Hoe om een Azure Point-to-Site-kliëntsertifikaat te herroep

Om een Azure Point-to-Site-kliënt te herroep, beteken om sy duimafdruk by die poort se herroepte lys te voeg. Dit beteken nie om die vertroude wortel te skrap nie. Die wortel is die uitreikende gesag vir elke kliëntsertifikaat wat jy ooit uitgereik het, so om dit te verwyder is 'n ander bewerking met 'n veel groter impak. Die eenheid van herroeping hier is 'n enkele sertifikaat.

Stap 1: Pen die sertifikaat vas wat jy bedoel

Begin by die sertifikaatrekord, nie by 'n vertoonnaam nie. Azure wys 'n vriendelike naam wat jy self getik het, en daardie etiket hoef nie ooreen te stem met die onderwerp of die toestel waarvoor dit uitgereik is nie.

Een verdere kontrole voor jy herroep: vind uit hoeveel toestelle dit aanbied. As verskeie skootrekenaars van kopieë van dieselfde PFX gebou is, sluit herroeping van die duimafdruk hulle almal uit, en Azure kan nie die verlore een van die spaar in die laai onderskei nie.

Op die kliënt lys Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter wat vir daardie gebruiker geïnstalleer is, en Cert:\LocalMachine\My is ook die moeite werd om na te gaan, want die VPN-kliënt kan uit enige van die twee stores kies. Vergelyk die duimafdruk met jou inskrywingsinventaris. 'n Hernieude sertifikaat het 'n ander duimafdruk selfs wanneer die onderwerp identies is.

Jy het nie die kliënt se private sleutel of 'n wagwoordbeskermde PFX nodig om 'n publieke sertifikaat se duimafdruk te lees nie. Enige prosedure wat een vereis, is uit 'n ander taak gekopieer.

Stap 2: Voeg dit by die poort se herroepte lys

Maak in die portaal die virtuele netwerkpoort oop, dan Point-to-site-konfigurasie, dan die afdeling herroepte sertifikate. Voeg 'n vriendelike naam by wat jy oor ses maande sal herken, en plak die duimafdruk as een aaneenlopende string met die spasies verwyder.

Kontroleer watter poort gekies is voordat jy stoor, want 'n intekening met verskeie poorte is juis waar dit verkeerd gaan. Microsoft se gids vir sertifikaatkonfigurasie sê dat die sertifikaat, sodra die opdatering voltooi is, nie meer vir verbinding gebruik kan word nie.

Bevestig daarna die gestoorde waarde eerder as om die portaal se kennisgewing te vertrou: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" wys wat die poort werklik bevat.

Stap 3: Verifieer beide rigtings

Toets die weiering met die herroepte sertifikaat, en toets dan dat 'n ander sertifikaat onder dieselfde wortel steeds verifieer. Daardie tweede toets is die een wat mense oorslaan, en dit is die een wat 'n toevallige wortelverwydering of 'n beleidsverandering waarvan niemand gepraat het, vasvang. Gebruik 'n toestel waar jy kan sien watter sertifikaat aangebied word. 'n Kliënt met verskeie sertifikate kan stilweg 'n werkende een gebruik en jou herroeping laat lyk asof dit gebreek het.

Teken albei resultate in die kaartjie aan. 'n Herroeping wat net in die weieringsrigting geverifieer is, is half geverifieer.

Stap 4: Sessies wat reeds op is

Die gedokumenteerde uitkoms handel oor nuwe verbindings. Moenie dit rek tot 'n belofte dat elke bestaande tonnel val die oomblik wat die lys gestoor word nie. As onmiddellike verwydering saak maak, gebruik die beheermiddels wat jou ontplooide konfigurasie werklik bied, en kyk na die spesifieke sessie in plaas daarvan om aan te neem.

Toets dit afsonderlik van authentisering, want die twee misluk op verskillende plekke en laat verskillende spore.

Terugrol, en die kortpaaie om te vermy

Om terug te rol beteken om die duimafdruk van die herroepte lys te verwyder en te wag vir dieselfde opdatering om klaar te maak. Dit is veilig wanneer jy die verkeerde inskrywing herroep het, en dit is gevaarlik wanneer die sertifikaat werklik gekompromitteer is, so besluit eers in watter geval jy is. Om die vertroude wortel te skrap is nie 'n kortpad vir een verlore skootrekenaar nie. Om 'n plaaslike VPN-profiel op een masjien te skrap, verander nie wat enige poort aanvaar nie.

As die identiteit ook by 'n tweede poort authentiseer, het albei dieselfde behandeling nodig. Die herroepte lys behoort aan 'n poort, nie aan die intekening nie.