Windows'то EAP-TLS менен PIV кирүү ишке ашпай жатабы? Колтамга жолун текшериңиз

PIV картасынын сертификатын ар бир Windows диалогунда көрсөтсөңүз да, VPN'ге кирүү ишке ашпашы мүмкүн, анткени көрүнүү жана колдонууга жарактуулук — өзүнчө касиеттер. Сертификат — ачык объект; кирүү үчүн карта өзүнүн кирүү эрежелери боюнча аткарган жеке ачкыч операциясы керек. Ушул эки фактынын ортосунда төрт түрдүү жол менен ишке ашпаган төрт этап бар: профилди тандоо, сертификатты тандоо, жергиликтүү колтамга жана сервер тараптагы текшерүү. Аларды ирети менен өтүү жалпы кол алышуу катасын кийинки бөлүктүн ээсине берилүүчү так суроого айландырат.

Профиль жана EAP ыкмасынан баштаңыз

Туташуу касиеттерин ачып, профиль чындыгында кайсы EAP ыкмасын колдонорун окуңуз, анан ыкма кайсы сертификатты тандоого конфигурацияланганын окуңуз. Көп жайылтууларда сертификатка негизделген тышкы ыкма да, ички ыкма да бар, ал эми туташуу деңгээлинде конфигурацияланган сертификат EAP-TLS ичинде сунушталган сертификат боло бербейт. Эгер профиль сертификатты чыгаруучу же субъект фильтри боюнча тандаса, ал фильтр Windows тиешелүү кампада көргөн нерселерден тандайт, картада кокустан бар нерселерден эмес. Эч нерсеге дал келбеген фильтр профилдин конфигурациясына жараша сурамга же үнсүз ишке ашпоого кайтат, ошондуктан ар кандай өзгөртүүдөн мурун тандалган манжа изин жазып коюу керек.

Ошондой эле туташуу кирген колдонуучу катары же машина катары иштешин аныктаңыз. Ушул бир факт кайсы сертификат кампалары камтылганын жана кайсы коопсуздук контексти колтамганы аткарарын чечет.

Кайсы сертификат тандалганын ырастаңыз

Windows тандаган манжа изин талап менен салыштырыңыз: кардарды аутентификациялоо үчүн колдонуу, ишенимдүү тамырда аяктаган чынжыр, аутентификация серверинин саясаты шайкеш келтирген идентити жана аракеттин чыныгы учурун камтыган жарактуулук мөөнөтү. Булар өзүнчө текшерүүлөр жана акыркысы адамдар күткөндөн көбүрөөк таң калтырат, өзгөчө үзгүлтүксүз берилүүчү сертификаттар жана эле кечээки тандоого шилтеме кылган кэштеги профилдер менен.

Колдонуучу жана машина контексти текшерүүнүн экинчи жарымы. Колдонуучунун жеке кампасындагы сертификат машина катары иштеген кызматка көрүнбөйт, ал эми машина сертификатын колдонуучу режиминдеги EAP алмашуу профиль айтпаса сунуштабайт. Сертификатты туура эмес кампага кайра импорттоо көрүнгөн сертификатты жана көрүнбөгөн кирүү далилдерин жаратат. Профилдеги кампа жолун окуңуз, кокустан ачылган диалогдогуну эмес.

PIN'ди болжолдобой ачкыч операциясын текшериңиз

Тандоо чечилгенден кийин, суроо — карта колтамганы аткарабы. Windows'ко жеке ачкычка жетүү үчүн колдоого алынган карта провайдери же минидрайвер керек, ал эми түзмөк операцияга өзүнүн PIN жана катышуу эрежелерин колдонот. Ар бир колтамга үчүн тийүүнү талап кылган карта сессия үчүн текшерүүнү кэштеген картадан башкача жүрөт, жана экөө тең сурам качан пайда болорун өзгөрткөн мыйзамдуу конфигурациялар. Ушул айырма эч бир сертификат туура эмес болбосо да, жаңы салынганда ийгиликтүү болуп, улантуудан кийин ишке ашпаган кирүүнү түшүндүрөт.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Биринчи буйрук картаны тизмектеп, окугуч менен провайдердин абалын билдирет, бул Microsoft'тун акылдуу карталарды жөндөө боюнча нускамасында документтелген. Экинчи буйрук колдонуучу контексти чындыгында эмнени көрө аларын тизмелейт. Экөө тең ийгиликтүү аутентификацияны далилдебейт; экөө тең кайсы жерде токтогонун тарытат.

PIN'ди болжолдобоңуз. Карталар кайталоо чектөөлөрүн колдонот, ал эми бир нече оптимисттик аракет уруксат маселесин административдик калыбына келтирүүнү талап кылган бөгөттөлгөн кирүү далилине айландырат. Эгер жергиликтүү колтамга ишке ашпаса, варианттарды сынап көрүүнүн ордуна провайдердин абалын жана картанын абалын жазып алыңыз. Аракетти бир жолу ошол эле профиль, ошол эле сертификат жана белгилүү жакшы окугуч жолу менен кайталаңыз, анан эки жазууну салыштырыңыз; бир нече өзгөрмөнү бир убакта өзгөртүү натыйжа эмес, окуя жаратат.

Кол алышуунун эки тарабын окуңуз

Бүткөн колтамга дагы уруксат эмес. Аутентификация сервери чынжырды кабыл алышы, жокко чыгарылуусун текшериши, идентитини азыркы эрежелери боюнча шайкештеши жана сурамга уруксат бериши керек; кардар өз кезегинде сервердин сертификатын профиль талап кылгандай текшериши керек. Сервер жараткан TLS эскертүүсү кардардын журналында жергиликтүү жаралгандай эле көрүнөт, ошондуктан эскертүүнүн текстинен аны чыгарган тарап маанилүүрөөк.

Windows окуяларын жана сервер тараптагы окуяларды тегизделген убакыт белгилери менен чогултуңуз, анан биринчи ишке ашпоону кайсы тарап жаратканын аныктаңыз. RFC 5216 EAP-TLS'те ээлик кылууну далилдөө кадамын сүрөттөйт, ал эми жалпы кол алышуу эскертүүсү өзү менен жергиликтүү ачкычка байланыштуу себепти атабайт. Эки журналды ырааттуулукка айландырган нерсе — убакыт белгилерин салыштыруу.

Отчётто чек араларды түз кармаңыз

Отчётту төрт этап катары жазыңыз, ар бирине бир өкүм: кайсы профиль жана контекст иштеди, Windows кайсы сертификатты тандады, карта кол койдубу жана сервер эмнени чечти. Бул түзүлүш кийинки кадамды айкын кылат жана эч ким аныктабаган этаптан өтүү үчүн текшерүүнү өчүрүүнүн кадимки оңдоосун болтурбайт.

Убактылуу салыштыруу катары программалык сертификат мыйзамдуу администратордук тест, бирок ал кирүү далилдеринин жана кепилдиктин моделинин өзгөртөт, ошондуктан анын орду бекитилген өзгөртүүдө, өндүрүштөгү үнсүз айланып өтүүдө эмес. Ошол эле тартип PIN аракеттерине жана ишке ашпаган этап белгилүү боло электе кирүү далилдерин кайра берүүгө тиешелүү. Так ошондой ишке ашпаган алмаштыруучу карта маселе эч качан картада болбогонунун кымбат далили.