Як адклікаць адзін кліенцкі сертыфікат Azure Point-to-Site

Адклікаць аднаго кліента Azure Point-to-Site — значыць дадаць яго адбітак у спіс адкліканых на шлюзе. Гэта не азначае выдалення даверанага кораня. Корань — гэта цэнтр сертыфікацыі для кожнага кліенцкага сертыфіката, які вы калі-небудзь выдавалі, таму яго выдаленне — іншая аперацыя з куды большымі наступствамі. Адзінка адклікання тут — адзін сертыфікат.

Крок 1: Дакладна вызначце патрэбны сертыфікат

Пачынайце з запісу сертыфіката, а не з адлюстраванага імя. Azure паказвае зручнае імя, якое вы ўвялі самі, і гэтая назва не абавязана супадаць з суб'ектам або прыладай, для якой сертыфікат выдадзены.

Яшчэ адна праверка перад адкліканнем: высветліце, колькі прылад яго прад'яўляе. Калі некалькі ноўтбукаў былі створаны з копій аднаго PFX, адкліканне адбітка заблакуе іх усе, і Azure не можа адрозніць страчаную прыладу ад запасной у шуфлядзе.

На кліенце Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter пералічвае тое, што ўсталявана для гэтага карыстальніка, а Cert:\LocalMachine\My таксама варта праверыць, бо кліент VPN можа выбраць з любога з двух сховішчаў. Параўнайце адбітак з вашай інвентарызацыяй рэгістрацыі. Абноўлены сертыфікат мае іншы адбітак, нават калі суб'ект ідэнтычны.

Вам не патрэбны прыватны ключ кліента або PFX, абаронены паролем, каб прачытаць адбітак публічнага сертыфіката. Любая працэдура, якая патрабуе адно з гэтага, скапіяваная з іншай задачы.

Крок 2: Дадайце яго ў спіс адкліканых на шлюзе

У партале адкрыйце шлюз віртуальнай сеткі, затым канфігурацыю Point-to-site, затым раздзел адкліканых сертыфікатаў. Дадайце зручную назву, якую вы пазнаеце праз шэсць месяцаў, і ўстаўце адбітак як адзін бесперапынны радок без прабелаў.

Праверце, які шлюз выбраны, перш чым захаваць, бо падпіска з некалькімі шлюзамі — гэта менавіта тое месца, дзе гэта ідзе не так. кіраўніцтва Microsoft па канфігурацыі сертыфікатаў сцвярджае, што пасля завяршэння абнаўлення сертыфікат больш нельга выкарыстоўваць для падключэння.

Пасля гэтага пацвердзіце захаванае значэнне, а не давярайце паведамленню партала: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" паказвае, што шлюз фактычна захоўвае.

Крок 3: Праверце абодва напрамкі

Праверце адмову з адкліканым сертыфікатам, а затым праверце, што іншы сертыфікат пад тым жа коранем усё яшчэ праходзіць аўтэнтыфікацыю. Менавіта другі тэст людзі прапускаюць, і менавіта ён выяўляе выпадковае выдаленне кораня або змену палітыкі, пра якую ніхто не казаў. Выкарыстоўвайце прыладу, на якой бачна, які сертыфікат прад'яўляецца. Кліент з некалькімі сертыфікатамі можа ціха выкарыстаць працаздольны і зрабіць выгляд, што ваша адкліканне зламанае.

Запішыце абодва вынікі ў заяўку. Адкліканне, праверанае толькі ў напрамку адмовы, праверана напалову.

Крок 4: Сесіі, якія ўжо ўсталяваныя

Задакументаваны вынік датычыцца новых падключэнняў. Не ператварайце яго ў абяцанне, што кожны існуючы тунель абрынецца ў тую ж секунду, калі спіс будзе захаваны. Калі неадкладнае выдаленне важнае, выкарыстоўвайце сродкі кіравання, якія фактычна прапануе ваша разгорнутая канфігурацыя, і правярайце канкрэтную сесію, а не мяркуйце.

Праверце гэта асобна ад аўтэнтыфікацыі, бо яны адмаўляюць у розных месцах і пакідаюць розныя сляды.

Адкат і кароткія шляхі, якіх трэба пазбягаць

Адкат азначае выдаленне адбітка са спісу адкліканых і чаканне завяршэння таго ж абнаўлення. Гэта бяспечна, калі вы адклікалі памылковы запіс, і небяспечна, калі сертыфікат сапраўды скампраметаваны, таму спачатку вырашыце, які выпадак у вас. Выдаленне даверанага кораня — не кароткі шлях для аднаго страчанага ноўтбука. Выдаленне лакальнага профілю VPN на адной машыне не змяняе таго, што прымае любы шлюз.

Калі ідэнтычнасць таксама аўтэнтыфікуецца на другім шлюзе, абодва патрабуюць аднолькавага падыходу. Спіс адкліканых належыць шлюзу, а не падпісцы.