Certifikata e portës është në rregull: pse hyrja IKEv2 PEAP gjithsesi dështon

Certifikata e portës tuaj VPN është e vlefshme, zinxhiri validohet, dhe klienti IKEv2 gjithsesi refuzon hyrjen me një mesazh për një interval vlefshmërie certifikate. Impulsi i parë është të rileshoni certifikatën e portës ose të ndryshoni metodën EAP, dhe të dyja zakonisht janë të gabuara. Përpjekja për hyrje mbart dy identitete serveri të ndara: certifikatën e portës që përdor IKE, dhe certifikatën që paraqet ai që përfundon PEAP. Njëra prej tyre është në rregull, dhe tjetra është arsyeja pse klienti u ndal.

Dy identitete, një përpjekje për hyrje

Certifikata në profilin VPN i përket shkëmbimit IKE: vërteton se porta është pala që profili emërton, sipas politikës IKE të konfiguruar. Certifikata që dështon këtu i përket një bisede tjetër, sesionit TLS që PEAP hap me atë që autentikon përdoruesin, që shpesh është një server RADIUS si NPS dhe jo vetë porta. Një kontroll i tretë, kredencialet e përdoruesit, ndodh brenda atij sesioni. Një fjalëkalim i vlefshëm nuk mund të riparojë një certifikatë serveri të skaduar, dhe një certifikatë porte e vlefshme nuk mund të garantoja për pikën fundore PEAP.

Ky shtresim shpjegon pse një gabim certifikate shfaqet në një vend ku certifikata e vetme e konfiguruar ishte ajo e portës. Shpjegon gjithashtu pse rileshimi i asaj certifikate nuk ndryshon asgjë.

Lexoni rreshtin e logut kundrejt fazës

Gjeni mesazhin që emërton arsyen dhe datat. Një ankesë për intervalin e vlefshmërisë pranë një gabimi subjekti do të thotë që serveri refuzoi certifikatën që iu dha, jo që përdoruesi refuzoi hyrjen. Pastaj gjeni fazën: një log charon i strongSwan shfaq IKE_SA .* established përpara se të fillojë shkëmbimi EAP, kështu që një gabim certifikate pas atij rreshti i përket identitetit EAP, ndërsa një gabim përpara tij tregon portën. Teksti i fazës në panelin e lidhjes së një klienti Windows thotë të njëjtën gjë.

Kontrolloni orën e klientit përpara se të prekni ndonjë certifikatë. Një pajisje që është orë të tëra gabim prodhon të njëjtin gabim vlefshmërie si një certifikatë vërtet e skaduar. Rregullimi i orës është një korrigjim pesë sekondash, dhe zëvendësimi i një certifikate që nuk ishte kurrë problemi është një ndërprerje.

Gjeni cila pikë fundore e përfundon PEAP

Në një projekt me portë plus RADIUS, porta përçon EAP dhe nuk e përfundon atë. Shtojca eap-radius e strongSwan i dorëzon shkëmbimin serverit RADIUS, i cili zotëron sesionin TLS të PEAP dhe certifikatën e tij. Lidhni një përpjekje të dështuar në të dy logët dhe konfirmoni cili proces zgjodhi vërtet një certifikatë për atë sesion.

Për NPS certifikata duhet të jetë në depon e kompjuterit lokal, të mbajë qëllimin e autentikimit të serverit, të përputhet me emrin që presin klientët, dhe të jetë e lexueshme nga llogaria e shërbimit. Kërkesat e certifikatave të Microsoft për NPS rendisin ato kushte. Serverët e tjerë EAP kanë rregullat e tyre të përzgjedhjes, prandaj mos kopjoni veçoritë e NPS në një vendosje FreeRADIUS ose anasjelltas. Rregulli që qëndron në të dyja rastet është se pika fundore që përfundon PEAP zotëron certifikatën që ju jeni gati të ndryshoni.

Zëvendësoni certifikatën aty ku përfundon EAP

Rinovoni ose zëvendësoni certifikatën në pikën fundore që përfundon PEAP, përmes procesit të mbështetur, duke ruajtur qëllimin e autentikimit të serverit dhe emrin e pritur. Instaloni zinxhirin e plotë aty ku shërbimi e kërkon dhe jepini shërbimit akses në çelësin privat. Rinisni ose rilidhni shërbimin, sepse shumë shërbime e mbajnë certifikatën e vjetër në memorie dhe vazhdojnë ta paraqesin. Një skedar i kopjuar në makinë nuk provon asgjë për atë se cilën certifikatë shërbimi paraqet në të vërtetë.

Konfirmoni ndryshimin duke lidhur përpjekjen tjetër me login e vetë shërbimit, ose duke inspektuar certifikatën që paraqiti sesioni. Nëse ai log ende tregon gjurmën e vjetër, rinisja nuk funksionoi.

Mos supozoni se skedari më i ri në një drejtori është ai që përdoret. Një kopje me emrin e saktë dhe lejet e gabuara nuk ndryshon asgjë. Gjykoni ndryshimin nga identiteti i paraqitur, jo nga vula e kohës e një skedari.

Çfarë nuk duhet të bëni

Mos çaktivizoni validimin e PEAP dhe mos impononi një metodë të brendshme më të dobët për të kaluar gabimin. Kjo ndryshon politikën dhe heq vetinë e autentikimit të serverit që e kapi certifikatën e skaduar në radhë të parë. Do të shkëmbenit një kontroll që funksionon me një lidhje që funksionon, dhe certifikata tjetër e skaduar do të vinte pa asgjë që ta shpallte.

Mos e merrni një lidhje të suksesshme nga një sistem tjetër operativ si provë se certifikata është e pranueshme. Ai klient mund të përdorë një metodë tjetër EAP, një depo tjetër besimi ose aspak validim serveri, kështu që suksesi i tij nuk thotë asgjë për kontrollin që dështoi këtu. Mbani një test negativ të qëllimshëm, si një certifikatë me emër të gabuar ose një zinxhir i pabesuar, që dështon siç pritet. Nëse ai test tani kalon, keni hequr një kontroll dhe nuk keni riparuar një certifikatë. Shënoni cili identitet dështoi, që personi tjetër të mos fillojë përsëri me certifikatën e portës.