Vārtejas sertifikāts ir kārtībā: kāpēc IKEv2 PEAP pieteikšanās joprojām neizdodas

Jūsu VPN vārtejas sertifikāts ir derīgs, ķēde tiek validēta, un IKEv2 klients joprojām atsaka pieteikšanos ar ziņojumu par sertifikāta derīguma intervālu. Pirmā reakcija ir izsniegt vārtejas sertifikātu no jauna vai mainīt EAP metodi, un abas parasti ir nepareizas. Pieteikšanās mēģinājums nes divas atsevišķas servera identitātes: vārtejas sertifikātu, ko izmanto IKE, un sertifikātu, ko uzrāda tas, kas pabeidz PEAP. Viena no tām ir kārtībā, un otra ir iemesls, kāpēc klients apstājās.

Divas identitātes, viens pieteikšanās mēģinājums

VPN profilā esošais sertifikāts pieder IKE apmaiņai: tas pierāda, ka vārteja ir tā puse, ko profils nosauc, saskaņā ar konfigurēto IKE politiku. Sertifikāts, kas šeit neizdodas, pieder citai sarunai, TLS sesijai, ko PEAP atver ar to, kas autentificē lietotāju, un tas bieži ir RADIUS serveris, piemēram, NPS, nevis pati vārteja. Trešā pārbaude, lietotāja akreditācijas dati, notiek šīs sesijas iekšienē. Derīga parole nevar salabot beigušos servera sertifikātu, un derīgs vārtejas sertifikāts nevar galvot par PEAP galapunktu.

Šis slāņojums izskaidro, kāpēc sertifikāta kļūda parādās vietā, kur vienīgais konfigurētais sertifikāts bija vārtejas. Tas arī izskaidro, kāpēc šī sertifikāta atkārtota izsniegšana neko nemaina.

Lasiet žurnāla rindu attiecībā pret posmu

Atrodiet ziņojumu, kas nosauc iemeslu un datumus. Sūdzība par derīguma intervālu blakus subjekta kļūdai nozīmē, ka serveris noraidīja tam doto sertifikātu, nevis to, ka lietotājs noraidīja pieteikšanos. Pēc tam atrodiet posmu: strongSwan charon žurnāls rāda IKE_SA .* established pirms EAP apmaiņas sākuma, tāpēc sertifikāta kļūda pēc šīs rindas pieder EAP identitātei, bet kļūda pirms tās norāda uz vārteju. Posma teksts Windows klienta savienojuma panelī saka to pašu.

Pirms pieskaraties jebkuram sertifikātam, pārbaudiet klienta pulksteni. Ierīce, kurai ir vairāku stundu novirze, rada tādu pašu derīguma kļūdu kā patiešām beidzies sertifikāts. Pulksteņa iestatīšana ir piecu sekunžu labojums, un sertifikāta, kas nekad nav bijis problēma, nomaiņa ir pārtraukums.

Noskaidrojiet, kurš galapunkts pabeidz PEAP

Vārtejas un RADIUS risinājumā vārteja pārsūta EAP un to nepabeidz. strongSwan eap-radius spraudnis nodod apmaiņu RADIUS serverim, kuram pieder PEAP TLS sesija un tās sertifikāts. Sasaistiet vienu neveiksmīgu mēģinājumu abos žurnālos un apstipriniet, kurš process tiešām izvēlējās sertifikātu šai sesijai.

NPS gadījumā sertifikātam jābūt vietējā datora krātuvē, tam jānes servera autentifikācijas nolūks, jāatbilst vārdam, ko gaida klienti, un jābūt lasāmam servisa kontam. Microsoft sertifikātu prasības NPS uzskaita šos nosacījumus. Citiem EAP serveriem ir savi atlases noteikumi, tāpēc nekopējiet NPS īpatnības uz FreeRADIUS izvietojumu vai otrādi. Noteikums, kas paliek spēkā abos gadījumos, ir tāds, ka PEAP pabeidzošais galapunkts pārvalda sertifikātu, ko grasāties mainīt.

Nomainiet sertifikātu tur, kur beidzas EAP

Atjauniniet vai nomainiet sertifikātu galapunktā, kas pabeidz PEAP, izmantojot atbalstīto procedūru, saglabājot servera autentifikācijas nolūku un gaidīto vārdu. Instalējiet pilnu ķēdi tur, kur serviss to meklē, un piešķiriet servisam piekļuvi privātajai atslēgai. Restartējiet vai pārsieniet servisu, jo daudzi servisi glabā veco sertifikātu atmiņā un turpina to uzrādīt. Faila kopija datorā neko nepierāda par to, kuru sertifikātu serviss patiešām uzrāda.

Apstipriniet izmaiņas, sasaistot nākamo mēģinājumu ar paša servisa žurnālu vai pārbaudot sertifikātu, ko uzrādīja sesija. Ja šis žurnāls joprojām rāda veco nospiedumu, restarts nav iedarbojies.

Nepieņemiet, ka jaunākais fails mapē ir tas, kas tiek izmantots. Kopija ar pareizu vārdu un nepareizām atļaujām neko nemaina. Vērtējiet izmaiņas pēc uzrādītās identitātes, nevis pēc faila laika zīmes.

Ko nedarīt

Neizslēdziet PEAP validāciju un neuzspiediet vājāku iekšējo metodi, lai apietu kļūdu. Tas maina politiku un noņem servera autentifikācijas īpašību, kas sākotnēji noķēra beigušos sertifikātu. Jūs apmainītu strādājošu pārbaudi pret strādājošu savienojumu, un nākamais beigušais sertifikāts pienāktu bez nekā, kas to paziņotu.

Neuzskatiet citas operētājsistēmas veiksmīgu savienojumu par pierādījumu, ka sertifikāts ir pieņemams. Tas klients var izmantot citu EAP metodi, citu uzticības krātuvi vai vispār nekādu servera validāciju, tāpēc tā panākumi neko nepasaka par pārbaudi, kas šeit neizdevās. Saglabājiet vienu apzinātu negatīvu testu, piemēram, sertifikātu ar nepareizu vārdu vai neuzticamu ķēdi, kas neizdodas, kā gaidīts. Ja šis tests tagad izdodas, jūs esat noņēmuši pārbaudi, nevis salabojuši sertifikātu. Pierakstiet, kura identitāte neizdevās, lai nākamais cilvēks atkal nesāktu ar vārtejas sertifikātu.