Сертификатот на OpenVPN истече? Прво проверете го часовникот, потоа сертификатот

Клиентот се поврзува, преговара една секунда и потоа известува дека сертификатот истече. Пред да побарате некој да издаде нешто повторно, погледнете го датумот на уредот пред вас: лаптоп што спиел еден месец, телефон со рачно поставен часовник и рутер без работен NTP извор сите му го пријавуваат погрешното време на TLS стекот. Сертификатот е валиден само внатре во прозорец, а проверката го споредува тој прозорец со она што го тврди локалниот часовник. Поставете го часовникот правилно, па одлучете дали проблемот е реален.

Почнете со часовникот на уредот

Отворете терминал и прочитајте што системот мисли за UTC, не виџетот за часовник на работната површина, кој може да прикажува приказ прилагоден на временската зона или застарена вредност кеширана од графичкиот интерфејс.

date -u
timedatectl status

Часовник што е многу напред прави важечки сертификат да изгледа истечен, а оној што е многу назад го прави да изгледа како да не е валиден, што некои клиенти го пријавуваат со истата општа грешка при ракување. Ако синхронизацијата е оневозможена или изворот на време е недостапен, прво поправете го тоа и тестирајте повторно пред да допрете било која датотека. Враќањето на часовникот наназад за да се заобиколи истекот не е решение: го крши другите услуги на уредот и го остава проблемот со идентитетот точно таму каде што бил.

Ако часовникот е точен, истекот е реален и остатокот од ова упатство важи. Забележете која временска зона ја користи дневникот на клиентот пред да споредите временски ознаки од два уреда. Сервер во друга зона може да направи обновувањето да изгледа рано или доцна кога не било ниту едното. Споредете со временската ознака во линијата од сопствениот дневник на клиентот, а не со ѕидниот часовник на вашето биро.

Прочитајте ја линијата со грешка пред профилот

Зачувајте го точниот текст. Грешката при проверка на OpenVPN наведува длабочина и причина, и тие две полиња ви кажуваат кој мора да дејствува.

VERIFY ERROR со error=certificate has expired е неуспех на валидноста во одредена точка од синџирот. Ова не е одбивање на лозинка и не е истекување на времето, и трите бараат различни одговори.

Копирајте ја целата линија во вашите белешки заедно со верзијата на клиентот. Ако пораката наместо тоа вели дека сертификатот допрва не е валиден, се враќате на прашањето за часовникот. Ако вели дека издавачот е непознат, имате проблем со доверба, а не проблем со траење, и никакво обновување нема да го промени тоа.

Откријте кој сертификат истече

Длабочина нула е сертификатот што го претстави колегата со кој се поврзавте, а поголемите длабочини одат кон коренот. Работниот VPN обично дозволува да истече идентитет на клиент или сертификат на сервер, а понекогаш и посреден сертификат што организацијата заборавила дека го поседува.

Испечатете ги датумите на датотеките на кои профилот навистина се повикува, почнувајќи од онаа на длабочината наведена во грешката.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Ако профилот вградува сертификати како вградени блокови наместо да покажува на датотеки, одделните датотеки на дискот може да бидат постари или понови од она што го користи клиентот, и затоа совпаѓањето на грешката со датотека бара читање на профилот, а не списокот на папката.

Обновете преку издавачот

Клиентскиот сертификат го заменува тој што го издал, а ресетирањето на лозинката на сметката не обновува ништо. За работна врска користете го каналот за обновување што го објавува вашата организација; за хостирана услуга најавете се на порталот на давателот преку потврдена адреса наместо да отворате прилог што тврди дека содржи нов профил. Непобараниот пакет не е доверлив само затоа што името на датотеката спомнува VPN.

Ако вие го управувате серверот, проверете ги јавните детали и евиденцијата за издавање пред да замените материјал, бидејќи промената на CA влијае на секој клиент што ѝ верува.

Обновувањето на еден идентитет не треба да бара замена на хиерархијата на доверба. Ако некој предложи нов CA за да го поправи едно истечено ливче, прво прашајте што друго зависи од стариот. Правилата за важност и патека на RFC 5280 се моделот што го следат двете страни.

Натерајте го клиентот да ја користи замената

Преземањето датотека не е нејзино увезување. Проверете го записот за врска што навистина го избирате и проверете дали профилот се повикува на надворешни патеки на сертификати што сте заборавиле да ги презапишете.

Држете го стариот запис видлив додека не се поврзе новиот, потоа отстранете го за никој од навика да не го избере истечениот профил. Поврзете се повторно и потврдете дека конкретната грешка за истек исчезнала.

Ако остане друга TLS грешка, третирајте ја како нов проблем наместо да ги ослабнете поставките за проверка за да ја заобиколите. Одбивање на сметка или маршрута што недостасува по успешно обновување е одделен дефект со одделно решение.