Які сертыфікат машыны прапануе VPN у Windows?

Сертыфікаты ўсталяваныя, прыватныя ключы ёсць, а тунэль усё яшчэ не праходзіць аўтэнтыфікацыю. Машына з некалькімі сертыфікатамі можа прапанаваць VPN кандыдата, якога ніхто не меў на ўвазе, і кліент не мае спосабу даведацца, які з іх шлюз прыме. Выдаленне астатніх — гэта палітыка выбару з наступствамі для кожнай службы на машыне. Замест гэтага звузьце прыдатны набор, а затым пацвердзіце, які сертыфікат быў фактычна прапанаваны.

Некалькі сертыфікатаў, адзін прапануецца

Уласныя профілі VPN у Windows з аўтэнтыфікацыяй сертыфікатам машыны даюць два фільтры, якія абмяжоўваюць кандыдатаў: фільтр выдаўца і фільтр пашыранага выкарыстання ключа. Яны памяньшаюць набор, з якога можа выбіраць кліент. Яны не выпраўляюць непрыдатны сертыфікат і не гарантуюць, што сервер прыме тое, што застанецца. Гэтую мяжу варта зафіксаваць у запісе пра змены, бо наступны чытач будзе меркаваць, што фільтр вырашыў больш, чым ён вырашыў насамрэч.

Збой, які яны ўхіляюць, вузкі і канкрэтны. Сапраўдны сертыфікат ад няправільнага цэнтра, або выдадзены для мэты, якую шлюз не прымае, выбіраецца раней за патрэбны, што дае збой аўтэнтыфікацыі побач са здаровым сховішчам. Два фільтры ператвараюць гэта ў набор, дастаткова малы для аналізу, і астатняя частка гэтай старонкі ўжывае іх па парадку.

Агледзьце сховішча перад змяненнем профілю

Пералічыце кандыдатаў і іх уласцівасці ў сховішчы, якое профіль фактычна выкарыстоўвае. Тут нішто не экспартуе прыватны ключ, і ніводзін сертыфікат не павінен пакідаць машыну:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Чытайце вывад па ўласцівасцях, ад якіх залежыць рашэнне: прыдатны прыватны ключ, прымальнае акно цягасці, патрэбны выдавец і мэты ў пашырэнні. Сертыфікат можа быць наяўным, правільна зарэгістраваным і адначасова бескарысным для гэтага злучэння. Слупок адбітка — гэта тое, з чым вы будзеце параўноўваць пазней, таму захавайце вывад.

Пацвердзіце профіль і яго ахоп перад рэдагаваннем, бо сертыфікат машыны ў LocalMachine, сертыфікат EAP-TLS карыстальніка і ўласнае сховішча прыватных ключоў праграмы — гэта тры розныя кантэксты. Выкарыстоўвайце ахоп усіх карыстальнікаў і адміністрацыйны кантэкст, калі кіраваны профіль знаходзіцца менавіта там. Стварэнне другога профілю з падобным імем хавае, якую канфігурацыю злучэнне фактычна выкарыстоўвае.

Фільтр выдаўца чакае аб’ект

Параметр выдаўца чакае аб’ект сертыфіката, а не адлюстраванае імя і не голы радок адбітка. Падайце сертыфікат ухваленага цэнтра з шляху, які вы праверылі, у тым сховішчы, дзе ён належыць:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Не падмяняйце ўласны канчатковы сертыфікат кліента, іншы цэнтр з падобным суб’ектам або толькі што створаны корань толькі таму, што тып параметра яго прымае. Два цэнтры могуць мець адзін радок суб’екта, і менавіта таму аб’ект важнейшы за тэкст. Даведка па камандлеце Microsoft апісвае абодва тыпы ўводу, і яе варта прачытаць перад першым рэдагаваннем, а не пасля няўдалай спробы.

Фільтр выкарыстання чакае радок OID

Параметр пашыранага выкарыстання ключа прымае радкі OID, а мэта аўтэнтыфікацыі кліента — 1.3.6.1.5.5.7.3.2. Яго ўжыванне абмяжоўвае кандыдатаў сертыфікатамі з гэтай мэтай, што і патрэбна разгортванню з аўтэнтыфікацыяй кліента:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Значэнне — масіў, таму разгортванне, якому патрэбны некалькі мэт, перадае іх як спіс. Чаго фільтр не можа — дадаць мэту да сертыфіката: гэта выраз выбару, які ацэньваецца па подпісаных пашырэннях, і ніводзін фільтр іх не перапісвае, таму сертыфікат без патрэбнай мэты павінен зноў прайсці рэгістрацыю.

Трымайце канфігурацыю EAP для сертыфікатаў карыстальнікаў асобна ад фільтрацыі сертыфікатаў машыны, бо яны знаходзяцца ў розных месцах і змяненне аднаго рэдка тлумачыць збой у другім. Праверце таксама, ці валодае профілем дамен або кіраванне прыладамі, бо лакальнае змяненне можа быць замененае пры наступным абнаўленні палітыкі без чыйго-небудзь удзелу.

Дакажыце, які сертыфікат прапанаваў кліент

Усталюйце новае злучэнне і прачытайце доказы аўтэнтыфікацыі кліента і сервера для патрэбнай вам асобы. Калі фільтры задавальняюць больш за адзін сертыфікат, вынік — меншы пул, а не замацаваны канчатковы сертыфікат, таму наступная спроба можа выбраць іншага члена. Запішыце адбітак, які з’явіцца ў гэтых доказах, і параўнайце яго з тым, што вы запісалі са сховішча.

Паспяховая каманда — не паспяховая аўтэнтыфікацыя. Вынік, які варта запісаць, — гэта патрэбны сертыфікат, што праходзіць аўтэнтыфікацыю пад кіраванай палітыкай, тады як кожны незвязаны сертыфікат застаецца даступным для службаў, якія ад яго залежаць. Калі збой перажывае абодва фільтры, наступнае месца пошуку — пакінутыя кандыдаты, а не ўвесь профіль.