При согласовании TLS/IKEv2 соединений на базе сертификатов X.509 возникают критические сбои:

• Ошибка TLS error: Unsupported certificate purpose или Certificate verify failed.
• Ошибка unable to get local issuer certificate (Error 20) при наличии валидного корневого CA.
• Отказ подключения IKEv2 с формулировкой NO_PROPOSAL_CHOSEN / AUTHENTICATION_FAILED из-за несовпадения поля SAN (Subject Alternative Name).
• Блокировка всех клиентов из-за истечения срока действия списка отзыва сертификатов (CRL Expired).

1. Проверка и сборка полной цепочки сертификатов (Full Chain)

Сервер должен отдавать клиенту не только свой конечный сертификат, но и все промежуточные сертификаты (Intermediate CA) в строго правильном порядке:

# Правильный порядок сборки Full Chain:
cat server.crt intermediate_ca.crt > fullchain.pem

# Проверка валидности всей цепочки через OpenSSL:
openssl verify -CAfile root_ca.crt -untrusted intermediate_ca.crt server.crt

2. Проверка назначения сертификата (Extended Key Usage - EKU)

Сертификат сервера должен содержать расширение TLS Web Server Authentication (1.3.6.1.5.5.7.3.1), а клиентский — TLS Web Client Authentication (1.3.6.1.5.5.7.3.2):

openssl x509 -in server.crt -text -noout | grep -A 2 "Extended Key Usage"

3. Проверка Subject Alternative Name (SAN) для IKEv2 / StrongSwan / Windows

Нативные клиенты Windows IKEv2 требуют обязательного наличия DNS-имени или IP-адреса сервера в поле SAN (CN игнорируется):

openssl x509 -in server.crt -text -noout | grep -A 1 "Subject Alternative Name"
# Должно быть: DNS:vpn.company.com или IP Address:198.51.100.1

4. Траблшутинг просроченного CRL (Certificate Revocation List)

# Проверка срока годности списка отзыва:
openssl crl -in /etc/openvpn/crl.pem -text -noout | grep "Next Update"

# Принудительное обновление CRL через Easy-RSA:
cd /etc/openvpn/easy-rsa
./easyrsa gen-crl
cp pki/crl.pem /etc/openvpn/crl.pem
chmod 644 /etc/openvpn/crl.pem