Mae tystysgrif y borth yn iawn: pam mae mewngofnodi IKEv2 PEAP yn dal i fethu

Mae tystysgrif eich porth VPN yn ddilys, mae’r gadwyn yn dilysu, ac eto mae’r cleient IKEv2 yn gwrthod y mewngofnodi â neges am gyfnod dilysrwydd tystysgrif. Y reddf yw ailddosbarthu tystysgrif y porth neu newid y dull EAP, ac mae’r ddau fel arfer yn anghywir. Mae’r ymgais fewngofnodi yn cario dau hunaniaeth gweinydd ar wahân: tystysgrif y porth a ddefnyddir gan IKE, a’r dystysgrif a gyflwynir gan bwy bynnag sy’n gorffen PEAP. Mae un ohonynt yn iawn, a’r llall yw’r rheswm y stopiodd y cleient.

Dau hunaniaeth, un ymgais fewngofnodi

Mae’r dystysgrif yn y proffil VPN yn perthyn i gyfnewid IKE: mae’n profi mai’r porth yw’r cymar a enwir gan y proffil, o dan y polisi IKE a ffurfweddwyd. Mae’r dystysgrif sy’n methu yma yn perthyn i sgwrs arall, sef y sesiwn TLS y mae PEAP yn ei hagor gyda’r hyn sy’n dilysu’r defnyddiwr, sef yn aml weinydd RADIUS fel NPS yn hytrach na’r porth ei hun. Mae trydydd gwiriad, sef manylion mewngofnodi’r defnyddiwr, yn digwydd y tu mewn i’r sesiwn honno. Ni all cyfrinair dilys drwsio tystysgrif gweinydd sydd wedi dod i ben, ac ni all tystysgrif borth ddilys warantu ar gyfer pen draw PEAP.

Mae’r haenu hwn yn esbonio pam mae gwall tystysgrif yn ymddangos mewn man lle mai’r unig dystysgrif a ffurfweddwyd oedd un y porth. Mae hefyd yn esbonio pam nad yw ailddosbarthu’r dystysgrif honno yn newid dim.

Darllenwch linell y log yn erbyn y cam

Dewch o hyd i’r neges sy’n enwi’r rheswm a’r dyddiadau. Mae cwyn am gyfnod dilysrwydd wrth ymyl gwall pwnc yn golygu bod y gweinydd wedi gwrthod y dystysgrif a roddwyd iddo, nid bod y defnyddiwr wedi gwrthod y mewngofnodi. Yna dewch o hyd i’r cam: mae log charon strongSwan yn dangos IKE_SA .* established cyn i’r cyfnewid EAP ddechrau, felly mae gwall tystysgrif ar ôl y llinell honno yn perthyn i hunaniaeth EAP, tra mae gwall o’i blaen yn pwyntio at y porth. Mae testun y cam ym mhanel cysylltu cleient Windows yn dweud yr un peth.

Gwiriwch gloc y cleient cyn cyffwrdd unrhyw dystysgrif. Mae dyfais sydd oriau ar goll yn cynhyrchu’r un gwall dilysrwydd â thystysgrif sydd wir wedi dod i ben. Mae ailosod y cloc yn atgyweiriad pum eiliad, ac mae disodli tystysgrif nad oedd erioed yn broblem yn amhariad.

Dewch o hyd i ba ben draw sy’n gorffen PEAP

Mewn cynllun porth a RADIUS, mae’r porth yn anfon EAP ymlaen ac nid yw’n ei orffen. Mae ategyn eap-radius strongSwan yn trosglwyddo’r cyfnewid i’r gweinydd RADIUS, sy’n berchen ar sesiwn TLS PEAP a’i thystysgrif. Cydberthynwch un ymgais aflwyddiannus ar draws y ddau log a chadarnhewch pa broses a ddewisodd dystysgrif ar gyfer y sesiwn honno.

Ar gyfer NPS rhaid i’r dystysgrif fod yn storfa’r cyfrifiadur lleol, bod â’r pwrpas dilysu gweinydd, gyfateb i’r enw y mae cleientiaid yn ei ddisgwyl, a bod yn ddarllenadwy i’r cyfrif gwasanaeth. Mae gofynion tystysgrif Microsoft ar gyfer NPS yn rhestru’r amodau hynny. Mae gan weinyddion EAP eraill eu rheolau dethol eu hunain, felly peidiwch â chopïo manylion NPS i osodiad FreeRADIUS nac i’r gwrthwyneb. Y rheol sy’n goroesi’r naill a’r llall yw mai’r pen draw sy’n gorffen PEAP sy’n berchen ar y dystysgrif rydych ar fin ei newid.

Disodlwch y dystysgrif lle mae EAP yn gorffen

Adnewyddwch neu ddisodlwch y dystysgrif ar y pen draw sy’n gorffen PEAP, drwy’r broses a gefnogir, gan gadw pwrpas dilysu gweinydd a’r enw disgwyliedig. Gosodwch y gadwyn gyflawn lle mae’r gwasanaeth yn chwilio amdani a rhowch fynediad i’r gwasanaeth at yr allwedd breifat. Ailgychwynnwch neu ailrwymwch y gwasanaeth, oherwydd mae llawer o wasanaethau’n cadw’r dystysgrif hen yn y cof ac yn parhau i’w chyflwyno. Nid yw ffeil a gopïwyd i’r peiriant yn profi dim am ba dystysgrif y mae’r gwasanaeth yn ei chyflwyno mewn gwirionedd.

Cadarnhewch y newid drwy gydberthyn yr ymgais nesaf â log y gwasanaeth ei hun, neu drwy archwilio’r dystysgrif a gyflwynodd y sesiwn. Os yw’r log hwnnw’n dal i ddangos yr hen olion bysedd, ni lwyddodd yr ailgychwyn.

Peidiwch â chymryd yn ganiataol mai’r ffeil diweddaraf mewn cyfeiriadur yw’r un a ddefnyddir. Nid yw copi â’r enw cywir a’r caniatâd anghywir yn newid dim. Barnwch y newid wrth yr hunaniaeth a gyflwynir, nid wrth stamp amser ffeil.

Beth i beidio â’i wneud

Peidiwch ag analluogi dilysu PEAP nac yn gorfodi dull mewnol gwannach i fynd heibio’r gwall. Mae hynny’n newid y polisi ac yn tynnu’r briodwedd dilysu gweinydd a ddaliodd y dystysgrif sydd wedi dod i ben yn y lle cyntaf. Byddech yn cyfnewid gwiriad sy’n gweithio am gysylltiad sy’n gweithio, a byddai’r dystysgrif nesaf sydd wedi dod i ben yn cyrraedd heb ddim i’w chyhoeddi.

Peidiwch â chymryd cysylltiad llwyddiannus system weithredu arall yn brawf bod y dystysgrif yn dderbyniol. Gall y cleient hwnnw ddefnyddio dull EAP gwahanol, storfa ymddiriedaeth wahanol neu ddim dilysu gweinydd o gwbl, felly nid yw ei lwyddiant yn dweud dim am y gwiriad a fethodd yma. Cadwch un prawf negyddol bwriadol, fel tystysgrif ag enw anghywir neu gadwyn anghyfrifadwy, yn methu fel y disgwyliwyd. Os yw’r prawf hwnnw nawr yn pasio, rydych wedi tynnu gwiriad yn hytrach na thrwsio tystysgrif. Nodwch pa hunaniaeth a fethodd, fel na fydd y person nesaf yn dechrau eto gyda thystysgrif y porth.