩამოტვირთვა არ ნიშნავს მის იმპორტს. შეამოწმეთ ის კავშირის ჩანაწერი, რომელსაც რეალურად ირჩევთ, და შეამოწმეთ, მიუთითებს თუ არა პროფილი გარე სერტიფიკატის ბილიკებზე, რომელთა გადაწერაც დაგავიწყდათ.

შეინახეთ ძველი ჩანაწერი ხილული, სანამ ახალი დაუკავშირდება, შემდეგ წაშალეთ ის, რათა არავინ აირჩიოს ვადაგასული პროფილი ჩვევით. ხელახლა დაუკავშირდით და დაადასტურეთ, რომ კონკრეტული ვადის გასვლის შეცდომა გაქრა.

თუ სხვა TLS შეცდომა რჩება, მოეპყარით მას როგორც ახალ პრობლემას, ნაცვლად იმისა, რომ შეასუსტოთ შემოწმების პარამეტრები მის გვერდის ასავლელად. ანგარიშის უარყოფა ან დაკარგული მარშრუტი წარმატებული განახლების შემდეგ ცალკე ხარვეზია ცალკე გადაწყვეტით.