SSTP və IKEv2 fərqli RRAS sertifikat nəzarətlərindən istifadə edir

«VPN sertifikatını» dəyişsəniz, yanlış xidməti dəyişə bilərsiniz. RRAS ən azı üç sertifikat nəzarəti saxlayır və hər biri fərqli protokola və fərqli bağlantı roluna aiddir. Protokolu əvvəlcə adlandırmaq riskli fərziyyəni tək və geri qaytarıla bilən bağlantı dəyişikliyinə çevirir. Aşağıdakı hər şey bu bir cümlədən asılıdır.

Protokolu sertifikatdan əvvəl adlandırın

SSTP dinləyicisi HTTPS kimi davranan müştəriyə TLS sertifikatı təqdim edir. Daxil olan sayt-sayt IKEv2 bağlantısı server kimliyini elan edir və qarşı tərəfin sertifikatlarını etibarlı kökə qarşı yoxlayır. Hər interfeys üçün sayt-sayt təyini öz maşın kimliyini daşıyır.

Bunlar üç əhatə dairəsi olan üç nəzarətdir. Onları qarışdırmaq bir protokolda işləyən, digərində isə heç bir təsiri olmayan dəyişiklik yaradır ki, bu da aşkar nasazlıqdan pisdir. Nəyəsə toxunmazdan əvvəl hansı protokolun uğursuz olduğunu, hansı tərəfin sertifikatı təqdim etdiyini və hansı tərəfin onu rədd etdiyini yazın.

SSTP HTTPS bağlantısıdır

Dəstəklənən Remote Access yerləşdirmələrində Set-RemoteAccess SSTP bağlantısı və HTTPS ilə əlaqəli DirectAccess rolu üçün istifadə olunan SslCertificate parametrini təqdim edir.

Onun yoxlama və yerləşdirmə əhatəsi Remote Access konfiqurasiyasına uyğundur, buna görə bir bağlantı dəyişikliyi birdən çox bağlantıya və ya qovşağa çata bilər. Yük balanslaşdırmalı yerləşdirmədə bu əhatə konfiqurasiyanın əhatə etdiyi hər qovşağı ehtiva edir. Bir qovşağı dəyişib bir müştərini sınamaq qalanların köhnə yarpağı təqdim etməsinə səbəb olur və bu, texniki xidmət pəncərəsini keçən yarımçıq dəyişiklikdir.

Yeniləmədən əvvəl gözlənilən xidmət adını, zənciri, etibarlılığı, nəzərdə tutulan istifadəni və şəxsi açarın mövcudluğunu yoxlayın. Sertifikat müştərinin yoxlayacağı ada uyğun olmalıdır və adapter etiketi bu ad deyil.

Daxil olan IKEv2-nin öz parametri var

Set-VpnAuthProtocol daxil olan sayt-sayt IKEv2 autentifikasiyasını konfiqurasiya edir və CertificateAdvertised tunel autentifikasiya rejimi onlardan istifadə etdikdə sertifikat təqdim edir. Bu, hostdakı hər hansı server sertifikatını seçmək üçün ümumi əmr deyil.

İki obyekti ayrı saxlayın: serverin öz kimliyi kimi təqdim etdiyi yarpaq və qarşı tərəf sertifikatlarını qəbul etmək üçün istifadə etdiyi kök. Hansı verənə etibar etdiyinizi seçmək serverin hansı yarpağı təqdim etdiyi barədə heç nə demir.

Ayrı-ayrı sayt-sayt interfeysinin kimliyi Set-VpnS2SInterface vasitəsilə qurulur. Hər ikisi eyni maşında eyni anbarda olsa da, avtomatik olaraq SSTP sertifikatı deyil.

Əvvəlcə namizədi yoxlayın

Yerli maşın anbarının məqsədli görünüşü şəxsi heç nə ixrac etmədən ictimai metadataları göstərir:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Bu siyahı başlanğıc nöqtəsidir, uyğunluq testi deyil. Konfiqurasiya etdiyiniz protokol üçün SAN qeydlərini, genişləndirilmiş açar istifadələrini, zənciri və xidmət hesabının şəxsi açara girişini yoxlayın.

Əlaqəsiz bulud müştəri kimliyi üçün quraşdırılmış sertifikat yalnız eyni anbarda göründüyü üçün uyğun deyil. Görünürlük uyğunluq deyil və ekran görüntüsündəki barmaq izi xidmət hesabının açarı oxuya bilməsi barədə heç nə sübut etmir. Bu girişi açıq şəkildə yoxlayın, çünki çatışmayan açar icazəsi yalnız xidmət yenidən başladıqda və sertifikatdan istifadə etməyə çalışdıqda üzə çıxır.

Cari bağlantını qeyd edin və onu dəyişməzdən əvvəl hosta başqa yolla hələ də çata bildiyinizi təsdiqləyin. Bərpa yolu dəyişikliyə aiddir, sonrakı insidentə deyil.

Yeniləmə aktivləşdirmə deyil

Sertifikatı yenidən vermək onu işləyən xidmət üçün seçməkdən fərqli bir hərəkətdir. Yeni yarpaq nəzərdə tutulan DNS kimliyini saxlaya və yenə də fərqli barmaq izi daşıya bilər, buna görə bağlantı yenilənənə qədər heç nə ona işarə etmir. Yeniləmə obyekti dəyişir; aktivləşdirmə ona olan istinadı dəyişir. İkisini qarışdırmaq düzgün yenilənmiş sertifikatın həftələrlə istifadəsiz qalmasının səbəbidir.

Dəstəklənən dəyişikliyi uyğun pəncərədə, sənədləşdirilmiş hər hansı yenidən başlatma da daxil olmaqla tətbiq edin, sonra sertifikatı nəzərdə tutulan protokolun yeni bağlantısından yoxlayın. Keşlənmiş müştəri sessiyası hələ də köhnə yarpağı göstərə və düzgün dəyişikliyi pozulmuş kimi göstərə bilər.

Əvvəlki sertifikatı yalnız bu yoxlama keçdikdən sonra normal proseslə istifadədən çıxarın. Set-RemoteAccess istinadı SSL parametrinin əhatəsini, o cümlədən yük balanslaşdırmalı yerləşdirmələrdə təsirini sənədləşdirir və bu, bağlantı dəyişikliyindən əvvəl oxumağa dəyər hissədir.