Iċ-ċertifikat tal-gateway tajjeb: għaliex id-dħul IKEv2 PEAP xorta jonqos

Iċ-ċertifikat tal-gateway VPN tiegħek għadu validu, il-katina tiġi vvaldata, u l-klijent IKEv2 xorta jirrifjuta d-dħul b’messaġġ dwar intervall ta’ validità ta’ ċertifikat. L-ewwel istint huwa li terġa’ toħroġ iċ-ċertifikat tal-gateway jew tibdel il-metodu EAP, u t-tnejn normalment huma ħżiena. It-tentattiv tad-dħul iġorr żewġ identitajiet tas-server separati: iċ-ċertifikat tal-gateway li juża IKE, u ċ-ċertifikat li jippreżenta dak li jtemm PEAP. Wieħed minnhom huwa tajjeb, u l-ieħor huwa r-raġuni għaliex il-klijent waqaf.

Żewġ identitajiet, tentattiv wieħed ta’ dħul

Iċ-ċertifikat fil-profil VPN jappartjeni għall-iskambju IKE: jipprova li l-gateway huwa l-pari li jsemmi l-profil, taħt il-politika IKE konfigurata. Iċ-ċertifikat li jonqos hawn jappartjeni għal konverżazzjoni oħra, is-sessjoni TLS li PEAP tiftaħ ma’ dak li jawtentika lill-utent, li spiss ikun server RADIUS bħal NPS u mhux il-gateway innifsu. It-tielet verifika, il-kredenzjali tal-utent, isseħħ ġewwa dik is-sessjoni. Password valida ma tistax tissewwa ċertifikat tas-server skadut, u ċertifikat tal-gateway validu ma jistax jiggarantixxi għall-punt tat-tmiem PEAP.

Dan is-saffi jispjega għaliex żball ta’ ċertifikat jidher f’post fejn l-uniku ċertifikat konfigurat kien dak tal-gateway. Jispjega wkoll għaliex l-ħruġ mill-ġdid ta’ dak iċ-ċertifikat ma jbiddel xejn.

Aqra l-linja tal-log kontra l-istadju

Sib il-messaġġ li jsemmi r-raġuni u d-dati. Ilment dwar l-intervall ta’ validità ħdejn żball tas-suġġett ifisser li s-server irrifjuta ċ-ċertifikat li ngħata, mhux li l-utent irrifjuta d-dħul. Imbagħad sib l-istadju: log charon ta’ strongSwan juri IKE_SA .* established qabel ma jibda l-iskambju EAP, għalhekk żball ta’ ċertifikat wara dik il-linja jappartjeni għall-identità EAP, filwaqt li żball qabel juri lejn il-gateway. It-test tal-istadju fil-pannell tal-konnessjoni ta’ klijent Windows jgħid l-istess ħaġa.

Iċċekkja l-arloġġ tal-klijent qabel ma tmiss ebda ċertifikat. Apparat li jkun barra b’sigħat jipproduċi l-istess żball ta’ validità bħal ċertifikat li tassew skada. L-issettjar mill-ġdid tal-arloġġ hija korrezzjoni ta’ ħames sekondi, u s-sostituzzjoni ta’ ċertifikat li qatt ma kien il-problema hija waqfa fil-qadi.

Sib liema punt tat-tmiem itemm PEAP

Fi disinn ta’ gateway flimkien ma’ RADIUS, il-gateway jgħaddi EAP ’l quddiem u ma jtemmhiex. Il-plugin eap-radius ta’ strongSwan iċedi l-iskambju lis-server RADIUS, li jippossjedi s-sessjoni TLS tal-PEAP u ċ-ċertifikat tagħha. Ikkorrelata tentattiv wieħed li falla fiż-żewġ logs u kkonferma liema proċess tassew għażel ċertifikat għal dik is-sessjoni.

Għal NPS iċ-ċertifikat irid ikun fil-maħżen tal-kompjuter lokali, iġorr il-għan tal-awtentikazzjoni tas-server, jaqbel mal-isem li jistennew il-klijenti, u jkun jista’ jinqara mill-kont tas-servizz. Ir-rekwiżiti taċ-ċertifikat ta’ Microsoft għal NPS jelenkaw dawk il-kundizzjonijiet. Servers EAP oħra għandhom ir-regoli tal-għażla tagħhom, għalhekk tikkupjax l-ispeċifiċitajiet tan-NPS fi skjerament FreeRADIUS jew bil-maqlub. Ir-regola li tibqa’ f’kull każ hija li l-punt tat-tmiem li jtemm PEAP jippossjedi ċ-ċertifikat li se tibdel.

Biddel iċ-ċertifikat fejn jintemm EAP

Ġedded jew biddel iċ-ċertifikat fuq il-punt tat-tmiem li jtemm PEAP, permezz tal-proċess appoġġat, filwaqt li żżomm il-għan tal-awtentikazzjoni tas-server u l-isem mistenni. Installa l-katina sħiħa fejn is-servizz ifittixha u agħti lis-servizz aċċess għaċ-ċavetta privata. Erġa’ ibda jew erġa’ orbot is-servizz, għax ħafna servizzi jżommu ċ-ċertifikat il-qadim fil-memorja u jkomplu jippreżentawh. Fajl ikkupjat fuq il-magna ma jippruvax xejn dwar liema ċertifikat is-servizz tassew jippreżenta.

Ikkonferma l-bidla billi tikkorrelata t-tentattiv li jmiss mal-log tas-servizz stess, jew billi tispezzjona ċ-ċertifikat li ppreżentat is-sessjoni. Jekk dak il-log għadu juri l-impronta l-qadima, l-istartjar mill-ġdid ma ħadimx.

Tassumix li l-aktar fajl ġdid f’direttorju huwa dak li qed jintuża. Kopja bl-isem it-tajjeb u l-permessi ħżiena ma tbiddel xejn. Iġġudika l-bidla mill-identità ppreżentata, mhux mit-timbru tal-ħin ta’ fajl.

X’ma għandekx tagħmel

Tiddiżattivax il-validazzjoni PEAP u tisfurzax metodu intern aktar dgħajjef biex tgħaddi mill-iżball. Dan ibiddel il-politika u jneħħi l-proprjetà tal-awtentikazzjoni tas-server li qabdiet iċ-ċertifikat skadut fil-bidu. Inti tbiddel verifika li taħdem ma’ konnessjoni li taħdem, u ċ-ċertifikat skadut li jmiss jasal mingħajr xejn li jħabbru.

Tqisx konnessjoni b’suċċess minn sistema operattiva oħra bħala prova li ċ-ċertifikat huwa aċċettabbli. Dak il-klijent jista’ juża metodu EAP ieħor, maħżen ta’ fiduċja ieħor jew ebda validazzjoni tas-server, għalhekk is-suċċess tiegħu ma jgħid xejn dwar il-verifika li falliet hawn. Żomm test negattiv wieħed apposta, bħal ċertifikat bl-isem ħażin jew katina mhux affidabbli, li jonqos kif mistenni. Jekk dak it-test issa jgħaddi, inti neħħejt verifika u mhux sewwijt ċertifikat. Ikteb liema identità falliet, sabiex il-persuna li jmiss ma tibdiex mill-ġdid biċ-ċertifikat tal-gateway.