Pa dystysgrif peiriant mae VPN Windows yn ei chynnig?

Mae'r tystysgrifau wedi'u gosod, mae'r allweddi preifat yn bresennol, ac mae'r twnnel yn dal i fethu dilysu. Gall peiriant sy'n dal sawl tystysgrif roi ymgeisydd i'r VPN na fwriadodd neb, ac nid oes ffordd gan y cleient i wybod pa un y byddai'r porth yn ei dderbyn. Mae dileu'r lleill yn bolisi dethol gyda chanlyniadau i bob gwasanaeth ar y peiriant. Culhewch y set gymwys yn lle hynny, yna cadarnhewch pa dystysgrif a gynigiwyd mewn gwirionedd.

Sawl tystysgrif, un yn cael ei chynnig

Mae proffiliau VPN brodorol Windows gyda dilysu tystysgrif peiriant yn datgelu dau hidlydd sy'n cyfyngu'r ymgeiswyr: hidlydd cyhoeddwr a hidlydd defnydd allwedd estynedig. Maent yn lleihau'r set y gall y cleient ddewis ohoni. Nid ydynt yn atgyweirio tystysgrif anaddas, ac nid ydynt yn gwarantu y bydd y gweinydd yn derbyn yr hyn sy'n weddill. Mae'r ffin honno'n werth ei nodi yn y cofnod newid, oherwydd bydd y darllenydd nesaf yn tybio bod yr hidlydd wedi penderfynu mwy nag y gwnaeth.

Mae'r methiant y maent yn mynd i'r afael ag ef yn gul ac yn benodol. Mae tystysgrif ddilys gan awdurdod anghywir, neu un a gyhoeddwyd at ddiben nad yw'r porth yn ei dderbyn, yn cael ei dewis o flaen yr un a fwriadwyd, sy'n cynhyrchu methiant dilysu wrth ymyl storfa iach. Mae dau hidlydd yn troi hynny'n set sy'n ddigon bach i resymu amdani, ac mae gweddill y dudalen hon yn eu cymhwyso mewn trefn.

Archwiliwch y storfa cyn golygu'r proffil

Rhestrwch yr ymgeiswyr a'u priodoleddau yn y storfa y mae'r proffil yn ei defnyddio mewn gwirionedd. Nid oes unrhyw beth yma yn allforio allwedd breifat, ac nid oes rhaid i unrhyw dystysgrif adael y peiriant:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Darllenwch yr allbwn am y priodoleddau y mae'r penderfyniad yn dibynnu arnynt: allwedd breifat y gellir ei defnyddio, ffenestr ddilysrwydd dderbyniol, y cyhoeddwr a fwriadwyd a'r dibenion yn yr estyniad. Gall tystysgrif fod yn bresennol, wedi'i chofrestru'n gywir ac yn ddiwerth i'r cysylltiad hwn ar yr un pryd. Y golofn ôl-argraff yw'r un y byddwch yn cymharu â hi'n ddiweddarach, felly cadwch yr allbwn.

Cadarnhewch y proffil a'i gwmpas cyn golygu, oherwydd tystysgrif peiriant yn LocalMachine, tystysgrif EAP-TLS defnyddiwr a storfa allweddi preifat cymhwysiad yw tri chyd-destun gwahanol. Defnyddiwch gwmpas pob defnyddiwr a chyd-destun gweinyddol pan fo'r proffil a reolir yn byw yno. Mae creu ail broffil ag enw tebyg yn cuddio pa ffurfweddiad y mae'r cysylltiad yn ei ddefnyddio mewn gwirionedd.

Mae hidlydd y cyhoeddwr eisiau gwrthrych

Mae paramedr y cyhoeddwr yn disgwyl gwrthrych tystysgrif, nid enw arddangos ac nid llinyn ôl-argraff noeth. Darparwch dystysgrif yr awdurdod a gymeradwywyd o lwybr yr ydych wedi'i adolygu, yn y storfa lle mae'n perthyn:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Peidiwch â rhoi tystysgrif ddail y cleient ei hun, awdurdod gwahanol â phwnc tebyg, na gwraidd newydd ei gynhyrchu yn ei lle dim ond oherwydd bod math y paramedr yn ei dderbyn. Gall dau awdurdod rannu un llinyn pwnc, a dyna pam mae'r gwrthrych yn bwysicach na'r testun. Mae'r cyfeirlyfr cmdlet Microsoft yn dogfennu'r ddau fath o fewnbwn, ac mae'n werth ei ddarllen cyn y golygiad cyntaf yn hytrach nag ar ôl yr ymgais aflwyddiannus.

Mae'r hidlydd defnydd eisiau llinyn OID

Mae paramedr defnydd allwedd estynedig yn cymryd llinynnau OID, a diben dilysu'r cleient yw 1.3.6.1.5.5.7.3.2. Mae ei gymhwyso yn cyfyngu'r ymgeiswyr i dystysgrifau sy'n cario'r diben hwnnw, sef yr hyn y mae defnydd o ddilysu cleient yn ei eisiau:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Mae'r gwerth yn arae, felly mae defnydd sydd angen sawl diben yn eu trosglwyddo fel rhestr. Yr hyn na all yr hidlydd ei wneud yw ychwanegu diben at dystysgrif: mynegiant dethol ydyw sy'n cael ei werthuso yn erbyn estyniadau wedi'u llofnodi, ac nid oes unrhyw hidlydd yn ailysgrifennu'r rheini, felly rhaid i dystysgrif sy'n colli'r diben fynd yn ôl drwy gofrestru.

Cadwch ffurfweddiad EAP tystysgrifau defnyddiwr ar wahân i hidlo tystysgrifau peiriant, oherwydd maent yn byw mewn gwahanol leoedd ac anaml y mae newid yn y naill yn esbonio methiant yn y llall. Gwiriwch hefyd a yw'r parth neu'r rheolaeth ddyfeisiau yn berchen ar y proffil, oherwydd gall golygiad lleol gael ei ddisodli yn yr adnewyddiad polisi nesaf heb i neb gyffwrdd â'r peiriant.

Profwch pa dystysgrif a gynigiodd y cleient

Sefydlwch gysylltiad newydd a darllenwch dystiolaeth dilysu'r cleient a'r gweinydd ar gyfer yr hunaniaeth y bwriadwyd hi. Pan fydd mwy nag un dystysgrif yn bodloni'r hidlyddion, y canlyniad yw cronfa lai yn hytrach na dail wedi'i phinio, felly gall yr ymgais nesaf ddewis aelod gwahanol. Nodwch yr ôl-argraff sy'n ymddangos yn y dystiolaeth honno a'i chymharu â'r un a gofnodwyd gennych o'r storfa.

Nid yw gorchymyn llwyddiannus yn ddilysiad llwyddiannus. Y canlyniad sy'n werth ei gofnodi yw bod y dystysgrif a fwriadwyd yn dilysu o dan y polisi a reolir tra bo pob tystysgrif ddiangen yn parhau ar gael i'r gwasanaethau sy'n dibynnu arni. Os yw'r methiant yn goroesi'r ddau hidlydd, y lle i edrych nesaf yw'r ymgeiswyr sy'n weddill, nid y proffil cyfan.