Клиент не может подключиться к OpenVPN серверу, в логах появляется ошибка:

• Сообщение: TLS Error: TLS signature verification failed или VERIFY ERROR: depth=0, error=certificate has expired.
• Клиенты отключаются после планового наступления даты окончания сертификата CA или Server/Client cert.
• Ошибка возникает внезапно на всех клиентах одновременно или только на конкретном пользователе.

1. Архитектура PKI (Public Key Infrastructure) в OpenVPN

OpenVPN проверяет цепочку доверия X.509: Сертификат удостоверяющего центра (CA) -> Сертификат сервера / Сертификат клиента. Если текущее системное время на шлюзе или клиенте выходит за рамки интервала Not Before — Not After любого из сертификатов цепочки, OpenSSL немедленно прерывает рукопожатие со статусом certificate has expired.

2. Проверка срока действия сертификатов утилитой OpenSSL

# Проверка даты окончания клиентского сертификата
openssl x509 -in client.crt -noout -dates

# Проверка сертификата сервера
openssl x509 -in server.crt -noout -dates

# Проверка корневого сертификата CA
openssl x509 -in ca.crt -noout -dates

Пример вывода:

notBefore=May  1 10:00:00 2023 GMT
notAfter=May  1 10:00:00 2024 GMT

3. Проверка системного времени и NTP

Часто сертификат валиден, но на сервере или клиенте сбились системные часы:

# Проверка времени и синхронизации NTP
timedatectl status

# Принудительная синхронизация
chronyc makestep || ntpdate pool.ntp.org

4. Перевыпуск клиентского сертификата через Easy-RSA

# Переход в директорию Easy-RSA на сервере управления PKI
cd /etc/openvpn/easy-rsa

# Выпуск нового сертификата взамен истекшего
./easyrsa build-client-full client_username nopass

# Экспорт нового сертификата и приватного ключа клиенту

5. Продление сертификата Certificate Authority (CA)

Если истек корневой CA, все выданные сертификаты становятся недействительными:

# Перевыпуск CA в Easy-RSA с увеличенным сроком действия
./easyrsa build-ca

# Обновление ca.crt на сервере и у ВСЕХ клиентов