Certifikat pristupnika je ispravan: zašto IKEv2 PEAP prijava i dalje ne uspijeva

Certifikat vašeg VPN pristupnika je važeći, lanac se provjerava, a IKEv2 klijent ipak odbija prijavu s porukom o razdoblju valjanosti certifikata. Prvi poriv je ponovno izdati certifikat pristupnika ili promijeniti EAP metodu, i oboje je obično pogrešno. Pokušaj prijave nosi dva odvojena identiteta poslužitelja: certifikat pristupnika koji koristi IKE i certifikat koji predstavlja onaj tko završava PEAP. Jedan od njih je ispravan, a drugi je razlog zašto je klijent stao.

Dva identiteta, jedan pokušaj prijave

Certifikat u VPN profilu pripada IKE razmjeni: dokazuje da je pristupnik onaj drugi sudionik kojeg profil navodi, prema konfiguriranoj IKE politici. Certifikat koji ovdje ne uspijeva pripada drugom razgovoru, TLS sesiji koju PEAP otvara s onim tko autentificira korisnika, a to je često RADIUS poslužitelj poput NPS-a, a ne sam pristupnik. Treća provjera, korisnički podaci, odvija se unutar te sesije. Važeća zaporka ne može popraviti istekli certifikat poslužitelja, a važeći certifikat pristupnika ne može jamčiti za PEAP krajnju točku.

Ovakvo slojevanje objašnjava zašto se greška certifikata pojavljuje na mjestu gdje je jedini konfigurirani certifikat bio onaj pristupnika. Objašnjava i zašto ponovno izdavanje tog certifikata ništa ne mijenja.

Čitajte redak dnevnika uz fazu

Pronađite poruku koja navodi razlog i datume. Pritužba na razdoblje valjanosti uz grešku o subjektu znači da je poslužitelj odbio certifikat koji je dobio, a ne da je korisnik odbio prijavu. Zatim pronađite fazu: charon dnevnik u strongSwanu pokazuje IKE_SA .* established prije početka EAP razmjene, pa greška certifikata nakon tog retka pripada EAP identitetu, dok greška prije njega upućuje na pristupnik. Tekst faze u oknu veze Windows klijenta govori isto.

Provjerite sat klijenta prije nego što dotaknete bilo koji certifikat. Uređaj koji kasni nekoliko sati daje istu grešku valjanosti kao istinski istekli certifikat. Ponovno postavljanje sata je popravak od pet sekundi, a zamjena certifikata koji nikada nije bio problem jest prekid rada.

Pronađite koja krajnja točka završava PEAP

U dizajnu pristupnik plus RADIUS pristupnik prosljeđuje EAP i ne završava ga. strongSwanov dodatak eap-radius predaje razmjenu RADIUS poslužitelju, koji posjeduje PEAP TLS sesiju i njezin certifikat. Povežite jedan neuspjeli pokušaj kroz oba dnevnika i potvrdite koji je proces doista odabrao certifikat za tu sesiju.

Za NPS certifikat mora biti u spremištu lokalnog računala, nositi namjenu provjere autentičnosti poslužitelja, odgovarati imenu kojem se klijenti nadaju i biti čitljiv servisnom računu. Microsoftovi zahtjevi za certifikate za NPS navode te uvjete. Drugi EAP poslužitelji imaju vlastita pravila odabira, pa ne kopirajte pojedinosti NPS-a u FreeRADIUS instalaciju ni obrnuto. Pravilo koje vrijedi u oba slučaja jest da krajnja točka koja završava PEAP posjeduje certifikat koji ćete promijeniti.

Zamijenite certifikat tamo gdje EAP završava

Obnovite ili zamijenite certifikat na krajnjoj točki koja završava PEAP, podržanim postupkom, zadržavajući namjenu provjere autentičnosti poslužitelja i očekivano ime. Instalirajte cijeli lanac tamo gdje ga usluga traži i dajte usluzi pristup privatnom ključu. Ponovno pokrenite ili ponovno povežite uslugu, jer mnoge usluge drže stari certifikat u memoriji i nastavljaju ga predstavljati. Datoteka kopirana na računalo ne dokazuje ništa o tome koji certifikat usluga zapravo predstavlja.

Potvrdite promjenu povezivanjem sljedećeg pokušaja s vlastitim dnevnikom usluge ili pregledom certifikata koji je sesija predstavila. Ako taj dnevnik još pokazuje stari otisak, ponovno pokretanje nije uspjelo.

Ne pretpostavljajte da je najnovija datoteka u mapi ona koja se koristi. Kopija s ispravnim imenom i pogrešnim dopuštenjima ne mijenja ništa. Promjenu procijenite po predstavljenom identitetu, a ne po vremenskoj oznaci datoteke.

Što ne činiti

Ne isključujte provjeru PEAP-a i ne prisiljavajte slabiju unutarnju metodu da biste zaobišli grešku. Time mijenjate politiku i uklanjate svojstvo provjere autentičnosti poslužitelja koje je i uhvatilo istekli certifikat. Zamijenili biste provjeru koja radi za vezu koja radi, a sljedeći istekli certifikat došao bi bez ičega što bi ga najavilo.

Ne uzimajte uspješnu vezu drugog operacijskog sustava kao dokaz da je certifikat prihvatljiv. Taj klijent može rabiti drugu EAP metodu, drugo spremište povjerenja ili uopće nikakvu provjeru poslužitelja, pa njegov uspjeh ne govori ništa o provjeri koja je ovdje neuspjela. Zadržite jedan namjerni negativni test, poput certifikata s pogrešnim imenom ili nepovjerljivog lanca, koji ne uspijeva kako se očekuje. Ako taj test sada prolazi, uklonili ste provjeru, a niste popravili certifikat. Zapišite koji identitet nije uspio, da sljedeća osoba ne počne opet s certifikatom pristupnika.