ID d'événement Windows 4983 – Microsoft-Windows-Security-Auditing : Échec de l'authentification en mode principal IPsec

Commencez par examiner les détails complets de l'événement pour comprendre le contexte de l'échec d'authentification.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4983 en utilisant l'option de filtre
3. Double-cliquez sur l'événement 4983 le plus récent pour voir les détails
4. Notez l'Adresse Réseau Source et l'Adresse Réseau de Destination
5. Vérifiez le champ Méthode d'Authentification (Certificat, PreSharedKey, ou Kerberos)
6. Enregistrez la Raison de l'Échec et tout code d'erreur fourni

Utilisez PowerShell pour extraire plusieurs événements pour une analyse de modèle :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4983} -MaxEvents 50 | Select-Object TimeCreated, @{Name='SourceIP';Expression={$_.Properties[1].Value}}, @{Name='DestIP';Expression={$_.Properties[2].Value}}, @{Name='AuthMethod';Expression={$_.Properties[3].Value}} | Format-Table -AutoSize

Vérifiez les politiques IPsec locales et assurez-vous qu'elles correspondent à la configuration attendue pour votre environnement.

1. Ouvrez Windows Defender Firewall avec sécurité avancée
2. Accédez à Règles de sécurité de connexion dans le volet de gauche
3. Examinez les règles actives et leurs exigences d'authentification
4. Cliquez avec le bouton droit sur chaque règle et sélectionnez Propriétés pour vérifier les méthodes d'authentification
5. Vérifiez l'onglet Authentification pour les paramètres de certificat ou de clé pré-partagée

Utilisez PowerShell pour examiner les politiques IPsec de manière programmatique :

# Voir les règles de sécurité de connexion IPsec
Get-NetIPsecRule | Select-Object DisplayName, Enabled, Direction, Action | Format-Table -AutoSize

# Vérifiez les règles du mode principal IPsec
Get-NetIPsecMainModeRule | Select-Object DisplayName, Enabled, MainModeCryptoSet | Format-Table -AutoSize

# Examinez les méthodes d'authentification
Get-NetIPsecPhase1AuthSet | Select-Object DisplayName, Proposal | Format-List

Pour les systèmes joints à un domaine, vérifiez les paramètres IPsec de la stratégie de groupe :

# Vérifiez les politiques IPsec appliquées de la stratégie de groupe
gpresult /h c:\temp\gp_report.html
# Examinez la section IPsec dans le rapport généré

Lorsque l'authentification par certificat est utilisée, vérifiez la validité et l'accessibilité du certificat.

1. Ouvrez Microsoft Management Console (MMC) et ajoutez le composant logiciel enfichable Certificats
2. Accédez à Personnel → Certificats pour voir les certificats de la machine
3. Vérifiez les dates d'expiration des certificats et assurez-vous que les certificats IPsec sont présents
4. Vérifiez la chaîne de certificats en double-cliquant sur les certificats et en vérifiant l'onglet Chemin de certification
5. Assurez-vous que le certificat a l'usage de clé amélioré approprié pour IPsec

Utilisez PowerShell pour auditer l'état des certificats :

# Lister les certificats de la machine avec IPsec EKU
Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.EnhancedKeyUsageList -match "IP security IKE intermediate"} | Select-Object Subject, NotAfter, Thumbprint | Format-Table -AutoSize

# Vérifier la validation de la chaîne de certificats
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -like "*YourServerName*"}
$chain = New-Object System.Security.Cryptography.X509Certificates.X509Chain
$chain.Build($cert)
$chain.ChainStatus

Testez l'accessibilité du certificat depuis le pair défaillant :

# Tester l'accès au magasin de certificats
Certlm.msc
# Accédez aux Autorités de certification racines de confiance pour vérifier les certificats CA

Vérifiez l'accessibilité de la liste de révocation de certificats (CRL) :

# Tester le téléchargement de la CRL
$cert = Get-ChildItem Cert:\LocalMachine\My | Select-Object -First 1
$cert.Extensions | Where-Object {$_.Oid.FriendlyName -eq "CRL Distribution Points"}

Activez la journalisation IPsec détaillée pour capturer les détails de négociation et identifier les points de défaillance spécifiques.

1. Ouvrez l'Éditeur du Registre et accédez à HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent\Parameters
2. Créez une nouvelle valeur DWORD nommée EnableLogging et définissez-la sur 1
3. Créez une autre DWORD nommée LogFilePath et définissez le chemin sur C:\Windows\debug\ipsec.log
4. Redémarrez le service IPsec Policy Agent

Configurez la journalisation IPsec avancée via PowerShell :

# Activer la journalisation d'audit IPsec
Auditpol /set /subcategory:"IPsec Main Mode" /success:enable /failure:enable
Auditpol /set /subcategory:"IPsec Quick Mode" /success:enable /failure:enable
Auditpol /set /subcategory:"IPsec Extended Mode" /success:enable /failure:enable

# Redémarrer les services IPsec
Restart-Service PolicyAgent
Restart-Service IKEEXT

Utilisez netsh pour activer le traçage IPsec :

# Démarrer le traçage IPsec
netsh wfp capture start file=c:\temp\ipsec_trace.etl keywords=19

# Reproduire le problème, puis arrêter le traçage
netsh wfp capture stop

# Convertir le traçage pour analyse
netsh trace convert input=c:\temp\ipsec_trace.etl output=c:\temp\ipsec_trace.txt

Surveillez les événements IPsec en temps réel :

# Surveiller les événements IPsec en temps réel
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4960,4961,4983,5453} -MaxEvents 1 | Wait-Event

Pour les échecs d'authentification complexes, examinez les problèmes sous-jacents de réseau et de Kerberos qui peuvent empêcher l'authentification IPsec.

1. Vérifiez la connectivité réseau sur les ports IPsec en utilisant PowerShell :

# Test de la connectivité des ports IPsec
Test-NetConnection -ComputerName target_server -Port 500 -InformationLevel Detailed
Test-NetConnection -ComputerName target_server -Port 4500 -InformationLevel Detailed

2. Vérifiez la synchronisation de l'heure entre les pairs IPsec :

# Vérifiez l'état de la synchronisation de l'heure
w32tm /query /status
w32tm /query /peers

# Forcez la synchronisation de l'heure si nécessaire
w32tm /resync /force

3. Pour les problèmes d'authentification Kerberos, examinez les tickets Kerberos :

# Liste des tickets Kerberos actuels
klist

# Purgez et rafraîchissez les tickets Kerberos
klist purge
gpupdate /force

4. Analysez les traces réseau pour les échecs de négociation IPsec :

# Capturez le trafic réseau pendant la négociation IPsec
netsh trace start capture=yes tracefile=c:\temp\network_trace.etl provider=Microsoft-Windows-WFP keywords=0x0000000000000010

# Arrêtez la trace après avoir reproduit le problème
netsh trace stop

5. Vérifiez la résolution DNS pour la validation des certificats :

# Testez la résolution DNS pour les points de terminaison CRL et OCSP
nslookup crl.microsoft.com
nslookup ocsp.microsoft.com

# Testez les URL de validation des certificats
Certutil -url certificate.cer