Mae SSTP a IKEv2 yn defnyddio rheolyddion tystysgrif RRAS gwahanol

Os byddwch yn disodli «y dystysgrif VPN», efallai y byddwch yn newid y gwasanaeth anghywir. Mae RRAS yn cadw o leiaf dri rheolydd tystysgrif, ac mae pob un yn perthyn i brotocol a rôl gyswllt wahanol. Mae enwi'r protocol yn gyntaf yn troi dyfaliad peryglus yn un newid clymiad y gellir ei wrthdroi. Mae popeth isod yn dibynnu ar yr un frawddeg honno.

Enwch y protocol cyn y dystysgrif

Mae gwrandäwr SSTP yn cyflwyno tystysgrif TLS i gleient sy'n ymddwyn fel HTTPS. Mae cysylltiad IKEv2 safle-i-safle sy'n dod i mewn yn hysbysebu hunaniaeth gweinydd ac yn dilysu tystysgrifau cyfoedion yn erbyn gwraidd ymddiriedig. Mae diffiniad safle-i-safle fesul rhyngwyneb yn cario ei hunaniaeth peiriant ei hun.

Mae'r rhain yn dri rheolydd â thri chwmpas. Mae eu cymysgu yn cynhyrchu newid sy'n ymddangos yn gweithio ar un protocol ac nad oes ganddo unrhyw effaith ar y llall, sy'n waeth na methiant amlwg. Cofnodwch pa brotocol a fethodd, pa ochr a gyflwynodd y dystysgrif a pha ochr a'i gwrthododd cyn i chi gyffwrdd ag unrhyw beth.

SSTP yw clymiad HTTPS

Mewn gosodiadau Remote Access a gefnogir, mae Set-RemoteAccess yn datgelu paramedr SslCertificate a ddefnyddir ar gyfer cysylltedd SSTP ac ar gyfer rôl DirectAccess sy'n gysylltiedig â HTTPS.

Mae ei gwmpas dilysu a defnyddio yn dilyn cyfluniad Remote Access, felly gall un newid clymiad gyrraedd mwy nag un gysylltiad neu nod. Mewn gosodiad â chydbwysedd llwyth, mae'r cwmpas hwnnw'n cynnwys pob nod y mae'r cyfluniad yn ei orchuddio. Mae newid un nod a phrofi un cleient yn gadael y gweddill yn cyflwyno'r ddalen hen, a dyma'r math o newid hanner ffordd sy'n goroesi ffenestr gynnal a chadw.

Cyn diweddaru, gwiriwch yr enw gwasanaeth disgwyliedig, y gadwyn, y dilysrwydd, y defnydd arfaethedig ac argaeledd yr allwedd breifat. Rhaid i'r dystysgrif gyd-fynd â'r enw y bydd y cleient yn ei wirio, ac nid yw label addasydd yn yr enw hwnnw.

Mae gan IKEv2 sy'n dod i mewn ei baramedr ei hun

Mae Set-VpnAuthProtocol yn ffurfweddu dilysu IKEv2 safle-i-safle sy'n dod i mewn, ac mae CertificateAdvertised yn darparu tystysgrif pan fydd modd dilysu'r twnnel yn eu defnyddio. Nid yw hwn yn orchymyn cyffredinol ar gyfer dewis unrhyw dystysgrif gweinydd ar y gwesteiwr.

Cadwch ddau wrthrych ar wahân: y ddalen y mae'r gweinydd yn ei chyflwyno fel ei hunaniaeth ei hun, a'r gwraidd y mae'n ei ddefnyddio i dderbyn tystysgrifau cyfoedion. Nid yw dewis pa gyhoeddwr rydych yn ymddiried ynddo yn dweud dim am ba ddalen y mae'r gweinydd yn ei chyflwyno.

Mae hunaniaeth rhyngwyneb safle-i-safle unigol yn cael ei gosod trwy Set-VpnS2SInterface. Nid yw'n awtomatig yn dystysgrif SSTP, hyd yn oed pan fydd y ddau yn yr un storfa ar yr un peiriant.

Archwiliwch yr ymgeisydd yn gyntaf

Mae golwg wedi'i ffocysu ar storfa'r peiriant lleol yn dangos metadata cyhoeddus heb allforio unrhyw beth preifat:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Mae'r rhestr honno'n fan cychwyn ac nid yn brawf addasrwydd. Archwiliwch y cofnodion SAN, y defnydd allwedd estynedig, y gadwyn a mynediad y cyfrif gwasanaeth at yr allwedd breifat ar gyfer y protocol rydych yn ei ffurfweddu.

Nid yw tystysgrif a osodwyd ar gyfer hunaniaeth cleient cwmwl di-gyswllt yn addas dim ond oherwydd ei bod yn ymddangos yn yr un storfa. Nid yw gwelededd yn addasrwydd, ac nid yw ôl bys mewn sgrinlun yn profi dim am a all y cyfrif gwasanaeth ddarllen yr allwedd. Gwiriwch y mynediad hwnnw'n benodol, oherwydd dim ond pan fydd y gwasanaeth yn ailgychwyn ac yn ceisio defnyddio'r dystysgrif y bydd caniatâd allwedd ar goll yn methu.

Cofnodwch y clymiad presennol a chadarnhewch y gallwch gyrraedd y gwesteiwr mewn ffordd arall o hyd cyn ei newid. Mae'r llwybr adfer yn perthyn i'r newid, nid i'r digwyddiad sy'n dilyn.

Nid yw adnewyddu yn weithrediad

Mae ailddyroddi tystysgrif yn weithred wahanol i'w dewis ar gyfer y gwasanaeth sy'n rhedeg. Gall y ddalen newydd gadw'r hunaniaeth DNS arfaethedig ac eto cario ôl bys gwahanol, felly nid oes dim yn pwyntio ati nes bod y clymiad yn cael ei ddiweddaru. Mae adnewyddu yn newid y gwrthrych; mae gweithredu yn newid y cyfeiriad ato. Cymysgu'r ddau yw'r rheswm pam y gall tystysgrif a adnewyddwyd yn gywir fod yn segur am wythnosau.

Cymhwyswch y newid a gefnogir mewn ffenestr briodol, gan gynnwys unrhyw ailgychwyn wedi'i ddogfennu, yna archwiliwch y dystysgrif o gysylltiad newydd o'r protocol arfaethedig. Gall sesiwn cleient wedi'i chache o hyd ddangos y ddalen hen a gwneud newid cywir i edrych yn doredig.

Ymddengys y dystysgrif flaenorol trwy'r broses arferol yn unig ar ôl i'r gwiriad hwnnw lwyddo. Mae cyfeirlyfr Set-RemoteAccess yn dogfennu cwmpas y paramedr SSL, gan gynnwys ei effaith mewn gosodiadau â chydbwysedd llwyth, a dyna'r rhan sy'n werth ei darllen cyn newid clymiad.