Certifikat OpenVPN je potekel? Najprej preverite uro, nato certifikat

Odjemalec se poveže, pogaja se sekundo in nato sporoči, da je certifikat potekel. Preden kogar koli prosite, da karkoli ponovno izda, poglejte datum na napravi pred seboj: prenosnik, ki je mesec dni spal, telefon z ročno uro in usmerjevalnik brez delujočega vira NTP vsi sporočajo skladu TLS napačen trenutek. Certifikat je veljaven le znotraj okna, preverjanje pa to okno primerja s tem, kar trdi lokalna ura. Nastavite uro pravilno in se nato odločite, ali je težava resnična.

Začnite z uro na napravi

Odprite terminal in preberite, kaj sistem misli o UTC, ne pripomočka za uro na namizju, ki lahko prikazuje pogled, prilagojen časovnemu pasu, ali zastarelo vrednost, shranjeno v predpomnilniku grafičnega vmesnika.

date -u
timedatectl status

Ura, ki močno prehiteva, naredi veljaven certifikat videti potekel, ura, ki močno zaostaja, pa videti še ne veljaven, kar nekateri odjemalci sporočajo z isto splošno napako rokovanja. Če je sinhronizacija onemogočena ali vir časa ni dosegljiv, najprej to popravite in znova preizkusite, preden se dotaknete katere koli datoteke. Vračanje ure nazaj, da bi se izognili poteku, ni rešitev: pokvari druge storitve na napravi in težavo z identiteto pusti točno tam, kjer je bila.

Če je ura pravilna, je potek resničen in preostanek tega vodnika velja. Opazite, kateri časovni pas uporablja dnevnik odjemalca, preden primerjate časovne žige dveh naprav. Strežnik v drugem pasu lahko naredi, da je obnovitev videti zgodnja ali pozna, čeprav ni bila ne eno ne drugo. Primerjajte s časovnim žigom v vrstici dnevnika samega odjemalca, ne z stensko uro na vaši mizi.

Preberite vrstico z napako pred profilom

Shranite natančno besedilo. Napaka preverjanja OpenVPN navaja globino in razlog, ta dva polja pa vam povesta, kdo mora ukrepati.

VERIFY ERROR z error=certificate has expired je napaka veljavnosti na določeni točki v verigi. To ni zavrnitev gesla in ni časovna omejitev, in vsi trije zahtevajo različne odzive.

Kopirajte celotno vrstico v svoje zapiske skupaj z različico odjemalca. Če sporočilo namesto tega pravi, da certifikat še ni veljaven, ste nazaj pri vprašanju ure. Če pravi, da je izdajatelj neznan, imate težavo z zaupanjem in ne z življenjsko dobo, in nobena obnovitev tega ne bo spremenila.

Ugotovite, kateri certifikat je potekel

Globina nič je certifikat, ki ga predstavi nasprotna stran, s katero ste se povezali, višje globine pa vodijo proti korenu. Delovni VPN običajno pusti, da poteče identiteta odjemalca ali strežniški certifikat, včasih pa tudi vmesni, za katerega je organizacija pozabila, da ga ima.

Natisnite datume datotek, na katere profil dejansko sklicuje, začenši s tisto na globini, navedeni v napaki.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Če profil vgrajuje certifikate kot vgrajene bloke, namesto da bi kazal na datoteke, so lahko ločene datoteke na disku starejše ali novejše od tistih, ki jih uporablja odjemalec, zato usklajevanje napake z datoteko zahteva branje profila in ne seznama mape.

Obnovite pri izdajatelju

Odjemalčev certifikat zamenja tisti, ki ga je izdal, ponastavitev gesla računa pa ne obnovi ničesar. Za delovno povezavo uporabite kanal za obnovitev, ki ga objavi vaša organizacija; za gostovano storitev se prijavite v portal ponudnika prek preverjenega naslova, namesto da bi odprli prilogo, ki trdi, da vsebuje nov profil. Neprošeni paket ni zaupanja vreden samo zato, ker njegovo ime datoteke omenja VPN.

Če strežnik upravljate vi, pred zamenjavo gradiva preverite javne podatke in evidence izdaj, ker sprememba CA vpliva na vsakega odjemalca, ki ji zaupa.

Obnovitev ene identitete ne bi smela zahtevati zamenjave hierarhije zaupanja. Če kdo predlaga novo CA za popravilo enega poteklega lista, najprej vprašajte, kaj drugega je odvisno od stare. Pravila veljavnosti in poti iz RFC 5280 so model, ki se ga držita obe strani.

Poskrbite, da bo odjemalec uporabil zamenjavo

Prenos datoteke ni njena uvozitev. Preverite vnos povezave, ki ga dejansko izberete, in preverite, ali profil sklicuje zunanje poti certifikatov, ki ste jih pozabili prepisati.

Ohranite stari vnos viden, dokler se novi ne poveže, nato ga odstranite, da nihče iz navade ne izbere poteklega profila. Znova se povežite in potrdite, da je določena napaka poteka izginila.

Če ostane druga napaka TLS, jo obravnavajte kot novo težavo, namesto da bi oslabili nastavitve preverjanja, da bi jo obšli. Zavrnitev računa ali manjkajoča pot po uspešni obnovitvi je ločena okvara z ločeno rešitvijo.