Vottorð gáttarinnar er í lagi: hvers vegna IKEv2 PEAP innskráning mistekst samt

Vottorð VPN-gáttarinnar er gilt, keðjan sannreynist, og IKEv2 biðlarinn neitar samt innskráningu með skilaboðum um gildistíma vottorðs. Fyrsta hvatir er að gefa út vottorð gáttarinnar aftur eða skipta um EAP aðferð, og hvort tveggja er venjulega rangt. Innskráningartilraunin ber tvö aðskilin auðkenni netþjóns: vottorð gáttarinnar sem IKE notar, og vottorðið sem það leggur fram sem endar PEAP. Annað þeirra er í lagi, og hitt er ástæðan fyrir því að biðlarinn stöðvaðist.

Tvö auðkenni, ein innskráningartilraun

Vottorðið í VPN sniðinu tilheyrir IKE skiptunum: það sannar að gáttin sé mótparturinn sem sniðið nefnir, samkvæmt stilltri IKE stefnu. Vottorðið sem mistekst hér tilheyrir öðru samtali, TLS lotunni sem PEAP opnar við það sem auðkennir notandann, sem er oft RADIUS netþjónn eins og NPS en ekki gáttin sjálf. Þriðja athugunin, skírteini notandans, fer fram inni í þeirri lotu. Gilt lykilorð getur ekki gert við útrunnnu netþjónsvottorði, og gilt vottorð gáttarinnar getur ekki ábyrgst PEAP endapunktinn.

Þessi lagskipting skýrir hvers vegna vottorðsvilla birtist á stað þar sem eina vottorðið sem einhver stillti var vottorð gáttarinnar. Hún skýrir líka hvers vegna endurútgáfa þess vottorðs breytir engu.

Lestu línu annálsins gegn stiginu

Finndu skilaboðin sem nefna ástæðuna og dagsetningarnar. Kvörtun um gildistíma við hlið viðfangsefnisvillu þýðir að netþjónninn hafnaði vottorðinu sem honum var gefið, ekki að notandinn hafi hafnað innskráningunni. Finndu síðan stigið: charon annáll strongSwan sýnir IKE_SA .* established áður en EAP skiptin hefjast, svo vottorðsvilla eftir þá línu tilheyrir EAP auðkenninu, en villa fyrir hana bendir á gáttina. Stigstextinn í tengipallbiðlarans í Windows segir það sama.

Athugaðu klukku biðlarans áður en þú snertir nokkurt vottorð. Tæki sem er klukkustundum skakkt gefur sömu gildistímavillu og vottorð sem er raunverulega útrunnið. Að stilla klukkuna er fimm sekúndna lagfæring, og að skipta út vottorði sem var aldrei vandamálið er niðurfelling.

Finndu hvaða endapunktur endar PEAP

Í uppsetningu með gátt og RADIUS sendir gáttin EAP áfram og endar það ekki. eap-radius viðbót strongSwan afhendir skiptin RADIUS netþjóninum, sem á PEAP TLS lotuna og vottorð hennar. Tengdu eina misheppnaða tilraun saman í báðum annálum og staðfestu hvaða ferli valdi í raun vottorð fyrir þá lotu.

Fyrir NPS verður vottorðið að vera í geymslu staðbundinnar tölvu, bera tilganginn netþjónsauðkenning, passa við nafnið sem biðlarar búast við, og vera læsilegt fyrir þjónustureikninginn. Vottorðskröfur Microsoft fyrir NPS telja upp þessi skilyrði. Aðrir EAP netþjónar hafa sínar eigin valreglur, svo ekki afrita sérstöðu NPS í FreeRADIUS uppsetningu eða öfugt. Reglan sem stendur í báðum tilvikum er að endapunkturinn sem endar PEAP á vottorðið sem þú ert að fara að breyta.

Skiptu vottorðinu út þar sem EAP endar

Endurnýjaðu eða skiptu út vottorðinu á endapunktinum sem endar PEAP, með studdu ferli, og haltu tilganginum netþjónsauðkenning og væntu nafni. Settu fullu keðjuna þar sem þjónustan leitar að henni og veittu þjónustunni aðgang að einkalyklinum. Endurræstu eða endurtengdu þjónustuna, því margar þjónustur halda gamla vottorðinu í minni og halda áfram að leggja það fram. Skrá sem er afrituð á vélina sannar ekkert um hvaða vottorð þjónustan leggur í raun fram.

Staðfestu breytinguna með því að tengja næstu tilraun við eigin annál þjónustunnar, eða með því að skoða vottorðið sem lotan lagði fram. Ef sá annáll sýnir enn gamla fingrafarið tók endurræsingin ekki.

Ekki gera ráð fyrir að nýjasta skráin í möppu sé sú sem er notuð. Afrit með rétta nafninu og röngum heimildum breytir engu. Dæmdu breytinguna eftir auðkenninu sem er lagt fram, ekki eftir tímarstimpli skráar.

Hvað á ekki að gera

Ekki slökkva á PEAP sannreyningu og ekki þvinga veikari innri aðferð til að komast fram hjá villunni. Það breytir stefnunni og fjarlægir eiginleikann netþjónsauðkenning sem greip útrunna vottorðið í fyrsta lagi. Þú myndir skipta á virkri athugun og virku sambandi, og næsta útrunna vottorð myndi koma án nokkurs sem tilkynnti það.

Ekki líta á vel heppnað samband annars stýrikerfis sem sönnun þess að vottorðið sé ásættanlegt. Sá biðlari gæti notað aðra EAP aðferð, aðra traustgeymslu eða enga netþjónssannreyningu, svo árangur hans segir ekkert um athugunina sem mistókst hér. Haltu einni viljandi neikvæðri prófun, eins og vottorði með rangt nafn eða ótraustri keðju, sem mistekst eins og búist var við. Ef sú prófun gengur nú upp hefurðu fjarlægt athugun frekar en lagað vottorð. Skrifaðu niður hvaða auðkenni mistókst, svo næsta manneskja byrji ekki aftur á vottorði gáttarinnar.