Tinklo vartų sertifikatas tvarkingas: kodėl IKEv2 PEAP prisijungimas vis tiek nepavyksta

Jūsų VPN tinklo vartų sertifikatas galioja, grandinė patikrinama, ir IKEv2 klientas vis tiek atmeta prisijungimą su pranešimu apie sertifikato galiojimo intervalą. Pirmoji reakcija yra iš naujo išduoti tinklo vartų sertifikatą arba pakeisti EAP metodą, ir abu paprastai yra klaida. Prisijungimo bandymas neša dvi atskiras serverio tapatybes: tinklo vartų sertifikatą, kurį naudoja IKE, ir sertifikatą, kurį pateikia tai, kas užbaigia PEAP. Viena jų tvarkinga, o kita yra priežastis, kodėl klientas sustojo.

Dvi tapatybės, vienas prisijungimo bandymas

VPN profilio sertifikatas priklauso IKE mainams: jis įrodo, kad tinklo vartai yra ta šalis, kurią nurodo profilis, pagal sukonfigūruotą IKE politiką. Sertifikatas, kuris čia nepavyksta, priklauso kitam pokalbiui, TLS sesijai, kurią PEAP atidaro su tuo, kas autentifikuoja naudotoją, o tai dažnai RADIUS serveris, pavyzdžiui, NPS, o ne patys tinklo vartai. Trečias patikrinimas, naudotojo prisijungimo duomenys, vyksta tos sesijos viduje. Galiojantis slaptažodis negali sutaisyti pasibaigusio serverio sertifikato, o galiojantis tinklo vartų sertifikatas negali laiduoti už PEAP galinį tašką.

Šis sluoksniavimas paaiškina, kodėl sertifikato klaida pasirodo ten, kur vienintelis sukonfigūruotas sertifikatas buvo tinklo vartų. Jis taip pat paaiškina, kodėl to sertifikato išdavimas iš naujo nieko nekeičia.

Skaitykite žurnalo eilutę pagal etapą

Raskite pranešimą, kuriame nurodyta priežastis ir datos. Skundas dėl galiojimo intervalo šalia subjekto klaidos reiškia, kad serveris atmetė jam pateiktą sertifikatą, o ne tai, kad naudotojas atmetė prisijungimą. Tada raskite etapą: strongSwan charon žurnalas rodo IKE_SA .* established prieš prasidedant EAP mainams, todėl sertifikato klaida po šios eilutės priklauso EAP tapatybei, o klaida prieš ją nurodo tinklo vartus. Etapo tekstas Windows kliento prisijungimo skydelyje sako tą patį.

Prieš liesdami bet kurį sertifikatą patikrinkite kliento laikrodį. Įrenginys, kurio laikas kelias valandas neteisingas, sukelia tą pačią galiojimo klaidą kaip tikrai pasibaigęs sertifikatas. Laikrodžio nustatymas yra penkių sekundžių pataisymas, o sertifikato, kuris niekada nebuvo problema, keitimas yra sutrikimas.

Nustatykite, kuris galinis taškas užbaigia PEAP

Tinklo vartų ir RADIUS sprendime tinklo vartai persiunčia EAP ir jo neužbaigia. strongSwan eap-radius papildinys perduoda mainus RADIUS serveriui, kuriam priklauso PEAP TLS sesija ir jos sertifikatas. Susiekite vieną nepavykusį bandymą abiejuose žurnaluose ir patvirtinkite, kuris procesas iš tikrųjų pasirinko sertifikatą tai sesijai.

NPS atveju sertifikatas turi būti vietinio kompiuterio saugykloje, turėti serverio autentifikavimo paskirtį, atitikti vardą, kurio tikisi klientai, ir būti skaitomas paslaugos paskyros. Microsoft sertifikatų reikalavimai NPS išvardija tas sąlygas. Kiti EAP serveriai turi savo atrankos taisykles, todėl nekopijuokite NPS ypatumų į FreeRADIUS diegimą ar atvirkščiai. Taisyklė, kuri galioja abiem atvejais, yra ta, kad PEAP užbaigiantis galinis taškas valdo sertifikatą, kurį ketinate keisti.

Pakeiskite sertifikatą ten, kur baigiasi EAP

Atnaujinkite arba pakeiskite sertifikatą tame galiniame taške, kuris užbaigia PEAP, naudodami palaikomą procedūrą, išlaikydami serverio autentifikavimo paskirtį ir laukiamą vardą. Įdiekite visą grandinę ten, kur paslauga jos ieško, ir suteikite paslaugai prieigą prie privataus rakto. Paleiskite paslaugą iš naujo arba iš naujo susiekite, nes daugelis paslaugų laiko seną sertifikatą atmintyje ir toliau jį pateikia. Failas, nukopijuotas į kompiuterį, nieko neįrodo apie tai, kurį sertifikatą paslauga iš tikrųjų pateikia.

Patvirtinkite pakeitimą susiedami kitą bandymą su pačios paslaugos žurnalu arba patikrindami sertifikatą, kurį pateikė sesija. Jei tas žurnalas vis dar rodo seną delno atspaudą, paleidimas iš naujo nesuveikė.

Nemanokite, kad naujausias failas kataloge yra tas, kuris naudojamas. Kopija su teisingu vardu ir neteisingomis teisėmis nieko nekeičia. Vertinkite pakeitimą pagal pateiktą tapatybę, o ne pagal failo laiko žymą.

Ko nedaryti

Neišjunkite PEAP tikrinimo ir neverskite silpnesnio vidinio metodo, kad apeitumėte klaidą. Tai keičia politiką ir pašalina serverio autentifikavimo savybę, kuri pirmiausia sugavo pasibaigusį sertifikatą. Jūs iškeistumėte veikiantį patikrinimą į veikiantį ryšį, o kitas pasibaigęs sertifikatas atvyktų be nieko, kas jį paskelbtų.

Nelaikykite kitos operacinės sistemos sėkmingo ryšio įrodymu, kad sertifikatas priimtinas. Tas klientas gali naudoti kitą EAP metodą, kitą pasitikėjimo saugyklą arba visai jokio serverio tikrinimo, todėl jo sėkmė nieko nesako apie čia nepavykusį patikrinimą. Išlaikykite vieną sąmoningą neigiamą testą, pavyzdžiui, sertifikatą su neteisingu vardu arba nepatikimą grandinę, kuris nepavyksta kaip tikimasi. Jei tas testas dabar praeina, jūs pašalinote patikrinimą, o ne sutaisėte sertifikatą. Užsirašykite, kuri tapatybė nepavyko, kad kitas žmogus vėl nepradėtų nuo tinklo vartų sertifikato.