Chứng chỉ OpenVPN hết hạn? Hãy kiểm tra đồng hồ trước, rồi đến chứng chỉ

Máy khách kết nối, thương lượng trong một giây và sau đó báo rằng một chứng chỉ đã hết hạn. Trước khi yêu cầu ai đó phát hành lại bất cứ thứ gì, hãy nhìn vào ngày trên thiết bị trước mặt bạn: một máy tính xách tay đã ngủ một tháng, một điện thoại có đồng hồ chỉnh tay và một router không có nguồn NTP hoạt động đều báo sai thời điểm cho một ngăn xếp TLS. Chứng chỉ chỉ hợp lệ trong một cửa sổ, và việc kiểm tra so sánh cửa sổ đó với điều đồng hồ cục bộ khẳng định. Chỉnh đồng hồ cho đúng, rồi quyết định xem vấn đề có thật hay không.

Bắt đầu với đồng hồ trên thiết bị

Mở một terminal và đọc quan điểm của hệ thống về UTC, không phải tiện ích đồng hồ trên màn hình nền, thứ có thể hiển thị chế độ xem đã điều chỉnh theo múi giờ hoặc một giá trị cũ được GUI lưu trong bộ nhớ đệm.

date -u
timedatectl status

Một đồng hồ chạy quá nhanh khiến chứng chỉ hợp lệ trông như đã hết hạn, và một đồng hồ chạy quá chậm khiến nó trông như chưa hợp lệ, điều mà một số máy khách báo bằng cùng một lỗi bắt tay chung. Nếu đồng bộ hóa bị tắt hoặc không thể truy cập nguồn thời gian, hãy sửa điều đó trước và kiểm tra lại trước khi chạm vào bất kỳ tệp nào. Quay đồng hồ lại để lách hạn không phải là giải pháp: nó phá hỏng các dịch vụ khác trên thiết bị và để nguyên vấn đề danh tính ở đúng chỗ cũ.

Nếu đồng hồ đúng, việc hết hạn là thật và phần còn lại của hướng dẫn này được áp dụng. Hãy chú ý nhật ký của máy khách dùng múi giờ nào trước khi so sánh dấu thời gian từ hai thiết bị. Một máy chủ ở múi giờ khác có thể khiến một lần gia hạn trông sớm hoặc muộn trong khi nó không phải cả hai. Hãy so với dấu thời gian trong dòng nhật ký của chính máy khách thay vì đồng hồ treo tường trên bàn bạn.

Đọc dòng lỗi trước hồ sơ

Giữ nguyên văn bản chính xác. Lỗi xác minh của OpenVPN nêu một độ sâu và một lý do, và hai trường đó cho bạn biết ai phải hành động.

VERIFY ERROR với error=certificate has expired là lỗi hiệu lực tại một điểm cụ thể trong chuỗi. Nó không phải là từ chối mật khẩu và cũng không phải hết thời gian chờ, và cả ba đòi hỏi những phản hồi khác nhau.

Sao chép toàn bộ dòng vào ghi chú của bạn cùng với phiên bản máy khách. Nếu thông báo thay vào đó nói rằng chứng chỉ chưa hợp lệ, bạn quay lại câu hỏi về đồng hồ. Nếu nó nói nhà phát hành không xác định, bạn có vấn đề về tin cậy chứ không phải về thời hạn, và không việc gia hạn nào thay đổi được điều đó.

Tìm ra chứng chỉ nào đã hết hạn

Độ sâu bằng không là chứng chỉ do đối tác bạn kết nối trình bày, và độ sâu cao hơn đi về phía gốc. Một VPN công việc thường để một danh tính máy khách hoặc chứng chỉ máy chủ hết hạn, và đôi khi cả một chứng chỉ trung gian mà tổ chức quên rằng mình sở hữu.

In ngày của các tệp mà hồ sơ thực sự tham chiếu, bắt đầu với tệp ở độ sâu được nêu trong lỗi.

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

Nếu hồ sơ nhúng chứng chỉ dưới dạng khối nội tuyến thay vì trỏ tới tệp, các tệp riêng trên đĩa có thể cũ hơn hoặc mới hơn cái máy khách đang dùng, đó là lý do việc khớp lỗi với một tệp đòi hỏi đọc hồ sơ chứ không phải danh sách thư mục.

Gia hạn thông qua nhà phát hành

Chứng chỉ máy khách được thay thế bởi người đã phát hành nó, và việc đặt lại mật khẩu tài khoản không gia hạn gì cả. Đối với kết nối công việc, hãy dùng kênh gia hạn mà tổ chức của bạn công bố; đối với dịch vụ lưu trữ, hãy đăng nhập vào cổng thông tin của nhà cung cấp qua một địa chỉ đã xác minh thay vì mở một tệp đính kèm tự nhận chứa hồ sơ mới. Một gói không được yêu cầu không đáng tin chỉ vì tên tệp của nó có nhắc đến VPN.

Nếu bạn vận hành máy chủ, hãy kiểm tra thông tin công khai và hồ sơ cấp phát trước khi thay thế tài liệu, vì việc thay đổi CA ảnh hưởng đến mọi máy khách tin cậy nó.

Gia hạn một danh tính không nên đòi hỏi phải thay thế hệ thống phân cấp tin cậy. Nếu ai đó đề xuất một CA mới để sửa một chiếc lá đã hết hạn, trước tiên hãy hỏi còn gì phụ thuộc vào cái cũ. Mô hình mà cả hai bên tuân theo RFC 5280 là các quy tắc hiệu lực và đường dẫn.

Khiến máy khách sử dụng bản thay thế

Tải một tệp xuống không phải là nhập nó. Hãy kiểm tra mục kết nối mà bạn thực sự chọn, và kiểm tra xem hồ sơ có tham chiếu đến các đường dẫn chứng chỉ bên ngoài mà bạn quên ghi đè hay không.

Giữ mục cũ hiển thị cho đến khi mục mới kết nối, rồi xóa nó để không ai chọn hồ sơ đã hết hạn theo thói quen. Kết nối lại và xác nhận rằng lỗi hết hạn cụ thể đã biến mất.

Nếu còn một lỗi TLS khác, hãy coi đó là vấn đề mới thay vì làm suy yếu cài đặt xác minh để vượt qua nó. Việc tài khoản bị từ chối hoặc thiếu tuyến sau khi gia hạn thành công là một lỗi riêng với cách khắc phục riêng.