Certificat OpenVPN expirat? Verificați mai întâi ceasul, apoi certificatul

Clientul se conectează, negociază o secundă și apoi raportează că un certificat a expirat. Înainte de a cere cuiva să reemită ceva, uitați-vă la data de pe dispozitivul din fața dumneavoastră: un laptop care a dormit o lună, un telefon cu ceas setat manual și un router fără o sursă NTP funcțională raportează toate momentul greșit unei stive TLS. Un certificat este valabil doar într-o fereastră, iar verificarea compară acea fereastră cu ceea ce susține ceasul local. Corectați ceasul, apoi decideți dacă problema este reală.

Începeți cu ceasul de pe dispozitiv

Deschideți un terminal și citiți ideea sistemului despre UTC, nu widgetul de ceas al desktopului, care poate afișa o vizualizare ajustată după fusul orar sau o valoare învechită stocată în cache de interfața grafică.

date -u
timedatectl status

Un ceas mult înainte face un certificat valid să pară expirat, iar unul mult în urmă îl face să pară încă nevalabil, ceea ce unii clienți raportează cu aceeași eroare generică de handshake. Dacă sincronizarea este dezactivată sau sursa de timp este inaccesibilă, remediați asta mai întâi și retestați înainte de a atinge vreun fișier. Trecerea ceasului înapoi pentru a ocoli o expirare nu este o soluție: strică alte servicii de pe dispozitiv și lasă problema identității exact acolo unde era.

Dacă ceasul este corect, expirarea este reală și restul acestui ghid se aplică. Observați ce fus orar folosește jurnalul clientului înainte de a compara marcaje temporale de la două dispozitive. Un server într-un alt fus poate face o reînnoire să pară timpurie sau târzie când nu era niciuna. Comparați cu marcajul temporal din linia de jurnal a clientului însuși, nu cu ceasul de perete de pe birou.

Citiți linia de eroare înainte de profil

Păstrați textul exact. Eșecul de verificare al OpenVPN indică o adâncime și un motiv, iar aceste două câmpuri vă spun cine trebuie să acționeze.

Un VERIFY ERROR cu error=certificate has expired este un eșec de validitate într-un punct anume al lanțului. Nu este o respingere a parolei și nici un timeout, iar cele trei cer răspunsuri diferite.

Copiați întreaga linie în notițe împreună cu versiunea clientului. Dacă mesajul spune în schimb că certificatul nu este încă valabil, vă întoarceți la întrebarea ceasului. Dacă spune că emitentul este necunoscut, aveți o problemă de încredere, nu de durată de viață, și nicio reînnoire nu o va schimba.

Aflați care certificat a expirat

Adâncimea zero este certificatul prezentat de partea cu care v-ați conectat, iar adâncimile mai mari merg spre rădăcină. Un VPN de serviciu lasă de obicei să expire o identitate de client sau un certificat de server, și uneori unul intermediar despre care organizația a uitat că îl deține.

Tipăriți datele fișierelor la care profilul face referire efectiv, începând cu cel de la adâncimea indicată în eroare.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Dacă profilul încorporează certificatele ca blocuri încorporate în loc să indice fișiere, fișierele separate de pe disc pot fi mai vechi sau mai noi decât ceea ce folosește clientul, motiv pentru care potrivirea erorii cu un fișier cere citirea profilului, nu listarea directorului.

Reînnoiți prin emitent

Un certificat de client este înlocuit de cel care l-a emis, iar resetarea parolei contului nu reînnoiește nimic. Pentru o conexiune de serviciu, folosiți canalul de reînnoire pe care organizația dumneavoastră îl publică; pentru un serviciu găzduit, autentificați-vă în portalul furnizorului printr-o adresă verificată în loc să deschideți un atașament care pretinde că conține un profil nou. Un pachet nesolicitat nu este de încredere doar pentru că numele fișierului menționează VPN.

Dacă administrați serverul, verificați detaliile publice și registrele de emitere înainte de a înlocui materialul, pentru că o schimbare de CA afectează fiecare client care are încredere în ea.

Reînnoirea unei identități nu ar trebui să necesite înlocuirea ierarhiei de încredere. Dacă cineva propune o CA nouă pentru a repara o singură frunză expirată, întrebați mai întâi ce altceva depinde de cea veche. Regulile de validitate și de cale din RFC 5280 sunt modelul pe care îl urmează ambele părți.

Faceți clientul să folosească înlocuitorul

Descărcarea unui fișier nu înseamnă importarea lui. Verificați intrarea de conexiune pe care o selectați efectiv și verificați dacă profilul face referire la căi de certificate externe pe care ați uitat să le suprascrieți.

Păstrați intrarea veche vizibilă până când cea nouă se conectează, apoi eliminați-o pentru ca nimeni să nu aleagă profilul expirat din obișnuință. Reconectați-vă și confirmați că eroarea specifică de expirare a dispărut.

Dacă rămâne o altă eroare TLS, tratați-o ca o problemă nouă în loc să slăbiți setările de verificare pentru a o ocoli. O respingere a contului sau o rută lipsă după o reînnoire reușită este o defecțiune separată cu o soluție separată.