SSTP і IKEv2 выкарыстоўваюць розныя элементы кіравання сертыфікатамі RRAS

Калі замяніць «сертыфікат VPN», можна змяніць не тую службу. RRAS трымае як мінімум тры элементы кіравання сертыфікатамі, і кожны з іх належыць іншаму пратаколу і іншай ролі злучэння. Калі спачатку назаваць пратакол, рызыкоўнае меркаванне ператвараецца ў адну зваротную змену прывязкі. Усё ніжэй залежыць ад гэтага аднаго сказа.

Назавіце пратакол да сертыфіката

Праслухоўвальнік SSTP прад’яўляе кліенту, які паводзіць сябе як HTTPS, сертыфікат TLS. Уваходнае злучэнне IKEv2 «сайт-сайт» абвяшчае ідэнтычнасць сервера і правярае сертыфікаты партнёраў па давераным корані. Вызначэнне «сайт-сайт» для інтэрфейса нясе ўласную ідэнтычнасць машыны.

Гэта тры элементы кіравання з трыма абсягамі. Іх блытаніна дае змену, якая нібы працуе на адным пратаколе і не дзейнічае на другім, што горш за відавочны збой. Запішыце, які пратакол адмовіў, які бок прад’явіў сертыфікат і які бок яго адхіліў, перш чым нешта чапаць.

SSTP — гэта прывязка HTTPS

Для падтрыманых разгортванняў Remote Access Set-RemoteAccess дае параметр SslCertificate, які выкарыстоўваецца для падключэння SSTP і для ролі DirectAccess, звязанай з HTTPS.

Абсяг яго праверкі і разгортвання вызначаецца канфігурацыяй Remote Access, таму адна змена прывязкі можа закрануць больш за адно падключэнне або вузел. У разгортванні з балансаваннем нагрузкі гэты абсяг уключае кожны вузел, які ахоплівае канфігурацыя. Змена аднаго вузла і праверка аднаго кліента пакідае астатніх са старым канчатковым сертыфікатам, і гэта менавіта тая палавінчатая змена, якая перажывае акно абслугоўвання.

Перад абнаўленнем праверце чаканае імя службы, ланцуг, тэрмін дзеяння, прызначэнне і даступнасць закрытага ключа. Сертыфікат мусіць адпавядаць імені, якое праверыць кліент, а метка адаптара не з’яўляецца гэтым імем.

Уваходны IKEv2 мае ўласны параметр

Set-VpnAuthProtocol наладжвае праверку сапраўднасці ўваходнага IKEv2 «сайт-сайт», а CertificateAdvertised падае сертыфікат, калі рэжым праверкі сапраўднасці тунеля іх выкарыстоўвае. Гэта не агульная каманда выбару любога сервернага сертыфіката на вузле.

Трымайце асобна два аб’екты: канчатковы сертыфікат, які сервер прад’яўляе як уласную ідэнтычнасць, і корань, які ён выкарыстоўвае для прыёму сертыфікатаў партнёраў. Выбар даверанага выдаўца нічога не кажа пра тое, які канчатковы сертыфікат прад’яўляе сервер.

Ідэнтычнасць асобнага інтэрфейса «сайт-сайт» задаецца праз Set-VpnS2SInterface. Гэта не аўтаматычна сертыфікат SSTP, нават калі абодва ляжаць у адным сховішчы на адной машыне.

Спачатку вывучыце кандыдата

Мэтанакіраваны прагляд сховішча лакальнай машыны паказвае адкрытыя метаданыя, нічога не экспартуючы:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Гэты спіс — адпраўная кропка, а не праверка прыдатнасці. Вывучыце запісы SAN, пашыраныя спосабы выкарыстання ключа, ланцуг і доступ уліковага запісу службы да закрытага ключа для протоколу, які вы наладжваеце.

Сертыфікат, усталяваны для старонняй ідэнтычнасці хмарнага кліента, не падыходзіць толькі таму, што апынуўся ў тым жа сховішчы. Бачнасць — не прыдатнасць, а адбітак на здымку экрана нічога не даказвае пра тое, ці можа ўліковы запіс службы прачытаць ключ. Праверце гэты доступ яўна, бо адсутнасць дазволу на ключ праяўляецца толькі пры перазапуску службы, калі яна спрабуе выкарыстаць сертыфікат.

Зафіксуйце бягучую прывязку і пацвердзіце, што да вузла па-ранейшаму можна дабрацца іншым шляхам, перш чым яе змяняць. Шлях аднаўлення належыць да змены, а не да наступнага інцыдэнту.

Падаўжэнне — не актывацыя

Перастаронні выпуск сертыфіката — іншае дзеянне, чым яго выбар для працуючай службы. Новы канчатковы сертыфікат можа захаваць патрэбную ідэнтычнасць DNS і пры гэтым мець іншы адбітак, таму нішто не паказвае на яго, пакуль прывязка не абноўлена. Падаўжэнне змяняе аб’ект; актывацыя змяняе спасылку на яго. Блытаніна паміж імі — прычына таго, што правільна падоўжаны сертыфікат можа тыднямі заставацца невыкарыстаным.

Ужывіце падтрыманую змену ў адпаведнае акно, уключаючы любы дакументаваны перазапуск, затым вывучыце сертыфікат з новага падключэння патрэбнага протоколу. Кэшаваны сеанс кліента можа ўсё яшчэ паказваць стары канчатковы сертыфікат і рабіць правільную змену падобнай на паломку.

Выводзьце папярэдні сертыфікат з эксплуатацыі звычайным парадкам толькі пасля паспяховай праверкі. Даведнік Set-RemoteAccess апісвае абсяг дзеяння параметра SSL, уключаючы яго ўплыў у разгортваннях з балансаваннем нагрузкі, — менавіта гэтую частку варта прачытаць перад зменай прывязкі.