Windows EAP-TLS da PIV kirishi ishlamayaptimi? Imzolash yo'lini tekshiring

PIV kartasining sertifikatini har bir Windows muloqot oynasida ko'rsating va VPN kirishi baribir ishlamasligi mumkin, chunki ko'rinish va foydalanish qobiliyati turlicha xususiyatlardir. Sertifikat ommaviy obyekt; kirish uchun karta o'z kirish qoidalariga muvofiq bajaradigan maxfiy kalit amali kerak. Bu ikki fakt o'rtasida to'rt xil usulda ishlamaydigan to'rt bosqich bor: profil tanlovi, sertifikat tanlovi, mahalliy imzolash va server tomonidagi tekshiruv. Ularni tartib bilan bosib o'tish umumiy qo'l siqish xatosini keyingi qism egasiga qaratilgan aniq savolga aylantiradi.

Profil va EAP usulidan boshlang

Ulanish xususiyatlarini oching va profil aslida qaysi EAP usulidan foydalanishini o'qing, so'ng usul qaysi sertifikatni tanlashga sozlanganini o'qing. Ko'p joylashtirishlarda sertifikatga asoslangan tashqi usul ham, ichki usul ham bor, va ulanish darajasida sozlangan sertifikat EAP-TLS ichida taqdim etiladigan sertifikat emas. Agar profil sertifikatni chiqaruvchi yoki mavzu filtri bo'yicha tanlasa, bu filtr Windows tegishli omborda ko'radigan narsalardan tanlaydi, kartada tasodifan bor narsalardan emas. Hech narsaga mos kelmaydigan filtr profil sozlamasiga qarab so'rovga yoki jim nosozlikka o'tadi, shuning uchun tanlangan barmoq izini har qanday o'zgarishdan oldin yozib qo'yish arziydi.

Ulanish tizimga kirgan foydalanuvchi sifatida yoki kompyuter sifatida ishlashini ham aniqlang. Shu bitta fakt qaysi sertifikat omborlari qamrovda ekanini va qaysi xavfsizlik muhiti imzolashini belgilaydi.

Qaysi sertifikat tanlanganini tasdiqlang

Windows tanlagan barmoq izini talab bilan solishtiring: mijoz autentifikatsiyasi uchun foydalanish, ishonchli ildizda tugaydigan zanjir, autentifikatsiya serveri siyosati moslashtiradigan shaxs va urinishning haqiqiy lahzasini qamrab oluvchi amal qilish muddati. Bular alohida tekshiruvlar va oxirgisi odamlar kutganidan ko'proq kutilmagan holatlarni ushlaydi, ayniqsa aylanma asosda berilgan sertifikatlar va hanuz kechagi tanlovga ishora qiluvchi keshlangan profillarda.

Foydalanuvchi va kompyuter muhiti tekshiruvning ikkinchi yarmi. Foydalanuvchining shaxsiy omboridagi sertifikat kompyuter sifatida ishlayotgan xizmatga ko'rinmaydi, va kompyuter sertifikati profil aytmasa, foydalanuvchi rejimidagi EAP almashinuvi tomonidan taqdim etilmaydi. Sertifikatni noto'g'ri omborga qayta import qilish ko'rinadigan sertifikat va ko'rinmaydigan kirish hisob ma'lumotlarini beradi. Profildagi ombor yo'lini o'qing, tasodifan ochilgan muloqot oynasidagini emas.

PIN ni taxmin qilmasdan kalit amalini sinab ko'ring

Tanlov aniqlangach, savol karta imzoni bajaradimi yoki yo'qmi. Windows maxfiy kalitga yetish uchun qo'llab-quvvatlanadigan karta provayderi yoki minidriver kerak, qurilma esa amalga o'z PIN va mavjudlik qoidalarini qo'llaydi. Har bir imzo uchun tegishni talab qiladigan karta sessiya uchun tasdiqni keshlaydigan kartadan boshqacha tutadi, va ikkalasi ham so'rov qachon paydo bo'lishini o'zgartiradigan qonuniy sozlamalardir. Bu farq yangi qo'yilganda muvaffaqiyatli bo'lib, uyqudan qaytgach ishlamaydigan kirishni, hech bir sertifikat xato bo'lmaganda tushuntiradi.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Birinchi buyruq kartani inventarizatsiya qiladi va o'quvchi hamda provayder holatini xabar qiladi, bu Microsoft ning smart-karta disk raskadrovka qo'llanmasida hujjatlashtirilgan. Ikkinchisi foydalanuvchi muhiti aslida nima ko'rishini sanab chiqadi. Hech biri muvaffaqiyatli autentifikatsiyani isbotlamaydi; ikkalasi ham qayerda to'xtaganini toraytiradi.

PIN ni taxmin qilmang. Kartalar qayta urinish chegaralarini qo'llaydi, va bir necha optimistik urinish ruxsat muammosini ma'muriy tiklashni talab qiladigan bloklangan hisob ma'lumotlariga aylantiradi. Agar mahalliy imzo ishlamasa, variantlarni sinab ko'rish o'rniga provayder holati va karta holatini yozib oling. Urinishni o'sha profil, o'sha sertifikat va ma'lum yaxshi o'quvchi yo'li bilan bir marta takrorlang, so'ng ikki yozuvni solishtiring; bir vaqtda bir necha o'zgaruvchini o'zgartirish natija emas, hikoya beradi.

Qo'l siqishning ikkala tomonini o'qing

Tugallangan imzo hali qabul emas. Autentifikatsiya serveri zanjirni qabul qilishi, bekor qilishni tekshirishi, shaxsni joriy qoidalariga muvofiq moslashtirishi va so'rovni ruxsatlashi kerak; mijoz esa server sertifikatini profil talab qilganidek tekshirishi kerak. Server yaratgan TLS ogohlantirishi mijoz jurnalida mahalliy yaratilgani bilan bir xil ko'rinadi, shuning uchun uni chiqargan tomon ogohlantirish matnidan muhimroq.

Windows hodisalari va server tomonidagi hodisalarni moslangan vaqt belgilari bilan to'plang, so'ng birinchi nosozlikni qaysi tomon keltirib chiqarganini aniqlang. RFC 5216 EAP-TLS dagi egalik isboti qadamini tasvirlaydi, umumiy qo'l siqish ogohlantirishi o'z-o'zidan mahalliy kalit sababini nomlamaydi. Vaqt belgilarini solishtirish ikki jurnalni ketma-ketlikka aylantiradi.

Hisobotda chegaralarni to'g'ri tuting

Hisobotni to'rt bosqich sifatida yozing, har biriga bitta hukm: qaysi profil va muhit ishladi, Windows qaysi sertifikatni tanladi, karta imzoladimi va server nima qaror qildi. Bu tuzilma keyingi qadamni ravshan qiladi va hech kim aniqlamagan bosqichdan o'tish uchun tekshiruvni o'chirish kabi odatiy tuzatishning oldini oladi.

Vaqtinchalik solishtirish sifatida dasturiy ta'minot sertifikati qonuniy administrator sinovidir, lekin u hisob ma'lumotlari va kafolat modelini o'zgartiradi, shuning uchun jim ishlab chiqarish yechimi emas, tasdiqlangan o'zgartirishga tegishli. Xuddi shu intizom PIN urinishlari va ishlamayotgan bosqich ma'lum bo'lishidan oldin hisob ma'lumotlarini qayta berish uchun ham amal qiladi. Xuddi shunday ishlamaydigan almashtirish kartasi muammo hech qachon kartada bo'lmaganining qimmat isbotidir.