Iċ-ċertifikat OpenVPN skada? Iċċekkja l-arloġġ l-ewwel, imbagħad iċ-ċertifikat

Il-klijent jikkonnettja, jinnegozja għal sekonda, u mbagħad jirrapporta li ċertifikat skada. Qabel ma titlob lil xi ħadd jerġa' joħroġ xi ħaġa, ħares lejn id-data fuq l-apparat quddiemek: laptop li raqad xahar, telefon bi skeda manwali u router mingħajr sors NTP li jaħdem kollha jirrappurtaw il-mument ħażin lil stack TLS. Ċertifikat huwa validu biss ġewwa tieqa, u l-verifika tqabbel dik it-tieqa ma' dak li tiddikjara l-iskeda lokali. Sejjaħ l-iskeda sew, imbagħad iddeċiedi jekk il-problema hijiex reali.

Ibda bl-iskeda fuq l-apparat

Iftaħ terminal u aqra l-idea tas-sistema tal-UTC, mhux il-widget tal-iskeda tad-desktop, li jista' juri dehra aġġustata għaż-żona tal-ħin jew valur skadut maħżun fil-cache mill-GUI.

date -u
timedatectl status

Skeda li hija 'l quddiem ħafna tagħmel ċertifikat validu jidher skadut, u waħda li hija 'l bogħod lura tagħmlu jidher għadu mhux validu, li xi klijenti jirrappurtaw bl-istess falliment ġeneriku tal-handshake. Jekk is-sinkronizzazzjoni hija diżattivata jew is-sors tal-ħin mhux aċċessibbli, sewwi dan l-ewwel u erġa' ttestja qabel ma tmiss xi fajl. Li terġa' lura l-iskeda biex tevita skadenza mhijiex soluzzjoni: dan ikisser servizzi oħra fuq l-apparat u jħalli l-problema tal-identità eżatt fejn kienet.

Jekk l-iskeda hija korretta, l-iskadenza hija reali u l-bqija ta' dan il-gwida japplika. Innota liema żona tal-ħin tuża l-log tal-klijent qabel ma tqabbel timestamps minn żewġ apparati. Server f'żona oħra jista' jagħmel ġedda tidher bikrija jew tardiva meta ma kinitx la waħda lanqas l-oħra. Qabbel mat-timestamp fil-linja tal-log tal-klijent innifsu minflok mal-iskeda tal-ħajt fuq l-iskrivanija tiegħek.

Aqra l-linja tal-iżball qabel il-profil

Żomm it-test eżatt. Il-falliment tal-verifika ta' OpenVPN isemmi fond u raġuni, u dawn iż-żewġ oqsma jgħidulek min għandu jaġixxi.

A VERIFY ERROR ma' error=certificate has expired huwa falliment ta' validità f'punt speċifiku fil-katina. Dan mhuwiex rifjut tal-password u mhuwiex timeout, u t-tlieta jeħtieġu tweġibiet differenti.

Ikkopja l-linja kollha fin-noti tiegħek flimkien mal-verżjoni tal-klijent. Jekk il-messaġġ minflok jgħid li ċ-ċertifikat għadu mhux validu, inti lura għall-mistoqsija tal-iskeda. Jekk jgħid li l-emittent mhux magħruf, għandek problema ta' fiduċja u mhux problema ta' tul tal-ħajja, u l-ebda ġedda mhija se tibdel dan.

Sib liema ċertifikat skada

Fond żero huwa ċ-ċertifikat ippreżentat mill-pari li miegħu kkuntattjajt, u fond akbar jimxi lejn l-għerq. VPN tax-xogħol normalment iħalli identità tal-klijent jew ċertifikat tas-server jiskadu, u kultant wieħed intermedju li l-organizzazzjoni nseat li kellha.

Ipprintja d-dati tal-fajls li l-profil fil-fatt jirreferi għalihom, billi tibda minn dak fil-fond imsemmi fl-iżball.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Jekk il-profil jinkorpora ċertifikati bħala blokki inkorporati minflok ma jindika fajls, il-fajls separati fuq id-diska jistgħu jkunu eqdem jew aktar ġodda minn dak li qed juża l-klijent, u għalhekk it-tqabbil tal-iżball ma' fajl jeħtieġ li tinqara l-profil u mhux il-lista tad-direttorju.

Ġedded permezz tal-emittent

Ċertifikat tal-klijent jinbidel minn min ħarġu, u r-risettjar tal-password tal-kont ma jiġġedded xejn. Għal konnessjoni tax-xogħol, uża l-kanal tal-ġedda li tippubblika l-organizzazzjoni tiegħek; għal servizz ospitat, idħol fil-portal tal-fornitur permezz ta' indirizz ivverifikat minflok ma tiftaħ anness li jiddikjara li fih profil ġdid. Pakkett mhux mitlub mhuwiex affidabbli għax l-isem tal-fajl tiegħu jsemmi VPN.

Jekk topera s-server, iċċekkja d-dettalji pubbliċi u r-rekords tal-ħruġ qabel ma tibdel materjal, għax bidla fis-CA taffettwa kull klijent li jafda fiha.

Il-ġedda ta' identità waħda m'għandhiex teħtieġ li tinbidel il-ġerarkija tal-fiduċja. Jekk xi ħadd jipproponi CA ġdida biex isewwi werqa skaduta waħda, staqsi l-ewwel x'jiddependi ieħor mill-qadima. Ir-regoli tal-validità u tal-passaġġ ta' RFC 5280 huma l-mudell li ssegwi ż-żewġ naħat.

Agħmel il-klijent juża s-sostitut

Niżżel fajl mhuwiex jimportah. Iċċekkja d-dħul tal-konnessjoni li fil-fatt tagħżel, u iċċekkja jekk il-profil jirreferix għal mogħdijiet taċ-ċertifikati esterni li nsejt tissostitwixxi.

Żomm id-dħul il-qadim viżibbli sakemm jikkonnettja dak il-ġdid, imbagħad neħħih sabiex ħadd ma jagħżel il-profil skadut bid-drawwa. Erġa' kkunnettja u kkonferma li l-iżball speċifiku tal-iskadenza telaq.

Jekk jibqa' żball TLS differenti, ittrattah bħala problema ġdida minflok ma ddgħajjef is-settings tal-verifika biex tgħaddih. Rifjut tal-kont jew rotta nieqsa wara ġedda b'suċċess huwa ħsara separata b'soluzzjoni separata.