OpenVPN سرٹیفکیٹ کی مدت ختم ہو گئی؟ پہلے گھڑی دیکھیں، پھر سرٹیفکیٹ

کلائنٹ جڑتا ہے، ایک سیکنڈ بات چیت کرتا ہے اور پھر بتاتا ہے کہ سرٹیفکیٹ کی مدت ختم ہو گئی ہے۔ کسی سے کچھ دوبارہ جاری کرنے کو کہنے سے پہلے، اپنے سامنے موجود ڈیوائس کی تاریخ دیکھیں: ایک مہینہ سویا ہوا لیپ ٹاپ، ہاتھ سے سیٹ کی گئی گھڑی والا فون اور کام کرنے والے NTP ذریعے کے بغیر راؤٹر—سب TLS اسٹیک کو غلط لمحہ بتاتے ہیں۔ سرٹیفکیٹ صرف ایک وقت کی کھڑکی کے اندر کارآمد ہوتا ہے، اور جانچ اُس کھڑکی کا موازنہ اُس سے کرتی ہے جو مقامی گھڑی دعویٰ کرتی ہے۔ گھڑی درست کریں، پھر فیصلہ کریں کہ مسئلہ حقیقی ہے یا نہیں۔

ڈیوائس کی گھڑی سے شروع کریں

ٹرمینل کھولیں اور سسٹم کی UTC کے بارے میں سمجھ پڑھیں، ڈیسک ٹاپ کی گھڑی ویجٹ نہیں، جو وقت کے علاقے کے مطابق ایڈجسٹ شدہ منظر یا GUI کی کیش شدہ پرانی قدر دکھا سکتا ہے۔

date -u
timedatectl status

بہت آگے چلنے والی گھڑی درست سرٹیفکیٹ کو ختم شدہ دکھاتی ہے، اور بہت پیچھے رہنے والی گھڑی اسے ابھی کارآمد نہیں دکھاتی، جسے کچھ کلائنٹ اسی عمومی ہینڈ شیک ناکامی کے طور پر بتاتے ہیں۔ اگر ہم آہنگی غیر فعال ہو یا وقت کا ذریعہ قابل رسائی نہ ہو، تو پہلے اسے درست کریں اور کسی بھی فائل کو چھونے سے پہلے دوبارہ جانچیں۔ مدت ختم ہونے سے بچنے کے لیے گھڑی پیچھے کرنا حل نہیں ہے: یہ ڈیوائس کی دیگر خدمات توڑ دیتا ہے اور شناخت کا مسئلہ وہیں چھوڑ دیتا ہے جہاں تھا۔

اگر گھڑی درست ہے تو مدت ختم ہونا حقیقی ہے اور اس رہنما کا باقی حصہ لاگو ہوتا ہے۔ دو ڈیوائسز کے ٹائم اسٹیمپ موازنہ کرنے سے پہلے دیکھیں کہ کلائنٹ کا لاگ کون سا وقت کا علاقہ استعمال کرتا ہے۔ دوسرے علاقے کا سرور تجدید کو جلدی یا دیر سے دکھا سکتا ہے جبکہ وہ دونوں میں سے کچھ نہیں تھا۔ اپنے میز کی دیوار کی گھڑی کے بجائے کلائنٹ کی اپنی لاگ سطر کے ٹائم اسٹیمپ سے موازنہ کریں۔

پروفائل سے پہلے خرابی کی سطر پڑھیں

درست متن رکھیں۔ OpenVPN کی تصدیق کی ناکامی گہرائی اور وجہ بتاتی ہے، اور یہ دو فیلڈز بتاتے ہیں کہ کس کو کارروائی کرنی ہے۔

VERIFY ERROR کے ساتھ error=certificate has expired زنجیر کے ایک مخصوص مقام پر درستگی کی ناکامی ہے۔ یہ پاس ورڈ کی مسترد ہونا نہیں ہے اور ٹائم آؤٹ بھی نہیں، اور تینوں کو مختلف ردعمل درکار ہیں۔

کلائنٹ ورژن کے ساتھ پوری سطر اپنے نوٹس میں کاپی کریں۔ اگر پیغام اس کے بجائے کہے کہ سرٹیفکیٹ ابھی کارآمد نہیں ہے، تو آپ گھڑی کے سوال پر واپس آ گئے۔ اگر وہ کہے کہ جاری کنندہ نامعلوم ہے، تو آپ کو اعتماد کا مسئلہ ہے، عمر کا نہیں، اور کوئی تجدید اسے تبدیل نہیں کرے گی۔

معلوم کریں کہ کون سا سرٹیفکیٹ ختم ہوا

صفر گہرائی وہ سرٹیفکیٹ ہے جو اُس ساتھی نے پیش کیا جس سے آپ جڑے، اور زیادہ گہرائیاں جڑ کی طرف جاتی ہیں۔ کام کا VPN عام طور پر کلائنٹ کی شناخت یا سرور سرٹیفکیٹ کو ختم ہونے دیتا ہے، اور کبھی کبھی ایک درمیانی سرٹیفکیٹ کو بھی جسے ادارہ بھول گیا تھا کہ اس کے پاس ہے۔

اُن فائلوں کی تاریخیں چھاپیں جن کا پروفائل واقعی حوالہ دیتا ہے، خرابی میں بتائی گئی گہرائی والی فائل سے شروع کر کے۔

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

اگر پروفائل فائلوں کی طرف اشارہ کرنے کے بجائے سرٹیفکیٹس کو اندرونی بلاک کے طور پر شامل کرتا ہے، تو ڈسک پر الگ فائلیں کلائنٹ کے استعمال کردہ سے پرانی یا نئی ہو سکتی ہیں، اسی لیے خرابی کو فائل سے ملانے کے لیے ڈائریکٹری کی فہرست نہیں بلکہ پروفائل پڑھنا ضروری ہے۔

جاری کنندہ کے ذریعے تجدید کریں

کلائنٹ سرٹیفکیٹ کو وہی بدلتا ہے جس نے اسے جاری کیا، اور اکاؤنٹ کا پاس ورڈ ری سیٹ کرنے سے کچھ تجدید نہیں ہوتا۔ کام کے کنکشن کے لیے اپنے ادارے کا شائع کردہ تجدید چینل استعمال کریں؛ ہوسٹڈ سروس کے لیے نئی پروفائل رکھنے کا دعویٰ کرنے والی منسلکہ کھولنے کے بجائے تصدیق شدہ پتے کے ذریعے فراہم کنندہ کے پورٹل میں سائن ان کریں۔ غیر مانگی گئی بنڈل صرف اس لیے قابل اعتماد نہیں کہ اس کے فائل نام میں VPN لکھا ہے۔

اگر آپ سرور چلاتے ہیں، تو مواد بدلنے سے پہلے عوامی تفصیلات اور اجرا کے ریکارڈ چیک کریں، کیونکہ CA کی تبدیلی ہر اُس کلائنٹ کو متاثر کرتی ہے جو اس پر اعتماد کرتا ہے۔

ایک شناخت کی تجدید کے لیے اعتماد کے درجہ بندی کو بدلنے کی ضرورت نہیں ہونی چاہیے۔ اگر کوئی ایک ختم شدہ پتہ درست کرنے کے لیے نیا CA تجویز کرے، تو پہلے پوچھیں کہ پرانے پر اور کیا منحصر ہے۔ دونوں فریق RFC 5280 کے درستگی اور راستے کے قواعد کی پیروی کرتے ہیں۔

کلائنٹ کو متبادل استعمال کرنے پر مجبور کریں

فائل ڈاؤن لوڈ کرنا اسے درآمد کرنا نہیں ہے۔ وہ کنکشن اندراج چیک کریں جو آپ واقعی منتخب کرتے ہیں، اور دیکھیں کہ پروفائل اُن بیرونی سرٹیفکیٹ راستوں کا حوالہ دیتا ہے یا نہیں جنہیں اوور رائٹ کرنا آپ بھول گئے۔

نئے کے جڑنے تک پرانا اندراج نظر آتا رکھیں، پھر اسے ہٹا دیں تاکہ کوئی عادت سے ختم شدہ پروفائل نہ چنے۔ دوبارہ جڑیں اور تصدیق کریں کہ مخصوص مدت ختم ہونے کی خرابی ختم ہو گئی ہے۔

اگر کوئی اور TLS خرابی باقی ہے، تو اس سے گزرنے کے لیے تصدیق کی ترتیبات کمزور کرنے کے بجائے اسے نیا مسئلہ سمجھیں۔ کامیاب تجدید کے بعد اکاؤنٹ کی مسترد ہونا یا غائب راستہ الگ خرابی ہے، الگ حل ہے۔