Шлюз сертификаты дұрыс: неге IKEv2 PEAP кіруі әлі де сәтсіз

VPN шлюзінің сертификаты жарамды, тізбек тексеріледі, бірақ IKEv2 клиенті сертификаттың жарамдылық мерзімі туралы хабарламамен кіруді әлі де қабылдамайды. Бірінші түйсік шлюз сертификатын қайта беру немесе EAP әдісін ауыстыру, және екеуі де әдетте қате. Кіру әрекеті екі бөлек сервер сәйкестігін алып жүреді: IKE қолданатын шлюз сертификаты және PEAP-ты аяқтайтын нәрсенің ұсынатын сертификаты. Олардың біреуі дұрыс, ал екіншісі клиенттің тоқтағанының себебі.

Екі сәйкестік, бір кіру әрекеті

VPN профиліндегі сертификат IKE алмасуына тиесілі: ол конфигурацияланған IKE саясаты бойынша шлюздің профиль атайтын серіктес екенін дәлелдейді. Мұнда сәтсіз болатын сертификат басқа әңгімеге тиесілі, яғни PEAP пайдаланушыны аутентификациялайтын жақпен ашатын TLS сессиясына, ол көбінесе шлюздің өзі емес, NPS сияқты RADIUS сервері болады. Үшінші тексеру — пайдаланушының тіркелгі деректері — сол сессияның ішінде жүреді. Жарамды құпиясөз мерзімі өткен сервер сертификатын түзете алмайды, ал жарамды шлюз сертификаты PEAP соңғы нүктесіне кепілдік бере алмайды.

Бұл қабаттасу сертификат қатесінің біреу конфигурациялаған жалғыз сертификат шлюздікі болған жерде неге пайда болатынын түсіндіреді. Ол сол сертификатты қайта берудің неге ештеңе өзгертпейтінін де түсіндіреді.

Журнал жолын кезеңге қарсы оқыңыз

Себебі мен күндерді атайтын хабарламаны табыңыз. Субъект қатесінің жанындағы жарамдылық мерзімі туралы шағым сервердің өзіне берілген сертификатты қабылдамағанын білдіреді, пайдаланушының кіруді қабылдамағанын емес. Содан кейін кезеңді анықтаңыз: strongSwan-ның charon журналы EAP алмасуы басталмай тұрып IKE_SA .* established көрсетеді, сондықтан сол жолдан кейінгі сертификат қатесі EAP сәйкестігіне тиесілі, ал оның алдындағы қате шлюзді нұсқайды. Windows клиентінің қосылу панеліндегі кезең мәтіні де солай дейді.

Кез келген сертификатқа қол тигізбес бұрын клиенттің сағатын тексеріңіз. Сағаты бірнеше сағатқа ауытқыған құрылғы шынымен мерзімі өткен сертификаттай сол қатені береді. Сағатты реттеу — бес секундтық түзету, ал ешқашан мәселе болмаған сертификатты ауыстыру — бұл үзіліс.

PEAP-ты қай соңғы нүкте аяқтайтынын анықтаңыз

Шлюз және RADIUS құрылымында шлюз EAP-ты әрі қарай жібереді және оны аяқтамайды. strongSwan-ның eap-radius плагині алмасуды RADIUS серверіне береді, ол PEAP TLS сессиясы мен оның сертификатына ие. Бір сәтсіз әрекетті екі журналда сәйкестендіріп, сол сессия үшін сертификатты қай процесс таңдағанын растаңыз.

NPS үшін сертификат жергілікті компьютер қоймасында болуы, сервер аутентификациясының мақсатын алып жүруі, клиенттер күтетін атауға сәйкес келуі және қызмет тіркелгісіне оқылатын болуы керек. NPS үшін Microsoft сертификат талаптары осы шарттарды тізімдейді. Басқа EAP серверлерінің өз таңдау ережелері бар, сондықтан NPS ерекшеліктерін FreeRADIUS орнатуына немесе керісінше көшірмеңіз. Екі жағдайда да күшінде қалатын ереже — PEAP-ты аяқтайтын соңғы нүкте өзгертуге дайындалып отырған сертификатқа ие.

Сертификатты EAP аяқталатын жерде ауыстырыңыз

PEAP-ты аяқтайтын соңғы нүктеде сертификатты қолдау көрсетілетін процедура арқылы жаңартыңыз немесе ауыстырыңыз, сервер аутентификациясының мақсаты мен күтілетін атауды сақтаңыз. Толық тізбекті қызмет іздейтін жерге орнатыңыз және қызметке жеке кілтке қатынау беріңіз. Қызметті қайта іске қосыңыз немесе қайта байлаңыз, өйткені көптеген қызметтер ескі сертификатты жадыда ұстап, оны ұсынуды жалғастырады. Машинаға көшірілген файл қызметтің шын мәнінде қай сертификатты ұсынатынын дәлелдемейді.

Келесі әрекетті қызметтің өз журналымен сәйкестендіру арқылы немесе сессия ұсынған сертификатты тексеру арқылы өзгерісті растаңыз. Егер сол журнал әлі ескі саусақ ізін көрсетсе, қайта іске қосу әсер етпеді.

Каталогтағы ең жаңа файл пайдаланылып жатқан файл деп ойламаңыз. Дұрыс атауы мен қате рұқсаттары бар көшірме ештеңені өзгертпейді. Өзгерісті файлдың уақыт белгісімен емес, ұсынылған сәйкестікпен бағалаңыз.

Не істеуге болмайды

Қатені айналып өту үшін PEAP тексеруін өшірмеңіз және әлсізірек ішкі әдісті мәжбүрлемеңіз. Бұл саясатты өзгертіп, мерзімі өткен сертификатты әуелде ұстаған сервер аутентификациясының қасиетін жояды. Сіз жұмыс істейтін тексеруді жұмыс істейтін қосылымға айырбастайсыз, ал келесі мерзімі өткен сертификат оны хабарлайтын ештеңесіз келеді.

Басқа операциялық жүйенің сәтті қосылымын сертификаттың қолайлы екендігінің дәлелі деп есептемеңіз. Ол клиент басқа EAP әдісін, басқа сенім қоймасын немесе мүлде сервер тексеруінсіз пайдалануы мүмкін, сондықтан оның сәттілігі осында сәтсіз болған тексеру туралы ештеңе айтпайды. Бір әдейі жасалған теріс сынақты — мысалы, атауы қате сертификат немесе сенімсіз тізбек — күткендей сәтсіз күйде ұстаңыз. Егер сол сынақ қазір өтсе, сіз сертификатты түзетпей, тексеруді алып тастадыңыз. Қай сәйкестік сәтсіз болғанын жазып қойыңыз, келесі адам қайтадан шлюз сертификатынан бастамасын.