Закончился срок действия сертификата на веб-сервер

Проверить лог-файлы на наличие сообщений вида:

• /var/log/syslog

  May 29 09:39:51 astra apachectl[1712]: Action 'start' failed.
  May 29 09:39:51 astra apachectl[1712]: The Apache error log may have more information.
  May 29 09:39:51 astra systemd[1]: apache2.service: Control process exited, code=exited status=1
  May 29 09:39:51 astra systemd[1]: Failed to start The Apache HTTP Server.
  May 29 09:39:51 astra systemd[1]: apache2.service: Unit entered failed state.
  May 29 09:39:51 astra systemd[1]: apache2.service: Failed with result 'exit-code'.
  May 29 09:39:51 astra systemd[1]: Stopping Kerberos 5 Key Distribution Center...
  May 29 09:39:51 astra systemd[1]: Stopped Kerberos 5 Key Distribution Center.
  May 29 09:39:51 astra systemd[1]: Stopping Kerberos 5 Admin Server...
  May 29 09:39:51 astra systemd[1]: krb5-admin-server.service: Main process exited, code=exited, status=2/INVALIDARGUMENT
  May 29 09:39:51 astra systemd[1]: Stopped Kerberos 5 Admin Server.
  May 29 09:39:51 astra systemd[1]: krb5-admin-server.service: Unit entered failed state.
  May 29 09:39:51 astra systemd[1]: krb5-admin-server.service: Failed with result 'exit-code'.
  May 29 09:39:52 astra systemd[1]: Stopping BIND Domain Name Server with native PKCS#11...

  Copy

  CODE
   
• /var/log/apache2/error.log

  [Wed May 29 10:22:09.166202 2019] [:warn] [pid 1631] NSSSessionCacheTimeout is deprecated. Ignoring.
  [Wed May 29 10:22:09.251851 2019] [:error] [pid 1631] SSL Library Error: -8181 Certificate has expired
  [Wed May 29 10:22:09.251901 2019] [:error] [pid 1631] Unable to verify certificate 'astra.noname.rf'. Add "NSSEnforceValidCerts off" to nss.conf so the server can start until the problem can be resolved.

  Copy

  CODE
  
  
  

  Проблема начинается с того, что сервис apache2 не запускается, после этого останавливаются другие сервисы FreeIPA — dirsrv, kerberos, bind9-pkcs11.

Библиотека SSL возвращает ошибку о том, что срок действия сертификата истек:

# certutil -d /etc/apache2/nssdb/ -L

Certificate Nickname                                         Trust Attributes
                                                             SSL,S/MIME,JAR/XPI

CA Signing Certificate                                       C,,  
ipa-upd2.gtfo.rbt                                            u,u,u
root@ipa-upd2:/home/admin# certutil -d /etc/apache2/nssdb/ -L -n ipa-upd2.gtfo.rbt
Certificate:
    Data:
        Version: 1 (0x0)
        Serial Number:
            00:93:44:78:ae:18:ed:93:68
        Signature Algorithm: PKCS #1 SHA-256 With RSA Encryption
        Issuer: "CN=CA Signing Certificate"
        Validity:
            Not Before: Mon Jun 03 12:12:40 2019
            Not After : Wed Jul 03 12:12:40 2019
        Subject: "CN=ipa-upd2.gtfo.rbt"

Ошибка возникает в том случае, если системное время выходит за указанные в сертификате рамки (в примере — 18 строка).