Şlüz sertifikatı qaydasındadır: IKEv2 PEAP girişi niyə yenə də uğursuz olur

VPN şlüzünüzün sertifikatı qüvvədədir, zəncir yoxlanılır, amma IKEv2 müştərisi sertifikatın etibarlılıq müddəti barədə mesajla girişi yenə də rədd edir. İlk instinkt şlüz sertifikatını yenidən buraxmaq və ya EAP metodunu dəyişməkdir, və hər ikisi adətən səhvdir. Giriş cəhdi iki ayrı server kimliyi daşıyır: IKE-in istifadə etdiyi şlüz sertifikatı və PEAP-ı sonlandıranın təqdim etdiyi sertifikat. Onlardan biri qaydasındadır, digəri isə müştərinin dayanmasının səbəbidir.

İki kimlik, bir giriş cəhdi

VPN profilindəki sertifikat IKE mübadiləsinə aiddir: konfiqurasiya edilmiş IKE siyasəti çərçivəsində şlüzün profilin göstərdiyi həmsöhbət olduğunu sübut edir. Burada uğursuz olan sertifikat başqa bir söhbətə aiddir, yəni PEAP-ın istifadəçini autentifikasiya edən tərəflə açdığı TLS sessiyasına; bu, çox vaxt şlüzün özü deyil, NPS kimi RADIUS serveri olur. Üçüncü yoxlama, istifadəçi məlumatları, həmin sessiyanın içində baş verir. Düzgün parol vaxtı keçmiş server sertifikatını bərpa edə bilməz, düzgün şlüz sertifikatı isə PEAP son nöqtəsinə zəmanət verə bilməz.

Bu qatlanma sertifikat xətasının, kimsənin konfiqurasiya etdiyi yeganə sertifikatın şlüzünkü olduğu yerdə niyə göründüyünü izah edir. Həm də o sertifikatın yenidən buraxılmasının niyə heç nəyi dəyişmədiyini izah edir.

Log sətrini mərhələ ilə tutuşdurun

Səbəbi və tarixləri göstərən mesajı tapın. Etibarlılıq müddəti ilə bağlı şikayətin subyekt xətası ilə yanaşı gəlməsi serverin ona verilən sertifikatı rədd etdiyini bildirir, istifadəçinin girişi rədd etdiyini yox. Sonra mərhələni müəyyənləşdirin: strongSwan charon logu EAP mübadiləsi başlamazdan əvvəl IKE_SA .* established göstərir, ona görə də bu sətirdən sonrakı sertifikat xətası EAP kimliyinə aiddir, ondan əvvəlki xəta isə şlüzü göstərir. Windows müştərisinin bağlantı panelindəki mərhələ mətni də eyni şeyi deyir.

Hər hansı sertifikata toxunmazdan əvvəl müştərinin saatını yoxlayın. Saatı saatlarla səhv olan cihaz, həqiqətən vaxtı keçmiş sertifikatla eyni etibarlılıq xətasını verir. Saatı sıfırlamaq beş saniyəlik düzəlişdir, heç vaxt problem olmayan sertifikatı dəyişmək isə dayanmadır.

PEAP-ı hansı son nöqtənin sonlandırdığını tapın

Şlüz-üstəgəl-RADIUS dizaynında şlüz EAP-ı ötürür və onu sonlandırmır. strongSwan-ın eap-radius plaqini mübadiləni RADIUS serverinə verir, PEAP TLS sessiyası və onun sertifikatı həmin serverə məxsusdur. Bir uğursuz cəhdi hər iki log üzrə əlaqələndirin və hansı prosesin o sessiya üçün sertifikat seçdiyini təsdiqləyin.

NPS üçün sertifikat yerli kompüter anbarında olmalı, server autentifikasiyası məqsədi daşımalı, müştərilərin gözlədiyi adla uyğunlaşmalı və xidmət hesabı tərəfindən oxuna bilməlidir. NPS üçün Microsoft sertifikat tələbləri həmin şərtləri sadalayır. Digər EAP serverlərinin öz seçim qaydaları var, ona görə NPS-ə xas detalları FreeRADIUS quraşdırmasına və ya əksinə köçürməyin. Hər iki quruluşda keçərli qayda budur: PEAP-ı sonlandıran son nöqtə dəyişmək istədiyiniz sertifikata sahibdir.

Sertifikatı EAP-ın sonlandığı yerdə dəyişin

PEAP-ı sonlandıran son nöqtədə sertifikatı dəstəklənən proseslə yeniləyin və ya dəyişin, server autentifikasiyası məqsədini və gözlənilən adı saxlayın. Tam zənciri xidmətin axtardığı yerə quraşdırın və xidmətə şəxsi açar üçün giriş verin. Xidməti yenidən başladın və ya yenidən bağlayın, çünki bir çox xidmət köhnə sertifikatı yaddaşda saxlayır və onu təqdim etməyə davam edir. Maşına kopyalanmış fayl xidmətin əslində hansı sertifikatı təqdim etdiyini sübut etmir.

Dəyişikliyi növbəti cəhdi xidmətin öz logu ilə əlaqələndirməklə və ya sessiyanın təqdim etdiyi sertifikata baxmaqla təsdiqləyin. Əgər həmin log hələ də köhnə barmaq izini göstərirsə, yenidən başlatma baş tutmayıb.

Kataloqdakı ən yeni faylın istifadədə olan fayl olduğunu güman etməyin. Düzgün adlı və səhv icazəli köçürmə heç nəyi dəyişmir. Dəyişikliyi faylın zaman damğasına görə deyil, təqdim olunan kimliyə görə qiymətləndirin.

Nə etməməli

Xətanı keçmək üçün PEAP yoxlamasını söndürməyin və ya daha zəif daxili metod tətbiq etməyin. Bu, siyasəti dəyişir və vaxtı keçmiş sertifikatı ilk növbədə tutan server autentifikasiyası xassəsini aradan qaldırır. İşləyən yoxlamanı işləyən bağlantı ilə dəyişmiş olardınız, növbəti vaxtı keçmiş sertifikat isə heç nə xəbər vermədən gələrdi.

Başqa əməliyyat sisteminin uğurlu bağlantısını sertifikatın məqbul olduğuna sübut saymayın. Həmin müştəri fərqli EAP metodu, fərqli etibar anbarı və ya ümumiyyətlə server yoxlaması istifadə edə bilər, ona görə onun uğuru burada uğursuz olan yoxlama barədə heç nə demir. Səhv adlı sertifikat və ya etibarsız zəncir kimi bir qəsdən mənfi testi gözlənildiyi kimi uğursuz saxlayın. Əgər həmin test indi keçirsə, siz sertifikat düzəltmək əvəzinə yoxlamanı silmisiniz. Hansı kimliyin uğursuz olduğunu yazın ki, növbəti şəxs yenidən şlüz sertifikatından başlamasın.