Gateway sertifikati joyida: nega IKEv2 PEAP kirishi baribir muvaffaqiyatsiz

VPN gateway’ingiz sertifikati amalda, zanjir tekshiriladi, va IKEv2 mijozi sertifikatning amal qilish oralig‘i haqidagi xabar bilan kirishni baribir rad etadi. Birinchi turtki gateway sertifikatini qayta chiqarish yoki EAP usulini o‘zgartirish, va ikkalasi ham odatda noto‘g‘ri. Kirish urinishi ikkita alohida server identifikatsiyasini olib yuradi: IKE ishlatadigan gateway sertifikati va PEAPni tugatuvchi taqdim etadigan sertifikat. Ulardan biri joyida, ikkinchisi esa mijoz to‘xtaganining sababi.

Ikki identifikatsiya, bitta kirish urinishi

VPN profilidagi sertifikat IKE almashinuviga tegishli: sozlangan IKE siyosati ostida gateway profil nomlagan tomon ekanini isbotlaydi. Bu yerda muvaffaqiyatsiz bo‘lgan sertifikat boshqa suhbatga tegishli, ya’ni PEAP foydalanuvchini autentifikatsiya qiluvchi bilan ochadigan TLS sessiyasiga, u ko‘pincha gatewayning o‘zi emas, NPS kabi RADIUS serveri bo‘ladi. Uchinchi tekshiruv — foydalanuvchi hisob ma’lumotlari — o‘sha sessiya ichida sodir bo‘ladi. To‘g‘ri parol muddati o‘tgan server sertifikatini tuzata olmaydi, va amaldagi gateway sertifikati PEAP oxirgi nuqtasi uchun kafolat bera olmaydi.

Bu qatlamlanish sertifikat xatosi kimdir sozlagan yagona sertifikat gatewayning bo‘lgan joyda nega paydo bo‘lishini tushuntiradi. O‘sha sertifikatni qayta chiqarish nega hech narsani o‘zgartirmasligini ham tushuntiradi.

Log satrini bosqich bilan solishtirib o‘qing

Sabab va sanalarni nomlaydigan xabarni toping. Subyekt xatosi yonidagi amal qilish oralig‘i haqidagi shikoyat server o‘ziga berilgan sertifikatni rad etganini bildiradi, foydalanuvchi kirishni rad etganini emas. Keyin bosqichni toping: strongSwanning charon logi EAP almashinuvi boshlanishidan oldin IKE_SA .* established ko‘rsatadi, shuning uchun o‘sha satrdan keyingi sertifikat xatosi EAP identifikatsiyasiga tegishli, undan oldingi xato esa gatewayga ishora qiladi. Windows mijozi ulanish panelidagi bosqich matni ham shuni aytadi.

Har qanday sertifikatga tegishdan oldin mijoz soatini tekshiring. Bir necha soat xato bo‘lgan qurilma haqiqatan muddati o‘tgan sertifikat bilan bir xil amal qilish xatosini beradi. Soatni to‘g‘rilash besh soniyalik tuzatish, hech qachon muammo bo‘lmagan sertifikatni almashtirish esa uzilish.

PEAPni qaysi oxirgi nuqta tugatishini aniqlang

Gateway va RADIUS arxitekturasida gateway EAPni uzatadi va uni tugatmaydi. strongSwanning eap-radius plagini almashinuvni RADIUS serveriga topshiradi, PEAP TLS sessiyasi va uning sertifikati o‘sha serverga tegishli. Bitta muvaffaqiyatsiz urinishni ikkala logda bog‘lab, o‘sha sessiya uchun sertifikatni qaysi jarayon haqiqatan tanlaganini tasdiqlang.

NPS uchun sertifikat mahalliy kompyuter omborida bo‘lishi, server autentifikatsiyasi maqsadini olib yurishi, mijozlar kutgan nomga mos kelishi va xizmat hisobiga o‘qilishi kerak. NPS uchun Microsoft sertifikat talablari o‘sha shartlarni sanaydi. Boshqa EAP serverlarining o‘z tanlash qoidalari bor, shuning uchun NPS xususiyatlarini FreeRADIUS o‘rnatmasiga yoki aksincha ko‘chirmang. Ikkala holatda ham amal qiladigan qoida — PEAPni tugatuvchi oxirgi nuqta siz o‘zgartirmoqchi bo‘lgan sertifikatga egalik qiladi.

Sertifikatni EAP tugaydigan joyda almashtiring

PEAPni tugatuvchi oxirgi nuqtada sertifikatni qo‘llab-quvvatlanadigan tartibda yangilang yoki almashtiring, server autentifikatsiyasi maqsadi va kutilgan nomni saqlab. To‘liq zanjirni xizmat qidiradigan joyga o‘rnating va xizmatga shaxsiy kalitga ruxsat bering. Xizmatni qayta ishga tushiring yoki qayta bog‘lang, chunki ko‘p xizmatlar eski sertifikatni xotirada saqlab, uni taqdim etishda davom etadi. Mashinaga ko‘chirilgan fayl xizmat haqiqatan qaysi sertifikatni taqdim etishini hech narsa isbotlamaydi.

O‘zgarishni keyingi urinishni xizmatning o‘z logi bilan bog‘lash yoki sessiya taqdim etgan sertifikatni tekshirish orqali tasdiqlang. Agar o‘sha log hali eski barmoq izini ko‘rsatsa, qayta ishga tushirish ta’sir qilmadi.

Katalogdagi eng yangi fayl aynan ishlatilayotgan fayl deb o‘ylamang. To‘g‘ri nom va noto‘g‘ri ruxsatlarga ega nusxa hech narsani o‘zgartirmaydi. O‘zgarishni faylning vaqt belgisi bilan emas, taqdim etilgan identifikatsiya bilan baholang.

Nima qilmaslik kerak

Xatoni chetlab o‘tish uchun PEAP tekshiruvini o‘chirmang va kuchsizroq ichki usulni majburlamang. Bu siyosatni o‘zgartiradi va muddati o‘tgan sertifikatni boshida ushlagan server autentifikatsiyasi xususiyatini olib tashlaydi. Siz ishlayotgan tekshiruvni ishlayotgan ulanishga almashtirgan bo‘lardir, va keyingi muddati o‘tgan sertifikat uni e’lon qiladigan hech narsasiz kelardi.

Boshqa operatsion tizimning muvaffaqiyatli ulanishini sertifikat maqbul ekanining isboti deb hisoblamang. O‘sha mijoz boshqa EAP usuli, boshqa ishonch ombori yoki umuman server tekshiruvisiz ishlashi mumkin, shuning uchun uning muvaffaqiyati bu yerda muvaffaqiyatsiz bo‘lgan tekshiruv haqida hech narsa demaydi. Bitta ataylab qilingan salbiy sinovni — masalan, noto‘g‘ri nomli sertifikat yoki ishonchsiz zanjir — kutilganidek muvaffaqiyatsiz holatda saqlang. Agar o‘sha sinov endi o‘tsa, siz sertifikatni tuzatmay, tekshiruvni olib tashlagansiz. Qaysi identifikatsiya muvaffaqiyatsiz bo‘lganini yozib qo‘ying, keyingi odam yana gateway sertifikatidan boshlamasin.