SSTP i IKEv2 fan servir controls de certificat RRAS diferents

Si substituïu «el certificat VPN», podeu canviar el servei equivocat. RRAS manté almenys tres controls de certificat, cadascun pertanyent a un protocol i a un rol de connexió diferents. Anomenar primer el protocol converteix una suposició arriscada en un únic canvi d’enllaç reversible. Tot el que segueix depèn d’aquesta única frase.

Anomeneu el protocol abans del certificat

Un oient SSTP presenta un certificat TLS a un client que es comporta com HTTPS. Una connexió IKEv2 de lloc a lloc entrant anuncia una identitat de servidor i valida els certificats dels parells contra una arrel de confiança. Una definició de lloc a lloc per interfície porta la seva pròpia identitat de màquina.

Són tres controls amb tres àmbits. Confondre’ls produeix un canvi que sembla funcionar en un protocol i no té cap efecte en l’altre, cosa que és pitjor que una fallada òbvia. Anoteu quin protocol ha fallat, quin costat ha presentat el certificat i quin costat l’ha rebutjat abans de tocar res.

SSTP és un enllaç HTTPS

En els desplegaments de Remote Access admesos, Set-RemoteAccess exposa un paràmetre SslCertificate utilitzat per a la connectivitat SSTP i per al rol DirectAccess relacionat amb HTTPS.

El seu àmbit de validació i desplegament segueix la configuració de Remote Access, de manera que un canvi d’enllaç pot arribar a més d’una connexió o node. En un desplegament amb equilibratge de càrrega aquest àmbit inclou cada node que cobreix la configuració. Canviar un node i provar un client deixa la resta presentant el certificat full antic, i aquest és el tipus de canvi a mitges que sobreviu a una finestra de manteniment.

Abans de l’actualització, verifiqueu el nom de servei esperat, la cadena, la validesa, l’ús previst i la disponibilitat de la clau privada. El certificat ha de coincidir amb el nom que comprovarà el client, i una etiqueta d’adaptador no és aquest nom.

L’IKEv2 entrant té el seu propi paràmetre

Set-VpnAuthProtocol configura l’autenticació IKEv2 de lloc a lloc entrant, i CertificateAdvertised proporciona un certificat quan el mode d’autenticació del túnel els utilitza. No és una ordre general per triar qualsevol certificat de servidor a l’amfitrió.

Mantingueu separats dos objectes: el certificat full que el servidor presenta com a identitat pròpia i l’arrel que utilitza per acceptar els certificats dels parells. Triar en quin emissor confieu no diu res sobre quin certificat full presenta el servidor.

La identitat d’una interfície de lloc a lloc individual s’estableix mitjançant Set-VpnS2SInterface. No és automàticament el certificat SSTP, fins i tot quan tots dos són al mateix magatzem de la mateixa màquina.

Inspeccioneu primer el candidat

Una vista centrada al magatzem de la màquina local mostra metadades públiques sense exportar res de privat:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Aquesta llista és un punt de partida i no una prova d’idoneïtat. Inspeccioneu les entrades SAN, els usos estesos de la clau, la cadena i l’accés del compte de servei a la clau privada per al protocol que esteu configurant.

Un certificat instal·lat per a una identitat de client al núvol sense relació no és adequat només perquè apareix al mateix magatzem. La visibilitat no és idoneïtat, i una empremta en una captura de pantalla no demostra res sobre si el compte de servei pot llegir la clau. Comproveu aquest accés explícitament, perquè un permís de clau absent només falla quan el servei es reinicia i intenta utilitzar el certificat.

Registreu l’enllaç actual i confirmeu que encara podeu arribar a l’amfitrió d’una altra manera abans de canviar-lo. El camí de recuperació forma part del canvi, no de l’incident que ve després.

Renovar no és activar

Reemetre un certificat és una acció diferent de seleccionar-lo per al servei en execució. El nou certificat full pot conservar la identitat DNS prevista i tot i així portar una empremta diferent, de manera que res no hi apunta fins que s’actualitza l’enllaç. La renovació canvia l’objecte; l’activació canvia la referència a ell. Confondre les dues és la raó per la qual un certificat renovat correctament pot quedar sense ús durant setmanes.

Apliqueu el canvi admès en una finestra adequada, incloent-hi qualsevol reinici documentat, i després inspeccioneu el certificat des d’una connexió nova del protocol previst. Una sessió de client a la memòria cau pot continuar mostrant el certificat full antic i fer que un canvi correcte sembli trencat.

Retireu el certificat anterior mitjançant el procés normal només després que aquesta comprovació passi. La referència de Set-RemoteAccess documenta l’àmbit del paràmetre SSL, inclòs el seu efecte en desplegaments amb equilibratge de càrrega, i aquesta és la part que val la pena llegir abans d’un canvi d’enllaç.