La pordega atestilo estas en ordo: kial IKEv2 PEAP-ensaluto ankoraŭ malsukcesas

Via VPN-pordega atestilo estas valida, la ĉeno validiĝas, kaj la IKEv2-kliento tamen rifuzas la ensaluton per mesaĝo pri valideca intervalo de atestilo. La unua instinkto estas reeldoni la pordegan atestilon aŭ ŝanĝi la EAP-metodon, kaj ambaŭ estas kutime malĝustaj. La ensalutprovo portas du apartajn servilajn identojn: la pordegan atestilon, kiun uzas IKE, kaj la atestilon, kiun prezentas tio, kio finas PEAP. Unu el ili estas en ordo, kaj la alia estas la kialo, kial la kliento haltis.

Du identoj, unu ensalutprovo

La atestilo en la VPN-profilo apartenas al la IKE-interŝanĝo: ĝi pruvas, ke la pordego estas la kunulo, kiun la profilo nomas, laŭ la agordita IKE-politiko. La atestilo, kiu malsukcesas ĉi tie, apartenas al alia konversacio, la TLS-sesio, kiun PEAP malfermas kun tio, kio aŭtentikigas la uzanton, ofte RADIUS-servilo kiel NPS kaj ne la pordego mem. Tria kontrolo, la uzantaj akreditaĵoj, okazas ene de tiu sesio. Valida pasvorto ne povas ripari eksvalidiĝintan servilatestilon, kaj valida pordega atestilo ne povas garantii por la PEAP-finpunkto.

Ĉi tiu tavoligo klarigas, kial atestila eraro aperas en loko, kie la sola atestilo, kiun iu agordis, estis tiu de la pordego. Ĝi ankaŭ klarigas, kial reeldono de tiu atestilo ŝanĝas nenion.

Legu la protokollinion rilate al la etapo

Trovu la mesaĝon, kiu nomas la kaŭzon kaj la datojn. Plendo pri valideca intervalo apud subjekta eraro signifas, ke la servilo rifuzis la atestilon, kiun ĝi ricevis, ne ke la uzanto rifuzis la ensaluton. Poste trovu la etapon: la charon-protokolo de strongSwan montras IKE_SA .* established antaŭ ol komenciĝas la EAP-interŝanĝo, do atestila eraro post tiu linio apartenas al la EAP-idento, dum eraro antaŭ ĝi montras al la pordego. La etapa teksto en la konekta panelo de Windows-kliento diras la samon.

Kontrolu la horloĝon de la kliento antaŭ ol tuŝi ajnan atestilon. Aparato, kiu malĝustas je horoj, produktas la saman validecan eraron kiel vere eksvalidiĝinta atestilo. Ĝustigi la horloĝon estas kvin-sekunda ripeto, kaj anstataŭigi atestilon, kiu neniam estis la problemo, estas interrompo.

Trovu, kiu finpunkto finas PEAP

En aranĝo pordego plus RADIUS, la pordego plusendas EAP kaj ne finas ĝin. La kromaĵo eap-radius de strongSwan transdonas la interŝanĝon al la RADIUS-servilo, kiu posedas la PEAP TLS-sesion kaj ĝian atestilon. Koreligu unu malsukcesan provon en ambaŭ protokoloj kaj konfirmu, kiu procezo fakte elektis atestilon por tiu sesio.

Por NPS la atestilo devas esti en la konservejo de la loka komputilo, porti la celon servila aŭtentikigo, kongrui kun la nomo, kiun klientoj atendas, kaj esti legebla de la serva konto. La atestilaj postuloj de Microsoft por NPS listigas tiujn kondiĉojn. Aliaj EAP-serviloj havas proprajn elektojn regulojn, do ne kopiu la apartaĵojn de NPS en FreeRADIUS-instalaĵon aŭ inverse. La regulo, kiu validas en ambaŭ kazoj, estas, ke la finpunkto, kiu finas PEAP, posedas la atestilon, kiun vi baldaŭ ŝanĝos.

Anstataŭigu la atestilon tie, kie EAP finiĝas

Renovigu aŭ anstataŭigu la atestilon en la finpunkto, kiu finas PEAP, per la subtenata procezo, konservante la celon servila aŭtentikigo kaj la atendatan nomon. Instalu la plenan ĉenon tie, kie la servo serĉas ĝin, kaj donu al la servo aliron al la privata ŝlosilo. Restartigu aŭ religu la servon, ĉar multaj servoj tenas la malnovan atestilon en memoro kaj daŭre prezentas ĝin. Dosiero kopiita sur la maŝinon pruvas nenion pri tio, kiun atestilon la servo fakte prezentas.

Konfirmu la ŝanĝon koreligante la sekvan provon kun la propra protokolo de la servo, aŭ ekzamenante la atestilon, kiun la sesio prezentis. Se tiu protokolo ankoraŭ montras la malnovan fingrospuron, la restarto ne efikis.

Ne supozu, ke la plej nova dosiero en dosierujo estas tiu uzata. Kopio kun la ĝusta nomo kaj malĝustaj permesoj ŝanĝas nenion. Juĝu la ŝanĝon laŭ la prezentata idento, ne laŭ dosiera tempomarko.

Kion ne fari

Ne malŝaltu PEAP-validigon kaj ne trudu pli malfortan internan metodon por preterpasi la eraron. Tio ŝanĝas la politikon kaj forigas la servilan aŭtentikigan econ, kiu kaptis la eksvalidiĝintan atestilon unue. Vi interŝanĝus funkciantan kontrolon kontraŭ funkcianta konekto, kaj la sekva eksvalidiĝinta atestilo alvenus sen io, kio anoncus ĝin.

Ne traktu sukcesan konekton de alia operaciumo kiel pruvon, ke la atestilo estas akceptebla. Tiu kliento eble uzas alian EAP-metodon, alian fido-konservejon aŭ tute neniun servilan validigon, do ĝia sukceso diras nenion pri la kontrolo, kiu malsukcesis ĉi tie. Konservu unu intencan negativan teston, ekzemple atestilon kun malĝusta nomo aŭ nefidindan ĉenon, kiu malsukcesas kiel atendite. Se tiu testo nun pasas, vi forigis kontrolon anstataŭ ripari atestilon. Notu, kiu idento malsukcesis, por ke la sekva persono ne denove komencu per la pordega atestilo.