none
無線(EAP-TLS)が認証されません RRS feed

  • Pergunta

  • EAP-TLS認証無線ネットワークを構築し、Windows 7 32bitとWindows 10 64bit の端末にクライアント証明書をインポートして接続を行ったところ、Win10では接続できましたが、win7では接続不可能な状態です

    以下スレッドは類似の質問だと思いますので、こちらも踏まえて現状を記載いたします。

    https://social.technet.microsoft.com/Forums/ja-JP/24ba50ef-dbdb-4f06-b439-6021bb974bbb/28961322181239112398354693538835373234501239112467125311250012?forum=w7itprogeneralja

    ・証明書インポート

     「管理コンソール」(mmc.exe)を介して、「証明書」スナップイン(「コンピューターアカウント」を選択)を追加後、「個人」証明書ストアを選択し、右クリックして証明書をインポート(ストアへ自動配置)。結果としては、CA証明書が現在のユーザとローカルコンピュータの「信頼されたルート証明機関」へ、クライアント証明書がローカルコンピュータの「個人」に配置されています。

    ・ネットワークプロファイル設定

    概ね下記サイト通りの設定です。一箇所異なる設定は、「⑦ワイヤレスネットワークのプロパティまで戻り、「詳細設定」をクリックする。認証モードの指定で、ユーザ認証を選択する。」のところで「コンピューターの認証」を選択しています。

    http://viva-musen.net/archives/20608956.html

    ・認証失敗時のWLAN-Autoconfigイベント

    クリティカルなイベントは、下記2つが記録されていました。

    ① ReasonText 明示的な Eap エラーを受信しました
    ReasonCode 0x50005
    ErrorCode 0x80420014
    EAPReasonCode 0x31e
    EAPRootCauseString この拡張認証プロトコルで使用できる証明書が見つかりませんでした。
    EAPErrorCode 0x80420014
    ConnectionId 0x5
    ExplicitCredentials false

    ② SSID (対象のSSID)
    BSSType Infrastructure
    PeerMac (MACアドレス)
    ReasonText 明示的な Eap エラーを受信しました
    ReasonCode 0x50005
    ErrorCode 0x80420014
    ConnectionId 0x5

    証明書の配置状況とネットワークプロファイル設定は、目視ではwin7端末、win10端末どちらも同じ設定に見えます。

    解決に向けてご助力いただけないでしょうか。



    • Editado clement55 quinta-feira, 12 de dezembro de 2019 14:09
    quinta-feira, 12 de dezembro de 2019 10:46

Respostas

Todas as Respostas

  • こんにちは。フォーラムオペレーターのFanです。

    フォーラムにご投稿くださいましてありがとうございます。

    上記のWIN7で無線(EAP-TLS)が認証されないことについて、

    ご存知の方おりましたら、ご意見を共有頂ければ本当に幸いです.

    どうぞよろしくお願いいたします。

    Fan

    Please remember to mark the replies as an answers if they help. If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com


    segunda-feira, 16 de dezembro de 2019 01:59
    Moderador
  • こんにちは。フォーラムオペレーターのFanです。

    フォーラムにご投稿くださいましてありがとうございます。

    その後のご状況いかがでしょうか。

    このフォーラムで答えつきにくいようですよね。英語とはなりますが米国のwin7 networkingフォーラム:(https://social.technet.microsoft.com/Forums/en-US/home?forum=w7itpronetworking&filter=alltypes&sort=lastpostdesc)に投稿いただくこともご検討ください。

    Fan


    Please remember to mark the replies as an answers if they help. If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com

    quarta-feira, 18 de dezembro de 2019 02:21
    Moderador
  • チャブーンです。

    この件ですが、エラーメッセージの通りの状況なら、(インポートした)クライアント証明書が「クライアント証明書たる」条件を満たしていないのではないでしょうか?以下の条件が必要です。

    • クライアント証明書に「秘密鍵」が含まれていること
    • クライアント証明書の「Subject Alternative Name(SAN)」にDNS Nameとして、コンピューター(自分自身)のFQDNが登録されていること
    • 使用目的が「コンピューター認証」を含むこと
    • 証明書チェーンとしての「ルート証明書」が存在し、必要な証明書ストアに格納されていること

    設定の問題ではなく、証明書自体のチェックが必要なように思います。


    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

    quinta-feira, 19 de dezembro de 2019 08:37
  • フォーラムにご投稿くださいましてありがとうございます。

    この後の状況はいかがでしょうか。

    チャブーンさんから寄せられた投稿はお役に立ちましたか。


    ご不明な点がございましたら、お気軽にお問い合わせください

     

    Fan


    Please remember to mark the replies as an answers if they help. If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com

    segunda-feira, 23 de dezembro de 2019 02:57
    Moderador
  • チャブーン様

    ご返信ありがとうございます。

    • クライアント証明書に「秘密鍵」が含まれていること

          →証明書を確認したところ、「この証明書に対応する秘密キーを持っています。」と表示されていることから問題ないと思います。

    • クライアント証明書の「Subject Alternative Name(SAN)」にDNS Nameとして、コンピューター(自分自身)のFQDNが登録されていること

          →「CN」が登録されているため問題ないと思います。

    • 使用目的が「コンピューター認証」を含むこと

          →目的が「すべて」になっているため問題ないと思います。

    • 証明書チェーンとしての「ルート証明書」が存在し、必要な証明書ストアに格納されていること

         →ローカルコンピュータ-個人(クライアント証明書)、ローカルコンピュータ-信頼されたルート証明機関(ルート証明書)がそれぞれ格納されており、クライアント証明書のパスを確認すると格納されているルート証明書と紐づいているため、問題ないと思います。

    ご判断の材料になるかわかりかねますが、認証を失敗した際に追加で確認したことを下記に記します。

    • RADIUSサーバログ

       認証エラー等のログは残っていませんでした。(そもそも何もログが残っていない状態です。)

    • 認証失敗前のWLAN-Autoconfig(時系列的には下に行くほど新しいです。)  

       以降は前回記載したクリティカルなログが続きます。


    WLAN 自動構成サービスはワイヤレス ネットワークとの接続を開始しました。

    ネットワーク アダプター: NIC情報
    インターフェイス GUID: {xxx}
    接続モード: プロファイルとの手動接続
    プロファイル名: 設定したプロファイル名
    SSID: SSID
    BSS の種類: Infrastructure


    ワイヤレス ネットワークのアソシエーションが開始されました。

    ネットワーク アダプター: NIC情報
    インターフェイス GUID: {xxx}
    ローカル MAC アドレス: MAC
    ネットワーク SSID: SSID
    BSS の種類: Infrastructure
    認証: WPA2-Enterprise
    暗号化: AES
    802.1X 有効: はい


    ワイヤレス ネットワーク アソシエーションに成功しました。

    ネットワーク アダプター: NIC情報
    インターフェイス GUID: {xxx}
    ローカル MAC アドレス: MAC
    ネットワーク SSID: SSID
    BSS の種類: Infrastructure
    ピア MAC アドレス:MAC


    ワイヤレス セキュリティを開始しました。

    ネットワーク アダプター: NIC情報
    インターフェイス GUID: {xxx}
    ローカル MAC アドレス: MAC
    ネットワーク SSID: SSID
    BSS の種類: Infrastructure
    ピア MAC アドレス: MAC
    認証: WPA2-Enterprise
    暗号化: AES
    FIPS モード: 無効
    802.1x 有効: はい


    ワイヤレス 802.1x 認証が開始されました。

    ネットワーク アダプター: NIC情報
    インターフェイス GUID: {xxx}
    ローカル MAC アドレス: MAC
    ネットワーク SSID: SSID
    BSS の種類: Infrastructure
    ピア MAC アドレス:MAC
    EAP 情報: 種類 13、ベンダー ID 0、ベンダーの種類 0、作成者 ID 0

    quarta-feira, 25 de dezembro de 2019 11:12
  • チャブーンです。

    この件ですが、やはりSANが未設定なのが問題かと思います。関連する内容として、したのページにもありますが、この手の証明書で大切なのはSANの設定であり、私もこの投稿内容を支持します。

    https://teratail.com/questions/93918


    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

    quarta-feira, 25 de dezembro de 2019 12:00
  • チャブーン様

    ご返信ありがとうございます。

    SANを追加した証明書で試しましたが、エラー内容含め結果は変わりませんでした。

    【結果】

    ・証明書(SAN無し)

    -ユーザ証明書として設定

     Win7 ○

     Win10 ○

    -コンピュータ証明書として設定

     Win7 ×

     Win10 ○

    ・証明書(SAN有り)

    -ユーザ証明書として設定

     Win7 ○

     Win10 ○

    -コンピュータ証明書として設定

     Win7 ×

     Win10 ○

    調査は継続するので、解決次第こちらに共有させていただきます。

    segunda-feira, 20 de janeiro de 2020 10:28
  • フォーラムにご投稿くださいましてありがとうございます

    チャブーンさんも、適格なアドバイスをいただきありがとうございました。

    また新しい情報がございましたら、ご共有をいただければ有難いです。

    FAN


    Please remember to mark the replies as an answers if they help. If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com

    quarta-feira, 22 de janeiro de 2020 01:27
    Moderador
  • 本件、解決しましたので共有いたします。

    【対処】

    対象クライアント証明書の目的を「すべて」から「クライアント証明書」のみに変更。

    Win10は変更せずとも使用可能。

    SAN未設定の証明書でも使用可能。

    直接、解決に繋がる情報ではございませんが、調査中に発見した参考情報を以下に残します。

    【参考】

    ・https://social.technet.microsoft.com/Forums/Azure/ja-JP/73c5e0c7-7f08-4018-a05b-3526aa737916/8021x-eaptls-user-certificate-errors?forum=winserverNAP

    ・https://community.cisco.com/t5/policy-and-access/cisco-ise-802-1x-eap-tls-list-of-applicable-hot-fixes/td-p/2285165

    ご協力いただきありがとうございました。

    quinta-feira, 23 de janeiro de 2020 11:33