Koji sertifikat mašine nudi VPN u Windowsu?

Sertifikati su instalirani, privatni ključevi postoje, a tunel i dalje ne prolazi autentifikaciju. Mašina s više sertifikata može VPN-u ponuditi kandidata kojeg niko nije namjeravao, a klijent ne može znati koji bi gateway prihvatio. Brisanje ostalih je politika izbora s posljedicama za svaku uslugu na mašini. Umjesto toga suzite prihvatljiv skup, pa potvrdite koji je sertifikat stvarno ponuđen.

Više sertifikata, jedan ponuđen

Izvorni Windows VPN profili s autentifikacijom sertifikatom mašine nude dva filtera koji ograničavaju kandidate: filter izdavaoca i filter proširene upotrebe ključa. Oni smanjuju skup iz kojeg klijent može birati. Ne popravljaju neprikladan sertifikat i ne garantuju da će server prihvatiti ono što ostane. Tu granicu vrijedi zapisati u evidenciju promjena, jer će sljedeći čitalac pretpostaviti da je filter odlučio više nego što jest.

Kvar koji rješavaju je uzak i konkretan. Važeći sertifikat pogrešnog tijela, ili onaj izdat za svrhu koju gateway ne prihvata, biva odabran prije namjeravanog, što daje neuspjelu autentifikaciju pored zdravog spremišta. Dva filtera od toga prave skup dovoljno mali za zaključivanje, a ostatak ove stranice primjenjuje ih redom.

Pregledajte spremište prije uređivanja profila

Navedite kandidate i njihova svojstva u spremištu koje profil stvarno koristi. Ovdje ništa ne izvozi privatni ključ i nijedan sertifikat ne mora napustiti mašinu:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Pročitajte izlaz za svojstva o kojima odluka zavisi: upotrebljiv privatni ključ, prihvatljiv period važenja, namjeravani izdavalac i svrhe u proširenju. Sertifikat može istovremeno biti prisutan, ispravno upisan i beskoristan za ovu vezu. Kolona otiska je ono s čime ćete kasnije upoređivati, zato sačuvajte izlaz.

Potvrdite profil i njegov obuhvat prije uređivanja, jer sertifikat mašine u LocalMachine, korisnički EAP-TLS sertifikat i vlastito spremište privatnih ključeva aplikacije tri su različita konteksta. Koristite obuhvat svih korisnika i administrativni kontekst kada upravljani profil tamo živi. Stvaranje drugog profila sa sličnim imenom prikriva koju konfiguraciju veza stvarno koristi.

Filter izdavaoca traži objekat

Parametar izdavaoca očekuje objekat sertifikata, ne prikazno ime i ne goli niz otiska. Dostavite sertifikat odobrenog tijela s putanje koju ste pregledali, u spremište kojem pripada:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ne zamjenjujte klijentov vlastiti krajnji sertifikat, drugo tijelo sa sličnim subjektom ni svježe generirani korijen samo zato što tip parametra to prihvata. Dva tijela mogu dijeliti isti niz subjekta, i zato je objekat važniji od teksta. Microsoftova referenca za cmdlete dokumentuje oba tipa unosa, i vrijedi je pročitati prije prve izmjene, a ne poslije neuspjelog pokušaja.

Filter upotrebe traži OID niz

Parametar proširene upotrebe ključa prima OID nizove, a svrha autentifikacije klijenta je 1.3.6.1.5.5.7.3.2. Njegova primjena ograničava kandidate na sertifikate koji nose tu svrhu, što je upravo ono što raspoređivanje s autentifikacijom klijenta želi:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Vrijednost je niz, pa raspoređivanje kojem treba više svrha predaje ih kao listu. Ono što filter ne može jest dodati svrhu sertifikatu: to je izraz odabira koji se procjenjuje prema potpisanim proširenjima, i nijedan filter ih ne prepisuje, pa sertifikat kojem svrha nedostaje mora ponovo kroz upis.

Držite EAP konfiguraciju korisničkih sertifikata odvojeno od filtriranja sertifikata mašine, jer žive na različitim mjestima i promjena na jednom rijetko objašnjava kvar na drugom. Provjerite i da li profilom upravlja domena ili upravljanje uređajima, jer lokalna izmjena može biti zamijenjena pri sljedećem osvježavanju pravila bez ikakvog dodira s mašinom.

Dokažite koji je sertifikat klijent ponudio

Uspostavite novu vezu i pročitajte dokaze autentifikacije klijenta i servera za identitet koji ste namjeravali. Kada filtere zadovoljava više od jednog sertifikata, rezultat je manji skup, a ne prikovani krajnji sertifikat, pa sljedeći pokušaj može odabrati drugog člana. Zabilježite otisak koji se pojavi u tim dokazima i uporedite ga s onim koji ste zapisali iz spremišta.

Uspješna komanda nije uspješna autentifikacija. Rezultat koji vrijedi zapisati jest da se namjeravani sertifikat autentifikuje pod upravljanim pravilima, dok svaki nepovezani sertifikat ostaje dostupan uslugama koje o njemu zavise. Ako kvar preživi oba filtera, sljedeće mjesto za pregled su preostali kandidati, a ne cijeli profil.