Шлюз сертификаты жарактуу: эмне үчүн IKEv2 PEAP кирүү дагы эле ишке ашпайт

VPN шлюзуңуздун сертификаты жарактуу, тизмек текшерилет, бирок IKEv2 кардары сертификаттын жарактуулук мөөнөтү тууралуу билдирүү менен кирүүнү дагы эле четке кагат. Биринчи түрткү шлюз сертификатын кайра берүү же EAP ыкмасын алмаштыруу, жана экөө тең адатта туура эмес. Кирүү аракети эки өзүнчө сервер инсандыгын алып жүрөт: IKE колдонгон шлюз сертификаты жана PEAPты аяктаган нерсенин сунуштаган сертификаты. Алардын бири жарактуу, экинчиси кардардын токтогонунун себеби.

Эки инсандык, бир кирүү аракети

VPN профилиндеги сертификат IKE алмашуусуна таандык: ал конфигурацияланган IKE саясаты боюнча шлюздун профиль атаган өнөктөш экенин далилдейт. Бул жерде ишке ашпаган сертификат башка сүйлөшүүгө таандык, башкача айтканда PEAP колдонуучуну аутентификациялаган тарап менен ачкан TLS сессиясына, ал көбүнчө шлюздун өзү эмес, NPS сыяктуу RADIUS сервери болот. Үчүнчү текшерүү — колдонуучунун эсептик маалыматтары — ошол сессиянын ичинде жүрөт. Жарактуу сырсөз мөөнөтү өткөн сервер сертификатын оңдой албайт, жана жарактуу шлюз сертификаты PEAP акыркы чекитине кепилдик бере албайт.

Бул катмарлануу сертификат катасы бирөө конфигурациялаган жалгыз сертификат шлюздуку болгон жерде эмне үчүн пайда болорун түшүндүрөт. Ошол сертификатты кайра берүү эмне үчүн эч нерсени өзгөртпөй турганын да түшүндүрөт.

Журнал сабын баскычка салыштырып окуңуз

Себебин жана күндөрүн атаган билдирүүнү табыңыз. Субъект катасынын жанындагы жарактуулук мөөнөтү тууралуу нааразылык сервер өзүнө берилген сертификатты четке какканын билдирет, колдонуучу кирүүнү четке какканын эмес. Андан кийин баскычты табыңыз: strongSwanдын charon журналы EAP алмашуусу башталганга чейин IKE_SA .* established көрсөтөт, ошондуктан ошол саптан кийинки сертификат катасы EAP инсандыгына таандык, ал эми андан мурунку ката шлюзду көрсөтөт. Windows кардарынын туташуу панелиндеги баскыч тексти да ушундай дейт.

Кайсы сертификатка болбосун кол тийгизүүдөн мурун кардардын саатын текшериңиз. Сааты бир нече саатка четтеп кеткен түзмөк чындап мөөнөтү өткөн сертификаттай эле жарактуулук катасын берет. Саатты тууралоо — беш секунддук оңдоо, ал эми эч качан көйгөй болбогон сертификатты алмаштыруу — бул тыныгуу.

PEAPты кайсы акыркы чекит аяктаарын аныктаңыз

Шлюз жана RADIUS түзүлүшүндө шлюз EAPты андан ары өткөрөт жана аны аяктабайт. strongSwanдын eap-radius плагини алмашууну RADIUS серверине берет, ал PEAP TLS сессиясына жана анын сертификатына ээ. Бир ишке ашпаган аракетти эки журналда салыштырып, ошол сессия үчүн сертификатты кайсы процесс тандаганын ырастаңыз.

NPS үчүн сертификат жергиликтүү компьютердин кампасында болушу, сервер аутентификациясынын максатын алып жүрүшү, кардарлар күткөн аталышка дал келиши жана кызмат эсебине окулушу керек. NPS үчүн Microsoftтун сертификат талаптары ушул шарттарды тизмелейт. Башка EAP серверлеринин өз тандоо эрежелери бар, ошондуктан NPSтин өзгөчөлүктөрүн FreeRADIUS орнотуусуна же тескерисинче көчүрбөңүз. Эки учурда тең күчүндө калган эреже — PEAPты аяктаган акыркы чекит сиз өзгөртмөкчү болгон сертификатка ээ.

Сертификатты EAP аяктаган жерде алмаштырыңыз

PEAPты аяктаган акыркы чекитте сертификатты колдоого алынган жол-жобо менен жаңыртыңыз же алмаштырыңыз, сервер аутентификациясынын максатын жана күтүлгөн аталышты сактаңыз. Толук тизмекти кызмат издеген жерге орнотуп, кызматка жеке ачкычка уруксат бериңиз. Кызматты кайра баштаңыз же кайра байлаңыз, анткени көп кызматтар эски сертификатты эсте сактап, аны сунуштоону улантат. Машинага көчүрүлгөн файл кызмат иш жүзүндө кайсы сертификатты сунуштаарын далилдебейт.

Кийинки аракетти кызматтын өз журналы менен салыштыруу же сессия сунуштаган сертификатты текшерүү аркылуу өзгөрүүнү ырастаңыз. Эгер ошол журнал дагы эле эски изин көрсөтсө, кайра баштоо таасир эткен жок.

Каталогдогу эң жаңы файл колдонулуп жатат деп ойлобоңуз. Туура аталышы жана туура эмес уруксаттары бар көчүрмө эч нерсени өзгөртпөйт. Өзгөрүүнү файлдын убакыт белгиси менен эмес, сунушталган инсандык менен баалаңыз.

Эмне кылууга болбойт

Катаны айланып өтүү үчүн PEAP текшерүүсүн өчүрбөңүз жана алсызыраак ички ыкманы мажбурлабаңыз. Бул саясатты өзгөртүп, мөөнөтү өткөн сертификатты башында кармаган сервер аутентификациясынын касиетин алып салат. Сиз иштеген текшерүүнү иштеген туташууга алмаштырмаксыз, ал эми кийинки мөөнөтү өткөн сертификат аны жарыялаган эч нерсесиз келет.

Башка операциялык системанын ийгиликтүү туташуусун сертификаттын кабыл алынышынын далили деп эсептебеңиз. Ал кардар башка EAP ыкмасын, башка ишеним кампасын же такыр сервер текшерүүсүз колдонушу мүмкүн, ошондуктан анын ийгилиги бул жерде ишке ашпаган текшерүү тууралуу эч нерсе айтпайт. Бир атайын терс сыноону — мисалы, аталышы туура эмес сертификат же ишенимсиз тизмек — күтүлгөндөй ишке ашпай турганын сактаңыз. Эгер ошол сыноо азыр өтсө, сиз сертификатты оңдобой, текшерүүнү алып салгансыз. Кайсы инсандык ишке ашпаганын жазып коюңуз, кийинки адам кайрадан шлюз сертификатынан баштабашы үчүн.