OpenVPN sertifikatas pasibaigė? Pirmiausia patikrinkite laikrodį, tada sertifikatą

Klientas prisijungia, sekundę derasi, o tada praneša, kad sertifikato galiojimas baigėsi. Prieš prašydami ko nors ką nors išduoti iš naujo, pažiūrėkite į prietaiso priešais jus datą: mėnesį miegojęs nešiojamasis kompiuteris, telefonas su rankiniu laikrodžiu ir maršrutizatorius be veikiančio NTP šaltinio visi praneša TLS dėklei netinkamą momentą. Sertifikatas galioja tik tam tikro lango viduje, o patikra lygina tą langą su tuo, ką teigia vietinis laikrodis. Sutvarkykite laikrodį, tada nuspręskite, ar problema tikra.

Pradėkite nuo prietaiso laikrodžio

Atidarykite terminalą ir perskaitykite sistemos supratimą apie UTC, o ne darbalaukio laikrodžio valdiklį, kuris gali rodyti pagal laiko juostą pakoreguotą vaizdą arba pasenusią reikšmę, saugomą grafinės sąsajos podėlyje.

date -u
timedatectl status

Labai priekyje esantis laikrodis priverčia galiojantį sertifikatą atrodyti pasibaigusį, o labai atsilikęs – dar negaliojantį, ką kai kurie klientai praneša ta pačia bendra rankos paspaudimo klaida. Jei sinchronizavimas išjungtas arba laiko šaltinis nepasiekiamas, pirmiausia tai sutvarkykite ir dar kartą patikrinkite, prieš liesdami bet kurį failą. Laikrodžio atitraukimas atgal, norint apeiti galiojimo pabaigą, nėra sprendimas: tai sugadina kitas prietaiso paslaugas ir palieka tapatybės problemą ten, kur ji buvo.

Jei laikrodis teisingas, galiojimo pabaiga tikra, o likusi šio vadovo dalis taikoma. Atkreipkite dėmesį, kokią laiko juostą naudoja kliento žurnalas, prieš lygindami dviejų prietaisų laiko žymes. Serveris kitoje juostoje gali priversti atnaujinimą atrodyti ankstyvą ar vėlyvą, nors jis nebuvo nei toks, nei toks. Lyginkite su laiko žyme pačioje kliento žurnalo eilutėje, o ne su sieniniu laikrodžiu ant jūsų stalo.

Perskaitykite klaidos eilutę prieš profilį

Išsaugokite tikslų tekstą. OpenVPN patikros klaida nurodo gylį ir priežastį, ir šie du laukai pasako, kas turi veikti.

VERIFY ERROR su error=certificate has expired yra galiojimo klaida konkrečiame grandinės taške. Tai ne slaptažodžio atmetimas ir ne laiko limitas, ir visi trys reikalauja skirtingų reakcijų.

Nukopijuokite visą eilutę į savo užrašus kartu su kliento versija. Jei pranešime vietoj to sakoma, kad sertifikatas dar negalioja, grįžtate prie laikrodžio klausimo. Jei sakoma, kad išdavėjas nežinomas, turite pasitikėjimo problemą, o ne galiojimo trukmės problemą, ir joks atnaujinimas to nepakeis.

Išsiaiškinkite, kuris sertifikatas pasibaigė

Nulinis gylis yra sertifikatas, kurį pateikė tas peer, prie kurio prisijungėte, o didesni gyliai eina šaknies link. Darbinis VPN paprastai leidžia pasibaigti kliento tapatybei arba serverio sertifikatui, o kartais ir tarpiniam, apie kurį organizacija buvo pamiršusi, kad jį turi.

Atspausdinkite failų, į kuriuos profilis iš tikrųjų nurodo, datas, pradedant nuo to, kuris yra klaidoje nurodytame gylyje.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Jei profilis įterpia sertifikatus kaip įterptus blokus, o ne nurodo failus, atskiri failai diske gali būti senesni arba naujesni nei tai, ką naudoja klientas, todėl norint susieti klaidą su failu reikia skaityti profilį, o ne katalogo sąrašą.

Atnaujinkite per išdavėją

Kliento sertifikatą pakeičia tas, kas jį išdavė, o paskyros slaptažodžio atkūrimas nieko neatnaujina. Darbiniam ryšiui naudokite atnaujinimo kanalą, kurį skelbia jūsų organizacija; prieglobos paslaugai prisijunkite prie teikėjo portalo per patvirtintą adresą, o ne atidarykite priedą, kuris teigia turintis naują profilį. Neprašytas paketas nėra patikimas vien todėl, kad jo failo pavadinime minima VPN.

Jei serverį administruojate jūs, prieš keisdami medžiagą patikrinkite viešą informaciją ir išdavimo įrašus, nes CA pakeitimas paveikia kiekvieną klientą, kuris juo pasitiki.

Vienos tapatybės atnaujinimas neturėtų reikalauti pakeisti pasitikėjimo hierarchijos. Jei kas nors siūlo naują CA, kad sutvarkytų vieną pasibaigusį lapą, pirmiausia paklauskite, kas dar priklauso nuo senojo. Modelis, kurio laikosi abi pusės, yra RFC 5280 galiojimo ir kelio taisyklės.

Priverskite klientą naudoti pakaitalą

Atsisiųsti failą nėra jį importuoti. Patikrinkite ryšio įrašą, kurį iš tikrųjų pasirenkate, ir patikrinkite, ar profilis nurodo išorinius sertifikatų kelius, kuriuos pamiršote perrašyti.

Laikykite seną įrašą matomą, kol prisijungs naujasis, tada pašalinkite jį, kad niekas iš įpročio nepasirinktų pasibaigusio profilio. Prisijunkite iš naujo ir patvirtinkite, kad konkreti galiojimo pabaigos klaida dingo.

Jei lieka kita TLS klaida, traktuokite ją kaip naują problemą, o ne silpninkite patikros nustatymus, kad ją apeitumėte. Paskyros atmetimas arba trūkstamas maršrutas po sėkmingo atnaujinimo yra atskiras gedimas su atskiru sprendimu.