Błąd uwierzytelnienia PEAP/MSCHAPv2

Błąd uwierzytelnienia PEAP/MSCHAPv2 (sieci Wi-Fi Enterprise) oznacza odrzucenie certyfikatu serwera RADIUS przez klienta — częsta przyczyna to brak zaufanego certyfikatu CA lub wygasły certyfikat serwera.

Czym jest błąd uwierzytelnienia PEAP/MSCHAPv2

Błąd uwierzytelnienia PEAP/MSCHAPv2 pojawia się podczas próby dołączenia urządzenia do zabezpieczonej sieci bezprzewodowej, w której dostęp jest przyznawany na podstawie konta użytkownika, a nie wyłącznie wspólnego hasła. PEAP tworzy chroniony tunel dla wymiany danych uwierzytelniających, natomiast MSCHAPv2 odpowiada za sprawdzenie nazwy użytkownika i hasła wewnątrz tego tunelu. Zanim jednak dojdzie do weryfikacji danych logowania, komputer lub telefon powinien sprawdzić, czy komunikuje się z właściwym serwerem uwierzytelniającym.

Odmowa połączenia może zatem oznaczać nie tylko błędne hasło. Klient sieciowy może nie ufać certyfikatowi używanemu przez serwer RADIUS, nie rozpoznawać urzędu certyfikacji albo odrzucać certyfikat z powodu przekroczonego terminu ważności. Znaczenie ma również zgodność nazwy serwera zapisanej w certyfikacie z nazwą wskazaną w konfiguracji profilu Wi-Fi. Gdy którykolwiek z tych elementów nie przejdzie kontroli, połączenie zostaje przerwane, nawet jeśli dane konta są prawidłowe.

Sam komunikat widoczny w systemie bywa bardzo ogólny. Może mieć postać informacji o niemożności połączenia z siecią, odrzuceniu danych uwierzytelniających albo nieudanej próbie autoryzacji. Dlatego przy ustalaniu przyczyny potrzebne jest rozdzielenie problemu certyfikatu, profilu sieciowego, hasła i konfiguracji urządzenia.

Kontekst techniczny i porównanie możliwych przyczyn - Błąd uwierzytelnienia PEAP/MSCHAPv2

W sieci zabezpieczonej metodą PEAP/MSCHAPv2 występuje kilka etapów, które muszą zostać wykonane w odpowiedniej kolejności. Najpierw urządzenie nawiązuje komunikację z punktem dostępowym, następnie rozpoczyna negocjację 802.1X, a później otrzymuje certyfikat serwera uwierzytelniającego. Po pozytywnej ocenie tego certyfikatu tworzony jest tunel PEAP, w którym przekazywane są dane MSCHAPv2. Błąd na dowolnym etapie może wyglądać dla użytkownika podobnie, choć naprawa będzie wymagała innego działania.

Odrzucenie certyfikatu różni się od zwykłego błędnego hasła. Przy nieprawidłowym haśle certyfikat może zostać zaakceptowany, lecz serwer odmawia dostępu do konta. Przy problemie z zaufaniem połączenie może zostać zakończone jeszcze przed przesłaniem danych logowania. Warto również odróżnić awarię uwierzytelniania od problemu z zasięgiem, zakłóceniami radiowymi lub niewłaściwym pasmem. Niestabilny sygnał może powodować rozłączenia, ale zwykle nie prowadzi do jednoznacznego komunikatu dotyczącego PEAP/MSCHAPv2.

Znaczenie ma także system operacyjny i sposób, w jaki przechowuje profile sieciowe. W starszym profilu może pozostać zapamiętana nazwa serwera, poprzedni wybór urzędu certyfikacji albo wymóg sprawdzania określonej domeny. Po zmianie infrastruktury uwierzytelniania taki profil może nadal próbować stosować nieaktualne zasady. Podobny efekt występuje po migracji kont, zmianie hasła, wymianie certyfikatu lub przywróceniu ustawień sieciowych z kopii.

Typowe problemy i błędy konfiguracji - Błąd uwierzytelnienia PEAP/MSCHAPv2

Jedną z częstszych przyczyn jest brak certyfikatu głównego urzędu certyfikacji na urządzeniu. Wtedy system nie ma podstaw, aby uznać certyfikat serwera za zaufany. Problem może pojawić się po reinstalacji systemu, przy korzystaniu z nowego komputera albo po usunięciu firmowych zasad bezpieczeństwa. Samo zaakceptowanie ostrzeżenia bez sprawdzenia źródła certyfikatu nie jest właściwą metodą konfiguracji, ponieważ utrudnia rozpoznanie prawdziwego serwera i może obniżyć poziom ochrony.

Innym powodem jest certyfikat wygasły, unieważniony albo wystawiony dla innej nazwy. Niekiedy urządzenie ma nieprawidłową datę i godzinę, przez co ważny certyfikat jest oceniany jako jeszcze nieważny lub już przeterminowany. Warto sprawdzić również, czy system ma dostęp do aktualnych zasad zaufania oraz czy profil Wi-Fi wymaga wskazania konkretnego urzędu certyfikacji i nazwy serwera.

Po stronie użytkownika błędy powodują między innymi literówki w identyfikatorze, użycie nieaktualnego hasła, pomylenie formatu nazwy konta oraz zapisanie dawnych danych w menedżerze poświadczeń. Czasem konto jest poprawne, lecz nie ma uprawnień do danej sieci albo zostało zablokowane przez administratora. W takich przypadkach wielokrotne wpisywanie tego samego hasła nie przyniesie rezultatu.

Pomocne bywa usunięcie starego profilu bezprzewodowego i utworzenie go ponownie zgodnie z aktualnymi wymaganiami. Przed takim działaniem należy jednak ustalić prawidłową metodę EAP, sposób walidacji certyfikatu, nazwę serwera oraz źródło certyfikatu zaufania. W środowisku, w którym korzysta się z centralnego zarządzania urządzeniami, ustawienia mogą być narzucane automatycznie i ręczna zmiana profilu może zostać później nadpisana.

Kiedy trzeba skorzystać z pomocy serwisu - Błąd uwierzytelnienia PEAP/MSCHAPv2

Zgłoszenie do serwisu jest uzasadnione, gdy połączenie z innymi sieciami działa prawidłowo, lecz jedna zabezpieczona sieć stale odrzuca urządzenie mimo sprawnych danych logowania. Warto skorzystać z pomocy także wtedy, gdy błąd wystąpił po aktualizacji systemu, zmianie certyfikatu, reinstalacji sterowników lub przywróceniu ustawień sieciowych. Szczególnej uwagi wymaga sytuacja, w której kilka urządzeń łączy się bez problemu, a tylko jeden laptop lub komputer odmawia uwierzytelnienia.

Podczas diagnostyki można sprawdzić zapisany profil Wi-Fi, certyfikaty zaufania, datę systemową, sterownik karty bezprzewodowej, dzienniki systemowe oraz sposób przekazywania danych logowania. Należy przy tym zachować ostrożność i nie ujawniać haseł ani prywatnych kluczy. Jeżeli problem dotyczy wyłącznie infrastruktury sieciowej, potrzebne może być także przekazanie administratorowi informacji o komunikacie, czasie wystąpienia błędu i urządzeniu, na którym występuje.

W Warszawskim Pogotowiu Komputerowym 24/7 wykonywana jest darmowa diagnoza LAPTOPA, dzięki której można rozdzielić usterkę samego urządzenia od nieprawidłowej konfiguracji profilu lub certyfikatów. Po ustaleniu źródła problemu możliwe jest uporządkowanie ustawień sieciowych, usunięcie przestarzałych wpisów, przywrócenie poprawnej walidacji certyfikatu albo przygotowanie informacji potrzebnych do dalszej obsługi po stronie administratora sieci.