Certifikata OpenVPN ka skaduar? Kontrolloni fillimisht orën, pastaj certifikatën

Klienti lidhet, negocion për një sekondë dhe më pas raporton se një certifikatë ka skaduar. Përpara se t'i kërkoni dikujt të rilëshojë ndonjë gjë, shikoni datën në pajisjen përpara jush: një laptop që ka fjetur një muaj, një telefon me orë manuale dhe një router pa një burim NTP funksional të gjithë raportojnë momentin e gabuar një stive TLS. Një certifikatë është e vlefshme vetëm brenda një dritareje, dhe kontrolli e krahason atë dritare me atë që pretendon ora lokale. Rregulloni orën dhe më pas vendosni nëse problemi është i vërtetë.

Filloni me orën në pajisje

Hapni një terminal dhe lexoni idenë e sistemit për UTC, jo miniaplikacionin e orës në desktop, i cili mund të shfaqë një pamje të rregulluar sipas zonës kohore ose një vlerë të vjetëruar të ruajtur në cache nga ndërfaqja grafike.

date -u
timedatectl status

Një orë shumë përpara e bën një certifikatë të vlefshme të duket e skaduar, dhe një shumë prapa e bën atë të duket ende e pavlefshme, gjë që disa klientë e raportojnë me të njëjtin gabim gjenerik shtrëngimi duarsh. Nëse sinkronizimi është i çaktivizuar ose burimi i kohës është i paarritshëm, rregulloni fillimisht atë dhe provoni përsëri përpara se të prekni ndonjë skedar. Kthimi i orës pas për të shmangur një skadim nuk është zgjidhje: prish shërbime të tjera në pajisje dhe e lë problemin e identitetit pikërisht aty ku ishte.

Nëse ora është e saktë, skadimi është i vërtetë dhe pjesa tjetër e këtij udhëzuesi zbatohet. Vini re cilën zonë kohore përdor regjistri i klientit përpara se të krahasoni vulat kohore të dy pajisjeve. Një server në një zonë tjetër mund ta bëjë një rinovim të duket i hershëm ose i vonuar kur nuk ishte as njëra as tjetra. Krahasoni me vulën kohore në rreshtin e regjistrit të vetë klientit, jo me orën e murit në tavolinën tuaj.

Lexoni rreshtin e gabimit përpara profilit

Mbani tekstin e saktë. Dështimi i verifikimit të OpenVPN përmend një thellësi dhe një arsye, dhe këto dy fusha ju tregojnë kush duhet të veprojë.

VERIFY ERROR me error=certificate has expired është një dështim vlefshmërie në një pikë të caktuar të zinxhirit. Ky nuk është refuzim fjalëkalimi dhe nuk është skadim kohe, dhe të tre kërkojnë përgjigje të ndryshme.

Kopjoni të gjithë rreshtin në shënimet tuaja së bashku me versionin e klientit. Nëse mesazhi thotë në vend të kësaj se certifikata nuk është ende e vlefshme, ju ktheheni te pyetja e orës. Nëse thotë se lëshuesi është i panjohur, keni një problem besimi dhe jo jetëgjatësie, dhe asnjë rinovim nuk do ta ndryshojë atë.

Zbuloni cila certifikatë ka skaduar

Thellësia zero është certifikata e paraqitur nga pala me të cilën u lidhët, dhe thellësitë më të larta shkojnë drejt rrënjës. Një VPN pune zakonisht lejon që të skadojë një identitet klienti ose një certifikatë serveri, dhe ndonjëherë një certifikatë e ndërmjetme për të cilën organizata harroi se e zotëronte.

Printo datat e skedarëve të cilëve profili u referohet vërtet, duke filluar me atë në thellësinë e përmendur në gabim.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Nëse profili i integron certifikatat si blloqe të integruara në vend që të tregojë skedarë, skedarët e veçantë në disk mund të jenë më të vjetër ose më të re se ai që përdor klienti, dhe kjo është arsyeja pse përputhja e gabimit me një skedar kërkon leximin e profilit dhe jo listimin e drejtorisë.

Rinovojeni përmes lëshuesit

Certifikata e klientit zëvendësohet nga ai që e lëshoi, dhe rivendosja e fjalëkalimit të llogarisë nuk rinovon asgjë. Për një lidhje pune, përdorni kanalin e rinovimit që organizata juaj publikon; për një shërbim të strehuar, hyni në portalin e ofruesit përmes një adrese të verifikuar në vend që të hapni një bashkëngjitje që pretendon se përmban një profil të ri. Një paketë e pakërkuar nuk është e besueshme vetëm sepse emri i skedarit përmend VPN.

Nëse e administroni serverin, kontrolloni detajet publike dhe regjistrat e lëshimit përpara se të zëvendësoni materialin, sepse një ndryshim CA ndikon në çdo klient që i beson atij.

Rinovimi i një identiteti nuk duhet të kërkojë zëvendësimin e hierarkisë së besimit. Nëse dikush propozon një CA të re për të rregulluar një gjethe të vetme të skaduar, pyesni fillimisht çfarë tjetër varet nga ajo e vjetra. Rregullat e vlefshmërisë dhe të rrugës të RFC 5280 janë modeli që ndjekin të dyja palët.

Bëni që klienti të përdorë zëvendësimin

Shkarkimi i një skedari nuk është importimi i tij. Kontrolloni hyrjen e lidhjes që zgjidhni vërtet dhe kontrolloni nëse profili referon rrugë certifikatash të jashtme që keni harruar t'i mbishkruani.

Mbani të dukshme hyrjen e vjetër derisa ajo e re të lidhet, pastaj hiqeni që askush të mos zgjedhë nga zakoni profilin e skaduar. Lidhuni përsëri dhe konfirmoni se gabimi specifik i skadimit ka ikur.

Nëse mbetet një gabim tjetër TLS, trajtojeni si një problem të re në vend që të dobësoni cilësimet e verifikimit për ta anashkaluar. Një refuzim llogarie ose një rrugë që mungon pas një rinovimi të suksesshëm është një defekt i veçantë me një zgjidhje të veçantë.