كيفية إلغاء شهادة عميل واحدة في Azure من نوع Point-to-Site

إلغاء عميل واحد من نوع Point-to-Site في Azure يعني إضافة بصمته إلى قائمة الإلغاء في البوابة. وهو لا يعني حذف الجذر الموثوق. فالجذر هو الجهة المُصدرة لكل شهادة عميل أصدرتها يومًا، لذا فإن حذفه عملية مختلفة ذات أثر أوسع بكثير. وحدة الإلغاء هنا هي شهادة واحدة.

الخطوة 1: ثبّت الشهادة التي تعنيها

ابدأ من سجل الشهادة، لا من اسم العرض. يعرض Azure اسمًا ودّيًا كتبته أنت بنفسك، وهذا الاسم لا يلزم أن يطابق الموضوع أو الجهاز الذي أُصدرت له.

تحقّق آخر قبل الإلغاء: اعرف كم جهازًا يقدّمها. إذا صُنعت عدة حواسيب محمولة من نسخ من الملف PFX نفسه، فإن إلغاء البصمة يقفلها جميعًا، وليس لدى Azure طريقة لتمييز الجهاز المفقود من النسخة الاحتياطية في الدرج.

على جهاز العميل، يسرد الأمر Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter ما هو مثبّت لذلك المستخدم، ويستحق Cert:\LocalMachine\My الفحص أيضًا لأن عميل VPN قد يختار من أي من المخزنين. قارن البصمة بسجل التسجيل لديك. الشهادة المجدَّدة لها بصمة مختلفة حتى عندما يكون الموضوع مطابقًا.

لا تحتاج إلى المفتاح الخاص للعميل ولا إلى ملف PFX محمي بكلمة مرور لقراءة بصمة شهادة عامة. أي إجراء يطلب أحدهما نُسخ من مهمة أخرى.

الخطوة 2: أضفها إلى قائمة الإلغاء في البوابة

في البوابة، افتح بوابة الشبكة الظاهرية، ثم تكوين Point-to-site، ثم قسم الشهادات الملغاة. أضف اسمًا ودّيًا ستتعرف عليه بعد ستة أشهر، والصق البصمة كسلسلة متصلة واحدة بعد إزالة المسافات.

تحقق من البوابة المحددة قبل الحفظ، لأن الاشتراك الذي يضم عدة بوابات هو بالضبط المكان الذي يحدث فيه الخطأ. ويذكر دليل تكوين الشهادات من Microsoft أنه بعد اكتمال التحديث، لم يعد بالإمكان استخدام الشهادة للاتصال.

أكّد القيمة المخزنة بعد ذلك بدلًا من الوثوق بإشعار البوابة: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" يطبع ما تحتفظ به البوابة فعليًا.

الخطوة 3: تحقّق من الاتجاهين

اختبر الرفض بالشهادة الملغاة، ثم اختبر أن شهادة أخرى تحت الجذر نفسه ما زالت تُصادِق. ذلك الاختبار الثاني هو الذي يتخطاه الناس، وهو الذي يلتقط إزالة الجذر بالخطأ أو تغيير سياسة لم يذكره أحد. استخدم جهازًا تستطيع أن ترى فيه أي شهادة تُقدَّم. فالعميل الذي يحمل عدة شهادات قد يستخدم واحدة عاملة بهدوء ويجعل إلغاءك يبدو معطلًا.

سجّل النتيجتين في التذكرة. فالإلغاء الذي جُرِّب في اتجاه الرفض فقط نصفه مُتحقَّق منه.

الخطوة 4: الجلسات القائمة بالفعل

تتعلق النتيجة الموثقة بالاتصالات الجديدة. لا تمدّها إلى وعد بأن كل نفق قائم يسقط في اللحظة التي تُحفظ فيها القائمة. إذا كانت الإزالة الفورية تهمك، فاستخدم عناصر التحكم التي يوفرها تكوينك المنشور فعلًا، وافحص الجلسة المحددة بدلًا من الافتراض.

اختبر ذلك بشكل منفصل عن المصادقة، لأن الاثنين يفشلان في مكانين مختلفين ويتركان أثرًا مختلفًا.

التراجع، والاختصارات التي يجب تجنبها

التراجع يعني إزالة البصمة من قائمة الإلغاء وانتظار انتهاء التحديث نفسه. ذلك آمن عندما تكون قد ألغيت الإدخال الخطأ، وخطر عندما تكون الشهادة مخترقة فعلًا، فقرر أولًا أي الحالتين أنت فيها. حذف الجذر الموثوق ليس اختصارًا لحاسوب محمول واحد مفقود. وحذف ملف تعريف VPN محلي على جهاز واحد لا يغيّر ما تقبله أي بوابة.

إذا كانت الهوية تصادق أيضًا على بوابة ثانية، فكلتاهما تحتاج المعالجة نفسها. فقائمة الإلغاء تخص بوابة، لا الاشتراك.