Hyper-V Replica HTTPS-certificaatvalidatiefout (0x8009030d)

Alpha Tinn 20 Reputatiepunten
2026-09-05T12:18:18.01+00:00

Het inschakelen van Hyper-V Replica met op certificaten gebaseerde authenticatie mislukt met foutcode 0x8009030d (De functie die is bedoeld voor verificatie is mislukt). Hoe verifiëren we de SAN-velden van het certificaat, EKU-attributen en de bereikbaarheid van de intrekkingslijst (CRL)?

Windows voor Bedrijven | Windows 365 Business
0 opmerkingen

1 antwoord

Sorteren op: Meest nuttig
Meest nuttig Nieuwste Oudste
  1. Chen Tran 13,435 Reputatiepunten Independent Advisor
    2026-09-05T17:55:56.3966667+00:00

    Hallo Alpha Tinn,

    Bedankt voor het stellen van je vraag op het Microsoft Windows Forum!

    Gebaseerd op de verstrekte foutcode 0x8009030d (SEC_E_UNKNOWN_CREDENTIALS) die kan aangeven dat Schannel geen toegang kan krijgen tot of validatie heeft voor het credentialpakket. In de context van Hyper-V Replica betekent dit bijna altijd dat het certificaat dat door de replicaserver wordt gepresenteerd niet voldoet aan de strikte beveiligingseisen van de primaire server, of dat de keten niet kan worden gevalideerd. Hieronder volgen de plausibele verklaringen voor uw zoekopdrachten.

    Hyper-V Replica gebruikt niet de CN= (Common Name) van het certificaat. Het vereist strikt een DNS-vermelding in de SAN-extensie die exact overeenkomt met de FQDN die de primaire server gebruikt om contact op te nemen met de replicaserver. Om de SAN van het certificaat te verifiëren. Open op de replicaserver Certlm.msc (Local Machine certificaatopslag). Ga vervolgens naar het certificaat in de Personal store. Dubbelklik op het certificaat > Klik op het tabblad Details > Selecteer Subject Alternative Name. Zoek naar de DNS Name-invoer. De DNS-naam die in de SAN wordt vermeld, moet exact overeenkomen met de FQDN die je in het veld "Replica Server" hebt ingevoerd tijdens de Enable Replication wizard op de primaire host.

    Met betrekking tot de zoekopdracht om de EKU (Extended Key Usage) attributen te verifiëren. In feite vereist Hyper-V Replica dat het certificaat de Server Authentication (1.3.6.1.5.5.7.3.1) EKU heeft. Zonder dit zal het besturingssysteem het certificaat onmiddellijk weigeren. In Certlm.msc dubbelklik je op het tabblad certificaat > Details > selecteer Enhanced Key Usage. Je moet Server Authentication (1.3.6.1.5.5.5.5.7.3.1) hebben. Als het certificaat Client Authentication (1.3.6.1.5.5.7.3.2) heeft in plaats van of naast Server Authentication, is het meestal prima. Als het echter alleen Client Authentication heeft, faalt het met 0x8009030d.

    Om de bereikbaarheid en validatie van CRL te testen. Je kunt het publieke certificaat exporteren als een bestand (C:\temp\replica.cer). Voer vervolgens de cmdlet *certutil -verify -urlfetch C:\temp replica.cer* Vervolgens goed naar de output kijken. Het zal alle AIA- en CDP-URL's testen. Specifiek zoeken naar een regel met de tekst CRL URL: http://your-cdp-url... en Revocation check -- CRL (lokaal of via cache). Als er staat "De intrekkingsfunctie kon de intrekking niet controleren omdat de inroepingsserver offline was", wordt je CRL geblokkeerd door een firewall, DNS of proxy.

    Een ander punt dat het vermelden waard is, is om direct na een mislukte poging het Systeem-Event Log op de replicaserver te controleren. Zoek naar Schannel-events (Event ID 36871 of 36888). Zij geven expliciet aan of de fout te wijten is aan een "intrekkingscontrole" of een "mismatched subject name".

    Voor verdere referentie.

    Hopelijk heeft de reactie wat nuttige informatie opgeleverd. Als je dit antwoord nuttig vindt, voel je dan vrij om op "Antwoord accepteren" te klikken, zodat ik weet dat het je vraag heeft opgelost.

    Was dit antwoord nuttig?

Uw antwoord

Antwoorden kunnen door de auteur van de vraag worden gemarkeerd als Geaccepteerde antwoorden, zodat gebruikers weten met welk antwoord het probleem van de auteur is opgelost.