Pasabidearen ziurtagiria ondo dago: zergatik oraindik huts egiten duen IKEv2 PEAP saio-hasierak

Zure VPN pasabidearen ziurtagiria indarrean dago, katea baliozkotzen da, eta IKEv2 bezeroak oraindik uko egiten dio saio-hasierari ziurtagiri baten baliozkotasun-tarteari buruzko mezuarekin. Lehen bulkada pasabidearen ziurtagiria berriro jaulkitzea edo EAP metodoa aldatzea da, eta biak normalean oker daude. Saio-hasierako saiakerak bi zerbitzari-identitate bereizi daramatza: IKEk erabiltzen duen pasabidearen ziurtagiria, eta PEAP amaitzen duenak aurkezten duen ziurtagiria. Horietako bat ondo dago, eta bestea da bezeroa gelditu izanaren arrazoia.

Bi identitate, saio-hasierako saiakera bat

VPN profileko ziurtagiria IKE trukearena da: pasabidea profilean izendatutako kidea dela frogatzen du, konfiguratutako IKE politikaren arabera. Hemen huts egiten duen ziurtagiria beste elkarrizketa batena da, PEAPek erabiltzailea autentifikatzen duenarekin irekitzen duen TLS saioa, sarritan NPS bezalako RADIUS zerbitzaria eta ez pasabidea bera. Hirugarren egiaztapen bat, erabiltzailearen kredentziala, saio horren barruan gertatzen da. Pasahitz baliodunak ezin du iraungitako zerbitzari ziurtagiri bat konpondu, eta pasabide ziurtagiri baliodunak ezin du PEAP muturraren erantzukizuna hartu.

Geruzatze honek azaltzen du zergatik agertzen den ziurtagiri-errore bat inork konfiguratutako ziurtagiri bakarra pasabidearena zen lekuan. Berriro jaulkitzeak ezer aldatzen ez duela ere azaltzen du.

Irakurri log-lerroa etaparen arabera

Aurkitu arrazoia eta datak izendatzen dituen mezua. Baliozkotasun-tarteari buruzko kexa subjektu-errore baten ondoan egoteak esan nahi du zerbitzariak uko egin ziola eman zioten ziurtagiriari, ez erabiltzaileak saio-hasierari. Ondoren aurkitu etapa: strongSwanen charon logak IKE_SA .* established erakusten du EAP trukea hasi aurretik, beraz lerro horren ondorengo ziurtagiri-errorea EAP identitatearena da, eta aurrekoa pasabidera seinalatzen du. Windows bezero baten konexio-paneleko etapa testuak gauza bera dio.

Egiaztatu bezeroaren erlojua edozein ziurtagiriri ukitu aurretik. Ordu batzuk desbideratuta dituen gailuak benetan iraungitako ziurtagiri baten baliozkotasun-errore bera sortzen du. Erlojua doitzea bost segundoko konponketa da, eta inoiz arazoa izan ez zen ziurtagiri bat ordeztea etendura da.

Aurkitu zein muturrek amaitzen duen PEAP

Pasabide gehi RADIUS diseinuan, pasabideak EAP aurreratzen du eta ez du amaitzen. strongSwanen eap-radius plugineko trukea RADIUS zerbitzariari ematen dio, eta hark ditu PEAP TLS saioa eta haren ziurtagiria. Erlazionatu huts egindako saiakera bat bi logetan eta berretsi zein prozesuk aukeratu zuen ziurtagiria saio horretarako.

NPSrako ziurtagiriak ordenagailu lokalaren biltegian egon behar du, zerbitzariaren autentifikazio helburua izan, bezeroek espero duten izenarekin bat etorri eta zerbitzu-kontuarentzat irakurgarria izan. NPSrako Microsoften ziurtagiri-baldintzek baldintza horiek zerrendatzen dituzte. Beste EAP zerbitzariek beren hautapen-arauak dituzte, beraz ez kopiatu NPSren berezitasunik FreeRADIUS instalazio batera edo alderantziz. Bi kasuetan balio duen araua da PEAP amaitzen duen muturrak duela aldatu behar duzun ziurtagiria.

Ordeztu ziurtagiria EAP amaitzen den lekuan

Berritu edo ordeztu ziurtagiria PEAP amaitzen duen muturrean, onartutako prozesuaren bidez, zerbitzariaren autentifikazio helburua eta espero den izena mantenduz. Instalatu kate osoa zerbitzuak bilatzen duen lekuan eta eman zerbitzuari gako pribaturako sarbidea. Berrabiarazi edo berriz lotu zerbitzua, zerbitzu askok ziurtagiri zaharra memorian gordetzen baitute eta hura aurkezten jarraitzen dute. Makinara kopiatutako fitxategi batek ez du ezer frogatzen zerbitzuak benetan zein ziurtagiri aurkezten duenari buruz.

Berretsi aldaketa hurrengo saiakera zerbitzuaren beraren logarekin erlazionatuz edo saioak aurkeztu zuen ziurtagiria aztertuz. Log horrek oraindik hatz-marka zaharra erakusten badu, berrabiarazteak ez zuen funtzionatu.

Ez pentsatu direktorio bateko fitxategi berriena erabiltzen dena denik. Izen zuzena eta baimen okerrak dituen kopia batek ez du ezer aldatzen. Ebatzi aldaketa aurkeztutako identitatearen arabera, ez fitxategi baten denbora-markaren arabera.

Zer ez egin

Ez desgaitu PEAP baliozkotzea eta ez behartu barne-metodo ahulago bat errorea gainditzeko. Horrek politika aldatzen du eta iraungitako ziurtagiria lehenengo harrapatu zuen zerbitzari-autentifikazio propietatea kentzen du. Funtzionatzen duen egiaztapen bat funtzionatzen duen konexio baten truke aldatuko zenuke, eta hurrengo iraungitako ziurtagiria ezer iragarri gabe iritsiko litzateke.

Ez hartu beste sistema eragile baten konexio arrakastatsua ziurtagiria onargarria delako froga gisa. Bezero horrek beste EAP metodo bat, beste konfiantza-biltegi bat edo zerbitzariaren baliozkotzerik ez erabil dezake, beraz haren arrakastak ez du ezer esaten hemen huts egin zuen egiaztapenari buruz. Mantendu nahita egindako proba negatibo bat, hala nola izen okerreko ziurtagiria edo konfiantzarik gabeko katea, espero bezala huts egiten duena. Proba hori orain gainditzen bada, egiaztapen bat kendu duzu, ez ziurtagiri bat konpondu. Idatzi zein identitatek huts egin zuen, hurrengo pertsonak berriro pasabidearen ziurtagirirekin has ez dadin.