OpenVPN-certifikatet har gått ut? Kontrollera klockan först, sedan certifikatet

Klienten ansluter, förhandlar i en sekund och rapporterar sedan att ett certifikat har gått ut. Innan du ber någon att utfärda något på nytt, titta på datumet på enheten framför dig: en bärbar dator som sovit en månad, en telefon med manuell klocka och en router utan en fungerande NTP-källa rapporterar alla fel ögonblick till en TLS-stack. Ett certifikat är bara giltigt inom ett fönster, och kontrollen jämför det fönstret med vad den lokala klockan hävdar. Ställ klockan rätt och avgör sedan om problemet är verkligt.

Börja med klockan på enheten

Öppna en terminal och läs systemets uppfattning om UTC, inte klockwidgeten på skrivbordet, som kan visa en vy justerad för tidszon eller ett inaktuellt värde som cachelagrats av det grafiska gränssnittet.

date -u
timedatectl status

En klocka långt före får ett giltigt certifikat att se utgånget ut, och en långt efter får det att se ännu inte giltigt ut, vilket vissa klienter rapporterar med samma allmänna handskakningsfel. Om synkroniseringen är avstängd eller tidskällan inte är nåbar ska du åtgärda det först och testa igen innan du rör någon fil. Att ställa tillbaka klockan för att kringgå ett utgångsdatum är ingen lösning: det bryter andra tjänster på enheten och lämnar identitetsproblemet precis där det var.

Om klockan är korrekt är utgången verklig och resten av den här genomgången gäller. Notera vilken tidszon klientens logg använder innan du jämför tidsstämplar från två enheter. En server i en annan zon kan få en förnyelse att se tidig eller sen ut när den inte var något av det. Jämför med tidsstämpeln i klientens egen logglinje i stället för väggklockan på ditt skrivbord.

Läs fellinjen före profilen

Behåll den exakta texten. OpenVPN:s verifieringsfel anger ett djup och en orsak, och dessa två fält säger vem som måste agera.

Ett VERIFY ERROR med error=certificate has expired är ett giltighetsfel vid en viss punkt i kedjan. Det är inte en lösenordsavvisning och inte en timeout, och de tre kräver olika svar.

Kopiera hela raden till dina anteckningar tillsammans med klientversionen. Om meddelandet i stället säger att certifikatet ännu inte är giltigt är du tillbaka vid klockfrågan. Om det säger att utfärdaren är okänd har du ett förtroendeproblem och inte ett livslängdsproblem, och ingen förnyelse kommer att ändra det.

Ta reda på vilket certifikat som har gått ut

Djup noll är certifikatet som motparten du anslöt till presenterade, och högre djup går mot roten. Ett arbets-VPN låter vanligtvis en klientidentitet eller ett servercertifikat gå ut, och ibland ett mellanliggande certifikat som organisationen hade glömt att den ägde.

Skriv ut datumen för de filer som profilen faktiskt refererar till, med början i den på det djup som anges i felet.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Om profilen bäddar in certifikat som inbäddade block i stället för att peka på filer, kan de separata filerna på disken vara äldre eller nyare än det klienten använder, och det är därför matchning av felet mot en fil kräver att man läser profilen och inte kataloglistningen.

Förnya via utfärdaren

Ett klientcertifikat ersätts av den som utfärdade det, och en återställning av kontolösenordet förnyar ingenting. Använd förnyelsekanalen som din organisation publicerar för en arbetsanslutning; för en hostad tjänst loggar du in på leverantörens portal via en verifierad adress i stället för att öppna en bilaga som påstår sig innehålla en ny profil. Ett oombett paket är inte pålitligt bara för att filnamnet nämner VPN.

Om du driver servern kontrollerar du de offentliga uppgifterna och utfärdanderegistren innan du byter ut material, eftersom en CA-ändring påverkar varje klient som litar på den.

Förnyelse av en identitet bör inte kräva att förtroendehierarkin byts ut. Om någon föreslår en ny CA för att reparera ett enda utgånget löv, fråga först vad annat som beror på den gamla. Reglerna för giltighet och sökväg i RFC 5280 är modellen som båda sidor följer.

Få klienten att använda ersättningen

Att ladda ner en fil är inte att importera den. Kontrollera anslutningsposten du faktiskt väljer, och kontrollera om profilen refererar till externa certifikatsökvägar som du glömde att skriva över.

Håll den gamla posten synlig tills den nya ansluter och ta sedan bort den så att ingen väljer den utgångna profilen av vana. Anslut igen och bekräfta att det specifika utgångsfelet är borta.

Om ett annat TLS-fel kvarstår behandlar du det som ett nytt problem i stället för att försvaga verifieringsinställningarna för att komma förbi det. En kontoavvisning eller en saknad rutt efter en lyckad förnyelse är ett separat fel med en separat lösning.