Сертификатот на портата е во ред: зошто најавувањето IKEv2 PEAP сѐ уште не успева

Сертификатот на вашата VPN порта е важечки, синџирот се валидира, а IKEv2 клиентот сѐ уште го одбива најавувањето со порака за интервал на важност на сертификат. Првиот импулс е повторно да се издаде сертификатот на портата или да се смени EAP методот, и двете обично се погрешни. Обидот за најава носи два одделни серверски идентитети: сертификатот на портата што го користи IKE, и сертификатот што го презентира тоа што го завршува PEAP. Едниот е во ред, а другиот е причината зошто клиентот запре.

Два идентитети, еден обид за најава

Сертификатот во VPN профилот и припаѓа на IKE размената: тој докажува дека портата е страната што профилот ја именува, според конфигурираната IKE политика. Сертификатот што не успева овде и припаѓа на друг разговор, на TLS сесијата што PEAP ја отвора со тоа што го автентицира корисникот, кое често е RADIUS сервер како NPS, а не самата порта. Трета проверка, корисничките акредитиви, се случува внатре во таа сесија. Важечка лозинка не може да поправи истечен серверски сертификат, а важечки сертификат на портата не може да гарантира за PEAP крајната точка.

Ова раслојување објаснува зошто грешка за сертификат се појавува на место каде единствениот конфигуриран сертификат бил тој на портата. Исто така објаснува зошто повторното издавање на тој сертификат не менува ништо.

Прочитајте ја линијата од дневникот наспроти фазата

Најдете ја пораката што ги именува причината и датумите. Поплака за интервалот на важност покрај грешка за субјект значи дека серверот го одбил сертификатот што му бил даден, а не дека корисникот ја одбил најавата. Потоа најдете ја фазата: charon дневникот на strongSwan покажува IKE_SA .* established пред да започне EAP размената, така што грешка за сертификат по таа линија и припаѓа на EAP идентитетот, а грешка пред неа укажува на портата. Текстот за фазата во панелот за поврзување на Windows клиент го кажува истото.

Проверете го часовникот на клиентот пред да допрете каков било сертификат. Уред што отстапува со часови ја дава истата грешка за важност како навистина истечен сертификат. Поставувањето на часовникот е поправка од пет секунди, а замената на сертификат што никогаш не бил проблем е прекин.

Откријте која крајна точка го завршува PEAP

Во поставеност со порта и RADIUS, портата го проследува EAP и не го завршува. Додатокот eap-radius на strongSwan ја предава размената на RADIUS серверот, кој ја поседува PEAP TLS сесијата и нејзиниот сертификат. Поврзете еден неуспешен обид во двата дневника и потврдете кој процес навистина избрал сертификат за таа сесија.

За NPS сертификатот мора да биде во складиштето на локалниот компјутер, да ја носи намената за серверска автентикација, да се совпаѓа со името што го очекуваат клиентите и да биде читлив за сервисната сметка. Барањата на Microsoft за сертификати за NPS ги наведуваат тие услови. Другите EAP сервери имаат свои правила за избор, затоа не копирајте ги особеностите на NPS во инсталација со FreeRADIUS или обратно. Правилото што важи во двата случаи е дека крајната точка што го завршува PEAP го поседува сертификатот што ќе го менувате.

Заменете го сертификатот таму каде што завршува EAP

Обновете или заменете го сертификатот на крајната точка што го завршува PEAP, преку поддржаната постапка, задржувајќи ја намената за серверска автентикација и очекуваното име. Инсталирајте го целиот синџир таму каде што услугата го бара и дајте ѝ пристап до приватниот клуч. Рестартирајте ја или повторно поврзете ја услугата, бидејќи многу услуги го држат стариот сертификат во меморија и продолжуваат да го презентираат. Датотека копирана на машината не докажува ништо за тоа кој сертификат услугата навистина го презентира.

Потврдете ја промената со поврзување на следниот обид со сопствениот дневник на услугата или со проверка на сертификатот што го презентирала сесијата. Ако тој дневник сѐ уште го покажува стариот отпечаток, рестартирањето не делувало.

Не претпоставувајте дека најновата датотека во папка е онаа што се користи. Копија со точно име и погрешни дозволи не менува ништо. Проценете ја промената според презентираниот идентитет, а не според временската ознака на датотеката.

Што да не правите

Не исклучувајте ја PEAP валидацијата и не наметнувајте послаб внатрешен метод за да ја заобиколите грешката. Тоа ја менува политиката и ја отстранува особината за серверска автентикација што истечениот сертификат го фати на прво место. Ќе замените проверка што работи за врска што работи, а следниот истечен сертификат ќе дојде без ништо што ќе го најави.

Не сметајте успешна врска од друг оперативен систем како доказ дека сертификатот е прифатлив. Тој клиент може да користи друг EAP метод, друго складиште за доверба или воопшто без серверска валидација, па неговиот успех не кажува ништо за проверката што не успеа овде. Задржете еден намерен негативен тест, на пример сертификат со погрешно име или недоверлив синџир, што не успева како што се очекува. Ако тој тест сега помине, сте отстраниле проверка, а не сте поправиле сертификат. Запишете кој идентитет не успеа, за да не почнува следниот човек повторно со сертификатот на портата.