Сертификат пролаза је исправан: зашто пријава IKEv2 PEAP ипак не успева

Сертификат вашег VPN пролаза је важећи, ланац се проверава, а IKEv2 клијент ипак одбија пријаву са поруком о интервалу важења сертификата. Први нагон је да поново издате сертификат пролаза или промените EAP метод, и оба су обично погрешна. Покушај пријаве носи два одвојена идентитета сервера: сертификат пролаза који користи IKE, и сертификат који представља онај који завршава PEAP. Један од њих је исправан, а други је разлог зашто се клијент зауставио.

Два идентитета, један покушај пријаве

Сертификат у VPN профилу припада IKE размени: доказује да је пролаз она страна коју профил наводи, према подешеној IKE политици. Сертификат који овде не успева припада другом разговору, TLS сесији коју PEAP отвара са оним што аутентификује корисника, а то је често RADIUS сервер као NPS, а не сам пролаз. Трећа провера, кориснички акредитиви, дешава се унутар те сесије. Важећа лозинка не може да поправи истекао сертификат сервера, а важећи сертификат пролаза не може да гарантује за PEAP крајњу тачку.

Ово слојевитост објашњава зашто се грешка сертификата појављује на месту где је једини подешени сертификат био онај пролаза. Објашњава и зашто поновно издавање тог сертификата ништа не мења.

Читајте линију дневника према фази

Пронађите поруку која наводи разлог и датуме. Жалба на интервал важења поред грешке субјекта значи да је сервер одбио сертификат који је добио, а не да је корисник одбио пријаву. Затим пронађите фазу: charon дневник у strongSwan-у показује IKE_SA .* established пре него што почне EAP размена, па грешка сертификата после тог реда припада EAP идентитету, док грешка пре њега упућује на пролаз. Текст фазе у панелу везе Windows клијента говори исто.

Проверите сат клијента пре него што дотакнете било који сертификат. Уређај који касни неколико сати даје исту грешку важења као стварно истекао сертификат. Подешавање сата је поправка од пет секунди, а замена сертификата који никада није био проблем је прекид рада.

Откријте која крајња тачка завршава PEAP

У поставци пролаз плус RADIUS, пролаз прослеђује EAP и не завршава га. Додатак eap-radius у strongSwan-у предаје размену RADIUS серверу, који поседује PEAP TLS сесију и њен сертификат. Повежите један неуспешан покушај у оба дневника и потврдите који процес је заиста изабрао сертификат за ту сесију.

За NPS сертификат мора бити у складишту локалног рачунара, носити намену провере идентитета сервера, одговарати имену које клијенти очекују и бити читљив сервисном налогу. Microsoft-ови захтеви за сертификате за NPS наводе те услове. Други EAP сервери имају своја правила избора, зато не копирајте особености NPS у FreeRADIUS инсталацију нити обрнуто. Правило које важи у оба случаја је да крајња тачка која завршава PEAP поседује сертификат који ћете променити.

Замените сертификат тамо где се EAP завршава

Обновите или замените сертификат на крајњој тачки која завршава PEAP, подржаним поступком, задржавајући намену провере идентитета сервера и очекивано име. Инсталирајте цео ланац тамо где га услуга тражи и дајте услузи приступ приватном кључу. Поново покрените или поново повежите услугу, јер многе услуге држе стари сертификат у меморији и настављају да га представљају. Датотека копирана на машину ништа не доказује о томе који сертификат услуга заправо представља.

Потврдите промену повезивањем следећег покушаја са сопственим дневником услуге или прегледом сертификата који је сесија представила. Ако тај дневник још показује стари отисак, поновно покретање није деловало.

Не претпостављајте да је најновија датотека у директоријуму она која се користи. Копија са исправним именом и погрешним дозволама ништа не мења. Процените промену по представљеном идентитету, а не по временској ознаци датотеке.

Шта не треба радити

Не искључујте PEAP проверу и не намећите слабији унутрашњи метод да бисте обишли грешку. То мења политику и уклања својство провере идентитета сервера које је и ухватило истекао сертификат. Заменили бисте проверу која ради за везу која ради, а следећи истекао сертификат би дошао без ичега што би га најавило.

Не узимајте успешну везу другог оперативног система као доказ да је сертификат прихватљив. Тај клијент може да користи други EAP метод, друго складиште поверења или уопште без провере сервера, па његов успех ништа не говори о провери која овде није успела. Задржите један намерни негативни тест, на пример сертификат са погрешним именом или неповерљив ланац, који не успева како се очекује. Ако тај тест сада прође, уклонили сте проверу, а нисте поправили сертификат. Запишите који идентитет није успео, да следећа особа не би поново почела са сертификатом пролаза.