గేట్వే సర్టిఫికెట్ సరిగ్గా ఉంది: IKEv2 PEAP లాగిన్ ఇప్పటికీ ఎందుకు విఫలమవుతుంది

మీ VPN గేట్వే సర్టిఫికెట్ చెల్లుబాటులో ఉంది, గొలుసు ధృవీకరించబడుతుంది, అయినా IKEv2 క్లయింట్ సర్టిఫికెట్ చెల్లుబాటు వ్యవధి గురించిన సందేశంతో లాగిన్ను తిరస్కరిస్తుంది. మొదటి ప్రేరణ గేట్వే సర్టిఫికెట్ను మళ్లీ జారీ చేయడం లేదా EAP పద్ధతిని మార్చడం, రెండూ సాధారణంగా తప్పు. లాగిన్ ప్రయత్నం రెండు వేర్వేరు సర్వర్ గుర్తింపులను మోసుకొస్తుంది: IKE ఉపయోగించే గేట్వే సర్టిఫికెట్, మరియు PEAPను ముగించేది అందించే సర్టిఫికెట్. వాటిలో ఒకటి సరిగ్గా ఉంది, మరొకటే క్లయింట్ ఆగిపోవడానికి కారణం.

రెండు గుర్తింపులు, ఒక లాగిన్ ప్రయత్నం

VPN ప్రొఫైల్లోని సర్టిఫికెట్ IKE మార్పిడికి చెందుతుంది: కాన్ఫిగర్ చేసిన IKE విధానం కింద గేట్వే ప్రొఫైల్ పేరు చెప్పే పక్షం అని అది నిరూపిస్తుంది. ఇక్కడ విఫలమయ్యే సర్టిఫికెట్ మరో సంభాషణకు చెందుతుంది, అంటే PEAP వినియోగదారుని ప్రామాణీకరించేవారితో తెరిచే TLS సెషన్, అది తరచుగా గేట్వే కాదు, NPS వంటి RADIUS సర్వర్. మూడవ తనిఖీ అయిన వినియోగదారు ఆధారాలు ఆ సెషన్ లోపలే జరుగుతాయి. చెల్లుబాటు అయ్యే పాస్వర్డ్ గడువు ముగిసిన సర్వర్ సర్టిఫికెట్ను సరిచేయలేదు, చెల్లుబాటు అయ్యే గేట్వే సర్టిఫికెట్ PEAP ముగింపు బిందువుకు హామీ ఇవ్వలేదు.

ఈ పొరల నిర్మాణం, ఎవరైనా కాన్ఫిగర్ చేసిన ఏకైక సర్టిఫికెట్ గేట్వేదే ఉన్న చోట సర్టిఫికెట్ లోపం ఎందుకు కనిపిస్తుందో వివరిస్తుంది. అదే సర్టిఫికెట్ను మళ్లీ జారీ చేయడం ఎందుకు ఏమీ మార్చదో కూడా వివరిస్తుంది.

లాగ్ లైన్ను దశతో పోల్చి చదవండి

కారణాన్ని, తేదీలను పేర్కొనే సందేశాన్ని కనుగొనండి. విషయ లోపం పక్కన చెల్లుబాటు వ్యవధి గురించిన ఫిర్యాదు అంటే సర్వర్ తనకు ఇచ్చిన సర్టిఫికెట్ను తిరస్కరించింది, వినియోగదారు లాగిన్ను తిరస్కరించలేదు. తర్వాత దశను కనుగొనండి: strongSwan యొక్క charon లాగ్ EAP మార్పిడి ప్రారంభం కాకముందే IKE_SA .* established చూపిస్తుంది, కాబట్టి ఆ లైన్ తర్వాతి సర్టిఫికెట్ లోపం EAP గుర్తింపుకు చెందుతుంది, దానికి ముందు లోపం గేట్వే వైపు సూచిస్తుంది. Windows క్లయింట్ కనెక్షన్ ప్యానెల్లోని దశ పాఠ్యం కూడా అదే చెబుతుంది.

ఏ సర్టిఫికెట్ను తాకే ముందైనా క్లయింట్ గడియారాన్ని తనిఖీ చేయండి. గంటల తరబడి తప్పుగా ఉన్న పరికరం నిజంగా గడువు ముగిసిన సర్టిఫికెట్ లాంటి అదే చెల్లుబాటు లోపాన్ని ఇస్తుంది. గడియారాన్ని సరిచేయడం ఐదు సెకన్ల మరమ్మతు, ఎప్పుడూ సమస్య కాని సర్టిఫికెట్ను మార్చడం సేవా అంతరాయం.

PEAPను ఏ ముగింపు బిందువు ముగిస్తుందో కనుగొనండి

గేట్వే మరియు RADIUS రూపకల్పనలో గేట్వే EAPను ముందుకు పంపుతుంది, ముగించదు. strongSwan యొక్క eap-radius ప్లగిన్ మార్పిడిని RADIUS సర్వర్కు అప్పగిస్తుంది, PEAP TLS సెషన్ మరియు దాని సర్టిఫికెట్ దాని సొంతం. రెండు లాగ్లలో ఒక విఫల ప్రయత్నాన్ని జోడించి, ఆ సెషన్ కోసం ఏ ప్రక్రియ నిజంగా సర్టిఫికెట్ను ఎంచుకుందో నిర్ధారించండి.

NPS కోసం సర్టిఫికెట్ స్థానిక కంప్యూటర్ స్టోర్లో ఉండాలి, సర్వర్ ప్రామాణీకరణ ప్రయోజనాన్ని కలిగి ఉండాలి, క్లయింట్లు ఆశించే పేరుతో సరిపోలాలి, సేవా ఖాతాకు చదవగలిగి ఉండాలి. NPS కోసం Microsoft యొక్క సర్టిఫికెట్ అవసరాలు ఆ షరతులను జాబితా చేస్తాయి. ఇతర EAP సర్వర్లకు వాటి స్వంత ఎంపిక నియమాలు ఉన్నాయి, కాబట్టి NPS ప్రత్యేకతలను FreeRADIUS అమరికకు లేదా దానికి విరుద్ధంగా కాపీ చేయవద్దు. రెండు సందర్భాల్లో నిలిచే నియమం ఏమిటంటే PEAPను ముగించే ముగింపు బిందువే మీరు మార్చబోయే సర్టిఫికెట్కు యజమాని.

EAP ముగిసే చోట సర్టిఫికెట్ను భర్తీ చేయండి

PEAPను ముగించే ముగింపు బిందువు వద్ద మద్దతు ఉన్న ప్రక్రియ ద్వారా సర్టిఫికెట్ను పునరుద్ధరించండి లేదా భర్తీ చేయండి, సర్వర్ ప్రామాణీకరణ ప్రయోజనాన్ని మరియు ఆశించిన పేరును నిలుపుకోండి. సేవ వెతికే చోట పూర్తి గొలుసును ఇన్స్టాల్ చేయండి, సేవకు ప్రైవేట్ కీకి యాక్సెస్ ఇవ్వండి. సేవను పునఃప్రారంభించండి లేదా మళ్లీ బైండ్ చేయండి, ఎందుకంటే చాలా సేవలు పాత సర్టిఫికెట్ను మెమొరీలో ఉంచుకుని దానినే అందిస్తుంటాయి. యంత్రానికి కాపీ చేసిన ఫైల్, సేవ నిజంగా ఏ సర్టిఫికెట్ను అందిస్తుంది అనే దాని గురించి ఏమీ నిరూపించదు.

తదుపరి ప్రయత్నాన్ని సేవ యొక్క స్వంత లాగ్తో జోడించి లేదా సెషన్ అందించిన సర్టిఫికెట్ను పరిశీలించి మార్పును నిర్ధారించండి. ఆ లాగ్ ఇప్పటికీ పాత వేలిముద్రను చూపిస్తే, పునఃప్రారంభం పనిచేయలేదు.

డైరెక్టరీలోని కొత్త ఫైలే వాడుకలో ఉందని ఊహించవద్దు. సరైన పేరు, తప్పు అనుమతులతో ఉన్న కాపీ ఏమీ మార్చదు. మార్పును ఫైల్ టైమ్స్ట్యాంప్తో కాదు, అందించిన గుర్తింపుతో అంచనా వేయండి.

ఏమి చేయకూడదు

లోపాన్ని తప్పించుకోవడానికి PEAP ధృవీకరణను ఆఫ్ చేయవద్దు, బలహీనమైన అంతర్గత పద్ధతిని బలవంతం చేయవద్దు. అది విధానాన్ని మారుస్తుంది మరియు గడువు ముగిసిన సర్టిఫికెట్ను మొదట పట్టుకున్న సర్వర్ ప్రామాణీకరణ లక్షణాన్ని తొలగిస్తుంది. పనిచేసే తనిఖీని పనిచేసే కనెక్షన్తో మార్చుకుంటారు, తదుపరి గడువు ముగిసిన సర్టిఫికెట్ ఏమీ ప్రకటించకుండా వస్తుంది.

వేరే ఆపరేటింగ్ సిస్టమ్ యొక్క విజయవంతమైన కనెక్షన్ను సర్టిఫికెట్ ఆమోదయోగ్యం అనడానికి సాక్ష్యంగా తీసుకోవద్దు. ఆ క్లయింట్ వేరే EAP పద్ధతి, వేరే విశ్వాస స్టోర్ లేదా సర్వర్ ధృవీకరణ లేకుండా ఉండవచ్చు, కాబట్టి దాని విజయం ఇక్కడ విఫలమైన తనిఖీ గురించి ఏమీ చెప్పదు. ఒక ఉద్దేశపూర్వక ప్రతికూల పరీక్షను ఉంచండి, ఉదాహరణకు తప్పు పేరు ఉన్న సర్టిఫికెట్ లేదా నమ్మదగని గొలుసు, అది ఆశించినట్లుగా విఫలమవుతుంది. ఆ పరీక్ష ఇప్పుడు ఉత్తీర్ణమైతే, మీరు సర్టిఫికెట్ను సరిచేయకుండా తనిఖీని తొలగించారు. ఏ గుర్తింపు విఫలమైందో రాయండి, తదుపరి వ్యక్తి మళ్లీ గేట్వే సర్టిఫికెట్తో ప్రారంభించకుండా.