ID d'événement Windows 36887 – Schannel : Erreur de connexion TLS ou échec de validation du certificat

Commencez par examiner les détails complets de l'événement pour identifier la raison spécifique de l'échec et le serveur cible.

1. Ouvrez Observateur d'événements → Journaux Windows → Système
2. Filtrez pour l'ID d'événement 36887 en utilisant l'option de filtre
3. Double-cliquez sur l'événement le plus récent pour voir les détails complets
4. Notez le Serveur distant, l'Empreinte numérique du certificat, et le Code d'erreur
5. Utilisez PowerShell pour obtenir des informations détaillées sur l'événement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=36887} -MaxEvents 5 | Format-List TimeCreated, Id, LevelDisplayName, Message

Enregistrez les détails spécifiques de l'erreur pour une enquête plus approfondie. Le code d'erreur vous guidera vers la méthode de résolution appropriée.

Vérifiez le statut du certificat du serveur cible et la chaîne de validation pour identifier les problèmes liés aux certificats.

1. Testez le certificat en utilisant PowerShell :

# Remplacez par votre serveur cible
$serverName = "your-server.domain.com"
$port = 443

# Test de la connexion TLS
$tcpClient = New-Object System.Net.Sockets.TcpClient
$tcpClient.Connect($serverName, $port)
$sslStream = New-Object System.Net.Security.SslStream($tcpClient.GetStream())
$sslStream.AuthenticateAsClient($serverName)
$certificate = $sslStream.RemoteCertificate
Write-Output "Sujet du certificat : $($certificate.Subject)"
Write-Output "Valide à partir de : $($certificate.GetEffectiveDateString())"
Write-Output "Valide jusqu'à : $($certificate.GetExpirationDateString())"
$sslStream.Close()
$tcpClient.Close()

2. Vérifiez le magasin de certificats pour les certificats intermédiaires manquants :

Get-ChildItem -Path Cert:\LocalMachine\CA | Where-Object {$_.Subject -like "*intermediate*"}

3. Vérifiez les autorités de certification racines :

Get-ChildItem -Path Cert:\LocalMachine\Root | Format-Table Subject, Thumbprint, NotAfter

Si les certificats sont expirés ou manquants, contactez votre autorité de certification ou l'administrateur du serveur pour résoudre les problèmes de certificat.

Ajustez les paramètres TLS de Windows pour garantir la compatibilité avec les exigences de sécurité du serveur cible.

1. Vérifiez la configuration actuelle du protocole TLS :

# Vérifiez les paramètres du registre TLS
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -ErrorAction SilentlyContinue
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client" -ErrorAction SilentlyContinue

2. Activez TLS 1.2 si désactivé (nécessite un redémarrage) :

# Activez le client TLS 1.2
New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -Force
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -Name "Enabled" -Value 1 -Type DWORD
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -Name "DisabledByDefault" -Value 0 -Type DWORD

3. Vérifiez la stratégie de groupe pour les restrictions TLS :

gpresult /h c:\temp\gpresult.html

4. Testez la connexion après les modifications :

Test-NetConnection -ComputerName "your-server.domain.com" -Port 443 -InformationLevel Detailed

Importez manuellement les certificats requis ou configurez la confiance des certificats pour résoudre les échecs de validation.

1. Téléchargez la chaîne de certificats du serveur :

# Télécharger le certificat du serveur
$serverName = "your-server.domain.com"
$port = 443
$webRequest = [Net.WebRequest]::Create("https://$serverName")
try {
    $webRequest.GetResponse()
} catch {
    $cert = $_.Exception.InnerException.Certificate
    $cert2 = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($cert)
    Write-Output "Certificat : $($cert2.Subject)"
    Write-Output "Empreinte : $($cert2.Thumbprint)"
    Write-Output "Émetteur : $($cert2.Issuer)"
}

2. Importez les certificats intermédiaires s'ils manquent :

# Importer le certificat dans le magasin CA intermédiaire
$certPath = "C:\temp\intermediate-cert.cer"
Import-Certificate -FilePath $certPath -CertStoreLocation Cert:\LocalMachine\CA

3. Ajoutez le certificat racine de confiance si nécessaire :

# Importer dans le magasin de racines de confiance (à utiliser avec précaution)
$rootCertPath = "C:\temp\root-cert.cer"
Import-Certificate -FilePath $rootCertPath -CertStoreLocation Cert:\LocalMachine\Root

4. Vérifiez l'installation du certificat :

Get-ChildItem -Path Cert:\LocalMachine\CA | Where-Object {$_.Thumbprint -eq "YOUR_CERT_THUMBPRINT"}

Activez la journalisation complète de Schannel pour capturer des informations détaillées sur l'établissement de la connexion TLS pour des problèmes complexes.

1. Activez la journalisation des événements Schannel :

# Activer la journalisation Schannel (nécessite un redémarrage)
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL" -Name "EventLogging" -Value 7 -Type DWORD

2. Configurez la journalisation avancée TLS :

# Activer le journal opérationnel TLS
wevtutil set-log "Microsoft-Windows-Schannel/Operational" /enabled:true /retention:false /maxsize:102400000

3. Redémarrez le système pour appliquer les modifications de journalisation
4. Reproduisez le problème de connexion
5. Analysez les journaux détaillés de Schannel :

# Obtenir des événements Schannel détaillés
Get-WinEvent -LogName "Microsoft-Windows-Schannel/Operational" -MaxEvents 50 | Where-Object {$_.Id -in @(36874, 36875, 36887, 36888)} | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

6. Utilisez la capture réseau pour l'analyse du protocole :

# Démarrer la trace réseau (Windows 10/11/Server 2019+)
netsh trace start capture=yes provider=Microsoft-Windows-Schannel tracefile=c:\temp\schannel.etl
# Reproduire le problème, puis arrêter la trace
netsh trace stop

7. Désactivez la journalisation après le dépannage :

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL" -Name "EventLogging" -Value 1 -Type DWORD
wevtutil set-log "Microsoft-Windows-Schannel/Operational" /enabled:false