Как да отмените един клиентски сертификат Azure Point-to-Site

Отмяната на един клиент Azure Point-to-Site означава добавяне на неговия отпечатък към списъка с отменени на шлюза. Това не означава изтриване на доверения корен. Коренът е издателят на всеки клиентски сертификат, който някога сте издавали, затова премахването му е друга операция с много по-голям обхват. Единицата на отмяна тук е един сертификат.

Стъпка 1: Установете точно кой сертификат имате предвид

Започнете от записа на сертификата, а не от показваното име. Azure показва приятелско име, което вие сами сте въвели, и този етикет не е длъжен да съвпада със субекта или с устройството, за което е издаден.

Още една проверка преди отмяната: разберете колко устройства го представят. Ако няколко лаптопа са създадени от копия на един и същ PFX, отмяната на отпечатъка блокира всички тях и Azure не може да различи загубения от резервния в чекмеджето.

На клиента Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter изброява какво е инсталирано за този потребител, а Cert:\LocalMachine\My също си струва да се провери, защото VPN клиентът може да избере от който и да е от двата хранилища. Сравнете отпечатъка с инвентара си за записване. Подновеният сертификат има различен отпечатък дори когато субектът е идентичен.

Не се нуждаете от частния ключ на клиента или от PFX, защитен с парола, за да прочетете отпечатъка на публичен сертификат. Всяка процедура, която изисква едно от двете, е копирана от друга задача.

Стъпка 2: Добавете го към списъка с отменени на шлюза

В портала отворете шлюза на виртуалната мрежа, след това конфигурацията Point-to-site, след това раздела с отменени сертификати. Добавете приятелско име, което ще разпознаете след шест месеца, и поставете отпечатъка като един непрекъснат низ без интервалите.

Проверете кой шлюз е избран, преди да запазите, защото абонамент с няколко шлюза е точно мястото, където това се обърква. Ръководството на Microsoft за конфигуриране на сертификати посочва, че след завършване на актуализацията сертификатът вече не може да се използва за свързване.

Потвърдете запазената стойност след това, вместо да се доверявате на изскачащото съобщение на портала: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" показва какво всъщност пази шлюзът.

Стъпка 3: Проверете и двете посоки

Тествайте отказа с отменения сертификат, после тествайте, че друг сертификат под същия корен все още се удостоверява. Именно втория тест хората пропускат и именно той хваща случайно премахване на корена или промяна в политиката, за която никой не е споменал. Използвайте устройство, на което се вижда кой сертификат се представя. Клиент с няколко сертификата може тихо да използва работещ и да представи отмяната ви като счупена.

Запишете и двата резултата в тикета. Отмяна, проверена само в посока на отказа, е наполовина проверена.

Стъпка 4: Сесии, които вече са установени

Документираният резултат се отнася за нови връзки. Не го превръщайте в обещание, че всеки съществуващ тунел пада в секундата, в която списъкът се запази. Ако незабавното премахване е важно, използвайте контролите, които разгърнатата ви конфигурация наистина предлага, и проверявайте конкретната сесия, вместо да предполагате.

Тествайте това отделно от удостоверяването, защото двете се провалят на различни места и оставят различни следи.

Връщане назад и преките пътища, които да избягвате

Връщането назад означава премахване на отпечатъка от списъка с отменени и изчакване същата актуализация да завърши. Това е безопасно, когато сте отменили грешния запис, и е опасно, когато сертификатът е наистина компрометиран, затова първо решете в кой случай сте. Изтриването на доверения корен не е пряк път за един загубен лаптоп. Изтриването на локален VPN профил на една машина не променя какво приема който и да е шлюз.

Ако идентичността се удостоверява и на втори шлюз, и двата се нуждаят от еднакво третиране. Списъкът с отменени принадлежи на шлюз, не на абонамента.