Jak odvolat jeden klientský certifikát Azure Point-to-Site

Odvolat jednoho klienta Azure Point-to-Site znamená přidat jeho otisk do seznamu odvolaných na bráně. Neznamená to smazat důvěryhodný kořen. Kořen je vydavatelem každého klientského certifikátu, který jste kdy vydali, takže jeho odebrání je jiná operace s mnohem větším dopadem. Jednotkou odvolání je zde jediný certifikát.

Krok 1: Určete přesně, který certifikát máte na mysli

Začněte u záznamu certifikátu, ne u zobrazovaného názvu. Azure zobrazuje přátelský název, který jste zadali sami, a tento štítek nemusí odpovídat subjektu ani zařízení, pro které byl vydán.

Ještě jedna kontrola před odvoláním: zjistěte, kolik zařízení ho předkládá. Pokud bylo několik notebooků vytvořeno z kopií stejného PFX, odvolání otisku je všechny uzamkne a Azure nedokáže odlišit ztracený od náhradního v šuplíku.

Na klientu Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter vypíše, co je pro daného uživatele nainstalováno, a Cert:\LocalMachine\My stojí také za kontrolu, protože klient VPN může vybírat z kteréhokoli ze dvou úložišť. Porovnejte otisk se svým inventářem registrací. Obnovený certifikát má jiný otisk, i když je subjekt totožný.

Ke čtení otisku veřejného certifikátu nepotřebujete soukromý klíč klienta ani PFX chráněný heslem. Jakýkoli postup, který jedno z toho vyžaduje, byl převzat z jiného úkolu.

Krok 2: Přidejte ho do seznamu odvolaných na bráně

V portálu otevřete bránu virtuální sítě, potom konfiguraci Point-to-site a potom sekci odvolaných certifikátů. Přidejte přátelský název, který za šest měsíců poznáte, a vložte otisk jako jeden souvislý řetězec bez mezer.

Před uložením zkontrolujte, která brána je vybraná, protože předplatné s několika bránami je přesně to místo, kde se to pokazí. Průvodce konfigurací certifikátů od Microsoftu uvádí, že po dokončení aktualizace už certifikát nelze použít k připojení.

Potom ověřte uloženou hodnotu, místo abyste věřili oznámení portálu: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" vypíše, co brána skutečně obsahuje.

Krok 3: Ověřte oba směry

Otestujte odmítnutí s odvolaným certifikátem a potom otestujte, že jiný certifikát pod stejným kořenem se stále autentizuje. Právě tento druhý test lidé vynechávají a právě on zachytí náhodné odebrání kořene nebo změnu zásad, o které nikdo nemluvil. Použijte zařízení, na kterém vidíte, který certifikát se předkládá. Klient s několika certifikáty může tiše použít funkční a vaše odvolání pak vypadá rozbité.

Zapište oba výsledky do tiketu. Odvolání ověřené jen ve směru odmítnutí je ověřené napůl.

Krok 4: Relace, které už běží

Dokumentovaný výsledek se týká nových připojení. Nerozšiřujte ho na slib, že každý existující tunel spadne ve chvíli uložení seznamu. Pokud záleží na okamžitém odebrání, použijte ovládací prvky, které vaše nasazená konfigurace skutečně nabízí, a zkontrolujte konkrétní relaci, místo abyste předpokládali.

Otestujte to odděleně od autentizace, protože obojí selhává na jiných místech a zanechává jiné důkazy.

Vrácení zpět a zkratky, kterým se vyhnout

Vrácení zpět znamená odebrat otisk ze seznamu odvolaných a počkat, až dokončí stejná aktualizace. To je bezpečné, když jste odvolali špatný záznam, a nebezpečné, když je certifikát skutečně kompromitovaný, takže nejprve rozhodněte, o který případ jde. Smazání důvěryhodného kořene není zkratka pro jeden ztracený notebook. Smazání místního profilu VPN na jednom počítači nemění, co kterákoli brána přijímá.

Pokud se identita autentizuje i na druhé bráně, obě potřebují stejné ošetření. Seznam odvolaných patří bráně, ne předplatnému.