OpenVPN-Zertifikat ofgelaf? Kuckt fir d'éischt d'Auer, dann d'Zertifikat

De Client verbënnt sech, verhandelt eng Sekonn an mellt dann, datt en Zertifikat ofgelaf ass. Ier Dir een bitt, eppes nei auszestellen, kuckt op den Datum vum Apparat virun Iech: en Laptop, deen e Mount geschlof huet, en Telefon mat enger manueller Auer an en Router ouni funktionéierend NTP-Quell mellen dem TLS-Stack all de falschen Ament. En Zertifikat ass nëmmen innerhalb vun engem Fenster gülteg, an d'Préifung vergläicht dëst Fenster mat deem, wat déi lokal Auer behaapt. Stellt d'Auer richteg, an entscheet dann, ob de Problem wierklech ass.

Fänkt mat der Auer um Apparat un

Maacht en Terminal op a liest d'Virstellung vum System vun UTC, net de Widget vun der Desktop-Auer, deen eng zäitzonenangepasst Usiicht oder e verale Wäert, deen d'GUI gecacht huet, weise kann.

date -u
timedatectl status

Eng Auer déi wäit vir ass, léisst en gültegt Zertifikat ofgelaf ausgesinn, an eng déi wäit hannendran ass, léisst et nach net gülteg ausgesinn, wat verschidde Clienten mat deem selwechte genereschen Handshake-Fehler mellen. Wann d'Synchronisatioun ausgeschalt ass oder d'Zäitquell net erreechbar ass, reparéiert dat fir d'éischt an testet nach eng Kéier, ier Dir eng Datei beréiert. D'Auer zréckstellen, fir en Ofschloss ze ëmgoen, ass keng Léisung: et brécht aner Servicer um Apparat a léisst de Problem mat der Identitéit genee do, wou en war.

Wann d'Auer richteg ass, ass den Ofschloss richteg a rescht vun dëser Uleedung gëllt. Mierkt Iech, wéi eng Zäitzone de Log vum Client benotzt, ier Dir Zäitstempel vun zwee Apparater vergläicht. En Server an enger anerer Zon kann eng Erneierung fréi oder spéit ausgesinn, wou se weder dat engt nach dat anert war. Vergläicht mat dem Zäitstempel an der Linn vum Client sengem eegene Log amplaz mat der Wandauer op Ärem Schreifdësch.

Liest d'Fehlerlinn virum Profil

Behält den genauen Text. Dem OpenVPN seng Verifikatiounsfeeler nennt eng Déift an e Grond, an déi zwee Felder soen Iech, wien handele muss.

En VERIFY ERROR mat error=certificate has expired ass e Gültegkeetsfehler op enger bestëmmter Plaz an der Kette. Et ass keng Passwuert-Afflehnung an keen Timeout, an déi dräi verlaangen ënnerschiddlech Reaktiounen.

Kopéiert déi ganz Linn an Är Notizen zesumme mat der Clientversioun. Wann d'Noriicht amplaz seet, d'Zertifikat wier nach net gülteg, sidd Dir zréck bei der Fro vun der Auer. Wann se seet, den Aussteller wier onbekannt, hutt Dir e Vertrauensproblem an net e Liewenszäitproblem, an keng Erneierung wäert dat änneren.

Fannt eraus, wéi en Zertifikat ofgelaf ass

Déift null ass d'Zertifikat, dat de Peer virgestallt huet, mat deem Dir verbonnen sidd, an déi méi héich Déiften ginn op d'Wuerzel zou. En Aarbechts-VPN léisst normalerweis eng Clientidentitéit oder en Serverzertifikat oflafen, a heiansdo en Zwëschenzertifikat, vun deem d'Organisatioun vergiess hat, datt se et besëtzt.

Dréckt d'Datume vun de Dateien, op déi de Profil wierklech verweist, ugefaange mat deem op der Déift, déi am Fehler genannt gëtt.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Wann de Profil Zertifikater als agebett Bléck agebaut huet amplaz op Dateien ze weisen, kënnen déi separat Dateien op der Plack méi al oder méi nei sinn wéi dat, wat de Client benotzt, an dofir verlaangt d'Zesummebréngen vum Fehler mat enger Datei d'Liesen vum Profil an net d'Lëscht vum Verzeechnes.

Erneiert iwwer den Aussteller

En Clientzertifikat gëtt vun deem ersat, deen et ausgestallt huet, an en Zerécksetze vum Kontpasswuert erneiert näischt. Fir eng Aarbechtsverbindung benotzt de Kanalt fir Erneierung, deen Är Organisatioun verëffentlecht; fir en gehoste Service mellt Iech iwwer eng verifizéiert Adress um Portal vum Provider un, amplaz en Anhang opzemaachen, deen behaapt en neie Profil ze enthalen. En ongefrotte Bündel ass net vertrauenswierdeg, well säin Dateinumm VPN ernimmt.

Wann Dir de Server bedriewt, préift d'ëffentlech Detailer an d'Ausstellungsregistrer, ier Dir Material ersetzt, well eng CA-Ännerung all Client betrëfft, deen hir vertraut.

D'Erneierung vun enger Identitéit sollt net den Ersatz vun der Vertrauenshierarchie verlaangen. Wann een eng nei CA proposéiert, fir een eenzegt ofgelafe Blat ze reparéieren, frot fir d'éischt, wat soss vun der aler ofhänkt. D'Gültegkeets- a Wee-Regelen RFC 5280 sinn de Modell, deen zwou Säiten suivéieren.

Maacht, datt de Client den Ersatz benotzt

Eng Datei erofzelueden ass se net z'importéieren. Préift den Verbindungsandroun, deen Dir tatsächlech auswielt, a préift, ob de Profil op extern Zertifikatsweeër verweist, déi Dir vergiess hutt z'iwwerschreiwen.

Hält den ale Androun sichtbar, bis den neien sech verbënnt, läscht en dann, datt keen aus Gewunnecht de ofgelafene Profil auswielt. Verbënnt Iech nach eng Kéier a bestätegt, datt de spezifesche Fehler vum Ofschloss fort ass.

Wann en aneren TLS-Fehler bleift, behandelt en als neie Problem amplaz d'Verifikatiounsastellungen ze schwächen, fir druchzekommen. Eng Kont-Afflehnung oder eng fehlend Route no enger erfollegräicher Erneierung ass e separat Fehler mat enger separater Léisung.