Certifikát brány je v poriadku: prečo prihlásenie IKEv2 PEAP stále zlyháva

Certifikát vašej VPN brány je platný, reťazec sa overí a klient IKEv2 napriek tomu odmieta prihlásenie so správou o intervale platnosti certifikátu. Prvý impulz je znovu vydať certifikát brány alebo zmeniť metódu EAP, a oboje je zvyčajne chyba. Pokus o prihlásenie nesie dve oddelené identity servera: certifikát brány, ktorý používa IKE, a certifikát, ktorý predkladá ten, kto ukončuje PEAP. Jedna z nich je v poriadku a tá druhá je dôvod, prečo sa klient zastavil.

Dve identity, jeden pokus o prihlásenie

Certifikát v profile VPN patrí výmene IKE: dokazuje, že brána je protistrana, ktorú profil uvádza, podľa nastavenej politiky IKE. Certifikát, ktorý tu zlyháva, patrí inému rozhovoru, relácii TLS, ktorú PEAP otvára s tým, kto autentifikuje používateľa, čo je často server RADIUS, napríklad NPS, a nie samotná brána. Tretia kontrola, prihlasovacie údaje používateľa, prebieha vnútri tejto relácie. Platné heslo nemôže opraviť expirovaný certifikát servera a platný certifikát brány nemôže ručiť za koncový bod PEAP.

Toto vrstvenie vysvetľuje, prečo sa chyba certifikátu objavuje tam, kde bol jediným nakonfigurovaným certifikátom práve ten brány. Vysvetľuje aj, prečo nové vydanie tohto certifikátu nič nemení.

Čítajte riadok protokolu proti fáze

Nájdite správu, ktorá uvádza dôvod a dátumy. Sťažnosť na interval platnosti vedľa chyby subjektu znamená, že server odmietol certifikát, ktorý dostal, a nie že používateľ odmietol prihlásenie. Potom nájdite fázu: protokol charon v strongSwane ukazuje IKE_SA .* established pred začiatkom výmeny EAP, takže chyba certifikátu za týmto riadkom patrí identite EAP, zatiaľ čo chyba pred ním ukazuje na bránu. Text fázy v paneli pripojenia klienta Windows hovorí to isté.

Skontrolujte hodiny klienta, kým sa dotknete akéhokoľvek certifikátu. Zariadenie, ktoré je o hodiny vedľa, dáva rovnakú chybu platnosti ako skutočne expirovaný certifikát. Nastavenie hodín je oprava na päť sekúnd a výmena certifikátu, ktorý nikdy nebol problémom, je výpadok.

Zistite, ktorý koncový bod ukončuje PEAP

V usporiadaní brána plus RADIUS brána preposiela EAP a neukončuje ho. Zásuvný modul eap-radius v strongSwane odovzdá výmenu serveru RADIUS, ktorý vlastní reláciu TLS PEAP a jej certifikát. Skorelujte jeden neúspešný pokus v oboch protokoloch a potvrďte, ktorý proces pre túto reláciu skutočne vybral certifikát.

Pre NPS musí certifikát byť v úložisku miestneho počítača, niesť účel overenia identity servera, zodpovedať názvu, ktorý klienti očakávajú, a byť čitateľný pre servisný účet. Požiadavky Microsoftu na certifikáty pre NPS vymenúvajú tieto podmienky. Iné servery EAP majú vlastné pravidlá výberu, takže nekopírujte špecifiká NPS do nasadenia FreeRADIUS ani naopak. Pravidlo, ktoré platí v oboch prípadoch, je, že koncový bod ukončujúci PEAP vlastní certifikát, ktorý sa chystáte zmeniť.

Vymeňte certifikát tam, kde EAP končí

Obnovte alebo vymeňte certifikát na koncovom bode, ktorý ukončuje PEAP, podporovaným postupom, so zachovaním účelu overenia identity servera a očakávaného názvu. Nainštalujte celý reťazec tam, kde ho služba hľadá, a dajte službe prístup k súkromnému kľúču. Reštartujte alebo znovu pripojte službu, pretože mnoho služieb drží starý certifikát v pamäti a ďalej ho predkladá. Súbor skopírovaný na stroj nič nedokazuje o tom, ktorý certifikát služba skutočne predkladá.

Zmenu potvrďte skorelovaním ďalšieho pokusu s vlastným protokolom služby alebo prezretím certifikátu, ktorý relácia predložila. Ak ten protokol stále ukazuje starú odtlačok, reštart nezabral.

Nepredpokladajte, že najnovší súbor v adresári je ten, ktorý sa používa. Kópia so správnym názvom a nesprávnymi oprávneniami nič nemení. Zmenu posudzujte podľa predloženej identity, nie podľa časovej pečiatky súboru.

Čo nerobiť

Nevypínajte overovanie PEAP a nevynucujte slabšiu vnútornú metódu, aby ste chybu obišli. Tým meníte politiku a odstraňujete vlastnosť overenia identity servera, ktorá expirovaný certifikát vôbec zachytila. Vymenili by ste fungujúcu kontrolu za fungujúce spojenie a ďalší expirovaný certifikát by prišiel bez čohokoľvek, čo by ho ohlásilo.

Nepovažujte úspešné pripojenie iného operačného systému za dôkaz, že certifikát je prijateľný. Ten klient môže používať inú metódu EAP, iné úložisko dôvery alebo vôbec žiadne overenie servera, takže jeho úspech nič nehovorí o kontrole, ktorá tu zlyhala. Zachovajte jeden zámerný negatívny test, napríklad certifikát s nesprávnym názvom alebo nedôveryhodný reťazec, ktorý podľa očakávania zlyhá. Ak tento test teraz prejde, odstránili ste kontrolu, a nie opravili certifikát. Zapíšte, ktorá identita zlyhala, aby ďalší človek nezačínal znova certifikátom brány.