Bir Azure Point-to-Site müştəri sertifikatını necə ləğv etmək olar

Bir Azure Point-to-Site müştərisini ləğv etmək onun barmaq izini şlüzün ləğv edilmiş siyahısına əlavə etmək deməkdir. Bu, etibarlı kökü silmək demək deyil. Kök bu günə qədər verdiyiniz hər müştəri sertifikatı üçün verən orqandır, ona görə də onu çıxarmaq daha böyük təsir dairəsi olan fərqli bir əməliyyatdır. Burada ləğvetmə vahidi tək bir sertifikatdır.

Addım 1: Nəzərdə tutduğunuz sertifikatı dəqiqləşdirin

Ekran adından deyil, sertifikat qeydindən başlayın. Azure özünüz yazdığınız dostyana bir ad göstərir və bu etiket subyektlə və ya sertifikatın verildiyi cihazla uyğunlaşmalı deyil.

Ləğv etməzdən əvvəl bir yoxlama daha: onu neçə cihazın təqdim etdiyini öyrənin. Əgər bir neçə noutbuk eyni PFX-in kopyalarından hazırlanıbsa, barmaq izini ləğv etmək onların hamısını bağlayır və Azure itirilmiş cihazı siyirmədəki ehtiyatdan ayıra bilmir.

Müştəri tərəfində Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter həmin istifadəçi üçün quraşdırılmış olanları siyahıya alır və Cert:\LocalMachine\My də yoxlanmağa dəyər, çünki VPN müştərisi iki anbardan hər hansı birini seçə bilər. Barmaq izini qeydiyyat inventarınızla müqayisə edin. Yenilənmiş sertifikatın subyekt eyni olsa belə, barmaq izi fərqlidir.

Açıq sertifikatın barmaq izini oxumaq üçün müştərinin şəxsi açarına və ya parolla qorunan PFX-ə ehtiyacınız yoxdur. Bunlardan birini tələb edən hər hansı prosedur başqa tapşırıqdan köçürülüb.

Addım 2: Onu şlüzün ləğv edilmiş siyahısına əlavə edin

Portalda virtual şəbəkə şlüzünü, sonra Point-to-site konfiqurasiyasını, sonra ləğv edilmiş sertifikatlar bölməsini açın. Altı aydan sonra tanıyacağınız dostyana bir ad əlavə edin və barmaq izini boşluqlar çıxarılmış halda tək davamlı sətir kimi yapışdırın.

Saxlamazdan əvvəl hansı şlüzün seçildiyini yoxlayın, çünki bir neçə şlüzü olan abunəlik məhz bunun səhv getdiyi yerdir. Microsoft-un sertifikat konfiqurasiyası təlimatı bildirir ki, yeniləmə tamamlandıqdan sonra sertifikat artıq qoşulmaq üçün istifadə edilə bilməz.

Portal bildirişinə güvənmək əvəzinə saxlanılan dəyəri sonradan təsdiqləyin: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" şlüzün əslində nə saxladığını çap edir.

Addım 3: Hər iki istiqaməti yoxlayın

Ləğv edilmiş sertifikatla imtinanı sınayın, sonra eyni kök altında başqa bir sertifikatın hələ də autentifikasiya etdiyini sınayın. O ikinci sınaq insanların atladığı sınaqdır və təsadüfi kök silinməsini və ya heç kimin qeyd etmədiyi siyasət dəyişikliyini tutan da odur. Hansı sertifikatın təqdim edildiyini görə bildiyiniz bir cihazdan istifadə edin. Bir neçə sertifikat daşıyan müştəri səssizcə işlək olanı istifadə edib ləğvetmənizi pozulmuş kimi göstərə bilər.

Hər iki nəticəni biletdə qeyd edin. Yalnız imtina istiqamətində yoxlanılan ləğvetmə yarım yoxlanılmışdır.

Addım 4: Artıq qurulmuş sessiyalar

Sənədləşdirilmiş nəticə yeni bağlantılara aiddir. Siyahı saxlanılan anda hər mövcud tunelin düşəcəyi vədinə çevirməyin. Əgər dərhal silinmə vacibdirsə, yerləşdirilmiş konfiqurasiyanızın həqiqətən təklif etdiyi idarəetmə vasitələrindən istifadə edin və fərz etmək əvəzinə konkret sessiyanı yoxlayın.

Bunu autentifikasiyadan ayrıca sınayın, çünki ikisi fərqli yerlərdə uğursuz olur və fərqli sübut qoyur.

Geri qaytarma və qaçmaq lazım olan qısa yollar

Geri qaytarmaq barmaq izini ləğv edilmiş siyahıdan çıxarmaq və eyni yeniləmənin bitməsini gözləmək deməkdir. Səhv qeydi ləğv etdiyiniz zaman bu təhlükəsizdir, sertifikat həqiqətən kompromisə uğradıqda isə təhlükəlidir, ona görə əvvəlcə hansı halda olduğunuza qərar verin. Etibarlı kökü silmək bir itirilmiş noutbuk üçün qısa yol deyil. Bir maşında lokal VPN profilini silmək heç bir şlüzün qəbul etdiyini dəyişmir.

Əgər identiklik ikinci şlüzdə də autentifikasiya edirsə, hər ikisi eyni rəftara ehtiyac duyur. Ləğv edilmiş siyahı abunəliyə deyil, şlüzə aiddir.