Platnosť certifikátu OpenVPN vypršala? Najprv skontrolujte hodiny, potom certifikát

Klient sa pripojí, na sekundu vyjedná a potom ohlási, že platnosť certifikátu vypršala. Skôr než niekoho požiadate o opätovné vydanie čohokoľvek, pozrite sa na dátum zariadenia pred sebou: notebook, ktorý mesiac spal, telefón s ručne nastavenými hodinami a router bez funkčného zdroja NTP – všetky hlásia TLS zásobníku nesprávny okamih. Certifikát je platný len v rámci časového okna a kontrola porovnáva toto okno s tým, čo tvrdia miestne hodiny. Nastavte hodiny správne a potom rozhodnite, či je problém skutočný.

Začnite hodinami v zariadení

Otvorte terminál a prečítajte si predstavu systému o UTC, nie widget hodín na ploche, ktorý môže zobrazovať zobrazenie upravené podľa časového pásma alebo zastaranú hodnotu uloženú v vyrovnávacej pamäti grafického rozhrania.

date -u
timedatectl status

Hodiny výrazne vpredu spôsobujú, že platný certifikát vyzerá ako vypršaný, a hodiny výrazne pozadu ho nechávajú vyzerať ešte neplatný, čo niektorí klienti hlásia tou istou všeobecnou chybou handshake. Ak je synchronizácia vypnutá alebo zdroj času nie je dostupný, najprv to opravte a pred dotykom akéhokoľvek súboru to znova otestujte. Vrátenie hodín dozadu, aby ste obišli expiráciu, nie je riešenie: rozbíja ostatné služby v zariadení a problém s identitou necháva presne tam, kde bol.

Ak sú hodiny správne, expirácia je skutočná a zvyšok tohto postupu platí. Všimnite si, aké časové pásmo používa log klienta, skôr než porovnáte časové značky z dvoch zariadení. Server v inom pásme môže spôsobiť, že obnovenie bude vyzerať skoro alebo neskoro, hoci nebolo ani jedno. Porovnávajte s časovou značkou v riadku vlastného logu klienta, nie s nástennými hodinami na stole.

Prečítajte riadok s chybou skôr ako profil

Uchovajte presný text. Zlyhanie overenia v OpenVPN uvádza hĺbku a dôvod a tieto dve polia hovoria, kto musí konať.

VERIFY ERROR s error=certificate has expired je zlyhanie platnosti v konkrétnom bode reťazca. Nie je to odmietnutie hesla ani vypršanie časového limitu a všetky tri vyžadujú odlišné reakcie.

Skopírujte celý riadok do poznámok spolu s verziou klienta. Ak správa namiesto toho hovorí, že certifikát ešte nie je platný, vraciate sa k otázke hodín. Ak hovorí, že vydavateľ je neznámy, máte problém dôvery, nie životnosti, a žiadne obnovenie to nezmení.

Zistite, ktorý certifikát vypršal

Hĺbka nula je certifikát predložený protistranou, ku ktorej ste sa pripojili, a vyššie hĺbky smerujú ku koreňu. Pracovná VPN zvyčajne nechá vypršať identitu klienta alebo certifikát servera a občas aj sprostredkujúci certifikát, o ktorom organizácia zabudla, že ho vlastní.

Vypíšte dátumy súborov, na ktoré profil skutočne odkazuje, počnúc tým v hĺbke uvedenej v chybe.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Ak profil vkladá certifikáty ako vložené bloky namiesto odkazov na súbory, samostatné súbory na disku môžu byť staršie alebo novšie než to, čo klient používa, a preto si priradenie chyby k súboru vyžaduje čítanie profilu, nie výpis adresára.

Obnovte u vydavateľa

Klientsky certifikát nahrádza ten, kto ho vydal, a reset hesla účtu nič neobnoví. Pri pracovnom pripojení použite kanál obnovy, ktorý zverejňuje vaša organizácia; pri hostovanej službe sa prihláste do portálu poskytovateľa cez overenú adresu, namiesto otvárania prílohy, ktorá tvrdí, že obsahuje nový profil. Nevyžiadaný balík nie je dôveryhodný len preto, že jeho názov súboru spomína VPN.

Ak server prevádzkujete, pred výmenou materiálu skontrolujte verejné údaje a záznamy o vydávaní, pretože zmena CA ovplyvní každého klienta, ktorý jej dôveruje.

Obnovenie jednej identity by nemalo vyžadovať výmenu hierarchie dôvery. Ak niekto navrhne novú CA na opravu jediného vypršaného listu, najprv sa opýtajte, čo ďalšie závisí od starej. Pravidlá platnosti a cesty z RFC 5280 sú modelom, ktorý obe strany dodržiavajú.

Prinúťte klienta používať náhradu

Stiahnutie súboru nie je jeho import. Skontrolujte položku pripojenia, ktorú skutočne vyberáte, a skontrolujte, či profil odkazuje na externé cesty certifikátov, ktoré ste zabudli prepísať.

Ponechajte starú položku viditeľnú, kým sa nová nepripojí, potom ju odstráňte, aby nikto zo zvyku nevybral vypršaný profil. Pripojte sa znova a potvrďte, že konkrétna chyba expirácie zmizla.

Ak zostane iná chyba TLS, berte ju ako nový problém, namiesto oslabovania nastavení overovania, aby ste ju obišli. Odmietnutie účtu alebo chýbajúca trasa po úspešnom obnovení je samostatná porucha so samostatným riešením.