Πώς να ανακαλέσετε ένα πιστοποιητικό πελάτη Azure Point-to-Site

Η ανάκληση ενός πελάτη Azure Point-to-Site σημαίνει προσθήκη του αποτυπώματός του στη λίστα ανάκλησης της πύλης. Δεν σημαίνει διαγραφή της έμπιστης ρίζας. Η ρίζα είναι η αρχή έκδοσης για κάθε πιστοποιητικό πελάτη που εκδώσατε ποτέ, επομένως η αφαίρεσή της είναι διαφορετική ενέργεια με πολύ μεγαλύτερο εύρος. Η μονάδα ανάκλησης εδώ είναι ένα μόνο πιστοποιητικό.

Βήμα 1: Καθορίστε το πιστοποιητικό που εννοείτε

Ξεκινήστε από την εγγραφή του πιστοποιητικού, όχι από ένα εμφανιζόμενο όνομα. Το Azure εμφανίζει ένα φιλικό όνομα που πληκτρολογήσατε εσείς, και αυτή η ετικέτα δεν χρειάζεται να ταιριάζει με το υποκείμενο ή τη συσκευή για την οποία εκδόθηκε.

Ένας ακόμη έλεγχος πριν την ανάκληση: βρείτε πόσες συσκευές το παρουσιάζουν. Αν αρκετοί φορητοί υπολογιστές κατασκευάστηκαν από αντίγραφα του ίδιου PFX, η ανάκληση του αποτυπώματος τους κλειδώνει όλους, και το Azure δεν έχει τρόπο να ξεχωρίσει τον χαμένο από το εφεδρικό στο συρτάρι.

Στον πελάτη, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter εμφανίζει τι είναι εγκατεστημένο για αυτόν τον χρήστη, και Cert:\LocalMachine\My αξίζει επίσης έλεγχο επειδή ο πελάτης VPN μπορεί να επιλέξει από οποιοδήποτε από τα δύο καταστήματα. Συγκρίνετε το αποτύπωμα με το απόθεμα εγγραφών σας. Ένα ανανεωμένο πιστοποιητικό έχει διαφορετικό αποτύπωμα ακόμη και όταν το υποκείμενο είναι ίδιο.

Δεν χρειάζεστε το ιδιωτικό κλειδί του πελάτη ούτε ένα PFX προστατευμένο με κωδικό για να διαβάσετε το αποτύπωμα ενός δημόσιου πιστοποιητικού. Οποιαδήποτε διαδικασία απαιτεί ένα από αυτά αντιγράφηκε από άλλη εργασία.

Βήμα 2: Προσθέστε το στη λίστα ανάκλησης της πύλης

Στην πύλη, ανοίξτε την πύλη εικονικού δικτύου, μετά τη ρύθμιση Point-to-site και μετά την ενότητα ανακληθέντων πιστοποιητικών. Προσθέστε ένα φιλικό όνομα που θα αναγνωρίζετε σε έξι μήνες και επικολλήστε το αποτύπωμα ως ένα συνεχές αλφαριθμητικό χωρίς τα κενά.

Ελέγξτε ποια πύλη είναι επιλεγμένη πριν αποθηκεύσετε, γιατί μια συνδρομή με πολλές πύλες είναι ακριβώς το σημείο όπου αυτό πάει στραβά. Ο οδηγός ρύθμισης πιστοποιητικών της Microsoft αναφέρει ότι όταν ολοκληρωθεί η ενημέρωση, το πιστοποιητικό δεν μπορεί πλέον να χρησιμοποιηθεί για σύνδεση.

Επιβεβαιώστε μετά την αποθηκευμένη τιμή αντί να εμπιστεύεστε την ειδοποίηση της πύλης: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" εμφανίζει τι κρατά στην πραγματικότητα η πύλη.

Βήμα 3: Επαληθεύστε και τις δύο κατευθύνσεις

Δοκιμάστε την απόρριψη με το ανακληθέν πιστοποιητικό και μετά δοκιμάστε ότι ένα άλλο πιστοποιητικό κάτω από την ίδια ρίζα εξακολουθεί να πιστοποιείται. Αυτή η δεύτερη δοκιμή είναι εκείνη που παραλείπουν οι άνθρωποι και είναι εκείνη που πιάνει μια τυχαία αφαίρεση της ρίζας ή μια αλλαγή πολιτικής που κανείς δεν ανέφερε. Χρησιμοποιήστε μια συσκευή όπου μπορείτε να δείτε ποιο πιστοποιητικό παρουσιάζεται. Ένας πελάτης με πολλά πιστοποιητικά μπορεί ήσυχα να χρησιμοποιήσει ένα λειτουργικό και να κάνει την ανάκλησή σας να φαίνεται χαλασμένη.

Καταγράψτε και τα δύο αποτελέσματα στο δελτίο. Μια ανάκληση που επαληθεύτηκε μόνο στην κατεύθυνση απόρριψης είναι μισοεπαληθευμένη.

Βήμα 4: Συνεδρίες που είναι ήδη ενεργές

Το τεκμηριωμένο αποτέλεσμα αφορά νέες συνδέσεις. Μην το επεκτείνετε σε υπόσχεση ότι κάθε υπάρχουσα σήραγγα πέφτει το δευτερόλεπτο που αποθηκεύεται η λίστα. Αν η άμεση αφαίρεση έχει σημασία, χρησιμοποιήστε τα χειριστήρια που προσφέρει πραγματικά η αναπτυγμένη διαμόρφωσή σας και ελέγξτε τη συγκεκριμένη συνεδρία αντί να υποθέτετε.

Δοκιμάστε το ξεχωριστά από την πιστοποίηση, γιατί τα δύο αποτυγχάνουν σε διαφορετικά σημεία και αφήνουν διαφορετικά ίχνη.

Επαναφορά και οι συντομεύσεις που πρέπει να αποφύγετε

Η επαναφορά σημαίνει αφαίρεση του αποτυπώματος από τη λίστα ανάκλησης και αναμονή να ολοκληρωθεί η ίδια ενημέρωση. Αυτό είναι ασφαλές όταν ανακαλέσατε τη λάθος εγγραφή και επικίνδυνο όταν το πιστοποιητικό είναι πραγματικά παραβιασμένο, οπότε αποφασίστε πρώτα σε ποια περίπτωση βρίσκεστε. Η διαγραφή της έμπιστης ρίζας δεν είναι συντόμευση για έναν χαμένο φορητό υπολογιστή. Η διαγραφή ενός τοπικού προφίλ VPN σε ένα μηχάνημα δεν αλλάζει τι δέχεται οποιαδήποτε πύλη.

Αν η ταυτότητα πιστοποιείται και σε δεύτερη πύλη, και οι δύο χρειάζονται την ίδια αντιμετώπιση. Η λίστα ανάκλησης ανήκει σε μια πύλη, όχι στη συνδρομή.