OpenVPN sertifikati muddati tugaganmi? Avval soatni, keyin sertifikatni tekshiring

Mijoz ulanadi, bir soniya muzokara qiladi va keyin sertifikat muddati tugaganini bildiradi. Kimdandir biror narsani qayta chiqarishni so'rashdan oldin, oldingizdagi qurilma sanasiga qarang: bir oy uxlagan noutbuk, qo'lda sozlangan soati bor telefon va ishlaydigan NTP manbasi yo'q router — barchasi TLS stekiga noto'g'ri lahzani bildiradi. Sertifikat faqat oyna ichida amal qiladi va tekshiruv bu oynani mahalliy soat da'vo qilgan narsa bilan solishtiradi. Soatni to'g'rilang, keyin muammo haqiqiymi-yo'qmi hal qiling.

Qurilmadagi soatdan boshlang

Terminal oching va tizimning UTC haqidagi tasavvurini o'qing, ish stolidagi soat vidjetini emas, u vaqt mintaqasiga moslangan ko'rinish yoki GUI keshlagan eskirgan qiymatni ko'rsatishi mumkin.

date -u
timedatectl status

Juda oldinga ketgan soat amaldagi sertifikatni muddati o'tgandek ko'rsatadi, juda orqada qolgan soat esa hali amal qilmaydigandek ko'rsatadi, buni ba'zi mijozlar bir xil umumiy qo'l berish xatosi bilan bildiradi. Sinxronizatsiya o'chirilgan bo'lsa yoki vaqt manbasi yetib bo'lmaydigan bo'lsa, avval shuni tuzating va har qanday faylga tegishdan oldin qayta sinab ko'ring. Muddat tugashini chetlab o'tish uchun soatni orqaga qaytarish yechim emas: u qurilmadagi boshqa xizmatlarni buzadi va shaxsiyat muammosini aynan o'sha joyda qoldiradi.

Agar soat to'g'ri bo'lsa, muddat tugashi haqiqiy va bu qo'llanmaning qolgan qismi amal qiladi. Ikki qurilmaning vaqt belgilarini solishtirishdan oldin mijoz jurnali qaysi vaqt mintaqasidan foydalanishini e'tiborga oling. Boshqa mintaqadagi server yangilanishni erta yoki kech ko'rsatishi mumkin, aslida esa ikkalasi ham bo'lmagan. Stol ustidagi devor soati bilan emas, mijozning o'z jurnal satridagi vaqt belgisi bilan solishtiring.

Profilga qadar xato satrini o'qing

Aniq matnni saqlang. OpenVPN tekshiruv xatosi chuqurlik va sababni ko'rsatadi, bu ikki maydon kim harakat qilishi kerakligini aytadi.

VERIFY ERROR va error=certificate has expired zanjirning muayyan nuqtasida amallilik xatosidir. Bu parol rad etilishi ham emas, vaqt tugashi ham emas, va uchtasi turlicha javob talab qiladi.

Butun satrni mijoz versiyasi bilan birga yozuvlaringizga ko'chiring. Agar xabar o'rniga sertifikat hali amal qilmasligini aytsa, siz soat savoliga qaytdingiz. Agar u emitent noma'lum desa, sizda ishonch muammosi bor, muddat muammosi emas, va hech qanday yangilash buni o'zgartirmaydi.

Qaysi sertifikat muddati tugaganini aniqlang

Nolinchi chuqurlik — siz ulangan tomon taqdim etgan sertifikat, yuqori chuqurliklar esa ildiz tomon boradi. Ish VPN odatda mijoz shaxsiyati yoki server sertifikatining muddati tugashiga yo'l qo'yadi, ba'zan tashkilot o'ziga tegishli ekanini unutgan oraliq sertifikatga ham.

Profil haqiqatan havola qilgan fayllarning sanalarini chop eting, xatoda ko'rsatilgan chuqurlikdagi fayldan boshlab.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Agar profil sertifikatlarni fayllarga ishora qilish o'rniga ichki bloklar sifatida joylashtirsa, diskdagi alohida fayllar mijoz ishlatayotganidan eskiroq yoki yangiroq bo'lishi mumkin, shuning uchun xatoni fayl bilan moslashtirish katalog ro'yxatini emas, profilni o'qishni talab qiladi.

Emitent orqali yangilang

Mijoz sertifikatini uni chiqargan tomon almashtiradi, hisob parolini tiklash hech narsani yangilamaydi. Ish ulanishi uchun tashkilotingiz e'lon qilgan yangilash kanalidan foydalaning; xosting xizmati uchun yangi profil bor deb da'vo qiluvchi ilovani ochish o'rniga tasdiqlangan manzil orqali provayder portaliga kiring. So'ralmagan paket faqat fayl nomida VPN tilga olingani uchun ishonchli emas.

Agar serverni o'zingiz boshqarsangiz, materialni almashtirishdan oldin ochiq ma'lumotlar va chiqarish yozuvlarini tekshiring, chunki CA o'zgarishi unga ishonadigan har bir mijozga ta'sir qiladi.

Bitta shaxsiyatni yangilash ishonch ierarxiyasini almashtirishni talab qilmasligi kerak. Agar kimdir bitta muddati o'tgan bargni tuzatish uchun yangi CA taklif qilsa, avval eskisiga yana nima bog'liqligini so'rang. Ikki tomon amal qiladigan model RFC 5280 amallilik va yo'l qoidalaridir.

Mijozni almashtirgichdan foydalanishga majbur qiling

Faylni yuklab olish uni import qilish emas. Haqiqatan tanlagan ulanish yozuvini tekshiring va profil siz qayta yozishni unutgan tashqi sertifikat yo'llariga havola qiladimi-yo'qmi tekshiring.

Yangi ulangunga qadar eski yozuvni ko'rinadigan qilib turing, keyin uni olib tashlang, hech kim odat bilan muddati o'tgan profilni tanlamasin. Qayta ulanib, aniq muddat tugash xatosi yo'qolganini tasdiqlang.

Agar boshqa TLS xatosi qolsa, uni chetlab o'tish uchun tekshiruv sozlamalarini zaiflashtirish o'rniga yangi muammo deb qarang. Muvaffaqiyatli yangilashdan keyin hisobdan rad etish yoki yo'q marshrut alohida nosozlik, alohida yechim.