PEAP veya EAP-TTLS kullanan RADIUS altyapılarında istemciler, kimlik bilgilerini göndermeden önce RADIUS sunucusunun sertifikasını doğrular. Bu sertifika süresi dolmuş, güvenilmeyen bir CA'dan ya da yanlış adla üretilmişse cihazlar Wi-Fi veya kablolu ağa bağlanamaz.
Belirtiler
- Windows'ta sunucu sertifikası uyarısı veya sessiz bağlantı hatası.
- Sunucu günlüğünde TLS handshake hatası; kullanıcı kimlik bilgisi aşamasına hiç gelinmemesi.
- Bir gün çalışırken ertesi gün tüm cihazların düşmesi (sertifika süresi dolması).
Nedenler
- RADIUS sunucu sertifikasının süresi dolmuş.
- Sertifikayı veren kök/ara CA istemcilerde güvenilir değil ya da profilde seçili değil.
- Sertifikada Server Authentication kullanımı yok veya ad, istemci profilindeki sunucu adı ile uyuşmuyor.
- Zincir sunucuda eksik yapılandırılmış; ara sertifika gönderilmiyor.
Teşhis ve çözüm
FreeRADIUS'ta sertifika dosyalarını ve süresini inceleyin:
openssl x509 -in /etc/freeradius/3.0/certs/server.pem -noout -subject -issuer -dates -ext extendedKeyUsage,subjectAltName
openssl verify -CAfile /etc/freeradius/3.0/certs/ca.pem /etc/freeradius/3.0/certs/server.pem
freeradius -Xmods-enabled/eap dosyasındaki tls-config bölümünde private_key_file, certificate_file ve ca_file yollarının doğru olduğunu kontrol edin. freeradius -X hata ayıklama çıktısı, TLS alertini ve nedeni açıkça gösterir. İstemci tarafını test etmek için eapol_test aracı yararlıdır.
Windows NPS kullanıyorsanız sunucu sertifikasını Local Computer deposunda yenileyin ve ilgili ağ ilkesindeki PEAP ayarında yeni sertifikayı seçin.
Önleme
- Sertifika bitiş tarihini izleme sistemine ekleyin.
- İstemci profillerinde yalnızca belirli CA'ya ve sunucu adına güvenin; her sertifikayı kabul eden seçeneklerden kaçının.
- Yenilemede aynı CA'yı koruyun; böylece cihazlarda profil değişikliği gerekmez.
Herkese açık CA gereken senaryolar için SSL sertifikaları sayfamıza, isteğinizi hazırlamak için CSR oluşturucuya bakabilirsiniz.