Resolução de problemas · VPN e Wi-Fi (RADIUS)
Problemas de certificado RadSec (TLS)
Sintoma
O equipamento configurado com «RadSec (TLS)» não consegue autenticar: a ligação TLS à porta 2083 é recusada ou fecha logo, ou os pedidos ficam sem resposta.
Como funciona o RadSec aqui?
- A ligação usa TLS com certificado de cliente obrigatório. Não há reutilização de sessões: cada ligação prova o certificado de novo.
- O certificado do equipamento tem de ser emitido por uma autoridade em que o serviço confia, e não pode estar revogado.
- O equipamento é identificado pelo SHA-256 do seu certificado, registado em «SHA-256 do certificado».
- Dentro do túnel, o segredo partilhado é normalmente
radsece o Message-Authenticator continua obrigatório.
Causas e soluções
| Causa | O que fazer |
|---|---|
| O SHA-256 registado não é o do certificado atual (renovado ou trocado) | Calcule o SHA-256 do certificado em uso e atualize o cliente |
| O certificado não vem de uma autoridade aceite pelo serviço | Peça ao fornecedor a lista de autoridades aceites, ou peça que acrescente a sua |
| O certificado está revogado ou expirado | Emita um certificado novo e registe o novo SHA-256 |
| O equipamento não confia no certificado do servidor | Instale no equipamento a cadeia que o fornecedor indicar |
| O equipamento só fala TLS 1.2 | Atualize o firmware, ou peça ao fornecedor que permita TLS 1.2 |
| Hora errada no equipamento | Ative o NTP; os certificados dependem da hora |
| Demasiadas ligações em simultâneo | Reduza as ligações paralelas do equipamento |
Como calculo o SHA-256?
Com o certificado em ficheiro PEM: openssl x509 -in cliente.pem -noout -fingerprint -sha256. O formulário aceita 64 carateres hexadecimais: retire os dois pontos e o prefixo SHA256 Fingerprint= (as maiúsculas são convertidas).
Quando escalar
Se o certificado, a cadeia e o SHA-256 estão certos e a ligação continua a falhar, envie ao suporte a hora, o endereço do equipamento e o SHA-256 (nunca a chave privada).
Códigos de erro deste artigo
Esta página ajudou?
Obrigado. A resposta fica guardada apenas neste browser; não enviamos nada.
Lamentamos. Experimente:
- pesquisar com o texto exato da mensagem ou o código de erro
- consultar o índice de códigos de erro
- falar com o administrador da sua organização