Windows VPN hansı maşın sertifikatını təqdim edir?

Sertifikatlar quraşdırılıb, şəxsi açarlar mövcuddur və tunel yenə də autentifikasiyada uğursuz olur. Bir neçə sertifikatı olan maşın VPN-ə heç kimin nəzərdə tutmadığı bir namizəd verə bilər və müştərinin şlüzün hansını qəbul edəcəyini bilmək üçün heç bir yolu yoxdur. Digərlərini silmək maşındakı hər xidmət üçün nəticələri olan bir seçim siyasətidir. Əvəzində uyğun sertifikat dəstini daraldın, sonra hansı sertifikatın həqiqətən təqdim edildiyini təsdiqləyin.

Bir neçə sertifikat, biri təqdim olunur

Maşın sertifikatı autentifikasiyası olan yerli Windows VPN profilləri namizədləri məhdudlaşdıran iki filtr təqdim edir: buraxıcı filtri və genişləndirilmiş açar istifadəsi filtri. Onlar müştərinin seçə biləcəyi dəsti azaldır. Onlar uyğun olmayan sertifikatı düzəltmir və nə qalırsa, serverin onu qəbul edəcəyinə zəmanət vermir. Bu sərhəd dəyişiklik qeydində göstərilməyə dəyər, çünki növbəti oxucu filtrin əslində qərar verdiyindən daha çox qərar verdiyini güman edəcək.

Onların aradan qaldırdığı nasazlıq dar və konkretdir. Səhv orqandan alınmış etibarlı sertifikat və ya şlüzün qəbul etmədiyi məqsəd üçün verilmiş sertifikat nəzərdə tutulanın önündə seçilir və bu, sağlam anbara baxmayaraq autentifikasiya uğursuzluğu yaradır. İki filtr bunu təhlil etmək üçün kifayət qədər kiçik bir dəstə çevirir və bu səhifənin qalanı onları sıra ilə tətbiq edir.

Profili redaktə etməzdən əvvəl anbarı yoxlayın

Namizədləri və onların xassələrini profilin həqiqətən istifadə etdiyi anbarda sadalayın. Burada heç nə şəxsi açar ixrac etmir və heç bir sertifikatın maşından çıxmasına ehtiyac yoxdur:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Qərarın asılı olduğu xassələr üçün çıxışı oxuyun: istifadə oluna bilən şəxsi açar, məqbul etibarlılıq pəncərəsi, nəzərdə tutulan buraxıcı və genişlənmədəki məqsədlər. Sertifikat eyni vaxtda mövcud, düzgün qeydiyyatdan keçmiş və bu bağlantı üçün faydasız ola bilər. Barmaq izi sütunu sonra müqayisə edəcəyiniz sütundur, ona görə çıxışı saxlayın.

Redaktədən əvvəl profili və onun əhatəsini təsdiqləyin, çünki LocalMachine daxilində maşın sertifikatı, istifadəçi EAP-TLS sertifikatı və tətbiqin öz şəxsi açar anbarı üç fərqli kontekstdir. İdarə olunan profil orada yerləşirsə, bütün istifadəçilər əhatəsindən və inzibati kontekstdən istifadə edin. Oxşar adla ikinci profil yaratmaq bağlantının həqiqətən hansı konfiqurasiyadan istifadə etdiyini gizlədir.

Buraxıcı filtri obyekt istəyir

Buraxıcı parametri göstərilən ad deyil, sadə barmaq izi sətri də deyil, sertifikat obyekti gözləyir. Təsdiqlənmiş orqanın sertifikatını yoxladığınız yoldan, aid olduğu anbarda təqdim edin:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Müştərinin öz son sertifikatını, oxşar subyekti olan başqa orqanı və ya yeni yaradılmış kökü yalnız parametrin növü onu qəbul etdiyi üçün əvəz etməyin. İki orqan eyni subyekt sətrini paylaşa bilər, buna görə obyekt mətndən daha vacibdir. Microsoft cmdlet arayışı hər iki giriş növünü sənədləşdirir və onu uğursuz cəhddən sonra deyil, ilk düzəlişdən əvvəl oxumağa dəyər.

İstifadə filtri OID sətri istəyir

Genişləndirilmiş açar istifadəsi parametri OID sətirləri qəbul edir və müştəri autentifikasiyası məqsədi belədir: 1.3.6.1.5.5.7.3.2. Onu tətbiq etmək namizədləri həmin məqsədi daşıyan sertifikatlarla məhdudlaşdırır, bu da müştəri autentifikasiyası yerləşdirməsinin istədiyi şeydir:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Dəyər massivdir, ona görə bir neçə məqsəd tələb edən yerləşdirmə onları siyahı kimi ötürür. Filtrin edə bilmədiyi şey sertifikata məqsəd əlavə etməkdir: o, imzalanmış genişlənmələrə qarşı qiymətləndirilən seçim ifadəsidir və heç bir filtr onları yenidən yazmır, ona görə məqsədi olmayan sertifikat qeydiyyatdan yenidən keçməlidir.

İstifadəçi sertifikatı EAP konfiqurasiyasını maşın sertifikatı filtrindən ayrı saxlayın, çünki onlar fərqli yerlərdə yaşayır və birindəki dəyişiklik digərindəki uğursuzluğu nadir hallarda izah edir. Həm də yoxlayın ki, profil domenin, yoxsa cihaz idarəetməsinin əlindədir, çünki lokal düzəliş növbəti siyasət yenilənməsində heç kim maşına toxunmadan əvəz oluna bilər.

Müştərinin hansı sertifikatı təqdim etdiyini sübut edin

Yeni bağlantı qurun və nəzərdə tutduğunuz şəxsiyyət üçün müştəri və server autentifikasiya sübutlarını oxuyun. Filtrləri birdən çox sertifikat qane etdikdə nəticə bərkidilmiş yarpaq deyil, daha kiçik bir hovuzdur, ona görə növbəti cəhd başqa üzvü seçə bilər. Həmin sübutlarda görünən barmaq izini qeyd edin və onu anbardan qeyd etdiyinizlə müqayisə edin.

Uğurlu əmr uğurlu autentifikasiya deyil. Qeyd edilməyə dəyər nəticə nəzərdə tutulan sertifikatın idarə olunan siyasət altında autentifikasiya etməsi və hər əlaqəsiz sertifikatın ondan asılı olan xidmətlər üçün əlçatan qalmasıdır. Uğursuzluq hər iki filtrdən sonra da davam edirsə, bütün profil deyil, qalan namizədlər növbəti baxılacaq yerdir.