OpenVPN сертификатының мерзімі бітті ме? Алдымен сағатты, содан кейін сертификатты тексеріңіз

Клиент қосылады, бір секунд келіссөз жүргізеді, содан кейін сертификаттың мерзімі біткенін хабарлайды. Біреуден бірдеңені қайта шығаруды сұрамас бұрын, алдыңыздағы құрылғының күніне қараңыз: бір ай ұйықтаған ноутбук, қолмен қойылған сағаты бар телефон және жұмыс істейтін NTP көзі жоқ маршрутизатор — барлығы TLS стекіне дұрыс емес сәтті хабарлайды. Сертификат тек терезе ішінде жарамды, ал тексеру сол терезені жергілікті сағаттың айтқанымен салыстырады. Сағатты дұрыстаңыз, содан кейін мәселенің шындық екенін шешіңіз.

Құрылғыдағы сағаттан бастаңыз

Терминал ашып, жүйенің UTC туралы түсінігін оқыңыз, жұмыс үстелінің сағат виджетін емес, ол уақыт белдеуіне бейімделген көріністі немесе графикалық интерфейс кэштеген ескірген мәнді көрсетуі мүмкін.

date -u
timedatectl status

Әлдеқайда алда кеткен сағат жарамды сертификатты мерзімі біткендей көрсетеді, ал әлдеқайда артта қалған сағат оны әлі жарамсыздай көрсетеді, мұны кейбір клиенттер сол жалпы қол алысу қатесі ретінде хабарлайды. Синхрондау өшірілген болса немесе уақыт көзі қолжетімсіз болса, алдымен соны түзетіп, кез келген файлға тиіспес бұрын қайта тексеріңіз. Мерзімінің бітуін айналып өту үшін сағатты артқа шегеру шешім емес: ол құрылғыдағы басқа қызметтерді бұзады және сәйкестік мәселесін дәл сол жерде қалдырады.

Егер сағат дұрыс болса, мерзімнің бітуі шынайы және бұл нұсқаулықтың қалғаны қолданылады. Екі құрылғының уақыт белгілерін салыстырмас бұрын клиент журналының қай уақыт белдеуін қолданатынына назар аударыңыз. Басқа белдеудегі сервер жаңартуды ерте немесе кеш көрсетуі мүмкін, ал шын мәнінде олай болмаған. Үстеліңіздегі қабырға сағатымен емес, клиенттің өз журнал жолындағы уақыт белгісімен салыстырыңыз.

Профильге дейін қате жолын оқыңыз

Нақты мәтінді сақтаңыз. OpenVPN тексеру сәтсіздігі тереңдік пен себепті атайды, және бұл екі өріс кім әрекет етуі керектігін айтады.

VERIFY ERROR error=certificate has expired-мен бірге тізбектің белгілі бір нүктесіндегі жарамдылық сәтсіздігі. Бұл құпиясөзді қабылдамау да емес, таймаут та емес, және үшеуі әртүрлі жауапты талап етеді.

Бүкіл жолды клиент нұсқасымен бірге жазбаларыңызға көшіріңіз. Егер хабарлама оның орнына сертификат әлі жарамды емес десе, сіз сағат сұрағына оралдыңыз. Егер ол шығарушы белгісіз десе, сізде сенім мәселесі бар, мерзім мәселесі емес, және ешқандай жаңарту оны өзгертпейді.

Қай сертификаттың мерзімі біткенін анықтаңыз

Нөлдік тереңдік — бұл сіз қосылған тарап ұсынған сертификат, ал жоғары тереңдіктер тамырға қарай жылжиды. Жұмыс VPN-і әдетте клиент сәйкестігінің немесе сервер сертификатының мерзімін бітіреді, кейде ұйым иелігінде екенін ұмытып кеткен аралық сертификатты да.

Профиль шын мәнінде сілтейтін файлдардың күндерін басып шығарыңыз, қатеде аталған тереңдіктегі файлдан бастап.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Егер профиль сертификаттарды файлдарға сілтеме жасаудың орнына кірістірілген блоктар ретінде қамтыса, дискідегі жеке файлдар клиент қолданатыннан ескі немесе жаңа болуы мүмкін, сондықтан қатені файлмен сәйкестендіру каталог тізімін емес, профильді оқуды талап етеді.

Шығарушы арқылы жаңартыңыз

Клиент сертификатын оны шығарған адам ауыстырады, ал тіркелгі құпиясөзін қалпына келтіру ештеңені жаңартпайды. Жұмыс байланысы үшін ұйымыңыз жариялайтын жаңарту арнасын пайдаланыңыз; хостингтік қызмет үшін жаңа профиль бар деп мәлімдейтін тіркемені ашудың орнына расталған мекенжай арқылы провайдер порталына кіріңіз. Сұралмаған бума сөзінде VPN бар болғандықтан ғана сенімді емес.

Егер серверді сіз басқарсаңыз, материалды ауыстырмас бұрын жария мәліметтерді және берілу жазбаларын тексеріңіз, өйткені CA өзгерісі оған сенетін әрбір клиентке әсер етеді.

Бір сәйкестікті жаңарту сенім иерархиясын ауыстыруды талап етпеуі керек. Егер біреу бір мерзімі біткен жапырақты түзету үшін жаңа CA ұсынса, алдымен ескіге тағы не тәуелді екенін сұраңыз. Екі тарап ұстанатын модель — RFC 5280 жарамдылық пен жол ережелері.

Клиентті ауыстырғышты қолдануға мәжбүр етіңіз

Файлды жүктеп алу оны импорттау емес. Нақты таңдайтын қосылым жазбасын тексеріңіз және профильдің қайта жазуға ұмытқан сыртқы сертификат жолдарына сілтейтінін тексеріңіз.

Жаңасы қосылғанша ескі жазбаны көрінетін күйде ұстаңыз, содан кейін оны жойыңыз, осылайша ешкім әдеттен мерзімі біткен профильді таңдамайды. Қайта қосылып, нақты мерзім біту қатесі жойылғанын растаңыз.

Егер басқа TLS қатесі қалса, оны айналып өту үшін тексеру параметрлерін әлсіретпей, жаңа мәселе ретінде қарастырыңыз. Сәтті жаңартудан кейінгі тіркелгіден бас тарту немесе жоқ маршрут — бөлек ақау, бөлек шешім.