Com revocar un certificat de client Azure Point-to-Site

Revocar un client Azure Point-to-Site vol dir afegir la seva empremta a la llista de revocats de la passarel·la. No vol dir esborrar l'arrel de confiança. L'arrel és l'autoritat emissora de cada certificat de client que hàgiu lliurat mai, així que eliminar-la és una operació diferent amb un abast molt més gran. La unitat de revocació aquí és un sol certificat.

Pas 1: Fixeu el certificat que voleu dir

Comenceu pel registre del certificat, no pel nom que es mostra. Azure mostra un nom amistós que hàgiu escrit vosaltres mateixos, i aquesta etiqueta no ha de coincidir amb el subjecte ni amb el dispositiu per al qual es va emetre.

Una comprovació més abans de revocar: esbrineu quants dispositius el presenten. Si diversos portàtils es van crear a partir de còpies del mateix PFX, revocar l'empremta els bloqueja tots, i Azure no pot distingir el perdut del de recanvi del calaix.

Al client, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter llista què hi ha instal·lat per a aquest usuari, i Cert:\LocalMachine\My també val la pena comprovar-ho perquè el client VPN pot triar de qualsevol dels dos magatzems. Compareu l'empremta amb el vostre inventari d'inscripcions. Un certificat renovat té una empremta diferent encara que el subjecte sigui idèntic.

No necessiteu la clau privada del client ni un PFX protegit amb contrasenya per llegir l'empremta d'un certificat públic. Qualsevol procediment que en demani un s'ha copiat d'una altra tasca.

Pas 2: Afegiu-lo a la llista de revocats de la passarel·la

Al portal, obriu la passarel·la de xarxa virtual, després la configuració Point-to-site i després la secció de certificats revocats. Afegiu un nom amistós que reconeixereu d'aquí a sis mesos i enganxeu l'empremta com una sola cadena contínua sense els espais.

Comproveu quina passarel·la està seleccionada abans de desar, perquè una subscripció amb diverses passarel·les és exactament on això va malament. La guia de configuració de certificats de Microsoft indica que, un cop completada l'actualització, el certificat ja no es pot fer servir per connectar.

Confirmeu el valor desat després, en lloc de refiar-vos de l'avís del portal: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" mostra què guarda realment la passarel·la.

Pas 3: Verifiqueu les dues direccions

Proveu la denegació amb el certificat revocat i després proveu que un altre certificat sota la mateixa arrel encara s'autentica. Aquesta segona prova és la que la gent s'estalvia, i és la que detecta una eliminació accidental de l'arrel o un canvi de política que ningú no ha esmentat. Feu servir un dispositiu on pugueu veure quin certificat es presenta. Un client amb diversos certificats pot usar silenciosament un de vàlid i fer que la vostra revocació sembli trencada.

Registreu tots dos resultats al tiquet. Una revocació verificada només en la direcció de denegació està mig verificada.

Pas 4: Sessions que ja estan actives

El resultat documentat fa referència a connexions noves. No ho convertiu en una promesa que cada túnel existent caurà en el moment de desar la llista. Si la retirada immediata és important, feu servir els controls que la vostra configuració desplegada ofereix realment i comproveu la sessió concreta en lloc de suposar.

Proveu-ho per separat de l'autenticació, perquè les dues fallen en llocs diferents i deixen proves diferents.

La reversió i les dreceres que cal evitar

Revertir vol dir treure l'empremta de la llista de revocats i esperar que acabi la mateixa actualització. Això és segur quan heu revocat l'entrada equivocada, i és perillós quan el certificat està realment compromès, així que decidiu primer en quin cas esteu. Esborrar l'arrel de confiança no és una drecera per a un portàtil perdut. Esborrar un perfil VPN local en una màquina no canvia què accepta cap passarel·la.

Si la identitat també s'autentica en una segona passarel·la, totes dues necessiten el mateix tractament. La llista de revocats pertany a una passarel·la, no a la subscripció.