OpenVPN प्रमाणपत्र कालबाह्य झाले? आधी घड्याळ तपासा, नंतर प्रमाणपत्र

क्लायंट कनेक्ट होतो, एक सेकंद वाटाघाटी करतो आणि नंतर प्रमाणपत्र कालबाह्य झाल्याचे नोंदवतो। कोणालाही काही पुन्हा जारी करायला सांगण्यापूर्वी, तुमच्यासमोरच्या उपकरणावरील तारीख पहा: महिनाभर झोपलेला लॅपटॉप, हाताने सेट केलेले घड्याळ असलेला फोन आणि कार्यरत NTP स्रोत नसलेला राउटर—सर्व TLS स्टॅकला चुकीचा क्षण सांगतात। प्रमाणपत्र फक्त एका वेळ-खिडकीतच वैध असते आणि तपासणी ती खिडकी स्थानिक घड्याळ जे दावा करते त्याशी तुलना करते। घड्याळ बरोबर करा, मग समस्या खरी आहे का ते ठरवा।

उपकरणावरील घड्याळापासून सुरुवात करा

टर्मिनल उघडा आणि प्रणालीची UTC संबंधी कल्पना वाचा, डेस्कटॉपचे घड्याळ विजेट नाही, जे वेळ क्षेत्रानुसार समायोजित दृश्य किंवा GUI ने कॅश केलेले जुने मूल्य दाखवू शकते।

date -u
timedatectl status

खूप पुढे चाललेले घड्याळ वैध प्रमाणपत्र कालबाह्य दिसते आणि खूप मागे राहिलेले घड्याळ ते अजून वैध नाही असे दिसते, जे काही क्लायंट त्याच सामान्य हँडशेक अपयश म्हणून नोंदवतात। सिंक्रोनाइझेशन अक्षम असल्यास किंवा वेळ स्रोत उपलब्ध नसल्यास, आधी ते दुरुस्त करा आणि कोणतीही फाईल स्पर्श करण्यापूर्वी पुन्हा चाचणी करा। कालबाह्यता टाळण्यासाठी घड्याळ मागे करणे हा उपाय नाही: त्यामुळे उपकरणावरील इतर सेवा तुटतात आणि ओळखीची समस्या जिथे होती तिथेच राहते।

घड्याळ बरोबर असल्यास, कालबाह्यता खरी आहे आणि या मार्गदर्शकातील उर्वरित भाग लागू होतो। दोन उपकरणांच्या वेळ-छापांची तुलना करण्यापूर्वी क्लायंटचा लॉग कोणते वेळ क्षेत्र वापरतो ते लक्षात घ्या। दुसऱ्या क्षेत्रातील सर्व्हर नूतनीकरण लवकर किंवा उशिरा दिसू शकतो, जेव्हा ते दोन्हीपैकी काहीच नव्हते। तुमच्या टेबलावरील भिंत घड्याळाशी नाही, तर क्लायंटच्या स्वतःच्या लॉग ओळीतील वेळ-छापाशी तुलना करा।

प्रोफाइलपूर्वी त्रुटी ओळ वाचा

अचूक मजकूर ठेवा। OpenVPN चे पडताळणी अपयश खोली आणि कारण सांगते, आणि ती दोन फील्डे तुम्हाला सांगतात की कोणी कारवाई करायची आहे।

VERIFY ERROR सह error=certificate has expired साखळीतील विशिष्ट बिंदूवर वैधता अपयश आहे। हे पासवर्ड नाकारणे नाही आणि टाइमआउटही नाही, आणि तिन्हींना वेगवेगळ्या प्रतिक्रिया हव्या आहेत।

क्लायंट आवृत्तीसह संपूर्ण ओळ तुमच्या नोंदींमध्ये कॉपी करा। संदेश जर त्याऐवजी प्रमाणपत्र अजून वैध नाही असे म्हणत असेल, तर तुम्ही घड्याळाच्या प्रश्नावर परत आलात। जर तो जारीकर्ता अज्ञात असल्याचे सांगत असेल, तर तुमच्याकडे विश्वासाची समस्या आहे, आयुष्याची नाही, आणि कोणतेही नूतनीकरण ते बदलणार नाही।

कोणते प्रमाणपत्र कालबाह्य झाले ते शोधा

शून्य खोली म्हणजे तुम्ही ज्या पीअरशी कनेक्ट झालात त्याने सादर केलेले प्रमाणपत्र, आणि जास्त खोल्या मुळाकडे जातात। कामाचे VPN सहसा क्लायंट ओळख किंवा सर्व्हर प्रमाणपत्र कालबाह्य होऊ देते, आणि कधीकधी संस्था आपल्याकडे आहे हे विसरलेले मध्यस्थ प्रमाणपत्रही।

प्रोफाइल प्रत्यक्षात ज्या फाईलींचा संदर्भ देते त्यांच्या तारखा छापा, त्रुटीत नमूद केलेल्या खोलीवरील फाईलपासून सुरुवात करून।

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

प्रोफाइलने फाईलींकडे निर्देश करण्याऐवजी प्रमाणपत्रे इनलाइन ब्लॉक म्हणून अंतर्भूत केली असल्यास, डिस्कवरील वेगळ्या फाईली क्लायंट वापरत असलेल्यापेक्षा जुन्या किंवा नवीन असू शकतात, म्हणूनच त्रुटी फाईलशी जुळवण्यासाठी डिरेक्टरी सूची नव्हे तर प्रोफाइल वाचणे आवश्यक आहे।

जारीकर्त्यामार्फत नूतनीकरण करा

क्लायंट प्रमाणपत्र ज्याने ते जारी केले तोच बदलतो, आणि खात्याचा पासवर्ड रीसेट केल्याने काहीही नूतनीकरण होत नाही। कामाच्या कनेक्शनसाठी तुमची संस्था प्रकाशित करते तो नूतनीकरण वाहिनी वापरा; होस्ट केलेल्या सेवेसाठी नवीन प्रोफाइल आहे असे दावा करणारे अटॅचमेंट उघडण्याऐवजी सत्यापित पत्त्याद्वारे प्रदात्याच्या पोर्टलवर साइन इन करा। न मागितलेले बंडल फक्त त्याच्या फाईल नावात VPN आहे म्हणून विश्वासार्ह नसते।

तुम्ही सर्व्हर चालवत असल्यास, सामग्री बदलण्यापूर्वी सार्वजनिक तपशील आणि जारी नोंदी तपासा, कारण CA बदल त्यावर विश्वास ठेवणाऱ्या प्रत्येक क्लायंटवर परिणाम करतो।

एका ओळखीच्या नूतनीकरणासाठी विश्वास श्रेणी बदलण्याची आवश्यकता नसावी। जर कोणी एक कालबाह्य पान दुरुस्त करण्यासाठी नवीन CA सुचवत असेल, तर आधी विचारा की जुन्यावर आणखी काय अवलंबून आहे। दोन्ही बाजूंनी अनुसरलेला नमुना म्हणजे RFC 5280 चे वैधता आणि मार्ग नियम।

क्लायंटला बदल वापरण्यास भाग पाडा

फाईल डाउनलोड करणे म्हणजे ती आयात करणे नाही। तुम्ही प्रत्यक्षात निवडता ती कनेक्शन नोंद तपासा आणि प्रोफाइलने अशा बाह्य प्रमाणपत्र मार्गांचा संदर्भ दिला आहे का ते तपासा जे तुम्ही ओव्हरराइट करायला विसरलात।

नवीन जोडले जाईपर्यंत जुनी नोंद दिसत ठेवा, मग ती काढून टाका जेणेकरून कोणीही सवयीने कालबाह्य प्रोफाइल निवडणार नाही। पुन्हा कनेक्ट करा आणि विशिष्ट कालबाह्यता त्रुटी गेली आहे याची खात्री करा।

दुसरी TLS त्रुटी राहिल्यास, ती टाळण्यासाठी पडताळणी सेटिंग्ज कमकुवत करण्याऐवजी ती नवीन समस्या माना। यशस्वी नूतनीकरणानंतर खाते नाकारणे किंवा गहाळ मार्ग ही वेगळी बिघाड आहे, वेगळा उपाय आहे।