SSTP en IKEv2 gebruik verskillende RRAS-sertifikaatbeheerders

Vervang jy «die VPN-sertifikaat» en jy verander dalk die verkeerde diens. RRAS hou minstens drie sertifikaatbeheerders, elk wat aan 'n ander protokol en 'n ander verbindingsrol behoort. Om eers die protokol te noem maak van 'n riskante raaiskoot 'n enkele, omkeerbare bindingverandering. Alles hieronder hang van daardie een sin af.

Noem die protokol voor die sertifikaat

'n SSTP-ontvanger bied 'n TLS-sertifikaat aan 'n kliënt wat soos HTTPS optree. 'n Inkomende werf-tot-werf-IKEv2-verbinding adverteer 'n bedieneridentiteit en valideer eweknie-sertifikate teen 'n vertroude wortel. 'n Werf-tot-werf-definisie per koppelvlak dra sy eie masjienidentiteit.

Dit is drie beheerders met drie omvange. Om hulle te verwar lewer 'n verandering wat op een protokol te werk lyk en geen effek op die ander het nie, wat erger is as 'n duidelike fout. Skryf neer watter protokol gefaal het, watter kant die sertifikaat aangebied het en watter kant dit verwerp het voordat jy enigiets aanraak.

SSTP is 'n HTTPS-binding

Vir ondersteunde Remote Access-ontplooiings bied Set-RemoteAccess 'n parameter SslCertificate wat vir SSTP-konnektiwiteit en vir die HTTPS-verwante DirectAccess-rol gebruik word.

Die validerings- en ontplooiingsomvang volg die Remote Access-konfigurasie, sodat een bindingverandering meer as een verbinding of nodus kan bereik. In 'n lasgebalanseerde ontplooiing sluit daardie omvang elke nodus in wat die konfigurasie dek. Om een nodus te verander en een kliënt te toets laat die res die ou bladsertifikaat aanbied, en dit is die soort halwe verandering wat 'n onderhoudsvenster oorleef.

Verifieer die verwagte diensnaam, die ketting, die geldigheid, die beoogde gebruik en die beskikbaarheid van die private sleutel voor die opdatering. Die sertifikaat moet ooreenstem met die naam wat die kliënt sal kontroleer, en 'n adapteretiket is nie daardie naam nie.

Inkomende IKEv2 het sy eie parameter

Set-VpnAuthProtocol konfigureer inkomende werf-tot-werf-IKEv2-verifikasie, en CertificateAdvertised verskaf 'n sertifikaat wanneer die tonnelverifikasiemodus dit gebruik. Dit is nie 'n algemene opdrag om enige bedienersertifikaat op die gasheer te kies nie.

Hou twee objekte apart: die bladsertifikaat wat die bediener as sy eie identiteit aanbied, en die wortel wat hy gebruik om eweknie-sertifikate te aanvaar. Die keuse van watter uitreiker jy vertrou sê niks oor watter bladsertifikaat die bediener aanbied nie.

Die identiteit van 'n individuele werf-tot-werf-koppelvlak word via Set-VpnS2SInterface gestel. Dit is nie outomaties die SSTP-sertifikaat nie, selfs wanneer albei in dieselfde stoor op dieselfde masjien sit.

Inspekteer eers die kandidaat

'n Gefokusde aansig van die plaaslike masjienstoor wys openbare metadata sonder om iets privaat uit te voer:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Daardie lys is 'n beginpunt en nie 'n geskiktheidstoets nie. Inspekteer die SAN-inskrywings, die uitgebreide sleutelgebruike, die ketting en die diensrekening se toegang tot die private sleutel vir die protokol wat jy konfigureer.

'n Sertifikaat wat vir 'n onverwante wolk-kliëntidentiteit geïnstalleer is, is nie geskik net omdat dit in dieselfde stoor verskyn nie. Sigbaarheid is nie geskiktheid nie, en 'n vingerafdruk in 'n skermkiekie bewys niks oor of die diensrekening die sleutel kan lees nie. Kontroleer daardie toegang uitdruklik, want 'n ontbrekende sleuteltoestemming faal eers wanneer die diens herbegin en die sertifikaat probeer gebruik.

Teken die huidige binding aan en bevestig dat jy die gasheer nog op 'n ander manier kan bereik voordat jy dit verander. Die herstelpad hoort by die verandering, nie by die voorval wat volg nie.

Hernuwing is nie aktivering nie

Om 'n sertifikaat weer uit te reik is 'n ander aksie as om dit vir die lopende diens te kies. Die nuwe bladsertifikaat kan die beoogde DNS-identiteit behou en steeds 'n ander vingerafdruk dra, so niks wys daarop voordat die binding opgedateer is nie. Hernuwing verander die objek; aktivering verander die verwysing daarheen. Om die twee te verwar is die rede waarom 'n korrek hernude sertifikaat weke lank ongebruik kan bly.

Pas die ondersteunde verandering in 'n geskikte venster toe, insluitend enige gedokumenteerde herbegin, en inspekteer dan die sertifikaat vanaf 'n nuwe verbinding van die beoogde protokol. 'n Gekaste kliëntsessie kan nog die ou bladsertifikaat wys en 'n korrekte verandering defek laat lyk.

Onttrek die vorige sertifikaat deur die normale proses eers nadat daardie kontrole slaag. Die Set-RemoteAccess-verwysing dokumenteer die omvang van die SSL-parameter, insluitend die effek daarvan in lasgebalanseerde ontplooiings, en dit is die deel wat die moeite werd is om voor 'n bindingverandering te lees.