OpenVPN сертификатынын мөөнөтү бүттүбү? Адегенде саатты, анан сертификатты текшериңиз

Кардар туташат, бир секунд сүйлөшүү жүргүзөт, анан сертификаттын мөөнөтү бүткөнүн билдирет. Биреүдөн бир нерсени кайра чыгарууну сураардан мурун, алдыңыздагы түзмөктүн күнүнө көз чаптырыңыз: бир ай уктаган ноутбук, кол менен коюлган сааты бар телефон жана иштеген NTP булагы жок маршрутизатор — баары TLS стегине туура эмес учурду билдирет. Сертификат терезенин ичинде гана жарактуу, ал эми текшерүү ошол терезени жергиликтүү саат айткан нерсе менен салыштырат. Саатты оңдоп, анан көйгөй чыныгыбы же жокпу чечиңиз.

Түзмөктөгү сааттан баштаңыз

Терминал ачып, системанын UTC тууралуу түшүнүгүн окуңуз, жумуш үстөлүнүн саат виджетин эмес, ал убакыт алкагына ылайыкталган көрүнүштү же графикалык интерфейс кэштеген эскирген маанини көрсөтүшү мүмкүн.

date -u
timedatectl status

Алда кеткен саат жарактуу сертификатты мөөнөтү бүткөндөй көрсөтөт, ал эми артта калган саат аны али жараксыздай көрсөтөт, муну кээ бир кардарлар ошол эле жалпы кол алышуу катасы катары билдирет. Синхрондоштуруу өчүрүлгөн болсо же убакыт булагы жеткиликсиз болсо, адегенде ошону оңдоп, кандайдыр бир файлга тийүүдөн мурун кайра текшериңиз. Мөөнөттүн бүтүшүн айланып өтүү үчүн саатты артка жылдыруу чечим эмес: ал түзмөктөгү башка кызматтарды бузат жана инсандык көйгөйдү так ошол жерде калтырат.

Эгер саат туура болсо, мөөнөттүн бүтүшү чыныгы жана бул нускаманын калганы колдонулат. Эки түзмөктүн убакыт белгилерин салыштыруудан мурун кардардын журналы кайсы убакыт алкагын колдонорун белгилеп коюңуз. Башка алкактагы сервер жаңыртууну эрте же кеч көрсөтүшү мүмкүн, бирок ал экөөнүн бири да эмес болгон. Үстөлүңүздөгү дубал сааты менен эмес, кардардын өз журнал сабындагы убакыт белгиси менен салыштырыңыз.

Профилден мурун ката сабын окуңуз

Так текстти сактаңыз. OpenVPN текшерүүсүнүн ийгиликсиздиги тереңдикти жана себепти атайт, жана бул эки талаа ким аракет кылышы керектигин айтат.

VERIFY ERROR error=certificate has expired менен чынжырдын белгилүү бир чекитинде жарактуулук ийгиликсиздиги. Бул сырсөздү четке кагуу да эмес, таймаут да эмес, жана үчөө ар башка жоопту талап кылат.

Бүт сапты кардар версиясы менен бирге жазууларыңызга көчүрүңүз. Эгер билдирүү ордуна сертификат али жарактуу эмес десе, сиз саат суроосуна кайттыңыз. Эгер ал чыгарган орган белгисиз десе, сизде ишеним көйгөйү бар, мөөнөт көйгөйү эмес, жана эч кандай жаңыртуу аны өзгөртпөйт.

Кайсы сертификаттын мөөнөтү бүткөнүн аныктаңыз

Нөл тереңдик — сиз туташкан тарап сунуш кылган сертификат, ал эми жогорку тереңдиктер тамырга карай жылат. Иш VPN адатта кардардын инсандыгынын же сервер сертификатынын мөөнөтүн бүтүрөт, кээде уюм ээлик кылганын унутуп калган аралык сертификатты да.

Профиль чындыгында шилтеме кылган файлдардын күндөрүн басып чыгарыңыз, катада аталган тереңдиктеги файлдан баштап.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Эгер профиль сертификаттарды файлдарга шилтеме кылуунун ордуна ички блоктор катары камтыса, дисктеги өзүнчө файлдар кардар колдонгондон эски же жаңы болушу мүмкүн, ошондуктан катаны файл менен дал келтирүү каталог тизмесин эмес, профилди окууну талап кылат.

Чыгарган орган аркылуу жаңыртыңыз

Кардар сертификатын аны чыгарган тарап алмаштырат, ал эми аккаунттун сырсөзүн кайра коюу эч нерсени жаңыртпайт. Иш байланышы үчүн уюмуңуз жарыялаган жаңыртуу каналын колдонуңуз; хостинг кызматы үчүн жаңы профиль бар деп ырастаган тиркемени ачуунун ордуна текшерилген дарек аркылуу провайдердин порталына кириңиз. Суралбаган топтом анын файл атында VPN бар болгондуктан гана ишенимдүү эмес.

Эгер серверди сиз башкарсаңыз, материалды алмаштыруудан мурун ачык маалыматтарды жана чыгаруу жазууларын текшериңиз, анткени CA өзгөрүүсү ага ишенген ар бир кардарга таасир этет.

Бир инсандыкты жаңыртуу ишеним иерархиясын алмаштырууну талап кылбашы керек. Эгер биреү бир мөөнөтү бүткөн жалбыракты оңдоо үчүн жаңы CA сунуштаса, адегенде эскиге дагы эмне көз каранды экенин сураңыз. Эки тарап тең ээрчиген модель — RFC 5280 жарактуулук жана жол эрежелери.

Кардарды алмаштыргычты колдонууга мажбурлаңыз

Файлды жүктөп алуу аны импорттоо эмес. Чындыгында тандаган туташуу жазуусун текшериңиз жана профилдин кайра жазууну унутуп калган тышкы сертификат жолдоруна шилтеме кыларын текшериңиз.

Жаңысы туташканга чейин эски жазууну көрүнүктүү кармап, анан аны алып салыңыз, ошентип эч ким адат боюнча мөөнөтү бүткөн профилди тандабайт. Кайра туташып, белгилүү мөөнөт бүтүү катасы жок болгонун ырастаңыз.

Эгер башка TLS катасы калса, аны айланып өтүү үчүн текшерүү жөндөөлөрүн алсыратуунун ордуна жаңы көйгөй катары караңыз. Ийгиликтүү жаңыртуудан кийинки аккаунттан баш тартуу же жок маршрут — өзүнчө бузулуу, өзүнчө чечим.