Το πιστοποιητικό της πύλης είναι εντάξει: γιατί η σύνδεση IKEv2 PEAP εξακολουθεί να αποτυγχάνει

Το πιστοποιητικό της πύλης VPN σας είναι έγκυρο, η αλυσίδα επικυρώνεται, και ο πελάτης IKEv2 εξακολουθεί να αρνείται τη σύνδεση με μήνυμα για διάστημα ισχύος πιστοποιητικού. Η πρώτη παρόρμηση είναι να εκδώσετε ξανά το πιστοποιητικό της πύλης ή να αλλάξετε μέθοδο EAP, και τα δύο συνήθως είναι λάθος. Η προσπάθεια σύνδεσης φέρει δύο ξεχωριστές ταυτότητες διακομιστή: το πιστοποιητικό της πύλης που χρησιμοποιεί το IKE, και το πιστοποιητικό που παρουσιάζει ό,τι τερματίζει το PEAP. Το ένα είναι εντάξει, και το άλλο είναι ο λόγος που σταμάτησε ο πελάτης.

Δύο ταυτότητες, μία προσπάθεια σύνδεσης

Το πιστοποιητικό στο προφίλ VPN ανήκει στην ανταλλαγή IKE: αποδεικνύει ότι η πύλη είναι ο ομότιμος που ονομάζει το προφίλ, σύμφωνα με την ρυθμισμένη πολιτική IKE. Το πιστοποιητικό που αποτυγχάνει εδώ ανήκει σε άλλη συνομιλία, στη συνεδρία TLS που ανοίγει το PEAP με ό,τι ταυτοποιεί τον χρήστη, που συχνά είναι διακομιστής RADIUS όπως το NPS και όχι η ίδια η πύλη. Ένας τρίτος έλεγχος, τα διαπιστευτήρια του χρήστη, γίνεται μέσα σε εκείνη τη συνεδρία. Ένας έγκυρος κωδικός δεν μπορεί να επισκευάσει ένα ληγμένο πιστοποιητικό διακομιστή, και ένα έγκυρο πιστοποιητικό πύλης δεν μπορεί να εγγυηθεί για το τελικό σημείο PEAP.

Αυτή η στρωμάτωση εξηγεί γιατί εμφανίζεται σφάλμα πιστοποιητικού σε σημείο όπου το μόνο πιστοποιητικό που είχε ρυθμιστεί ήταν της πύλης. Εξηγεί επίσης γιατί η επανέκδοση εκείνου του πιστοποιητικού δεν αλλάζει τίποτα.

Διαβάστε τη γραμμή του αρχείου καταγραφής ως προς το στάδιο

Βρείτε το μήνυμα που ονομάζει την αιτία και τις ημερομηνίες. Μια αναφορά για διάστημα ισχύος δίπλα σε σφάλμα υποκειμένου σημαίνει ότι ο διακομιστής απέρριψε το πιστοποιητικό που του δόθηκε, όχι ότι ο χρήστης απέρριψε τη σύνδεση. Στη συνέχεια βρείτε το στάδιο: το αρχείο charon του strongSwan δείχνει IKE_SA .* established πριν ξεκινήσει η ανταλλαγή EAP, άρα σφάλμα πιστοποιητικού μετά από αυτή τη γραμμή ανήκει στην ταυτότητα EAP, ενώ σφάλμα πριν από αυτή δείχνει την πύλη. Το κείμενο σταδίου στο παράθυρο σύνδεσης ενός πελάτη Windows λέει το ίδιο.

Ελέγξτε το ρολόι του πελάτη πριν αγγίξετε οποιοδήποτε πιστοποιητικό. Μια συσκευή που αποκλίνει ώρες παράγει το ίδιο σφάλμα ισχύος με ένα πραγματικά ληγμένο πιστοποιητικό. Η ρύθμιση του ρολογιού είναι διόρθωση πέντε δευτερολέπτων, και η αντικατάσταση πιστοποιητικού που δεν ήταν ποτέ το πρόβλημα είναι διακοπή λειτουργίας.

Βρείτε ποιο τελικό σημείο τερματίζει το PEAP

Σε σχεδιασμό πύλης συν RADIUS, η πύλη προωθεί το EAP και δεν το τερματίζει. Το πρόσθετο eap-radius του strongSwan παραδίδει την ανταλλαγή στον διακομιστή RADIUS, που κατέχει τη συνεδρία TLS του PEAP και το πιστοποιητικό της. Συσχετίστε μια αποτυχημένη προσπάθεια και στα δύο αρχεία καταγραφής και επιβεβαιώστε ποια διεργασία επέλεξε πραγματικά πιστοποιητικό για εκείνη τη συνεδρία.

Για το NPS το πιστοποιητικό πρέπει να βρίσκεται στο χώρο αποθήκευσης του τοπικού υπολογιστή, να φέρει σκοπό ταυτοποίησης διακομιστή, να ταιριάζει με το όνομα που περιμένουν οι πελάτες και να είναι αναγνώσιμο από τον λογαριασμό υπηρεσίας. Οι απαιτήσεις πιστοποιητικών της Microsoft για το NPS απαριθμούν αυτούς τους όρους. Άλλοι διακομιστές EAP έχουν δικούς τους κανόνες επιλογής, οπότε μην αντιγράφετε τις ιδιαιτερότητες του NPS σε εγκατάσταση FreeRADIUS ούτε αντίστροφα. Ο κανόνας που ισχύει και στις δύο περιπτώσεις είναι ότι το τελικό σημείο που τερματίζει το PEAP κατέχει το πιστοποιητικό που πρόκειται να αλλάξετε.

Αντικαταστήστε το πιστοποιητικό εκεί όπου τερματίζει το EAP

Ανανεώστε ή αντικαταστήστε το πιστοποιητικό στο τελικό σημείο που τερματίζει το PEAP, μέσω της υποστηριζόμενης διαδικασίας, διατηρώντας τον σκοπό ταυτοποίησης διακομιστή και το αναμενόμενο όνομα. Εγκαταστήστε την πλήρη αλυσίδα εκεί όπου την αναζητά η υπηρεσία και δώστε στην υπηρεσία πρόσβαση στο ιδιωτικό κλειδί. Επανεκκινήστε ή επανασυνδέστε την υπηρεσία, γιατί πολλές υπηρεσίες κρατούν το παλιό πιστοποιητικό στη μνήμη και συνεχίζουν να το παρουσιάζουν. Ένα αρχείο αντιγραμμένο στον υπολογιστή δεν αποδεικνύει τίποτα για το ποιο πιστοποιητικό παρουσιάζει πραγματικά η υπηρεσία.

Επιβεβαιώστε την αλλαγή συσχετίζοντας την επόμενη προσπάθεια με το δικό της αρχείο καταγραφής της υπηρεσίας ή εξετάζοντας το πιστοποιητικό που παρουσίασε η συνεδρία. Αν εκείνο το αρχείο δείχνει ακόμη το παλιό αποτύπωμα, η επανεκκίνηση δεν έπιασε.

Μην υποθέσετε ότι το νεότερο αρχείο σε έναν κατάλογο είναι αυτό που χρησιμοποιείται. Ένα αντίγραφο με το σωστό όνομα και τα λάθος δικαιώματα δεν αλλάζει τίποτα. Κρίνετε την αλλαγή από την ταυτότητα που παρουσιάζεται, όχι από τη χρονική σήμανση ενός αρχείου.

Τι να μην κάνετε

Μην απενεργοποιήσετε την επικύρωση PEAP και μην επιβάλετε ασθενέστερη εσωτερική μέθοδο για να ξεπεράσετε το σφάλμα. Αυτό αλλάζει την πολιτική και αφαιρεί την ιδιότητα ταυτοποίησης διακομιστή που έπιασε εξαρχής το ληγμένο πιστοποιητικό. Θα ανταλλάσσατε έναν έλεγχο που λειτουργεί με μια σύνδεση που λειτουργεί, και το επόμενο ληγμένο πιστοποιητικό θα ερχόταν χωρίς τίποτα να το αναγγείλει.

Μην θεωρήσετε μια επιτυχημένη σύνδεση άλλου λειτουργικού συστήματος απόδειξη ότι το πιστοποιητικό είναι αποδεκτό. Εκείνος ο πελάτης μπορεί να χρησιμοποιεί άλλη μέθοδο EAP, άλλο χώρο αποθήκευσης εμπιστοσύνης ή καθόλου επικύρωση διακομιστή, οπότε η επιτυχία του δεν λέει τίποτα για τον έλεγχο που απέτυχε εδώ. Κρατήστε μία σκόπιμη αρνητική δοκιμή, όπως πιστοποιητικό με λάθος όνομα ή μη αξιόπιστη αλυσίδα, που αποτυγχάνει όπως αναμένεται. Αν αυτή η δοκιμή περνά τώρα, αφαιρέσατε έναν έλεγχο αντί να διορθώσετε πιστοποιητικό. Σημειώστε ποια ταυτότητα απέτυχε, ώστε ο επόμενος να μην ξεκινήσει πάλι με το πιστοποιητικό της πύλης.