OpenVPN sertifikāts ir beidzies? Vispirms pārbaudiet pulksteni, tad sertifikātu

Klients savienojas, sekundi pārrunā un pēc tam ziņo, ka sertifikāta derīguma termiņš ir beidzies. Pirms lūdzat kādam kaut ko izdot no jauna, aplūkojiet ierīces sev priekšā datumu: mēnesi gulējis portatīvais dators, tālrunis ar manuāli iestatītu pulksteni un maršrutētājs bez strādājoša NTP avota visi ziņo TLS stekam nepareizo brīdi. Sertifikāts ir derīgs tikai loga ietvaros, un pārbaude salīdzina šo logu ar to, ko apgalvo vietējais pulkstenis. Izlabojiet pulksteni, tad izlemiet, vai problēma ir īsta.

Sāciet ar ierīces pulksteni

Atveriet termināli un izlasiet sistēmas priekšstatu par UTC, nevis darbvirsmas pulksteņa logrīku, kas var rādīt laika joslai pielāgotu skatu vai grafiskās saskarnes kešoto novecojušo vērtību.

date -u
timedatectl status

Pulkstenis, kas ir tālu priekšā, liek derīgam sertifikātam izskatīties beigušamies, bet tas, kas ir tālu aiz muguras, liek tam izskatīties vēl nederīgam, ko daži klienti ziņo ar to pašu vispārīgo rokasspiediena kļūdu. Ja sinhronizācija ir atslēgta vai laika avots nav sasniedzams, vispirms izlabojiet to un pārbaudiet vēlreiz, pirms aiztiekat jebkuru failu. Pulksteņa atgriešana atpakaļ, lai apietu termiņa beigas, nav risinājums: tas salauž citus ierīces pakalpojumus un atstāj identitātes problēmu tieši tur, kur tā bija.

Ja pulkstenis ir pareizs, termiņa beigas ir īstas un pārējā šīs rokasgrāmatas daļa ir spēkā. Ievērojiet, kuru laika joslu izmanto klienta žurnāls, pirms salīdzināt divu ierīču laikspiedolus. Serveris citā joslā var likt atjauninājumam izskatīties agram vai vēlam, lai gan tas nebija ne viens, ne otrs. Salīdziniet ar laikspiedolu paša klienta žurnāla rindā, nevis ar sienas pulksteni uz jūsu galda.

Izlasiet kļūdas rindu pirms profila

Saglabājiet precīzo tekstu. OpenVPN verifikācijas kļūme nosauc dziļumu un iemeslu, un šie divi lauki pasaka, kam jārīkojas.

VERIFY ERROR ar error=certificate has expired ir derīguma kļūme konkrētā ķēdes punktā. Tas nav ne paroles noraidījums, ne taimauts, un visiem trim nepieciešamas atšķirīgas reakcijas.

Nokopējiet visu rindu savos pierakstos kopā ar klienta versiju. Ja ziņojums tā vietā saka, ka sertifikāts vēl nav derīgs, jūs atgriežaties pie pulksteņa jautājuma. Ja tas saka, ka izdevējs nav zināms, jums ir uzticēšanās problēma, nevis derīguma termiņa problēma, un nekāda atjaunošana to nemainīs.

Noskaidrojiet, kurš sertifikāts ir beidzies

Nulles dziļums ir sertifikāts, ko uzrādījusi tā puse, ar kuru savienojāties, un lielāki dziļumi virzās uz sakni. Darba VPN parasti ļauj beigties klienta identitātei vai servera sertifikātam, un dažkārt arī starpsertifikātam, par kuru organizācija bija aizmirsusi, ka tam pieder.

Izdrukājiet to failu datumus, uz kuriem profils patiešām atsaucas, sākot ar to, kas atrodas kļūdā norādītajā dziļumā.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Ja profils iegulst sertifikātus kā iegultus blokus, nevis norāda uz failiem, atsevišķie faili diskā var būt vecāki vai jaunāki par to, ko izmanto klients, tāpēc kļūdas sasaistei ar failu ir jālasa profils, nevis direktorijas saraksts.

Atjaunojiet pie izdevēja

Klienta sertifikātu aizstāj tas, kurš to izdeva, un konta paroles atiestatīšana neko neatjauno. Darba savienojumam izmantojiet atjaunināšanas kanālu, ko publicē jūsu organizācija; mitinātai pakalpojumam piesakieties pakalpojumu sniedzēja portālā, izmantojot pārbaudītu adresi, nevis atveriet pielikumu, kas apgalvo, ka satur jaunu profilu. Nepieprasīta pakete nav uzticama tikai tāpēc, ka tās faila nosaukumā minēts VPN.

Ja serveri pārvaldāt jūs, pirms materiālu nomaiņas pārbaudiet publisko informāciju un izsniegšanas ierakstus, jo CA maiņa ietekmē katru klientu, kas tam uzticas.

Vienas identitātes atjaunināšanai nevajadzētu prasīt uzticēšanās hierarhijas nomaiņu. Ja kāds ierosina jaunu CA, lai salabotu vienu beigušos lapu, vispirms pajautājiet, kas vēl ir atkarīgs no vecā. Modelis, kam seko abas puses, ir RFC 5280 derīguma un ceļa noteikumi.

Panāciet, lai klients izmanto aizstājēju

Faila lejupielāde nav tā importēšana. Pārbaudiet savienojuma ierakstu, kuru patiešām izvēlaties, un pārbaudiet, vai profils atsaucas uz ārējiem sertifikātu ceļiem, kurus aizmirsāt pārrakstīt.

Turiet veco ierakstu redzamu, līdz jaunais savienojas, pēc tam noņemiet to, lai neviens ieraduma dēļ neizvēlētos beigušos profilu. Savienojieties vēlreiz un apstipriniet, ka konkrētā termiņa beigu kļūda ir pazudusi.

Ja paliek cita TLS kļūda, uzskatiet to par jaunu problēmu, nevis vājiniet verifikācijas iestatījumus, lai tai apietu. Konta noraidījums vai trūkstošs maršruts pēc veiksmīgas atjaunināšanas ir atsevišķa kļūme ar atsevišķu risinājumu.