OpenVPN-sertifikatet er utløpt? Sjekk klokka først, deretter sertifikatet

Klienten koplar til, forhandlar i eitt sekund og rapporterer deretter at eit sertifikat er utløpt. Før du ber nokon om å utstede noko på nytt, sjå på datoen på eininga framfor deg: ein berbar PC som har sove i ein månad, ein telefon med manuell klokke og ein ruter utan ei fungerande NTP-kjelde rapporterer alle det gale augneblinken til ein TLS-stack. Eit sertifikat er berre gyldig innanfor eit vindauge, og kontrollen samanliknar dette vindauget med det den lokale klokka hevdar. Rett klokka, og avgjer deretter om problemet er reelt.

Start med klokka på eininga

Opne ein terminal og les systemet si oppfatning av UTC, ikkje klokke-widgeten på skrivebordet, som kan vise ei vising justert for tidssone eller ein utdatert verdi bufre av det grafiske grensesnittet.

date -u
timedatectl status

Ei klokke langt framom får eit gyldig sertifikat til å sjå utløpt ut, og ei langt bak får det til å sjå enno ikkje gyldig ut, noko nokre klientar rapporterer med den same generiske handtrykkfeilen. Viss synkronisering er deaktivert eller tidskjelda ikkje er tilgjengeleg, må du rette det først og teste på nytt før du rører noka fil. Å stille klokka tilbake for å omgå ein utløpsdato er ikkje ei løysing: det øydelegg andre tenester på eininga og lèt identitetsproblemet liggje nøyaktig der det var.

Viss klokka er riktig, er utløpet reelt, og resten av denne gjennomgangen gjeld. Legg merke til kva tidssone loggen til klienten brukar før du samanliknar tidsstempel frå to einingar. Ein server i ei anna sone kan få ei fornying til å sjå tidleg eller sein ut utan at ho var nokon av delane. Samanlikn med tidsstempelet i klienten si eiga logglinje i staden for veggklokka på skrivebordet ditt.

Les feillinja før profilen

Ta vare på den nøyaktige teksten. Verifiseringsfeilen til OpenVPN oppgir ein djupn og ein årsak, og desse to felta fortel deg kven som må handle.

Ein VERIFY ERROR med error=certificate has expired er ein gyldigheitsfeil på eit bestemt punkt i kjeda. Den er ikkje ei passordavvising og ikkje ein timeout, og dei tre krev ulike svar.

Kopier heile linja inn i notata dine saman med klientversjonen. Viss meldinga i staden seier at sertifikatet enno ikkje er gyldig, er du tilbake ved klokkespørsmålet. Viss ho seier at utstedaren er ukjend, har du eit tillitsproblem og ikkje eit levetidsproblem, og inga fornying vil endre det.

Finn ut kva sertifikat som er utløpt

Djupn null er sertifikatet som motparten du kopla til presenterte, og høgare djupner går mot rota. Eit arbeids-VPN lèt vanlegvis ein klientidentitet eller eit serversertifikat utløpe, og av og til eit mellomliggjande sertifikat som organisasjonen hadde gløymt at han åtte.

Skriv ut datoane for filene profilen faktisk viser til, med utgangspunkt i den på djupna som er nemnd i feilen.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Viss profilen byggjer inn sertifikat som innebygde blokker i staden for å peike på filer, kan dei separate filene på disken vere eldre eller nyare enn det klienten brukar, og det er derfor å kople feilen til ei fil krev å lese profilen og ikkje katalogoppføringa.

Forny via utstedaren

Eit klientsertifikat blir erstatta av den som utstedte det, og ein tilbakestilling av kontopassordet fornyar ingenting. For ein arbeidstilkopling brukar du fornyingskanalen organisasjonen din publiserer; for ein hosta teneste loggar du på portalen til leverandøren via ei verifisert adresse i staden for å opne eit vedlegg som hevdar å innehalde ein ny profil. Ein uoppfordra pakke er ikkje påliteleg fordi filnamnet nemner VPN.

Viss du driv serveren, kontrollerer du dei offentlege detaljane og utstedingsregistra før du erstattar materiale, fordi ei CA-endring påverkar kvar klient som stolar på henne.

Fornying av éin identitet bør ikkje krevje at tillitshierarkiet blir erstatta. Viss nokon føreslår ein ny CA for å reparere eitt einskilt utløpt blad, spør først kva anna som er avhengig av den gamle. Reglane for gyldigheit og sti i RFC 5280 er modellen begge sider følgjer.

Få klienten til å bruke erstatninga

Å laste ned ei fil er ikkje å importere henne. Kontroller tilkoplingsoppføringa du faktisk vel, og kontroller om profilen viser til eksterne sertifikatstiar som du gløymde å skrive over.

Hald den gamle oppføringa synleg til den nye koplar til, og fjern henne deretter slik at ingen vel den utløpte profilen av vane. Kople til på nytt og stadfest at den spesifikke utløpsfeilen er borte.

Viss ein annan TLS-feil står att, behandlar du han som eit nytt problem i staden for å svekkje verifiseringsinnstillingane for å kome forbi han. Ei kontoavvising eller ei manglande rute etter ei vellukka fornying er ein separat feil med ei separat løysing.