Certyfikat OpenVPN wygasł? Najpierw sprawdź zegar, potem certyfikat

Klient łączy się, negocjuje przez sekundę, a następnie zgłasza, że certyfikat wygasł. Zanim poprosisz kogokolwiek o ponowne wydanie czegokolwiek, spójrz na datę na urządzeniu przed sobą: laptop, który spał miesiąc, telefon z ręcznie ustawionym zegarem i router bez działającego źródła NTP — wszystkie zgłaszają stosowi TLS niewłaściwy moment. Certyfikat jest ważny tylko w obrębie okna, a sprawdzenie porównuje to okno z tym, co twierdzi lokalny zegar. Popraw zegar, a potem zdecyduj, czy problem jest prawdziwy.

Zacznij od zegara na urządzeniu

Otwórz terminal i odczytaj wyobrażenie systemu o UTC, a nie widżet zegara na pulpicie, który może pokazywać widok dostosowany do strefy czasowej lub nieaktualną wartość buforowaną przez interfejs graficzny.

date -u
timedatectl status

Zegar znacznie przyspieszony sprawia, że ważny certyfikat wygląda na wygasły, a znacznie opóźniony — na jeszcze nieważny, co niektórzy klienci zgłaszają tym samym ogólnym błędem uzgadniania. Jeśli synchronizacja jest wyłączona lub źródło czasu jest nieosiągalne, najpierw to napraw i przetestuj ponownie, zanim dotkniesz jakiegokolwiek pliku. Cofanie zegara, aby obejść wygaśnięcie, nie jest rozwiązaniem: psuje inne usługi na urządzeniu i zostawia problem tożsamości dokładnie tam, gdzie był.

Jeśli zegar jest poprawny, wygaśnięcie jest prawdziwe i reszta tego przewodnika ma zastosowanie. Zwróć uwagę, jakiej strefy czasowej używa dziennik klienta, zanim porównasz znaczniki czasu z dwóch urządzeń. Serwer w innej strefie może sprawić, że odnowienie będzie wyglądać na wczesne lub późne, choć nie było ani jednym, ani drugim. Porównuj ze znacznikiem czasu w wierszu dziennika samego klienta, a nie z zegarem ściennym na biurku.

Przeczytaj wiersz błędu przed profilem

Zachowaj dokładny tekst. Błąd weryfikacji OpenVPN podaje głębokość i powód, a te dwa pola mówią, kto musi działać.

VERIFY ERROR z error=certificate has expired to błąd ważności w określonym punkcie łańcucha. To nie jest odrzucenie hasła ani przekroczenie limitu czasu, i wszystkie trzy wymagają różnych reakcji.

Skopiuj cały wiersz do notatek wraz z wersją klienta. Jeśli komunikat mówi zamiast tego, że certyfikat nie jest jeszcze ważny, wracasz do kwestii zegara. Jeśli mówi, że wystawca jest nieznany, masz problem zaufania, a nie problem okresu ważności, i żadne odnowienie tego nie zmieni.

Ustal, który certyfikat wygasł

Głębokość zero to certyfikat przedstawiony przez drugą stronę, z którą się połączyłeś, a wyższe głębokości prowadzą do korzenia. Firmowa sieć VPN zwykle pozwala wygasnąć tożsamości klienta lub certyfikatowi serwera, a czasem także certyfikatowi pośredniemu, o którym organizacja zapomniała, że go posiada.

Wydrukuj daty plików, do których profil faktycznie się odwołuje, zaczynając od tego na głębokości podanej w błędzie.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Jeśli profil osadza certyfikaty jako bloki osadzone, zamiast wskazywać pliki, osobne pliki na dysku mogą być starsze lub nowsze niż te, których używa klient, dlatego dopasowanie błędu do pliku wymaga przeczytania profilu, a nie listy katalogu.

Odnów u wystawcy

Certyfikat klienta zastępuje ten, kto go wystawił, a reset hasła konta niczego nie odnawia. Do połączenia służbowego używaj kanału odnowienia publikowanego przez organizację; w przypadku usługi hostowanej zaloguj się do portalu dostawcy przez zweryfikowany adres, zamiast otwierać załącznik, który twierdzi, że zawiera nowy profil. Niezamówiony pakiet nie jest godny zaufania tylko dlatego, że jego nazwa pliku wspomina VPN.

Jeśli zarządzasz serwerem, sprawdź publiczne szczegóły i rejestry wydania, zanim wymienisz materiał, ponieważ zmiana CA dotyczy każdego klienta, który jej ufa.

Odnowienie jednej tożsamości nie powinno wymagać wymiany hierarchii zaufania. Jeśli ktoś proponuje nowy CA, aby naprawić jeden wygasły liść, najpierw zapytaj, co jeszcze zależy od starego. Zasady ważności i ścieżki z RFC 5280 są modelem, którego trzymają się obie strony.

Spraw, aby klient używał zamiennika

Pobranie pliku nie jest jego importem. Sprawdź wpis połączenia, który naprawdę wybierasz, i sprawdź, czy profil odwołuje się do zewnętrznych ścieżek certyfikatów, których zapomniałeś nadpisać.

Trzymaj stary wpis widoczny, dopóki nowy się nie połączy, a potem usuń go, aby nikt z przyzwyczajenia nie wybrał wygasłego profilu. Połącz się ponownie i potwierdź, że konkretny błąd wygaśnięcia zniknął.

Jeśli pozostanie inny błąd TLS, potraktuj go jako nowy problem, zamiast osłabiać ustawienia weryfikacji, aby go obejść. Odrzucenie konta lub brakująca trasa po udanym odnowieniu to osobna usterka z osobnym rozwiązaniem.