Ağ geçidi sertifikası sorunsuz: IKEv2 PEAP oturum açması neden hâlâ başarısız

VPN ağ geçidinizin sertifikası geçerli, zincir doğrulanıyor ve IKEv2 istemcisi yine de bir sertifikanın geçerlilik aralığı hakkındaki mesajla oturum açmayı reddediyor. İlk dürtü, ağ geçidi sertifikasını yeniden vermek veya EAP yöntemini değiştirmektir ve ikisi de genellikle yanlıştır. Oturum açma denemesi iki ayrı sunucu kimliği taşır: IKE'nin kullandığı ağ geçidi sertifikası ve PEAP'ı sonlandıranın sunduğu sertifika. Bunlardan biri sorunsuzdur ve diğeri istemcinin durmasının nedenidir.

İki kimlik, tek oturum açma denemesi

VPN profilindeki sertifika IKE değişimine aittir: yapılandırılmış IKE ilkesi altında ağ geçidinin profilin adlandırdığı taraf olduğunu kanıtlar. Burada başarısız olan sertifika başka bir konuşmaya aittir, yani PEAP'ın kullanıcıyı kimlik doğrulayan tarafla açtığı TLS oturumuna; bu genellikle ağ geçidinin kendisi değil, NPS gibi bir RADIUS sunucusudur. Üçüncü denetim olan kullanıcı kimlik bilgileri o oturumun içinde gerçekleşir. Geçerli bir parola süresi dolmuş bir sunucu sertifikasını onaramaz ve geçerli bir ağ geçidi sertifikası PEAP uç noktası için kefil olamaz.

Bu katmanlama, bir sertifika hatasının herkesin yapılandırdığı tek sertifikanın ağ geçidininki olduğu bir yerde neden ortaya çıktığını açıklar. Aynı sertifikayı yeniden vermenin neden hiçbir şeyi değiştirmediğini de açıklar.

Günlük satırını aşamaya göre okuyun

Nedeni ve tarihleri belirten mesajı bulun. Konu hatasının yanında geçerlilik aralığı şikâyeti, sunucunun kendisine verilen sertifikayı reddettiği anlamına gelir, kullanıcının oturum açmayı reddettiği değil. Sonra aşamayı bulun: strongSwan charon günlüğü EAP değişimi başlamadan önce IKE_SA .* established gösterir, bu yüzden o satırdan sonraki bir sertifika hatası EAP kimliğine aittir, önceki bir hata ise ağ geçidini işaret eder. Windows istemcisinin bağlantı panelindeki aşama metni de aynısını söyler.

Herhangi bir sertifikaya dokunmadan önce istemcinin saatini kontrol edin. Saati saatlerce yanlış olan bir cihaz, gerçekten süresi dolmuş bir sertifikayla aynı geçerlilik hatasını üretir. Saati düzeltmek beş saniyelik bir onarımdır ve hiç sorun olmamış bir sertifikayı değiştirmek bir kesintidir.

PEAP'ı hangi uç noktanın sonlandırdığını bulun

Ağ geçidi artı RADIUS tasarımında ağ geçidi EAP'ı iletir ve sonlandırmaz. strongSwan'ın eap-radius eklentisi değişimi, PEAP TLS oturumuna ve sertifikasına sahip olan RADIUS sunucusuna devreder. Başarısız bir denemeyi iki günlükte ilişkilendirin ve o oturum için sertifikayı hangi sürecin gerçekten seçtiğini doğrulayın.

NPS için sertifika yerel bilgisayar deposunda olmalı, sunucu kimlik doğrulama amacını taşımalı, istemcilerin beklediği adla eşleşmeli ve hizmet hesabı tarafından okunabilmelidir. NPS için Microsoft'un sertifika gereksinimleri bu koşulları listeler. Diğer EAP sunucularının kendi seçim kuralları vardır, bu yüzden NPS'e özgü ayrıntıları FreeRADIUS kurulumuna veya tersine kopyalamayın. Her iki durumda da geçerli olan kural, PEAP'ı sonlandıran uç noktanın değiştirmek üzere olduğunuz sertifikaya sahip olmasıdır.

Sertifikayı EAP'ın sonlandığı yerde değiştirin

PEAP'ı sonlandıran uç noktada sertifikayı desteklenen süreçle yenileyin veya değiştirin; sunucu kimlik doğrulama amacını ve beklenen adı koruyun. Tam zinciri hizmetin aradığı yere kurun ve hizmete özel anahtara erişim verin. Hizmeti yeniden başlatın veya yeniden bağlayın, çünkü birçok hizmet eski sertifikayı bellekte tutar ve sunmaya devam eder. Makineye kopyalanan bir dosya, hizmetin gerçekte hangi sertifikayı sunduğuna dair hiçbir şey kanıtlamaz.

Değişikliği, sonraki denemeyi hizmetin kendi günlüğüyle ilişkilendirerek veya oturumun sunduğu sertifikayı inceleyerek doğrulayın. O günlük hâlâ eski parmak izini gösteriyorsa yeniden başlatma işe yaramamıştır.

Bir dizindeki en yeni dosyanın kullanılan dosya olduğunu varsaymayın. Doğru ad ve yanlış izinlerle bir kopya hiçbir şeyi değiştirmez. Değişikliği dosyanın zaman damgasına göre değil, sunulan kimliğe göre değerlendirin.

Ne yapılmamalı

Hatayı aşmak için PEAP doğrulamasını kapatmayın ve daha zayıf bir iç yöntemi zorlamayın. Bu, ilkeyi değiştirir ve süresi dolmuş sertifikayı en başta yakalayan sunucu kimlik doğrulama özelliğini kaldırır. Çalışan bir denetimi çalışan bir bağlantıyla değişmiş olursunuz ve sonraki süresi dolmuş sertifika hiçbir şey duyurmadan gelir.

Başka bir işletim sisteminin başarılı bağlantısını sertifikanın kabul edilebilir olduğunun kanıtı saymayın. O istemci başka bir EAP yöntemi, başka bir güven deposu veya hiç sunucu doğrulaması kullanmıyor olabilir, bu yüzden başarısı burada başarısız olan denetim hakkında hiçbir şey söylemez. Kasıtlı bir olumsuz testi, örneğin yanlış adlı bir sertifika veya güvenilmeyen bir zinciri, beklendiği gibi başarısız olarak koruyun. O test artık geçiyorsa bir sertifikayı onarmak yerine bir denetimi kaldırmışsınız. Hangi kimliğin başarısız olduğunu yazın, böylece sonraki kişi yine ağ geçidi sertifikasıyla başlamaz.