It sertifikaat fan ’e poarte is yn oarder: wêrom’t IKEv2 PEAP-ynloggen dochs mislearret

It sertifikaat fan jo VPN-poarte is jildich, de keatling falidearret, en de IKEv2-klant wegert dochs de oanmelding mei in berjocht oer in jildichheidsperioade fan in sertifikaat. De earste ympuls is it poarte-sertifikaat opnij útjaan of de EAP-metoade te feroarjen, en beide binne meastentiids ferkeard. De oanmeldpoging draacht twa aparte tsjinner-identiteiten: it poarte-sertifikaat dat IKE brûkt, en it sertifikaat dat oanbean wurdt troch wat PEAP einiget. Ien fan harren is yn oarder, en de oare is de reden dat de klant stoppe.

Twa identiteiten, ien oanmeldpoging

It sertifikaat yn it VPN-profyl heart by de IKE-útwikseling: it bewissiget dat de poarte de peer is dy’t it profyl neamt, ûnder it konfigurearre IKE-belied. It sertifikaat dat hjir mislearret heart by in oar petear, de TLS-sesje dy’t PEAP iepenet mei wat de brûker autentisearret, faaks in RADIUS-tsjinner lykas NPS en net de poarte sels. In tredde kontrôle, de brûkerscredentials, bart binnen dy sesje. In jildich wachtwurd kin in ferrûn tsjinner-sertifikaat net reparearje, en in jildich poarte-sertifikaat kin net boargje foar it PEAP-einpunt.

Dizze laachopbou ferklearret wêrom’t in sertifikaatflater ferskynt op in plak dêr’t it iennige sertifikaat dat immen konfigurearre hie, dat fan ’e poarte wie. It ferklearret ek wêrom’t it opnij útjaan fan dat sertifikaat neat feroaret.

Lês de logrigel tsjin de faze

Fyn it berjocht dat de reden en de datums neamt. In klacht oer de jildichheidsperioade njonken in subjektflater betsjut dat de tsjinner it sertifikaat wegere dat er krige, net dat de brûker de oanmelding wegere. Fyn dan de faze: in strongSwan charon-log lit IKE_SA .* established sjen foardat de EAP-útwikseling begjint, dus in sertifikaatflater nei dy rigel heart by de EAP-identiteit, wylst in flater derfoar nei de poarte wiist. De fazetekst yn it ferbiningspaniel fan in Windows-klant seit itselde.

Kontrolearje de klok fan de klant foardat jo hokker sertifikaat dan ek oanreitsje. In apparaat dat oeren mis is, jout deselde jildichheidsflater as in wier ferrûn sertifikaat. De klok weromsette is in fix fan fiif sekonden, en in sertifikaat ferfange dat nea it probleem wie, is in steuring.

Fyn hokker einpunt PEAP einiget

Yn in ûntwerp fan poarte plus RADIUS stjoert de poarte EAP troch en einiget it net. De eap-radius-plug-in fan strongSwan jout de útwikseling oan de RADIUS-tsjinner, dy’t de PEAP TLS-sesje en syn sertifikaat besit. Korrelaasje ien mislearre poging oer beide logs en befêstigje hokker proses eins in sertifikaat foar dy sesje keas.

Foar NPS moat it sertifikaat yn ’e opslach fan ’e lokale kompjûter stean, it doel tsjinner-autentikaasje drage, oerienkomme mei de namme dy’t klanten ferwachtsje, en lêsber wêze foar it tsjinstaccount. De Microsoft-sertifikaateasken foar NPS listje dy betingsten op. Oare EAP-tsjinners hawwe har eigen seleksjeregels, dus kopiearje NPS-bizonderheden net nei in FreeRADIUS-ynstallaasje of oarsom. De regel dy’t yn beide gefallen jildt, is dat it einpunt dat PEAP einiget it sertifikaat besit dat jo op it punt steane te feroarjen.

Ferfange it sertifikaat dêr’t EAP einiget

Fernij of ferfange it sertifikaat op it einpunt dat PEAP einiget, fia it stipe proses, en behâld it doel tsjinner-autentikaasje en de ferwachte namme. Ynstallearje de folsleine keatling dêr’t de tsjinst dy siket en jou de tsjinst tagong ta de partikuliere kaai. Start de tsjinst opnij of ferbin opnij, want in protte tsjinsten hâlde it âlde sertifikaat yn it ûnthâld en bliuwe it oanbiede. In bestân dat nei de masine kopiearre is, bewissiget neat oer hokker sertifikaat de tsjinst eins oanbiedt.

Befêstigje de feroaring troch de folgjende poging te korrelaasjen mei it eigen log fan ’e tsjinst, of troch it sertifikaat te besjen dat de sesje oanbea. As dat log noch de âlde thumbprint sjen lit, hat de werstart net wurke.

Gean der net fan út dat it nijste bestân yn in map it iene is dat brûkt wurdt. In kopy mei de goede namme en de ferkearde rjochten feroaret neat. Beoardielje de feroaring oan ’e oanbeane identiteit, net oan in tiidstempel fan in bestân.

Wat net te dwaan

Skeakelje PEAP-falidaasje net út en twing gjin swakker ynterne metoade ôf om by de flater lâns te kommen. Dat feroaret it belied en hellet de eigenskip tsjinner-autentikaasje wei dy’t it ferrûne sertifikaat ynearsten pakte. Jo soene in wurkjende kontrôle ruilje foar in wurkjende ferbining, en it folgjende ferrûne sertifikaat soe oankomme sûnder eat dat it oankundiget.

Besjoch in slagge ferbining fan in oar bestjoeringssysteem net as bewiis dat it sertifikaat akseptabel is. Dy klant brûkt miskien in oare EAP-metoade, in oare fertrouwensopslach of hielendal gjin tsjinner-falidaasje, dus syn súkses seit neat oer de kontrôle dy’t hjir mislearre. Hâld ien bewuste negative test, lykas in sertifikaat mei de ferkearde namme of in net-fertroude keatling, dy’t mislearret sa’t ferwachte. As dy test no slagget, hawwe jo in kontrôle fuortsmiten ynstee fan in sertifikaat reparearre. Skriuw op hokker identiteit mislearre, sadat de folgjende persoan net wer mei it poarte-sertifikaat begjint.