Դարպասի վկայականը կարգին է՝ ինչու IKEv2 PEAP մուտքը դեռ ձախողվում է

Ձեր VPN դարպասի վկայականը գործող է, շղթան վավերացվում է, և IKEv2 հաճախորդը դեռ մերժում է մուտքը՝ վկայականի վավերականության միջակայքի մասին հաղորդագրությամբ։ Առաջին բնազդը դարպասի վկայականը նորից թողարկելն է կամ EAP մեթոդը փոխելը, և երկուսն էլ սովորաբար սխալ են։ Մուտքի փորձը կրում է երկու առանձին սերվերի ինքնություն՝ IKE-ի օգտագործած դարպասի վկայականը և այն վկայականը, որը ներկայացնում է PEAP-ը ավարտողը։ Դրանցից մեկը կարգին է, իսկ մյուսն է պատճառը, թե ինչու հաճախորդը կանգ առավ։

Երկու ինքնություն, մեկ մուտքի փորձ

VPN պրոֆիլի վկայականը պատկանում է IKE փոխանակմանը՝ այն ապացուցում է, որ դարպասը այն գործընկերն է, ում նշում է պրոֆիլը, կարգավորված IKE քաղաքականության ներքո։ Այստեղ ձախողվող վկայականը պատկանում է այլ զրույցի՝ այն TLS սեսիային, որը PEAP-ը բացում է օգտատիրոջը նույնականացնողի հետ, որը հաճախ NPS-ի նման RADIUS սերվեր է, այլ ոչ թե ինքը դարպասը։ Երրորդ ստուգումը՝ օգտատիրոջ հավատարմագրերը, տեղի է ունենում հենց այդ սեսիայի ներսում։ Վավեր գաղտնաբառը չի կարող վերանորոգել ժամկետանց սերվերի վկայականը, և վավեր դարպասի վկայականը չի կարող երաշխավորել PEAP վերջնակետի համար։

Այս շերտավորումը բացատրում է, թե ինչու վկայականի սխալը հայտնվում է այնտեղ, որտեղ միակ կարգավորված վկայականը դարպասինն էր։ Այն նաև բացատրում է, թե ինչու այդ վկայականի վերաթողարկումը ոչինչ չի փոխում։

Կարդացեք մատյանի տողը ըստ փուլի

Գտեք հաղորդագրությունը, որը նշում է պատճառը և ամսաթվերը։ Վավերականության միջակայքի բողոքը սուբյեկտի սխալի կողքին նշանակում է, որ սերվերը մերժել է իրեն տրված վկայականը, այլ ոչ թե օգտատերը մերժել է մուտքը։ Այնուհետև գտեք փուլը՝ strongSwan-ի charon մատյանը ցույց է տալիս IKE_SA .* established նախքան EAP փոխանակման սկիզբը, ուստի այդ տողից հետո վկայականի սխալը պատկանում է EAP ինքնությանը, մինչդեռ դրանից առաջ սխալը մատնանշում է դարպասը։ Windows հաճախորդի միացման վահանակի փուլի տեքստը նույնն է ասում։

Ստուգեք հաճախորդի ժամացույցը նախքան որևէ վկայականի դիպչելը։ Ժամերով շեղված սարքը տալիս է նույն վավերականության սխալը, ինչ իսկապես ժամկետանց վկայականը։ Ժամացույցը կարգավորելը հինգ վայրկյանանոց ուղղում է, իսկ այն վկայականի փոխարինումը, որը երբեք խնդիրը չի եղել, ընդհատում է։

Պարզեք, թե որ վերջնակետն է ավարտում PEAP-ը

Դարպաս գումարած RADIUS կառուցվածքում դարպասը փոխանցում է EAP-ը և չի ավարտում այն։ strongSwan-ի eap-radius պլագինը փոխանակումը հանձնում է RADIUS սերվերին, որը տիրապետում է PEAP TLS սեսիային և դրա վկայականին։ Համադրեք մեկ ձախողված փորձը երկու մատյաններում և հաստատեք, թե որ գործընթացն է իրականում վկայական ընտրել այդ սեսիայի համար։

NPS-ի համար վկայականը պետք է լինի տեղական համակարգչի պահոցում, կրի սերվերի նույնականացման նպատակը, համապատասխանի այն անվանը, որն ակնկալում են հաճախորդները, և ընթեռնելի լինի ծառայության հաշվի համար։ NPS-ի համար Microsoft-ի վկայականի պահանջները թվարկում են այդ պայմանները։ Այլ EAP սերվերներն ունեն իրենց ընտրության կանոնները, ուստի մի պատճենեք NPS-ի առանձնահատկությունները FreeRADIUS տեղակայման մեջ կամ հակառակը։ Կանոնը, որը պահպանվում է երկու դեպքում էլ, այն է, որ PEAP-ը ավարտող վերջնակետը տիրապետում է այն վկայականին, որը դուք պատրաստվում եք փոխել։

Փոխարինեք վկայականը այնտեղ, որտեղ ավարտվում է EAP-ը

Թարմացրեք կամ փոխարինեք վկայականը PEAP-ը ավարտող վերջնակետում՝ աջակցվող ընթացակարգով, պահպանելով սերվերի նույնականացման նպատակը և սպասվող անունը։ Տեղադրեք ամբողջ շղթան այնտեղ, որտեղ ծառայությունը փնտրում է այն, և ծառայությանը տվեք մուտք դեպի մասնավոր բանալին։ Վերագործարկեք կամ նորից կապեք ծառայությունը, քանի որ շատ ծառայություններ հին վկայականը պահում են հիշողության մեջ և շարունակում ներկայացնել այն։ Մեքենայի վրա պատճենված ֆայլը ոչինչ չի ապացուցում այն մասին, թե որ վկայականն է ծառայությունն իրականում ներկայացնում։

Հաստատեք փոփոխությունը՝ համադրելով հաջորդ փորձը ծառայության սեփական մատյանի հետ կամ ստուգելով այն վկայականը, որը ներկայացրել է սեսիան։ Եթե այդ մատյանը դեռ ցույց է տալիս հին մատնահետքը, վերագործարկումը չի ազդել։

Մի՛ ենթադրեք, որ պանակի ամենանոր ֆայլն է օգտագործվողը։ Ճիշտ անունով և սխալ թույլտվություններով պատճենը ոչինչ չի փոխում։ Դատեք փոփոխությունը ներկայացված ինքնությամբ, այլ ոչ թե ֆայլի ժամանակի դրոշմով։

Ինչ չանել

Մի՛ անջատեք PEAP վավերացումը և մի՛ պարտադրեք ավելի թույլ ներքին մեթոդ՝ սխալը շրջանցելու համար։ Դա փոխում է քաղաքականությունը և հեռացնում սերվերի նույնականացման հատկությունը, որն ի սկզբանե բռնել էր ժամկետանց վկայականը։ Դուք կփոխանակեիք աշխատող ստուգումը աշխատող կապի հետ, և հաջորդ ժամկետանց վկայականը կգար առանց որևէ բանի, որ կհայտարարեր դրա մասին։

Այլ օպերացիոն համակարգի հաջող կապը մի՛ համարեք վկայականի ընդունելի լինելու ապացույց։ Այդ հաճախորդը կարող է օգտագործել այլ EAP մեթոդ, այլ վստահության պահոց կամ ընդհանրապես առանց սերվերի վավերացման, ուստի նրա հաջողությունը ոչինչ չի ասում այստեղ ձախողված ստուգման մասին։ Պահեք մեկ դիտավորյալ բացասական թեստ, օրինակ՝ սխալ անունով վկայական կամ ոչ վստահելի շղթա, որը ձախողվում է ինչպես սպասվում էր։ Եթե այդ թեստը հիմա անցնում է, դուք հեռացրել եք ստուգում, այլ ոչ թե ուղղել վկայական։ Գրեք, թե որ ինքնությունը ձախողվեց, որպեսզի հաջորդ մարդը նորից չսկսի դարպասի վկայականից։