ใบรับรองเกตเวย์ปกติดี: ทำไมการเข้าสู่ระบบ IKEv2 PEAP ยังล้มเหลว

ใบรับรองเกตเวย์ VPN ของคุณยังใช้ได้ ห่วงโซ่ผ่านการตรวจสอบ และไคลเอนต์ IKEv2 ก็ยังปฏิเสธการเข้าสู่ระบบพร้อมข้อความเกี่ยวกับช่วงอายุของใบรับรอง สัญชาตญาณแรกคือออกใบรับรองเกตเวย์ใหม่หรือเปลี่ยนวิธี EAP และทั้งสองอย่างมักผิด การพยายามเข้าสู่ระบบมีตัวตนของเซิร์ฟเวอร์สองอย่างแยกกัน คือใบรับรองเกตเวย์ที่ IKE ใช้ และใบรับรองที่สิ่งที่สิ้นสุด PEAP นำเสนอ ตัวหนึ่งปกติดี และอีกตัวคือสาเหตุที่ไคลเอนต์หยุด

สองตัวตน หนึ่งการพยายามเข้าสู่ระบบ

ใบรับรองในโปรไฟล์ VPN เป็นของการแลกเปลี่ยน IKE โดยพิสูจน์ว่าเกตเวย์เป็นคู่ที่โปรไฟล์ระบุ ภายใต้นโยบาย IKE ที่กำหนด ใบรับรองที่ล้มเหลวตรงนี้เป็นของการสนทนาอื่น คือเซสชัน TLS ที่ PEAP เปิดกับสิ่งที่ตรวจสอบผู้ใช้ ซึ่งมักเป็นเซิร์ฟเวอร์ RADIUS อย่าง NPS ไม่ใช่เกตเวย์เอง การตรวจสอบที่สามคือข้อมูลรับรองของผู้ใช้ เกิดขึ้นภายในเซสชันนั้น รหัสผ่านที่ใช้ได้ไม่สามารถซ่อมใบรับรองเซิร์ฟเวอร์ที่หมดอายุได้ และใบรับรองเกตเวย์ที่ใช้ได้ก็รับประกันจุดสิ้นสุด PEAP ไม่ได้

การซ้อนชั้นนี้อธิบายว่าทำไมข้อผิดพลาดใบรับรองจึงปรากฏในที่ที่ใบรับรองเดียวที่ใครกำหนดไว้คือของเกตเวย์ และอธิบายว่าทำไมการออกใบรับรองนั้นใหม่จึงไม่เปลี่ยนอะไร

อ่านบรรทัดบันทึกเทียบกับขั้นตอน

หาข้อความที่ระบุสาเหตุและวันที่ คำร้องเรียนเรื่องช่วงอายุถัดจากข้อผิดพลาดของ subject หมายความว่าเซิร์ฟเวอร์ปฏิเสธใบรับรองที่ได้รับ ไม่ใช่ผู้ใช้ปฏิเสธการเข้าสู่ระบบ จากนั้นหาขั้นตอน บันทึก charon ของ strongSwan แสดง IKE_SA .* established ก่อนการแลกเปลี่ยน EAP เริ่ม ดังนั้นข้อผิดพลาดใบรับรองหลังบรรทัดนั้นเป็นของตัวตน EAP ส่วนข้อผิดพลาดก่อนหน้านั้นชี้ไปที่เกตเวย์ ข้อความขั้นตอนในแผงเชื่อมต่อของไคลเอนต์ Windows ก็บอกเช่นเดียวกัน

ตรวจสอบนาฬิกาของไคลเอนต์ก่อนแตะใบรับรองใด ๆ อุปกรณ์ที่เวลาคลาดเคลื่อนหลายชั่วโมงให้ข้อผิดพลาดอายุเดียวกันกับใบรับรองที่หมดอายุจริง การตั้งนาฬิกาใหม่เป็นการแก้ไขห้าวินาที และการเปลี่ยนใบรับรองที่ไม่เคยเป็นปัญหาคือการหยุดให้บริการ

หาว่าจุดสิ้นสุดใดเป็นตัวสิ้นสุด PEAP

ในการออกแบบเกตเวย์ร่วมกับ RADIUS เกตเวย์ส่งต่อ EAP และไม่ได้สิ้นสุดมัน ปลั๊กอิน eap-radius ของ strongSwan ส่งการแลกเปลี่ยนให้เซิร์ฟเวอร์ RADIUS ซึ่งเป็นเจ้าของเซสชัน TLS ของ PEAP และใบรับรองของมัน เชื่อมโยงการพยายามที่ล้มเหลวหนึ่งครั้งในบันทึกทั้งสอง และยืนยันว่าโปรเซสใดเลือกใบรับรองสำหรับเซสชันนั้นจริง

สำหรับ NPS ใบรับรองต้องอยู่ในที่เก็บของคอมพิวเตอร์ท้องถิ่น มีวัตถุประสงค์การตรวจสอบเซิร์ฟเวอร์ ตรงกับชื่อที่ไคลเอนต์คาดหวัง และอ่านได้โดยบัญชีบริการ ข้อกำหนดใบรับรองของ Microsoft สำหรับ NPS ระบุเงื่อนไขเหล่านั้น เซิร์ฟเวอร์ EAP อื่นมีกฎการเลือกของตนเอง ดังนั้นอย่าคัดลอกรายละเอียดเฉพาะของ NPS ไปยังการติดตั้ง FreeRADIUS หรือกลับกัน กฎที่คงอยู่ทั้งสองกรณีคือจุดสิ้นสุดที่สิ้นสุด PEAP เป็นเจ้าของใบรับรองที่คุณกำลังจะเปลี่ยน

เปลี่ยนใบรับรองตรงที่ EAP สิ้นสุด

ต่ออายุหรือเปลี่ยนใบรับรองที่จุดสิ้นสุดซึ่งสิ้นสุด PEAP ผ่านกระบวนการที่รองรับ โดยคงวัตถุประสงค์การตรวจสอบเซิร์ฟเวอร์และชื่อที่คาดหวังไว้ ติดตั้งห่วงโซ่ทั้งหมดตรงที่บริการค้นหา และให้บริการเข้าถึงคีย์ส่วนตัว รีสตาร์ทหรือผูกบริการใหม่ เพราะบริการจำนวนมากเก็บใบรับรองเก่าไว้ในหน่วยความจำและยังคงนำเสนออยู่ ไฟล์ที่คัดลอกไปยังเครื่องไม่ได้พิสูจน์อะไรเกี่ยวกับใบรับรองที่บริการนำเสนอจริง

ยืนยันการเปลี่ยนแปลงโดยเชื่อมโยงการพยายามครั้งถัดไปกับบันทึกของบริการเอง หรือตรวจสอบใบรับรองที่เซสชันนำเสนอ ถ้าบันทึกนั้นยังแสดงลายนิ้วมือเก่า การรีสตาร์ทไม่ได้ผล

อย่าสันนิษฐานว่าไฟล์ใหม่ที่สุดในไดเรกทอรีคือไฟล์ที่ใช้งานอยู่ สำเนาที่มีชื่อถูกต้องแต่สิทธิ์ผิดไม่เปลี่ยนอะไร ตัดสินการเปลี่ยนแปลงจากตัวตนที่นำเสนอ ไม่ใช่จากเวลาแก้ไขไฟล์

สิ่งที่ไม่ควรทำ

อย่าปิดการตรวจสอบ PEAP หรือบังคับวิธีภายในที่อ่อนแอกว่าเพื่อข้ามข้อผิดพลาด นั่นเปลี่ยนนโยบายและลบคุณสมบัติการตรวจสอบเซิร์ฟเวอร์ที่จับใบรับรองที่หมดอายุไว้ตั้งแต่แรก คุณจะแลกการตรวจสอบที่ทำงานได้กับ connection ที่ทำงานได้ และใบรับรองที่หมดอายุถัดไปจะมาถึงโดยไม่มีอะไรประกาศ

อย่าถือว่าการเชื่อมต่อที่สำเร็จจากระบบปฏิบัติการอื่นเป็นหลักฐานว่าใบรับรองยอมรับได้ ไคลเอนต์นั้นอาจใช้วิธี EAP อื่น ที่เก็บความเชื่อถืออื่น หรือไม่ตรวจสอบเซิร์ฟเวอร์เลย ดังนั้นความสำเร็จจึงไม่บอกอะไรเกี่ยวกับการตรวจสอบที่ล้มเหลวตรงนี้ เก็บการทดสอบเชิงลบโดยเจตนาไว้หนึ่งอย่าง เช่น ใบรับรองที่ชื่อผิดหรือห่วงโซ่ที่ไม่น่าเชื่อถือ ซึ่งล้มเหลวตามที่คาดไว้ ถ้าการทดสอบนั้นผ่านในตอนนี้ คุณได้เอาการตรวจสอบออก ไม่ใช่ซ่อมใบรับรอง บันทึกว่าตัวตนใดล้มเหลว เพื่อให้คนถัดไปไม่เริ่มจากใบรับรองเกตเวย์อีก