OpenVPN sertifikatının süresi doldu mu? Önce saati, sonra sertifikayı kontrol edin

İstemci bağlanır, bir saniye pazarlık eder ve ardından bir sertifikanın süresinin dolduğunu bildirir. Birinden herhangi bir şeyi yeniden yayımlamasını istemeden önce önünüzdeki cihazın tarihine bakın: bir ay uyumuş bir dizüstü bilgisayar, elle ayarlanmış saati olan bir telefon ve çalışan bir NTP kaynağı olmayan bir yönlendirici, hepsi TLS yığınına yanlış anı bildirir. Bir sertifika yalnızca bir zaman penceresi içinde geçerlidir ve denetim bu pencereyi yerel saatin iddia ettiğiyle karşılaştırır. Saati düzeltin, sonra sorunun gerçek olup olmadığına karar verin.

Cihazdaki saatle başlayın

Bir terminal açın ve sistemin UTC anlayışını okuyun; masaüstü saat bileşeni değil, o saat dilimine göre ayarlanmış bir görünüm veya GUI tarafından önbelleğe alınmış eski bir değer gösterebilir.

date -u
timedatectl status

Çok ileri bir saat geçerli bir sertifikayı süresi dolmuş gibi gösterir, çok geri bir saat ise henüz geçerli değil gibi gösterir; bazı istemciler bunu aynı genel el sıkışma hatasıyla bildirir. Eşitleme devre dışıysa veya zaman kaynağına ulaşılamıyorsa önce bunu düzeltin ve herhangi bir dosyaya dokunmadan önce yeniden test edin. Süresi dolmayı atlatmak için saati geri almak çözüm değildir: cihazdaki diğer hizmetleri bozar ve kimlik sorununu tam olduğu yerde bırakır.

Saat doğruysa süre dolması gerçektir ve bu kılavuzun geri kalanı geçerlidir. İki cihazın zaman damgalarını karşılaştırmadan önce istemci günlüğünün hangi saat dilimini kullandığına dikkat edin. Başka bir dilimdeki sunucu, yenilemeyi erken veya geç gösterebilir; oysa ikisi de değildi. Masanızdaki duvar saatinden değil, istemcinin kendi günlük satırındaki zaman damgasından karşılaştırın.

Profil yerine hata satırını okuyun

Tam metni saklayın. OpenVPN doğrulama hatası bir derinlik ve bir neden belirtir; bu iki alan kimin harekete geçmesi gerektiğini söyler.

VERIFY ERROR ile error=certificate has expired zincirin belirli bir noktasında bir geçerlilik hatasıdır. Bu parola reddi değildir ve zaman aşımı da değildir ve üçü farklı yanıtlar gerektirir.

Tüm satırı istemci sürümüyle birlikte notlarınıza kopyalayın. Mesaj bunun yerine sertifikanın henüz geçerli olmadığını söylüyorsa saat sorusuna geri dönersiniz. Verenin bilinmediğini söylüyorsa güven sorununuz vardır, ömür sorunu değil, ve hiçbir yenileme bunu değiştirmez.

Hangi sertifikanın süresinin dolduğunu bulun

Sıfır derinlik, bağlandığınız eşin sunduğu sertifikadır ve daha yüksek derinlikler köke doğru gider. İş VPN'i genellikle bir istemci kimliğinin veya sunucu sertifikasının süresinin dolmasına izin verir, bazen de kuruluşun sahip olduğunu unuttuğu bir ara sertifikanın.

Profilin gerçekten başvurduğu dosyaların tarihlerini yazdırın; hatada belirtilen derinlikteki dosyayla başlayın.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Profil sertifikaları dosyalara işaret etmek yerine satır içi bloklar olarak gömüyorsa, diskteki ayrı dosyalar istemcinin kullandığından daha eski veya daha yeni olabilir; bu yüzden hatayı bir dosyayla eşleştirmek dizin listesini değil profili okumayı gerektirir.

Veren aracılığıyla yenileyin

Bir istemci sertifikasını onu veren değiştirir ve hesap parolasını sıfırlamak hiçbir şeyi yenilemez. İş bağlantısı için kuruluşunuzun yayımladığı yenileme kanalını kullanın; barındırılan bir hizmet için yeni profil içerdiğini iddia eden bir eki açmak yerine doğrulanmış bir adres üzerinden sağlayıcının portalında oturum açın. İstenmeyen bir paket yalnızca dosya adı VPN'den söz ettiği için güvenilir değildir.

Sunucuyu siz yönetiyorsanız, malzemeyi değiştirmeden önce genel ayrıntıları ve yayımlama kayıtlarını kontrol edin, çünkü bir CA değişikliği ona güvenen her istemciyi etkiler.

Bir kimliğin yenilenmesi güven hiyerarşisinin değiştirilmesini gerektirmemelidir. Biri süresi dolmuş tek bir yaprağı düzeltmek için yeni bir CA önerirse, önce eskiye başka neyin bağlı olduğunu sorun. Her iki taraf da RFC 5280 geçerlilik ve yol kurallarını izler.

İstemcinin yerine kullanmasını sağlayın

Bir dosyayı indirmek onu içe aktarmak değildir. Gerçekten seçtiğiniz bağlantı girdisini kontrol edin ve profilin üzerine yazmayı unuttuğunuz harici sertifika yollarına başvurup başvurmadığını kontrol edin.

Yenisi bağlanana kadar eski girdiyi görünür tutun, sonra kaldırın ki kimse alışkanlıktan süresi dolmuş profili seçmesin. Yeniden bağlanın ve belirli süre dolması hatasının gittiğini doğrulayın.

Başka bir TLS hatası kalırsa, onu atlatmak için doğrulama ayarlarını zayıflatmak yerine yeni bir sorun olarak ele alın. Başarılı bir yenilemeden sonra hesap reddi veya eksik bir yol, ayrı bir arızadır ve ayrı bir çözümü vardır.