De Gateway-Zertifikat ass a Ordnung: firwat d’IKEv2 PEAP-Amelung trotzdem feelschléit

Äre VPN-Gateway seng Zertifikat ass gülteg, d’Kette gëtt validéiert, an den IKEv2-Client refuséiert d’Amelung trotzdem mat enger Noriicht iwwer en Zäitraum vun der Gültegkeet vun engem Zertifikat. Den éischten Impuls ass, de Gateway-Zertifikat nei auszestellen oder d’EAP-Method ze wiesselen, an béides ass meeschtens falsch. D’Amelversuch dréit zwou getrennte Server-Identitéiten: de Gateway-Zertifikat, deen IKE benotzt, an de Zertifikat, dee vun deem presentéiert gëtt, wat PEAP ofschléisst. Ee vun hinnen ass a Ordnung, an deen aneren ass de Grond, firwat de Client opgehalen huet.

Zwou Identitéiten, een Amelversuch

Den Zertifikat am VPN-Profil gehéiert zum IKE-Austausch: en beweist, datt de Gateway de Peer ass, deen de Profil nennt, ënner der konfiguréierter IKE-Politik. Den Zertifikat, deen hei feelt, gehéiert zu enger anerer Konversatioun, der TLS-Sessioun, déi PEAP mat deem opmécht, deen de Benotzer authentifizéiert, wat dacks en RADIUS-Server wéi NPS ass an net de Gateway selwer. Eng drëtt Kontroll, d’Benotzerdaten, geschitt bannent där Sessioun. En gültege Passwuert kann en ofgelafenen Serverzertifikat net reparéieren, an en gültege Gateway-Zertifikat kann net fir den PEAP-Endpunkt buergen.

Dës Schichtung erkläert, firwat e Zertifikatsfehler op enger Plaz optrëtt, wou den eenzegen Zertifikat, deen een konfiguréiert hat, dee vum Gateway war. Si erkläert och, firwat d’Nei-Ausstellung vun deem Zertifikat näischt ännert.

Liest d’Loglinn géint d’Etapp

Fannt d’Noriicht, déi de Grond an d’Datume nennt. Eng Plainte iwwer den Gültegkeetszäitraum nieft engem Sujetfehler bedeit, datt de Server den Zertifikat refuséiert huet, deen him ginn ass, an net datt de Benotzer d’Amelung refuséiert huet. Da fannt d’Etapp: en strongSwan charon-Log weist IKE_SA .* established, ier den EAP-Austausch ufänkt, also gehéiert e Zertifikatsfehler no där Linn zu der EAP-Identitéit, wärend e Fehler virdrun op de Gateway weist. Den Etappentext am Verbindungspanel vun engem Windows-Client seet datselwecht.

Kuckt d’Auer vum Client un, ier Dir en Zertifikat beréiert. En Apparat, deen Stonnen danieft ass, produzéiert dee selwechte Gültegkeetsfehler wéi en wierklech ofgelafenen Zertifikat. D’Auer anzestellen ass eng Korrektur vu fënnef Sekonnen, an en Zertifikat z’ersetzen, deen ni de Problem war, ass en Ausfall.

Fannt eraus, wéi en Endpunkt PEAP ofschléisst

An engem Design mat Gateway a RADIUS leet de Gateway EAP weider an schléisst en net of. Den eap-radius-Plugin vum strongSwan gëtt den Austausch un de RADIUS-Server, deen d’PEAP-TLS-Sessioun an hire Zertifikat besëtzt. Korreléiert een heelen Versuch iwwer béid Loggen a bestätegt, wéi ee Prozess tatsächlech en Zertifikat fir déi Sessioun gewielt huet.

Fir NPS muss den Zertifikat am Späicher vum lokale Computer sinn, den Zweck Server-Authentifizéierung droen, mam Numm iwwereneenstëmmen, dee Clienten erwaarden, a fir de Servicekont liesbar sinn. D’Microsoft-Zertifikatsufuerderunge fir NPS lëschten déi Konditiounen op. Aner EAP-Servere hunn hir eege Selektiounsregelen, also kopéiert d’NPS-Spezifizitéiten net an eng FreeRADIUS-Installatioun oder ëmgedréint. D’Regel, déi an deem engen an aneren Fall hält, ass, datt den Endpunkt, deen PEAP ofschléisst, den Zertifikat besëtzt, deen Dir wëllt änneren.

Ersetzt den Zertifikat do, wou EAP ophält

Erneiert oder ersetzt den Zertifikat op dem Endpunkt, deen PEAP ofschléisst, iwwer den ënnerstëtzten Prozess, an halleft den Zweck Server-Authentifizéierung an den erwaarten Numm bäi. Installéiert déi voll Kette do, wou de Service se sicht, a gitt dem Service Zougang zum private Schlëssel. Start de Service nei oder bind en nei, well vill Servicer den ale Zertifikat am Gediechtnis halen an en weider presentéieren. Eng Datei, déi op d’Maschinn kopéiert gouf, beweist näischt doriwwer, wéi ee Zertifikat de Service tatsächlech presentéiert.

Bestätegt d’Ännerung, andeem Dir den nächsten Versuch mat dem eegene Log vum Service korreléiert, oder andeem Dir den Zertifikat iwwerpréift, deen d’Sessioun presentéiert huet. Wann dee Log nach ëmmer den ale Fangersofdrock weist, huet de Neistart net gegraff.

Hält net un, datt déi neisten Datei an engem Verzeechnis déi ass, déi benotzt gëtt. Eng Kopie mam richtege Numm an de falschen Erlaabnesser ännert näischt. Bewäert d’Ännerung un der presentéierter Identitéit, net un engem Zäitstempel vun enger Datei.

Wat net ze maachen ass

Deaktivéiert net d’PEAP-Validéierung a forcéiert keng méi schwaach intern Method, fir de Fehler ze ëmgoen. Dat ännert d’Politik an hëlt déi Server-Authentifizéierungseigenschaft ewech, déi den ofgelafenen Zertifikat iwwerhaapt gefaangen huet. Dir géift eng funktionéierend Kontroll géint eng funktionéierend Verbindung tauschen, an den nächsten ofgelafenen Zertifikat géif ukommen ouni eppes, wat en ukënnegt.

Hält eng erfollegräich Verbindung vun engem aneren Betriebssystem net als Beweis, datt den Zertifikat akzeptabel ass. Dee Client benotzt vläicht eng aner EAP-Method, en aneren Trauenspäicher oder guer keng Server-Validéierung, also seet säin Erfolleg näischt iwwer d’Kontroll, déi hei feelt. Hält een bewosst negativen Test, zum Beispill en Zertifikat mat engem falschen Numm oder eng net vertrauenswierdeg Kette, deen erwaart feelt. Wann dee Test elo duerchgeet, hutt Dir eng Kontroll ewechgeholl an net en Zertifikat reparéiert. Schreift op, wéi eng Identitéit feelt, sou datt déi nächst Persoun net nees mam Gateway-Zertifikat ufänkt.