Nag-expire na ba ang sertipiko ng OpenVPN? Suriin muna ang orasan, pagkatapos ang sertipiko

Kumokonekta ang kliyente, nakikipag-usap nang isang segundo, at pagkatapos ay nag-uulat na nag-expire ang isang sertipiko. Bago mo hilingin sa sinuman na muling mag-isyu ng anuman, tingnan ang petsa sa device sa harap mo: isang laptop na natulog nang isang buwan, isang teleponong may manu-manong orasan, at isang router na walang gumaganang NTP source ay nag-uulat lahat ng maling sandali sa isang TLS stack. Ang sertipiko ay may bisa lamang sa loob ng isang window, at inihahambing ng tseke ang window na iyon sa sinasabi ng lokal na orasan. Itama ang orasan, pagkatapos ay magpasya kung totoo ang problema.

Magsimula sa orasan sa device

Magbukas ng terminal at basahin ang pagkaunawa ng system sa UTC, hindi ang widget ng orasan sa desktop, na maaaring magpakita ng view na inayos ayon sa time zone o isang lumang value na naka-cache ng GUI.

date -u
timedatectl status

Ang oras na masyadong nauuna ay nagpapakita ng wastong sertipiko na parang nag-expire, at ang masyadong nahuhuli ay nagpapakita nito na hindi pa wasto, na iniuulat ng ilang kliyente gamit ang parehong pangkalahatang handshake failure. Kung ang pag-synchronize ay naka-disable o hindi maabot ang time source, ayusin muna iyon at subukan muli bago hawakan ang anumang file. Ang pag-atras ng orasan para malampasan ang pag-expire ay hindi solusyon: sinisira nito ang ibang serbisyo sa device at iniiwan ang problema sa pagkakakilanlan sa mismong kinalalagyan nito.

Kung tama ang orasan, totoo ang pag-expire at nalalapat ang natitirang bahagi ng gabay na ito. Pansinin kung anong time zone ang ginagamit ng log ng kliyente bago ihambing ang mga timestamp mula sa dalawang device. Ang isang server sa ibang zone ay maaaring magpakita ng pag-renew na maaga o huli nang wala sa dalawa. Ihambing sa timestamp sa linya ng log ng kliyente mismo kaysa sa orasan sa dingding ng iyong mesa.

Basahin ang linya ng error bago ang profile

Itago ang eksaktong teksto. Ang verification failure ng OpenVPN ay nagbabanggit ng depth at dahilan, at ang dalawang field na iyon ay nagsasabi kung sino ang dapat kumilos.

Ang VERIFY ERROR kasama ng error=certificate has expired ay isang validation failure sa isang partikular na punto ng chain. Ito ay hindi pagtanggi sa password at hindi timeout, at ang tatlo ay nangangailangan ng magkakaibang tugon.

Kopyahin ang buong linya sa iyong mga tala kasama ang bersyon ng kliyente. Kung ang mensahe ay nagsasabing hindi pa wasto ang sertipiko, bumalik ka sa tanong ng orasan. Kung sinasabi nitong hindi kilala ang issuer, may problema ka sa pagtitiwala at hindi sa haba ng buhay, at walang pag-renew ang makakabago niyon.

Alamin kung aling sertipiko ang nag-expire

Ang depth zero ay ang sertipikong iniharap ng peer na kinonektahan mo, at ang mas mataas na depth ay papunta sa root. Ang work VPN ay karaniwang hinahayaang mag-expire ang identity ng kliyente o sertipiko ng server, at paminsan-minsan ay isang intermediate na nakalimutan ng organisasyon na pag-aari nito.

I-print ang mga petsa ng mga file na aktwal na tinutukoy ng profile, simula sa nasa depth na binanggit sa error.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Kung ang profile ay nag-embed ng mga sertipiko bilang inline na bloke sa halip na tumukoy sa mga file, ang mga hiwalay na file sa disk ay maaaring mas luma o mas bago kaysa sa ginagamit ng kliyente, kaya nangangailangan ng pagbasa ng profile ang pagtutugma ng error sa isang file at hindi ang listahan ng direktoryo.

Mag-renew sa pamamagitan ng issuer

Ang sertipiko ng kliyente ay pinapalitan ng nag-isyu nito, at ang pag-reset ng password ng account ay hindi nagre-renew ng anuman. Para sa koneksyon sa trabaho, gamitin ang channel ng pag-renew na inilalathala ng iyong organisasyon; para sa hosted na serbisyo, mag-sign in sa portal ng provider sa pamamagitan ng verified na address sa halip na magbukas ng attachment na nagsasabing naglalaman ito ng bagong profile. Ang hindi hinihinging bundle ay hindi mapagkakatiwalaan dahil lang sa binabanggit ng filename nito ang VPN.

Kung ikaw ang nagpapatakbo ng server, suriin ang pampublikong detalye at mga talaan ng pag-isyu bago palitan ang materyal, dahil ang pagbabago ng CA ay nakakaapekto sa bawat kliyenteng nagtitiwala rito.

Ang pag-renew ng isang pagkakakilanlan ay hindi dapat mangailangan ng pagpapalit ng hierarchy ng pagtitiwala. Kung may magmungkahi ng bagong CA para ayusin ang isang nag-expire na dahon, itanong muna kung ano pa ang nakadepende sa luma. Ang mga patakaran ng validity at path ng RFC 5280 ang modelong sinusunod ng magkabilang panig.

Gawing gamitin ng kliyente ang kapalit

Ang pag-download ng file ay hindi pag-import nito. Suriin ang entry ng koneksyon na aktwal mong pinipili, at suriin kung ang profile ay tumutukoy sa mga panlabas na path ng sertipiko na nakalimutan mong i-overwrite.

Panatilihing nakikita ang lumang entry hanggang sa kumonekta ang bago, pagkatapos ay alisin ito para walang pumili ng nag-expire na profile dahil sa ugali. Kumonekta muli at kumpirmahing wala na ang partikular na error sa pag-expire.

Kung may natitirang ibang TLS error, ituring ito na bagong problema sa halip na pahinain ang mga setting ng verification para lampasan ito. Ang pagtanggi ng account o nawawalang ruta pagkatapos ng matagumpay na pag-renew ay hiwalay na depekto na may hiwalay na solusyon.