Sijil OpenVPN tamat tempoh? Semak jam dahulu, kemudian sijil

Klien menyambung, berunding selama sesaat, kemudian melaporkan bahawa sijil telah tamat tempoh. Sebelum meminta sesiapa mengeluarkan semula apa-apa, lihat tarikh pada peranti di hadapan anda: komputer riba yang tidur sebulan, telefon dengan jam manual dan penghala tanpa sumber NTP yang berfungsi semuanya melaporkan detik yang salah kepada tindanan TLS. Sijil hanya sah dalam tetingkap, dan pemeriksaan membandingkan tetingkap itu dengan apa yang didakwa oleh jam setempat. Betulkan jam, kemudian tentukan sama ada masalah itu benar.

Mulakan dengan jam pada peranti

Buka terminal dan baca tanggapan sistem tentang UTC, bukan widget jam desktop, yang mungkin memaparkan paparan yang dilaraskan mengikut zon waktu atau nilai lapuk yang dicache oleh GUI.

date -u
timedatectl status

Jam yang jauh ke hadapan membuat sijil yang sah kelihatan tamat tempoh, dan yang jauh ke belakang membuatnya kelihatan belum sah, yang dilaporkan oleh sesetengah klien dengan kegagalan jabat tangan generik yang sama. Jika penyegerakan dilumpuhkan atau sumber masa tidak boleh dicapai, betulkan itu dahulu dan uji semula sebelum menyentuh mana-mana fail. Mengetepikan jam ke belakang untuk mengelak tamat tempoh bukan penyelesaian: ia merosakkan perkhidmatan lain pada peranti dan meninggalkan masalah identiti tepat di tempatnya.

Jika jam betul, tamat tempoh itu nyata dan seluruh panduan ini terpakai. Perhatikan zon waktu yang digunakan oleh log klien sebelum membandingkan cap masa daripada dua peranti. Pelayan di zon lain boleh membuat pembaharuan kelihatan awal atau lewat sedangkan ia bukan kedua-duanya. Bandingkan dengan cap masa dalam baris log klien itu sendiri, bukan dengan jam dinding di meja anda.

Baca baris ralat sebelum profil

Simpan teks yang tepat. Kegagalan pengesahan OpenVPN menamakan kedalaman dan sebab, dan kedua-dua medan itu memberitahu anda siapa yang perlu bertindak.

Satu VERIFY ERROR dengan error=certificate has expired ialah kegagalan kesahan pada titik tertentu dalam rantaian. Ini bukan penolakan kata laluan dan bukan tamat masa, dan ketiga-tiganya memerlukan tindak balas berbeza.

Salin seluruh baris ke dalam nota anda bersama versi klien. Jika mesej itu sebaliknya mengatakan sijil belum sah, anda kembali kepada persoalan jam. Jika ia mengatakan pengeluar tidak dikenali, anda mempunyai masalah kepercayaan, bukan masalah hayat, dan tiada pembaharuan akan mengubahnya.

Cari sijil mana yang tamat tempoh

Kedalaman sifar ialah sijil yang dibentangkan oleh rakan sebaya yang anda sambungkan, dan kedalaman yang lebih tinggi bergerak ke arah akar. VPN kerja biasanya membiarkan identiti klien atau sijil pelayan tamat tempoh, dan kadangkala sijil perantaraan yang organisasi terlupa dimilikinya.

Cetak tarikh fail yang benar-benar dirujuk oleh profil, bermula dengan fail pada kedalaman yang dinyatakan dalam ralat.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Jika profil membenamkan sijil sebagai blok terbenam dan bukannya menunjuk kepada fail, fail berasingan pada cakera mungkin lebih lama atau lebih baharu daripada yang digunakan oleh klien, dan itulah sebabnya memadankan ralat dengan fail memerlukan pembacaan profil dan bukannya penyenaraian direktori.

Perbaharui melalui pengeluar

Sijil klien diganti oleh pihak yang mengeluarkannya, dan penetapan semula kata laluan akaun tidak memperbaharui apa-apa. Untuk sambungan kerja, gunakan saluran pembaharuan yang diterbitkan oleh organisasi anda; untuk perkhidmatan yang dihoskan, log masuk ke portal penyedia melalui alamat yang disahkan dan bukannya membuka lampiran yang mendakwa mengandungi profil baharu. Bundel yang tidak diminta tidak boleh dipercayai semata-mata kerana nama failnya menyebut VPN.

Jika anda mengendalikan pelayan, semak butiran awam dan rekod pengeluaran sebelum mengganti bahan, kerana perubahan CA menjejaskan setiap klien yang mempercayainya.

Memperbaharui satu identiti tidak sepatutnya memerlukan penggantian hierarki kepercayaan. Jika seseorang mencadangkan CA baharu untuk membaiki satu daun yang tamat tempoh, tanya dahulu apa lagi yang bergantung pada yang lama. Peraturan kesahan dan laluan RFC 5280 ialah model yang diikuti oleh kedua-dua pihak.

Jadikan klien menggunakan pengganti

Memuat turun fail bukan mengimportnya. Semak entri sambungan yang benar-benar anda pilih, dan semak sama ada profil merujuk laluan sijil luaran yang anda terlupa menimpanya.

Biarkan entri lama kelihatan sehingga yang baharu bersambung, kemudian buangkannya supaya tiada siapa memilih profil yang tamat tempoh kerana tabiat. Sambung semula dan sahkan bahawa ralat tamat tempoh yang khusus telah hilang.

Jika ralat TLS lain kekal, anggap ia sebagai masalah baharu dan bukannya melemahkan tetapan pengesahan untuk melepasinya. Penolakan akaun atau laluan yang hilang selepas pembaharuan berjaya ialah kerosakan berasingan dengan pembaikan berasingan.