Quin certificat de màquina ofereix la VPN de Windows?

Els certificats són instal·lats, les claus privades hi són, i el túnel encara falla l'autenticació. Una màquina amb diversos certificats pot lliurar a la VPN un candidat que ningú no volia, i el client no té manera de saber quin acceptaria la passarel·la. Esborrar els altres és una política de selecció amb conseqüències per a cada servei de la màquina. Estreta el conjunt admissible i després confirma quin certificat es va oferir realment.

Diversos certificats, un d'ofert

Els perfils VPN natius de Windows amb autenticació de certificat de màquina exposen dos filtres que restringeixen els candidats: un filtre d'emissor i un filtre d'ús estès de la clau. Redueixen el conjunt del qual el client pot triar. No reparen un certificat inadequat i no garanteixen que el servidor accepti el que quedi. Aquest límit val la pena fer-lo constar al registre de canvis, perquè el lector següent assumirà que el filtre va decidir més del que va decidir.

La fallada que resolen és estreta i específica. Un certificat vàlid d'una autoritat equivocada, o un d'emès per a una finalitat que la passarel·la no accepta, es tria abans del previst, cosa que produeix una fallada d'autenticació al costat d'un magatzem sa. Dos filtres ho converteixen en un conjunt prou petit per raonar-hi, i la resta d'aquesta pàgina els aplica en ordre.

Inspecciona el magatzem abans d'editar el perfil

Llista els candidats i les seves propietats al magatzem que el perfil fa servir realment. Aquí res no exporta una clau privada, i cap certificat no ha de sortir de la màquina:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Llegeix la sortida per a les propietats de què depèn la decisió: una clau privada utilitzable, una finestra de validesa acceptable, l'emissor previst i les finalitats de l'extensió. Un certificat pot ser present, correctament inscrit i inútil per a aquesta connexió alhora. La columna de l'empremta és la que compararàs més endavant, així que guarda la sortida.

Confirma el perfil i el seu abast abans d'editar, perquè un certificat de màquina a LocalMachine, un certificat EAP-TLS d'usuari i un magatzem de claus privades propi d'una aplicació són tres contextos diferents. Fes servir l'abast de tots els usuaris i un context administratiu quan el perfil gestionat hi visqui. Crear un segon perfil amb un nom semblant amaga quina configuració fa servir realment la connexió.

El filtre d'emissor vol un objecte

El paràmetre d'emissor espera un objecte de certificat, no un nom de visualització ni una cadena d'empremta pelada. Proporciona el certificat de l'autoritat aprovada des d'un camí que hagis revisat, al magatzem on pertoca:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

No substitueixis el certificat fulla del propi client, una altra autoritat amb un subjecte semblant, ni una arrel acabada de generar només perquè el tipus del paràmetre ho accepta. Dues autoritats poden compartir una cadena de subjecte, i per això l'objecte importa més que el text. La referència de cmdlets de Microsoft documenta tots dos tipus d'entrada, i val la pena llegir-la abans de la primera edició i no després de l'intent fallit.

El filtre d'ús vol una cadena OID

El paràmetre d'ús estès de la clau accepta cadenes OID, i la finalitat d'autenticació de client és 1.3.6.1.5.5.7.3.2. Aplicar-lo restringeix els candidats als certificats que porten aquesta finalitat, que és el que vol un desplegament d'autenticació de client:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

El valor és una matriu, així que un desplegament que necessita diverses finalitats les passa com a llista. El que el filtre no pot fer és afegir una finalitat a un certificat: és una expressió de selecció avaluada contra extensions signades, i cap filtre no les reescriu, així que un certificat sense la finalitat ha de tornar a passar per l'enregistrament.

Mantén la configuració EAP de certificats d'usuari separada del filtratge de certificats de màquina, perquè viuen en llocs diferents i un canvi en un rarament explica una fallada en l'altre. Comprova també si el domini o la gestió de dispositius és el propietari del perfil, perquè una edició local pot ser substituïda en la propera actualització de polítiques sense que ningú toqui la màquina.

Demostra quin certificat va oferir el client

Estableix una connexió nova i llegeix les evidències d'autenticació de client i servidor per a la identitat que volies. Quan més d'un certificat satisfà els filtres, el resultat és un conjunt més petit i no un full fixat, així que el proper intent pot triar un membre diferent. Anota l'empremta que apareix en aquestes evidències i compara-la amb la que vas registrar del magatzem.

Una ordre correcta no és una autenticació correcta. El resultat que val la pena registrar és el certificat previst autenticant-se sota la política gestionada mentre cada certificat no relacionat continua disponible per als serveis que en depenen. Si la fallada sobreviu als dos filtres, el lloc on mirar després són els candidats restants i no el perfil sencer.