OpenVPN-certificaat verlopen? Controleer eerst de klok, dan het certificaat

De client maakt verbinding, onderhandelt een seconde en meldt dan dat een certificaat is verlopen. Voordat u iemand vraagt iets opnieuw uit te geven, kijk naar de datum op het apparaat voor u: een laptop die een maand heeft geslapen, een telefoon met een handmatige klok en een router zonder werkende NTP-bron melden allemaal het verkeerde moment aan een TLS-stack. Een certificaat is alleen geldig binnen een venster, en de controle vergelijkt dat venster met wat de lokale klok beweert. Zet de klok goed en beslis dan of het probleem echt is.

Begin met de klok op het apparaat

Open een terminal en lees het idee van het systeem over UTC, niet de klokwidget van de desktop, die een op tijdzone aangepaste weergave of een verouderde waarde uit de cache van de GUI kan tonen.

date -u
timedatectl status

Een klok die ver voorloopt laat een geldig certificaat verlopen lijken, en een die ver achterloopt laat het nog niet geldig lijken, wat sommige clients met dezelfde algemene handshake-fout melden. Als synchronisatie is uitgeschakeld of de tijdbron onbereikbaar is, los dat eerst op en test opnieuw voordat u een bestand aanraakt. De klok terugzetten om een verlopen datum te omzeilen is geen oplossing: het breekt andere diensten op het apparaat en laat het identiteitsprobleem precies waar het was.

Als de klok correct is, is het verlopen echt en geldt de rest van deze uitleg. Let op welke tijdzone de log van de client gebruikt voordat u tijdstempels van twee apparaten vergelijkt. Een server in een andere zone kan een vernieuwing vroeg of laat laten lijken terwijl die het geen van beide was. Vergelijk met het tijdstempel in de logregel van de client zelf in plaats van met de wandklok op uw bureau.

Lees de foutregel vóór het profiel

Bewaar de exacte tekst. De verificatiefout van OpenVPN noemt een diepte en een reden, en die twee velden vertellen u wie moet handelen.

Een VERIFY ERROR met error=certificate has expired is een geldigheidsfout op een bepaald punt in de keten. Die is geen wachtwoordafwijzing en geen time-out, en de drie vragen om verschillende reacties.

Kopieer de hele regel in uw notities samen met de clientversie. Als het bericht in plaats daarvan zegt dat het certificaat nog niet geldig is, bent u terug bij de klokvraag. Als het zegt dat de uitgever onbekend is, hebt u een vertrouwensprobleem en geen levensduurprobleem, en geen enkele vernieuwing zal dat veranderen.

Zoek uit welk certificaat is verlopen

Diepte nul is het certificaat dat de peer voorlegt waarmee u verbinding maakte, en hogere diepten lopen richting de root. Een werk-VPN laat meestal een clientidentiteit of een servercertificaat verlopen, en soms een tussenliggend certificaat waarvan de organisatie vergat dat ze het bezat.

Druk de datums af van de bestanden waarnaar het profiel daadwerkelijk verwijst, te beginnen met dat op de diepte die in de fout wordt genoemd.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Als het profiel certificaten als ingebedde blokken insluit in plaats van naar bestanden te wijzen, kunnen de afzonderlijke bestanden op schijf ouder of nieuwer zijn dan wat de client gebruikt, en daarom vereist het koppelen van de fout aan een bestand het lezen van het profiel en niet de mapinhoud.

Vernieuw via de uitgever

Een clientcertificaat wordt vervangen door degene die het heeft uitgegeven, en een wachtwoordreset van een account vernieuwt niets. Gebruik voor een werkverbinding het vernieuwingskanaal dat uw organisatie publiceert; meld u voor een gehoste dienst aan bij het portaal van de provider via een geverifieerd adres in plaats van een bijlage te openen die beweert een nieuw profiel te bevatten. Een ongevraagde bundel is niet betrouwbaar omdat de bestandsnaam VPN noemt.

Als u de server beheert, controleer dan de openbare gegevens en de uitgifteregisters voordat u materiaal vervangt, omdat een CA-wijziging elke client raakt die erop vertrouwt.

Het vernieuwen van één identiteit zou niet het vervangen van de vertrouwenshiërarchie moeten vereisen. Als iemand een nieuwe CA voorstelt om één verlopen blad te repareren, vraag dan eerst wat er nog meer van de oude afhangt. De RFC 5280 geldigheids- en padregels zijn het model dat beide kanten volgen.

Zorg dat de client de vervanging gebruikt

Een bestand downloaden is het niet importeren. Controleer het verbindingsitem dat u daadwerkelijk selecteert, en controleer of het profiel verwijst naar externe certificaatpaden die u vergat te overschrijven.

Houd het oude item zichtbaar totdat het nieuwe verbinding maakt, verwijder het daarna zodat niemand uit gewoonte het verlopen profiel kiest. Maak opnieuw verbinding en bevestig dat de specifieke verlopen-fout weg is.

Als er een andere TLS-fout overblijft, behandel die dan als een nieuw probleem in plaats van de verificatie-instellingen te verzwakken om er langs te komen. Een accountafwijzing of een ontbrekende route na een geslaagde vernieuwing is een apart defect met een aparte oplossing.