SSTP i IKEv2 koriste različite kontrolere certifikata RRAS

Zamijenite li „VPN certifikat”, možete promijeniti pogrešnu uslugu. RRAS drži najmanje tri kontrolera certifikata, a svaki pripada drugom protokolu i drugoj ulozi veze. Ako prvo imenujete protokol, rizična pretpostavka postaje jedna povratna promjena vezanja. Sve u nastavku zavisi od te jedne rečenice.

Imenujte protokol prije certifikata

Slušač SSTP klijentu koji se ponaša kao HTTPS predstavlja TLS certifikat. Dolazna veza IKEv2 između lokacija oglašava identitet servera i provjerava certifikate partnera prema pouzdanom korijenu. Definicija između lokacija za interfejs nosi vlastiti identitet mašine.

To su tri kontrolera sa tri opsega. Njihovo miješanje daje promjenu koja na jednom protokolu izgleda ispravno, a na drugom nema efekta, što je gore od očiglednog kvara. Zapišite koji protokol nije uspio, koja strana je predstavila certifikat i koja ga je odbila prije nego što bilo šta dirnete.

SSTP je vezanje HTTPS

Za podržane implementacije Remote Access Set-RemoteAccess izlaže parametar SslCertificate koji se koristi za SSTP povezivost i za DirectAccess ulogu povezanu s HTTPS-om.

Njegov opseg provjere i implementacije slijedi konfiguraciju Remote Access, pa jedna promjena vezanja može dosegnuti više od jedne veze ili čvora. U implementaciji s raspodjelom opterećenja taj opseg uključuje svaki čvor koji konfiguracija pokriva. Promjena jednog čvora i testiranje jednog klijenta ostavlja ostale da predstavljaju stari lisni certifikat, a to je upravo ona polovična promjena koja preživi servisni prozor.

Prije ažuriranja provjerite očekivani naziv usluge, lanac, valjanost, namjensku upotrebu i dostupnost privatnog ključa. Certifikat mora odgovarati nazivu koji će klijent provjeriti, a oznaka adaptera nije taj naziv.

Dolazni IKEv2 ima vlastiti parametar

Set-VpnAuthProtocol konfiguriše provjeru autentičnosti dolaznog IKEv2 između lokacija, a CertificateAdvertised isporučuje certifikat kada ga način provjere autentičnosti tunela koristi. To nije općenita naredba za odabir bilo kojeg serverskog certifikata na hostu.

Držite odvojeno dva objekta: lisni certifikat koji server predstavlja kao vlastiti identitet i korijen koji koristi za prihvatanje certifikata partnera. Odabir izdavaoca kojem vjerujete ne govori ništa o tome koji lisni certifikat server predstavlja.

Identitet pojedinačnog interfejsa između lokacija postavlja se putem Set-VpnS2SInterface. To nije automatski SSTP certifikat, čak i kada oba leže u istom spremištu na istom računaru.

Najprije pregledajte kandidata

Usredsređen prikaz spremišta lokalnog računara pokazuje javne metapodatke bez izvoza bilo čega privatnog:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Taj popis je polazište, a ne test prikladnosti. Pregledajte SAN unose, proširene upotrebe ključa, lanac i pristup računa usluge privatnom ključu za protokol koji konfigurišete.

Certifikat instaliran za nepovezani identitet klijenta u oblaku nije prikladan samo zato što se pojavljuje u istom spremištu. Vidljivost nije prikladnost, a otisak prsta na snimku ekrana ništa ne dokazuje o tome može li račun usluge čitati ključ. Provjerite taj pristup izričito, jer nedostatak dozvole za ključ otkriva se tek kada se usluga ponovo pokrene i pokuša upotrijebiti certifikat.

Zabilježite trenutno vezanje i potvrdite da još možete doći do hosta na drugi način prije nego što ga promijenite. Put oporavka pripada promjeni, a ne incidentu koji slijedi.

Obnova nije aktivacija

Ponovno izdavanje certifikata radnja je različita od njegovog odabira za uslugu koja radi. Novi lisni certifikat može zadržati namjenski DNS identitet i pritom nositi drugi otisak prsta, pa ništa ne pokazuje na njega dok se vezanje ne ažurira. Obnova mijenja objekat; aktivacija mijenja referencu na njega. Miješanje tih dvaju razlog je zašto ispravno obnovljen certifikat može sedmicama stajati neiskorišten.

Primijenite podržanu promjenu u prikladnom prozoru, uključujući svako dokumentovano ponovno pokretanje, a zatim pregledajte certifikat iz nove veze namjenskog protokola. Predmemorirana sesija klijenta može još prikazivati stari lisni certifikat i učiniti da ispravna promjena izgleda pokvareno.

Prethodni certifikat povucite uobičajenim postupkom tek nakon što ta provjera prođe. Referenca Set-RemoteAccess dokumentira opseg SSL parametra, uključujući njegov učinak u implementacijama s raspodjelom opterećenja, a to je dio koji vrijedi pročitati prije promjene vezanja.