Гарцын гэрчилгээ хэвийн байгаа ч IKEv2 PEAP нэвтрэлт яагаад бүтэлгүйтсээр байна

Таны VPN гарцын гэрчилгээ хүчинтэй, гинжин хэлхээ баталгаажиж байгаа ч IKEv2 клиент гэрчилгээний хүчинтэй хугацааны тухай мессежтэйгээр нэвтрэлтийг үгүйсгэсээр байна. Эхний түлхэц нь гарцын гэрчилгээг дахин олгох эсвэл EAP аргыг солих бөгөөд хоёулаа ихэвчлэн буруу. Нэвтрэлтийн оролдлого нь хоёр тусдаа серверийн таних тэмдгийг агуулна: IKE-ийн ашигладаг гарцын гэрчилгээ болон PEAP-ыг дуусгагч нь танилцуулдаг гэрчилгээ. Тэдний нэг нь хэвийн, нөгөө нь клиент зогссон шалтгаан юм.

Хоёр таних тэмдэг, нэг нэвтрэлтийн оролдлого

VPN профайл дахь гэрчилгээ нь IKE солилцоонд хамаарна: тохируулсан IKE бодлогын дагуу гарцыг профайлд нэрлэсэн тал гэдгийг нотолно. Энд бүтэлгүйтэж буй гэрчилгээ өөр яриа, өөрөөр хэлбэл PEAP хэрэглэгчийг баталгаажуулагчтай нээх TLS сессэд хамаарах бөгөөд энэ нь ихэвчлэн гарц өөрөө биш, NPS зэрэг RADIUS сервер байдаг. Гурав дахь шалгалт буюу хэрэглэгчийн итгэмжлэл тэр сессийн дотор явагдана. Хүчинтэй нууц үг хугацаа нь дууссан серверийн гэрчилгээг засаж чадахгүй, хүчинтэй гарцын гэрчилгээ PEAP-ийн төгсгөлийн цэгийг баталж чадахгүй.

Энэ давхарлалт нь хэн нэгний тохируулсан цорын ганц гэрчилгээ гарцынх байсан газарт гэрчилгээний алдаа яагаад гарч ирдгийг тайлбарлана. Тэр гэрчилгээг дахин олгох нь яагаад юу ч өөрчлөхгүйг ч тайлбарлана.

Лог мөрийг үе шаттай харьцуулан уншина уу

Шалтгаан, огноог нэрлэсэн мессежийг олоорой. Сэдвийн алдааны хажууд хүчинтэй хугацааны гомдол байгаа нь сервер өөрт нь өгсөн гэрчилгээг үгүйсгэсэн гэсэн үг, хэрэглэгч нэвтрэлтийг үгүйсгэсэн гэсэн үг биш. Дараа нь үе шатыг олоорой: strongSwan-ы charon лог нь EAP солилцоо эхлэхээс өмнө IKE_SA .* established харуулдаг тул тэр мөрийн дараах гэрчилгээний алдаа EAP таних тэмдэгт хамаарна, харин түүнээс өмнөх алдаа гарцыг заана. Windows клиентийн холболтын самбар дахь үе шатын текст ч мөн адил хэлнэ.

Ямар ч гэрчилгээнд хүрэхээс өмнө клиентийн цагийг шалгана уу. Хэдэн цагаар зөрүүтэй төхөөрөмж үнэхээр хугацаа нь дууссан гэрчилгээтэй ижил хүчинтэй байдлын алдаа гаргана. Цагийг тохируулах нь таван секундын засвар, харин хэзээ ч асуудал байгаагүй гэрчилгээг солих нь тасалдал юм.

PEAP-ыг аль төгсгөлийн цэг дуусгадагийг тодорхойлоорой

Гарц ба RADIUS-ын бүтцэд гарц EAP-ыг дамжуулдаг бөгөөд үүнийг дуусгадаггүй. strongSwan-ы eap-radius залгаас нь солилцоог RADIUS серверт өгдөг бөгөөд PEAP TLS сесс болон түүний гэрчилгээ түүнд хамаарна. Нэг бүтэлгүй оролдлогыг хоёр логт харьцуулж, тэр сессэд гэрчилгээг аль процесс үнэхээр сонгосныг батална уу.

NPS-ийн хувьд гэрчилгээ нь локал компьютерийн санд байх, серверийн баталгаажуулалтын зорилготой байх, клиентүүдийн хүлээдэг нэртэй тохирох, үйлчилгээний бүртгэлд уншигдахуйц байх ёстой. NPS-д зориулсан Microsoft-ын гэрчилгээний шаардлагууд эдгээр нөхцлийг жагсаадаг. Бусад EAP серверүүд өөрийн сонголтын дүрэмтэй тул NPS-ийн онцлогийг FreeRADIUS суулгац руу эсвэл эсрэгээр нь хуулж болохгүй. Хоёр тохиолдолд хүчинтэй дүрэм нь PEAP-ыг дуусгагч төгсгөлийн цэг таны солих гэж буй гэрчилгээний эзэмшигч гэдэг юм.

Гэрчилгээг EAP дуусах газарт солино уу

PEAP-ыг дуусгагч төгсгөлийн цэг дээр гэрчилгээг дэмжигдсэн журмаар шинэчлэх эсвэл солих, серверийн баталгаажуулалтын зорилго болон хүлээгдэж буй нэрийг хадгална уу. Бүрэн гинжийг үйлчилгээ хайдаг газарт суулгаж, үйлчилгээнд хувийн түлхүүрт хандах эрх өгнө үү. Үйлчилгээг дахин эхлүүлэх эсвэл дахин холбоно уу, учир нь олон үйлчилгээ хуучин гэрчилгээг санах ойд хадгалж, үргэлжлүүлэн танилцуулдаг. Машинд хуулсан файл нь үйлчилгээ үнэхээр ямар гэрчилгээ танилцуулж байгааг юу ч нотлохгүй.

Дараагийн оролдлогыг үйлчилгээний өөрийн логтой харьцуулах эсвэл сессийн танилцуулсан гэрчилгээг шалгах замаар өөрчлөлтийг батална уу. Хэрэв тэр лог хуучин хээрийг харуулснаар байвал дахин эхлүүлэлт нөлөөлөөгүй.

Хавтас дахь хамгийн шинэ файл нь хэрэглэгдэж байгаа файл гэж битгий бодоорой. Зөв нэртэй, буруу зөвшөөрөлтэй хуулбар юу ч өөрчлөхгүй. Өөрчлөлтийг файлын цагийн тэмдэгээр биш, танилцуулсан таних тэмдгээр үнэлнэ үү.

Юу хийх ёсгүй вэ

Алдааг тойрохын тулд PEAP баталгаажуулалтыг унтраах эсвэл сул дотоод аргыг тулгах хэрэггүй. Энэ нь бодлогыг өөрчилж, хугацаа нь дууссан гэрчилгээг анх барьсан серверийн баталгаажуулалтын шинж чанарыг арилгана. Та ажиллаж буй шалгалтыг ажиллаж буй холболтоор солих байсан бөгөөд дараагийн хугацаа нь дууссан гэрчилгээ түүнийг зарлах юу ч үгүйгээр ирэх байсан.

Өөр үйлдлийн системийн амжилттай холболтыг гэрчилгээ хүлээн зөвшөөрөгдөхүйц гэдгийн баталгаа гэж битгий үзээрэй. Тэр клиент өөр EAP арга, өөр итгэлийн сан, эсвэл серверийн баталгаажуулалт огтгүй ашиглаж болох тул түүний амжилт энд бүтэлгүйтсэн шалгалтын талаар юу ч хэлэхгүй. Нэг санаатай сөрөг тестийг хадгалаарай, жишээ нь буруу нэртэй гэрчилгээ эсвэл итгэмжлэхгүй гинж, тэр нь хүлээсэн ёсоор бүтэлгүйтдэг. Хэрэв тэр тест одоо тэнцвэл та гэрчилгээг засаагүй, харин шалгалтыг хассан байна. Аль таних тэмдэг бүтэлгүйтсэнийг бичиж үлдээгээрэй, дараагийн хүн дахин гарцын гэрчилгээнээс эхлэхгүйн тулд.