802.1X EAP-TLS Sertifika Hatası

EAP-TLS, 802.1X ağ erişiminde hem sunucunun hem de istemcinin sertifika ile doğrulandığı (karşılıklı) yöntemdir. Parola yoktur; bu yüzden sertifika zincirindeki küçük bir uyumsuzluk bile bağlantıyı tamamen engeller.

Sertifika gereksinimleri

• Sunucu (RADIUS/NPS): Server Authentication EKU (1.3.6.1.5.5.7.3.1) ve geçerli zincir.
• İstemci (cihaz/kullanıcı): Client Authentication EKU (1.3.6.1.5.5.7.3.2); kullanıcı sertifikalarında genelde UPN, cihaz sertifikalarında cihaz FQDN'i SAN'da bulunur.
• İstemci sertifikasını veren CA, RADIUS sunucusunun güvendiği CA'lar arasında olmalı; sunucu sertifikasının CA'sı da istemcide güvenilir olmalı.
• İptal denetimi (CRL/OCSP) için ilgili adreslere sunucudan erişilebilmeli.

Sık görülen hata nedenleri

• İstemci sertifikasının süresi dolmuş ya da hiç yüklenmemiş (otomatik kayıt çalışmamış).
• CRL yayın noktasına erişilemediği için iptal denetimi başarısız oluyor.
• Cihaz saati sapmış; sertifika "henüz geçerli değil" görünüyor.
• Sertifikada yanlış veya eksik EKU, SAN ya da şablon uyumsuzluğu.
• Ara CA sertifikası RADIUS sunucusunun güvenilen depolarında yok.

Adım adım inceleme

1. NPS kullanıyorsanız Olay Görüntüleyici'de Security günlüğünde reddedilen bağlantı olayını (6273) ve neden kodunu okuyun.
2. İstemci sertifikasını inceleyin: certutil -store -user My ve zinciri sınayın: certutil -verify -urlfetch istemci.cer
3. FreeRADIUS'ta hata ayıklama modunda çalıştırın: freeradius -X
4. Sunucuyu istemci profili olmadan test etmek için eapol_test ile deneme isteği gönderin.

openssl x509 -in istemci.pem -noout -subject -dates -ext extendedKeyUsage,subjectAltName
openssl verify -CAfile kok-ve-ara.pem istemci.pem

Önleme

Otomatik kayıt ve yenileme kullanın, CRL dağıtım noktalarını erişilebilir tutun, sertifika bitiş tarihlerini cihaz filosu genelinde izleyin. Kurumsal altyapınıza uygun seçenekler için SSL sertifikaları ve Türkçe teknik destek sayfalarımıza göz atabilirsiniz.