Cheti cha lango ni sawa: kwa nini kuingia kwa IKEv2 PEAP bado kunashindikana

Cheti cha lango lako la VPN ni halali, mnyororo unahakikiwa, na mteja wa IKEv2 bado anakataa kuingia kwa ujumbe kuhusu kipindi cha uhalali wa cheti. Msukumo wa kwanza ni kutoa tena cheti cha lango au kubadilisha njia ya EAP, na zote mbili kwa kawaida si sahihi. Jaribio la kuingia hubeba utambulisho mbili tofauti za seva: cheti cha lango kinachotumiwa na IKE, na cheti kinachowasilishwa na kile kinachomaliza PEAP. Kimoja ni sawa, na kingine ndicho sababu mteja alisimama.

Utambulisho mbili, jaribio moja la kuingia

Cheti katika wasifu wa VPN ni mali ya mabadilishano ya IKE: kinathibitisha kwamba lango ndilo upande unaotajwa na wasifu, chini ya sera ya IKE iliyosanidiwa. Cheti kinachoshindikana hapa ni cha mazungumzo mengine, kikao cha TLS ambacho PEAP hufungua na kile kinachomthibitisha mtumiaji, ambacho mara nyingi ni seva ya RADIUS kama NPS na si lango lenyewe. Ukaguzi wa tatu, vitambulisho vya mtumiaji, hufanyika ndani ya kikao hicho. Nenosiri halali haliwezi kurekebisha cheti cha seva kilichokwisha muda, na cheti halali cha lango hakiwezi kudhamini kwa nukta ya mwisho ya PEAP.

Upangaji huu wa tabaka unaeleza kwa nini hitilafu ya cheti inaonekana mahali ambapo cheti pekee kilichosanidiwa kilikuwa cha lango. Pia unaeleza kwa nini kutoa tena cheti hicho hakubadilishi chochote.

Soma mstari wa kumbukumbu dhidi ya hatua

Pata ujumbe unaotaja sababu na tarehe. Malalamiko kuhusu kipindi cha uhalali kando ya hitilafu ya somo yanamaanisha seva ilikataa cheti ilichopewa, si kwamba mtumiaji alikataa kuingia. Kisha pata hatua: kumbukumbu ya charon ya strongSwan inaonyesha IKE_SA .* established kabla mabadilishano ya EAP hayajaanza, kwa hiyo hitilafu ya cheti baada ya mstari huo ni ya utambulisho wa EAP, wakati hitilafu kabla yake inaelekeza kwa lango. Maandishi ya hatua kwenye paneli ya muunganisho ya mteja wa Windows yanasema kitu kimoja.

Angalia saa ya mteja kabla ya kugusa cheti chochote. Kifaa kinachokosea kwa saa kadhaa hutoa hitilafu ile ile ya uhalali kama cheti kilichokwisha muda kwa kweli. Kurekebisha saa ni marekebisho ya sekunde tano, na kubadilisha cheti ambacho hakikuwa tatizo kamwe ni kukatika kwa huduma.

Gundua ni nukta gani ya mwisho inayomaliza PEAP

Katika muundo wa lango pamoja na RADIUS, lango hupeleka EAP mbele na halimalizi. Programu jalizi ya eap-radius ya strongSwan hukabidhi mabadilishano kwa seva ya RADIUS, ambayo inamiliki kikao cha TLS cha PEAP na cheti chake. Unganisha jaribio moja lililoshindikana katika kumbukumbu zote mbili na uthibitishe ni mchakato gani ulichagua cheti kwa kikao hicho.

Kwa NPS cheti lazima kiwe katika hifadhi ya kompyuta ya ndani, kibebe madhumuni ya uthibitishaji wa seva, kilingane na jina ambalo wateja wanatarajia, na kiweze kusomwa na akaunti ya huduma. Mahitaji ya cheti ya Microsoft kwa NPS yanaorodhesha masharti hayo. Seva zingine za EAP zina kanuni zao za uteuzi, kwa hiyo usinakili mambo maalum ya NPS kwenye usanidi wa FreeRADIUS au kinyume chake. Kanuni inayodumu katika hali zote mbili ni kwamba nukta ya mwisho inayomaliza PEAP inamiliki cheti unachokaribia kubadilisha.

Badilisha cheti mahali EAP inapoishia

Sasisha au badilisha cheti kwenye nukta ya mwisho inayomaliza PEAP, kwa utaratibu unaotumika, ukihifadhi madhumuni ya uthibitishaji wa seva na jina linalotarajiwa. Sakinisha mnyororo kamili mahali huduma inapoutafuta na uipe huduma ufikiaji wa ufunguo wa faragha. Anzisha upya au unganisha upya huduma, kwa sababu huduma nyingi huhifadhi cheti cha zamani kwenye kumbukumbu na kuendelea kukiwasilisha. Faili iliyonakiliwa kwenye mashine haithibitishi chochote kuhusu cheti ambacho huduma inawasilisha kwa kweli.

Thibitisha mabadiliko kwa kuunganisha jaribio linalofuata na kumbukumbu ya huduma yenyewe, au kwa kukagua cheti ambacho kikao kiliwasilisha. Ikiwa kumbukumbu hiyo bado inaonyesha alama ya zamani, kuanzisha upya hakukufaulu.

Usidhani kwamba faili mpya zaidi katika saraka ndiyo inayotumika. Nakala yenye jina sahihi na ruhusa zisizo sahihi haibadilishi chochote. Hukumu mabadiliko kwa utambulisho uliowasilishwa, si kwa muhuri wa muda wa faili.

Nini usifanye

Usizime uthibitishaji wa PEAP na usilazimishe njia dhaifu ya ndani ili kupita hitilafu. Hiyo inabadilisha sera na kuondoa sifa ya uthibitishaji wa seva ambayo ilinasa cheti kilichokwisha muda mwanzoni. Ungelibadilisha ukaguzi unaofanya kazi kwa muunganisho unaofanya kazi, na cheti kinachofuata kilichokwisha muda kingekuja bila kitu chochote cha kukitangaza.

Usichukue muunganisho uliofanikiwa wa mfumo mwingine wa uendeshaji kama uthibitisho kwamba cheti kinakubalika. Mteja huyo anaweza kutumia njia nyingine ya EAP, hifadhi nyingine ya uaminifu au hakuna uthibitishaji wa seva kabisa, kwa hiyo mafanikio yake hayasemi chochote kuhusu ukaguzi ulioshindikana hapa. Weka jaribio moja hasi la kukusudia, kama cheti chenye jina lisilo sahihi au mnyororo usioaminika, ambao unashindikana kama inavyotarajiwa. Ikiwa jaribio hilo sasa linapita, umeondoa ukaguzi badala ya kurekebisha cheti. Andika ni utambulisho gani ulioshindikana, ili mtu anayefuata asianze tena na cheti cha lango.