So widerrufen Sie ein einzelnes Azure Point-to-Site-Clientzertifikat

Einen Azure Point-to-Site-Client zu widerrufen bedeutet, seinen Fingerabdruck der Sperrliste des Gateways hinzuzufügen. Es bedeutet nicht, das vertrauenswürdige Stammzertifikat zu löschen. Das Stammzertifikat ist die ausstellende Instanz für jedes Clientzertifikat, das Sie jemals ausgegeben haben, daher ist sein Entfernen ein anderer Vorgang mit deutlich größerer Tragweite. Die Einheit des Widerrufs ist hier ein einzelnes Zertifikat.

Schritt 1: Bestimmen Sie das gemeinte Zertifikat

Beginnen Sie beim Zertifikatseintrag, nicht bei einem Anzeigenamen. Azure zeigt einen freundlichen Namen, den Sie selbst eingegeben haben, und diese Bezeichnung muss weder zum Subject noch zum Gerät passen, für das das Zertifikat ausgestellt wurde.

Noch eine Prüfung vor dem Widerruf: Finden Sie heraus, wie viele Geräte es vorlegen. Wurden mehrere Laptops aus Kopien derselben PFX erstellt, sperrt der Widerruf des Fingerabdrucks alle davon aus, und Azure kann das verlorene Gerät nicht von der Ersatzkopie in der Schublade unterscheiden.

Auf dem Client listet Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter auf, was für diesen Benutzer installiert ist, und Cert:\LocalMachine\My lohnt sich ebenfalls zu prüfen, weil der VPN-Client aus beiden Speichern wählen kann. Vergleichen Sie den Fingerabdruck mit Ihrem Registrierungsinventar. Ein erneuertes Zertifikat hat einen anderen Fingerabdruck, auch wenn das Subject identisch ist.

Sie benötigen weder den privaten Schlüssel des Clients noch eine passwortgeschützte PFX, um den Fingerabdruck eines öffentlichen Zertifikats zu lesen. Jedes Verfahren, das eines davon verlangt, wurde aus einer anderen Aufgabe kopiert.

Schritt 2: Fügen Sie es der Sperrliste des Gateways hinzu

Öffnen Sie im Portal das virtuelle Netzwerkgateway, dann die Point-to-site-Konfiguration und dann den Abschnitt für gesperrte Zertifikate. Fügen Sie einen freundlichen Namen hinzu, den Sie in sechs Monaten wiedererkennen, und fügen Sie den Fingerabdruck als eine durchgehende Zeichenfolge ohne Leerzeichen ein.

Prüfen Sie vor dem Speichern, welches Gateway ausgewählt ist, denn ein Abonnement mit mehreren Gateways ist genau die Stelle, an der das schiefgeht. Microsofts Leitfaden zur Zertifikatkonfiguration stellt fest, dass das Zertifikat nach Abschluss der Aktualisierung nicht mehr zum Verbinden verwendet werden kann.

Bestätigen Sie anschließend den gespeicherten Wert, statt der Meldung des Portals zu vertrauen: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" zeigt, was das Gateway tatsächlich enthält.

Schritt 3: Prüfen Sie beide Richtungen

Testen Sie die Ablehnung mit dem widerrufenen Zertifikat und testen Sie dann, dass ein anderes Zertifikat unter demselben Stamm sich noch authentifiziert. Diesen zweiten Test lassen die Leute aus, und er ist derjenige, der ein versehentliches Entfernen des Stamms oder eine nicht erwähnte Richtlinienänderung erkennt. Verwenden Sie ein Gerät, auf dem Sie sehen, welches Zertifikat vorgelegt wird. Ein Client mit mehreren Zertifikaten kann stillschweigend ein funktionierendes verwenden und Ihren Widerruf kaputt aussehen lassen.

Halten Sie beide Ergebnisse im Ticket fest. Ein Widerruf, der nur in Ablehnungsrichtung geprüft wurde, ist halb geprüft.

Schritt 4: Sitzungen, die bereits aktiv sind

Das dokumentierte Ergebnis betrifft neue Verbindungen. Dehnen Sie es nicht zu dem Versprechen aus, dass jeder bestehende Tunnel in der Sekunde zusammenbricht, in der die Liste gespeichert wird. Wenn die sofortige Entfernung wichtig ist, verwenden Sie die Kontrollen, die Ihre bereitgestellte Konfiguration tatsächlich bietet, und prüfen Sie die konkrete Sitzung, statt etwas anzunehmen.

Testen Sie das getrennt von der Authentifizierung, denn die beiden scheitern an verschiedenen Stellen und hinterlassen unterschiedliche Spuren.

Rollback und die Abkürzungen, die Sie vermeiden sollten

Ein Rollback bedeutet, den Fingerabdruck von der Sperrliste zu entfernen und zu warten, bis dieselbe Aktualisierung abgeschlossen ist. Das ist sicher, wenn Sie den falschen Eintrag widerrufen haben, und gefährlich, wenn das Zertifikat tatsächlich kompromittiert ist, also entscheiden Sie zuerst, welcher Fall vorliegt. Das Löschen des vertrauenswürdigen Stamms ist keine Abkürzung für einen verlorenen Laptop. Das Löschen eines lokalen VPN-Profils auf einer Maschine ändert nicht, was ein Gateway akzeptiert.

Wenn sich die Identität auch an einem zweiten Gateway authentifiziert, brauchen beide dieselbe Behandlung. Die Sperrliste gehört zu einem Gateway, nicht zum Abonnement.