SSTP a IKEv2 používají různé ovládací prvky certifikátů RRAS

Nahradíte-li „certifikát VPN“, můžete změnit nesprávnou službu. RRAS udržuje nejméně tři ovládací prvky certifikátů, z nichž každý patří jinému protokolu a jiné roli připojení. Pojmenování protokolu jako prvního promění riskantní odhad v jedinou vratnou změnu vazby. Vše níže závisí na této jedné větě.

Pojmenujte protokol před certifikátem

Naslouchací služba SSTP předkládá klientovi, který se chová jako HTTPS, certifikát TLS. Příchozí připojení IKEv2 typu lokalita-lokalita inzeruje identitu serveru a ověřuje certifikáty protějšků proti důvěryhodnému kořeni. Definice typu lokalita-lokalita pro rozhraní nese vlastní identitu počítače.

To jsou tři ovládací prvky se třemi rozsahy. Jejich záměna vytvoří změnu, která na jednom protokolu vypadá funkčně a na druhém nemá žádný účinek, což je horší než zjevná chyba. Než se čehokoli dotknete, zapište, který protokol selhal, která strana certifikát předložila a která ho odmítla.

SSTP je vazba HTTPS

Pro podporovaná nasazení Remote Access zpřístupňuje Set-RemoteAccess parametr SslCertificate, který se používá pro konektivitu SSTP a pro roli DirectAccess související s HTTPS.

Jeho rozsah ověřování a nasazení se řídí konfigurací Remote Access, takže jedna změna vazby může zasáhnout více než jedno připojení nebo uzel. V nasazení s vyrovnáváním zátěže tento rozsah zahrnuje každý uzel, který konfigurace pokrývá. Změna jednoho uzlu a otestování jednoho klienta nechá ostatní předkládat starý koncový certifikát, což je právě ta poloviční změna, která přežije okno údržby.

Před aktualizací ověřte očekávaný název služby, řetězec, platnost, zamýšlené použití a dostupnost privátního klíče. Certifikát musí odpovídat názvu, který klient zkontroluje, a označení adaptéru tímto názvem není.

Příchozí IKEv2 má vlastní parametr

Set-VpnAuthProtocol konfiguruje ověřování příchozího IKEv2 typu lokalita-lokalita a CertificateAdvertised dodává certifikát, když je režim ověřování tunelu používá. Není to obecný příkaz k výběru libovolného serverového certifikátu na hostiteli.

Držte oddělené dva objekty: koncový certifikát, který server předkládá jako vlastní identitu, a kořen, který používá k přijímání certifikátů protějšků. Volba důvěryhodného vydavatele nic neříká o tom, který koncový certifikát server předkládá.

Identita jednotlivého rozhraní typu lokalita-lokalita se nastavuje přes Set-VpnS2SInterface. Není to automaticky certifikát SSTP, i když oba leží ve stejném úložišti na stejném počítači.

Nejprve prohlédněte kandidáta

Zaměřený pohled na úložiště místního počítače ukazuje veřejná metadata, aniž by exportoval cokoli soukromého:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Tento seznam je výchozí bod, nikoli test vhodnosti. Prohlédněte položky SAN, rozšířená použití klíče, řetězec a přístup účtu služby k privátnímu klíči pro protokol, který konfigurujete.

Certifikát nainstalovaný pro nesouvisející identitu cloudového klienta není vhodný jen proto, že se objeví ve stejném úložišti. Viditelnost není způsobilost a otisk na snímku obrazovky nic nedokazuje o tom, zda účet služby může klíč číst. Zkontrolujte tento přístup výslovně, protože chybějící oprávnění ke klíči selže až při restartu služby, když se pokusí certifikát použít.

Zaznamenejte aktuální vazbu a před její změnou potvrďte, že se k hostiteli stále dostanete jinou cestou. Cesta obnovy patří ke změně, ne k incidentu, který následuje.

Obnovení není aktivace

Opětovné vydání certifikátu je jiná akce než jeho výběr pro běžící službu. Nový koncový certifikát může zachovat zamýšlenou identitu DNS a přesto nést jiný otisk, takže na něj nic neukazuje, dokud se vazba neaktualizuje. Obnovení mění objekt; aktivace mění odkaz na něj. Záměna těchto dvou je důvod, proč může správně obnovený certifikát týdny ležet nevyužitý.

Použijte podporovanou změnu ve vhodném okně včetně případného dokumentovaného restartu a poté prohlédněte certifikát z nového připojení zamýšleného protokolu. Uložená relace klienta může stále zobrazovat starý koncový certifikát a způsobit, že správná změna vypadá rozbitě.

Vyřaďte předchozí certifikát běžným postupem až poté, co tato kontrola projde. Reference Set-RemoteAccess dokumentuje rozsah parametru SSL včetně jeho účinku v nasazeních s vyrovnáváním zátěže, což je část, kterou se před změnou vazby vyplatí přečíst.