Сертификат OpenVPN је истекао? Прво проверите сат, затим сертификат

Клијент се повезује, преговара секунду и затим пријављује да је сертификат истекао. Пре него што замолите било кога да било шта поново изда, погледајте датум на уређају пред собом: лаптоп који је спавао месец дана, телефон са ручно подешеним сатом и рутер без исправног NTP извора сви пријављују погрешан тренутак TLS стеку. Сертификат је важећи само унутар прозора, а провера упоређује тај прозор са оним што тврди локални сат. Подесите сат, затим одлучите да ли је проблем стваран.

Почните са сатом на уређају

Отворите терминал и прочитајте шта систем мисли о UTC, а не виџет сата на радној површини, који може приказивати приказ прилагођен временској зони или застарелу вредност кеширану од стране графичког интерфејса.

date -u
timedatectl status

Сат који је много испред чини важећи сертификат истеклим, а онај који је много иза чини га још неважећим, што неки клијенти пријављују истом општом грешком руковања. Ако је синхронизација онемогућена или је извор времена недоступан, прво то поправите и поново тестирајте пре него што додирнете било коју датотеку. Враћање сата уназад да би се заобишао истек није решење: квари друге услуге на уређају и оставља проблем идентитета тачно тамо где је био.

Ако је сат тачан, истек је стваран и остатак овог водича важи. Обратите пажњу коју временску зону користи дневник клијента пре него што упоредите временске ознаке са два уређаја. Сервер у другој зони може учинити да обнављање изгледа рано или касно када није било ни једно ни друго. Упоредите са временском ознаком у линији сопственог дневника клијента, а не са зидним сатом на вашем столу.

Прочитајте линију грешке пре профила

Сачувајте тачан текст. Грешка провере OpenVPN наводи дубину и разлог, а та два поља вам кажу ко мора да делује.

VERIFY ERROR са error=certificate has expired је неуспех ваљаности у одређеној тачки ланца. То није одбијање лозинке и није тајмаут, и сва три захтевају различите одговоре.

Копирајте целу линију у белешке заједно са верзијом клијента. Ако порука уместо тога каже да сертификат још није важећи, вратили сте се на питање сата. Ако каже да је издавалац непознат, имате проблем поверења, а не проблем рока, и никакво обнављање то неће променити.

Утврдите који је сертификат истекао

Дубина нула је сертификат који представља друга страна са којом сте се повезали, а веће дубине иду ка корену. Радни VPN обично пусти да истекне идентитет клијента или сертификат сервера, а понекад и посредни за који је организација заборавила да га поседује.

Испишите датуме датотека на које профил заиста упућује, почевши од оне на дубини наведеној у грешци.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Ако профил уграђује сертификате као уграђене блокове уместо да упућује на датотеке, одвојене датотеке на диску могу бити старије или новије од онога што клијент користи, због чега усклађивање грешке са датотеком захтева читање профила, а не списак директоријума.

Обновите преко издаваоца

Клијентски сертификат замењује онај који га је издао, а ресетовање лозинке налога не обнавља ништа. За радну везу користите канал за обнављање који ваша организација објављује; за хостовану услугу пријавите се на портал добављача преко проверене адресе уместо да отворите прилог који тврди да садржи нови профил. Нежељени пакет није поуздан само зато што име датотеке помиње VPN.

Ако управљате сервером, проверите јавне детаље и евиденцију издавања пре замене материјала, јер промена CA утиче на сваког клијента који јој верује.

Обнављање једног идентитета не би требало да захтева замену хијерархије поверења. Ако неко предложи нови CA да поправи један истекли лист, прво питајте шта још зависи од старог. Правила важења и путање из RFC 5280 су модел који следе обе стране.

Натерајте клијента да користи замену

Преузимање датотеке није њено увожење. Проверите ставку везе коју заиста бирате и проверите да ли профил упућује на спољне путање сертификата које сте заборавили да препишете.

Држите стару ставку видљивом док се нова не повеже, затим је уклоните да нико из навике не изабере истекли профил. Поново се повежите и потврдите да је конкретна грешка истека нестала.

Ако остане друга TLS грешка, третирајте је као нови проблем уместо да ослабите подешавања провере да бисте је заобишли. Одбијање налога или рута која недостаје после успешног обнављања је одвојен квар са одвојеним решењем.