Sådan tilbagekalder du ét Azure Point-to-Site-klientcertifikat

At tilbagekalde én Azure Point-to-Site-klient betyder at føje dens fingeraftryk til gatewayens tilbagekaldte liste. Det betyder ikke at slette den betroede rod. Roden er udstederen af hvert klientcertifikat, du nogensinde har udleveret, så at fjerne den er en anden handling med en langt større radius. Enheden for tilbagekaldelse er her ét enkelt certifikat.

Trin 1: Fastlæg præcis, hvilket certifikat du mener

Begynd ved certifikatposten, ikke ved et vist navn. Azure viser et brugervenligt navn, du selv har skrevet, og den etiket behøver ikke at matche subjektet eller den enhed, den blev udstedt til.

Én kontrol mere, før du tilbagekalder: find ud af, hvor mange enheder der præsenterer det. Hvis flere bærbare computere er bygget ud fra kopier af den samme PFX, låser tilbagekaldelsen af fingeraftrykket dem alle, og Azure kan ikke skelne den tabte fra reserveenheden i skuffen.

På klienten Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter viser, hvad der er installeret for den bruger, og Cert:\LocalMachine\My er også værd at kontrollere, fordi VPN-klienten kan vælge fra begge lagre. Sammenlign fingeraftrykket med din registreringsfortegnelse. Et fornyet certifikat har et andet fingeraftryk, selv når subjektet er identisk.

Du behøver ikke klientens private nøgle eller en adgangskodebeskyttet PFX for at læse et offentligt certifikats fingeraftryk. Enhver procedure, der kræver en af delene, er kopieret fra en anden opgave.

Trin 2: Føj det til gatewayens tilbagekaldte liste

Åbn den virtuelle netværksgateway i portalen, derefter Point-to-site-konfigurationen og derefter afsnittet om tilbagekaldte certifikater. Tilføj et brugervenligt navn, du kan genkende om seks måneder, og indsæt fingeraftrykket som én sammenhængende streng uden mellemrum.

Kontrollér, hvilken gateway der er valgt, før du gemmer, for et abonnement med flere gateways er netop stedet, hvor dette går galt. Microsofts vejledning til certifikatkonfiguration angiver, at certifikatet ikke længere kan bruges til at oprette forbindelse, når opdateringen er fuldført.

Bekræft derefter den gemte værdi i stedet for at stole på portalens meddelelse: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" viser, hvad gatewayen faktisk gemmer.

Trin 3: Kontrollér begge retninger

Test afvisningen med det tilbagekaldte certifikat, og test derefter, at et andet certifikat under samme rod stadig godkendes. Den anden test er den, folk springer over, og den er den, der fanger en utilsigtet fjernelse af roden eller en politikændring, som ingen nævnte. Brug en enhed, hvor du kan se, hvilket certifikat der præsenteres. En klient med flere certifikater kan stille bruge et fungerende og få din tilbagekaldelse til at se defekt ud.

Notér begge resultater i billetten. En tilbagekaldelse, der kun er verificeret i afvisningsretningen, er halvt verificeret.

Trin 4: Sessioner, der allerede er oppe

Det dokumenterede udfald gælder nye forbindelser. Stræk det ikke til et løfte om, at hver eksisterende tunnel falder i det øjeblik, listen gemmes. Hvis øjeblikkelig fjernelse er vigtig, skal du bruge de kontroller, din udrullede konfiguration rent faktisk tilbyder, og kontrollere den konkrete session i stedet for at antage.

Test det adskilt fra godkendelse, fordi de to fejler forskellige steder og efterlader forskellige spor.

Tilbagerulning og de genveje, du skal undgå

Tilbagerulning betyder at fjerne fingeraftrykket fra den tilbagekaldte liste og vente på, at den samme opdatering bliver færdig. Det er sikkert, når du tilbagekaldte den forkerte post, og farligt, når certifikatet reelt er kompromitteret, så afgør først, hvilket tilfælde du står i. At slette den betroede rod er ikke en genvej for én tabt bærbar. At slette en lokal VPN-profil på én maskine ændrer ikke, hvad nogen gateway accepterer.

Hvis identiteten også godkendes på en anden gateway, har begge brug for samme behandling. Den tilbagekaldte liste tilhører en gateway, ikke abonnementet.