OpenVPN-sertifikatet er utløpt? Sjekk klokken først, deretter sertifikatet

Klienten kobler til, forhandler i ett sekund og rapporterer deretter at et sertifikat er utløpt. Før du ber noen om å utstede noe på nytt, se på datoen på enheten foran deg: en bærbar PC som har sovet i en måned, en telefon med manuell klokke og en ruter uten en fungerende NTP-kilde rapporterer alle det gale øyeblikket til en TLS-stack. Et sertifikat er bare gyldig innenfor et vindu, og kontrollen sammenligner dette vinduet med det den lokale klokken hevder. Rett klokken, og avgjør deretter om problemet er reelt.

Start med klokken på enheten

Åpne en terminal og les systemets oppfatning av UTC, ikke klokke-widgeten på skrivebordet, som kan vise en visning justert for tidssone eller en utdatert verdi bufret av det grafiske grensesnittet.

date -u
timedatectl status

En klokke langt foran får et gyldig sertifikat til å se utløpt ut, og en langt bak får det til å se ennå ikke gyldig ut, noe noen klienter rapporterer med den samme generiske håndtrykkfeilen. Hvis synkronisering er deaktivert eller tidskilden ikke er tilgjengelig, må du rette det først og teste på nytt før du berører noen fil. Å stille klokken tilbake for å omgå en utløpsdato er ikke en løsning: det ødelegger andre tjenester på enheten og lar identitetsproblemet ligge nøyaktig der det var.

Hvis klokken er riktig, er utløpet reelt, og resten av denne gjennomgangen gjelder. Legg merke til hvilken tidssone klientens logg bruker før du sammenligner tidsstempler fra to enheter. En server i en annen sone kan få en fornyelse til å se tidlig eller sen ut uten at den var noen av delene. Sammenlign med tidsstempelet i klientens egen logglinje i stedet for veggklokken på skrivebordet ditt.

Les feillinjen før profilen

Ta vare på den nøyaktige teksten. OpenVPN sin verifiseringsfeil angir en dybde og en årsak, og disse to feltene forteller deg hvem som må handle.

En VERIFY ERROR med error=certificate has expired er en gyldighetsfeil på et bestemt punkt i kjeden. Den er ikke en passordavvisning og ikke en timeout, og de tre krever ulike svar.

Kopier hele linjen inn i notatene dine sammen med klientversjonen. Hvis meldingen i stedet sier at sertifikatet ennå ikke er gyldig, er du tilbake ved klokkespørsmålet. Hvis den sier at utstederen er ukjent, har du et tillitsproblem og ikke et levetidsproblem, og ingen fornyelse vil endre det.

Finn ut hvilket sertifikat som er utløpt

Dybde null er sertifikatet som motparten du koblet til presenterte, og høyere dybder går mot roten. Et arbeids-VPN lar vanligvis en klientidentitet eller et serversertifikat utløpe, og av og til et mellomliggende sertifikat som organisasjonen hadde glemt at den eide.

Skriv ut datoene for filene profilen faktisk refererer til, med utgangspunkt i den på dybden som er nevnt i feilen.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Hvis profilen bygger inn sertifikater som innebygde blokker i stedet for å peke på filer, kan de separate filene på disken være eldre eller nyere enn det klienten bruker, og det er derfor å koble feilen til en fil krever å lese profilen og ikke katalogoppføringen.

Forny via utstederen

Et klientsertifikat erstattes av den som utstedte det, og en tilbakestilling av kontopassordet fornyer ingenting. For en arbeidstilkobling bruker du fornyelseskanalen organisasjonen din publiserer; for en hostet tjeneste logger du på leverandørens portal via en verifisert adresse i stedet for å åpne et vedlegg som hevder å inneholde en ny profil. En uoppfordret pakke er ikke pålitelig fordi filnavnet nevner VPN.

Hvis du driver serveren, kontrollerer du de offentlige detaljene og utstedelsesregistrene før du erstatter materiale, fordi en CA-endring påvirker hver klient som stoler på den.

Fornyelse av én identitet bør ikke kreve at tillitshierarkiet erstattes. Hvis noen foreslår en ny CA for å reparere ett enkelt utløpt blad, spør først hva annet som avhenger av den gamle. Reglene for gyldighet og sti i RFC 5280 er modellen begge sider følger.

Få klienten til å bruke erstatningen

Å laste ned en fil er ikke å importere den. Kontroller tilkoblingsoppføringen du faktisk velger, og kontroller om profilen refererer til eksterne sertifikatstier som du glemte å overskrive.

Hold den gamle oppføringen synlig til den nye kobler til, og fjern den deretter slik at ingen velger den utløpte profilen av vane. Koble til på nytt og bekreft at den spesifikke utløpsfeilen er borte.

Hvis en annen TLS-feil gjenstår, behandler du den som et nytt problem i stedet for å svekke verifiseringsinnstillingene for å komme forbi den. En kontoavvisning eller en manglende rute etter en vellykket fornyelse er en separat feil med en separat løsning.