OpenVPN сертификатын хугацаа дууссан уу? Эхлээд цагийг, дараа нь сертификатыг шалгана уу

Клиент холбогдож, нэг секунд хэлэлцээ хийгээд дараа нь сертификатын хугацаа дууссан гэж мэдээлдэг. Хэн нэгнээс ямар нэг зүйлийг дахин олгохыг хүртэл, өмнөх төхөөрөмжийн огноог харна уу: нэг сар унтсан зөөврийн компьютер, гараар тохируулсан цагтай утас, ажиллаж буй NTP эх үүсвэргүй чиглүүлэгч бүгд TLS стект буруу мөчийг мэдээлдэг. Сертификат нь зөвхөн цонхны дотор хүчинтэй бөгөөд шалгалт тэр цонхыг орон нутгийн цаг баталж буй зүйлтэй харьцуулдаг. Цагийг зөв тохируулаад, дараа нь асуудал бодит эсэхийг шийдээрэй.

Төхөөрөмжийн цагаас эхэл

Терминал нээж, системийн UTC-ийн талаарх ойлголтыг уншина уу, ширээний цагны виджет биш, тэр нь цагийн бүсэд тохируулсан харагдац эсвэл график интерфейсийн кэшлэсэн хуучирсан утгыг харуулж болно.

date -u
timedatectl status

Хэт түрүүлсэн цаг хүчинтэй сертификатыг хугацаа дууссан мэт харагдуулдаг, хэт хоцорсон цаг түүнийг одоохондоо хүчингүй мэт харагдуулдаг бөгөөд зарим клиент үүнийг ижил ерөнхий гар барилтын алдаа гэж мэдээлдэг. Синхрончлол унтарсан эсвэл цагийн эх үүсвэр хүрэхгүй бол эхлээд түүнийг засаж, ямар ч файлд хүрэхээс өмнө дахин туршина уу. Хугацаа дуусахаас зайлсхийх гэж цагийг буцаах нь шийдэл биш: энэ нь төхөөрөмжийн бусад үйлчилгээг эвдэж, таних асуудлыг байсан газраа үлдээдэг.

Хэрэв цаг зөв бол хугацаа дууссан нь бодит бөгөөд энэ зааварчилгааны үлдсэн хэсэг хүчинтэй. Хоёр төхөөрөмжийн цагийн тэмдгийг харьцуулахын өмнө клиентийн лог ямар цагийн бүс ашиглаж байгааг анхаарна уу. Өөр бүсийн сервер шинэчлэлтийг эрт эсвэл оройтсон мэт харагдуулж болох боловч аль нь ч биш байсан. Ширээн дээрх ханын цаг биш, клиентийн өөрийн лог мөрийн цагийн тэмдэгтэй харьцуулна уу.

Профайлаас өмнө алдааны мөрийг уншина уу

Яг текстийг хадгал. OpenVPN-ийн баталгаажуулалтын алдаа гүн ба шалтгааныг нэрлэдэг бөгөөд эдгээр хоёр талбар хэн арга хэмжээ авах ёстойг хэлдэг.

VERIFY ERROR error=certificate has expired-тэй хамт гинжин хэлхээний тодорхой цэгт хүчинтэй байдлын алдаа юм. Энэ нь нууц үгээс татгалзах ч биш, хугацаа хэтрэх ч биш, бөгөөд гурвуулаа өөр өөр хариулт шаарддаг.

Бүх мөрийг клиентийн хувилбартай хамт тэмдэглэлдээ хуулна уу. Хэрэв мессеж оронд нь сертификат одоохондоо хүчинтэй биш гэвэл та цагийн асуулт руу буцсан. Хэрэв олгогч тодорхойгүй гэвэл танд итгэлцлийн асуудал байна, хугацааны асуудал биш, ямар ч шинэчлэл үүнийг өөрчлөхгүй.

Аль сертификатын хугацаа дууссаныг ол

Тэг гүн гэдэг нь таны холбогдсон талын танилцуулсан сертификат бөгөөд өндөр гүнүүд үндэс рүү явдаг. Ажлын VPN ихэвчлэн клиентийн таних тэмдэг эсвэл серверийн сертификатын хугацааг дуусгадаг, заримдаа байгууллага өөрийн эзэмшилд байсныг мартсан завсрын сертификатыг ч дуусгадаг.

Профайл үнэхээр иш татсан файлуудын огноог хэвлэ, алдаанд нэрлэсэн гүн дэх файлаас эхлэн.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Хэрэв профайл сертификатуудыг файл руу заахын оронд суулгасан блок хэлбэрээр агуулж байвал диск дээрх тусдаа файлууд клиентийн ашиглаж буйгаас хуучин эсвэл шинэ байж болох тул алдааг файлтай тааруулахын тулд хавтасны жагсаалт биш профайлыг унших шаардлагатай.

Олгогчоор дамжуулан шинэчил

Клиентийн сертификатыг түүнийг олгосон хүн сольдог бөгөөд бүртгэлийн нууц үгийг дахин тохируулах нь юу ч шинэчлэхгүй. Ажлын холболтод байгууллагын тань нийтэлсэн шинэчлэлтийн сувгийг ашигла; хост үйлчилгээний хувьд шинэ профайл агуулж байна гэж мэдэгдсэн хавсралтыг нээхийн оронд баталгаажсан хаягаар үйлчилгээ үзүүлэгчийн порталд нэвтэр. Хүсээгүй багц зөвхөн файлын нэрэнд VPN гэж дурдсан байдаг учраас найдвартай биш.

Хэрэв серверийг та өөрөө ажиллуулдаг бол материалыг солихоос өмнө нийтийн мэдээлэл болон олголтын бүртгэлийг шалга, учир нь CA-ийн өөрчлөлт түүнд итгэдэг бүх клиентэд нөлөөлдөг.

Нэг таних тэмдгийн шинэчлэл итгэлцлийн шатлалыг солихыг шаардах ёсгүй. Хэрэв хэн нэгэн хугацаа дууссан нэг навчийг засахын тулд шинэ CA санал болговол эхлээд хуучнаас өөр юу хамааралтайг асуу. Хоёр талын дагаж мөрддөг загвар нь RFC 5280 -ийн хүчинтэй байдал болон замын дүрэм юм.

Клиентийг орлуулагчийг ашиглахад хүргэ

Файл татаж авах нь түүнийг импортлох биш. Таны үнэхээр сонгосон холболтын бичлэгийг шалгаж, профайл таны дарж бичихээ мартсан гадаад сертификатын замд иш татсан эсэхийг шалга.

Шинэ нь холбогдох хүртэл хуучин бичлэгийг харагдахуйц байлгаад, дараа нь устга, ингэснээр хэн ч дадал болгон хугацаа дууссан профайлыг сонгохгүй. Дахин холбогдож, тодорхой хугацаа дуусах алдаа арилсныг батал.

Хэрэв өөр TLS алдаа үлдвэл түүнийг давахын тулд баталгаажуулалтын тохиргоог сулруулахын оронд шинэ асуудал гэж үзээрэй. Амжилттай шинэчлэлтийн дараах бүртгэлээс татгалзах эсвэл байхгүй маршрут нь тусдаа гэмтэл, тусдаа шийдэл юм.