Το SSTP και το IKEv2 χρησιμοποιούν διαφορετικά στοιχεία ελέγχου πιστοποιητικών RRAS

Αν αντικαταστήσετε το «πιστοποιητικό VPN», μπορεί να αλλάξετε τη λάθος υπηρεσία. Το RRAS διατηρεί τουλάχιστον τρία στοιχεία ελέγχου πιστοποιητικών, καθένα από τα οποία ανήκει σε διαφορετικό πρωτόκολλο και διαφορετικό ρόλο σύνδεσης. Αν ονομάσετε πρώτα το πρωτόκολλο, μια ριψοκίνδυνη υπόθεση γίνεται μία αναστρέψιμη αλλαγή δέσμευσης. Όλα τα παρακάτω εξαρτώνται από αυτή τη μία πρόταση.

Ονομάστε το πρωτόκολλο πριν από το πιστοποιητικό

Ένας ακροατής SSTP παρουσιάζει πιστοποιητικό TLS σε έναν πελάτη που συμπεριφέρεται όπως το HTTPS. Μια εισερχόμενη σύνδεση IKEv2 από site σε site διαφημίζει ταυτότητα διακομιστή και επικυρώνει τα πιστοποιητικά των ομοτίμων έναντι αξιόπιστης ρίζας. Ένας ορισμός από site σε site ανά διεπαφή φέρει δική του ταυτότητα μηχανής.

Πρόκειται για τρία στοιχεία ελέγχου με τρία πεδία εφαρμογής. Η σύγχυσή τους παράγει μια αλλαγή που φαίνεται να λειτουργεί σε ένα πρωτόκολλο και δεν έχει κανένα αποτέλεσμα στο άλλο, κάτι χειρότερο από μια προφανή αποτυχία. Καταγράψτε ποιο πρωτόκολλο απέτυχε, ποια πλευρά παρουσίασε το πιστοποιητικό και ποια πλευρά το απέρριψε πριν αγγίξετε οτιδήποτε.

SSTP: δέσμευση HTTPS

Για υποστηριζόμενες αναπτύξεις Remote Access, το Set-RemoteAccess εκθέτει μια παράμετρο SslCertificate που χρησιμοποιείται για συνδεσιμότητα SSTP και για τον ρόλο DirectAccess που σχετίζεται με HTTPS.

Το πεδίο επικύρωσης και ανάπτυξής του ακολουθεί τη διαμόρφωση Remote Access, επομένως μία αλλαγή δέσμευσης μπορεί να φτάσει σε περισσότερες από μία συνδέσεις ή κόμβους. Σε ανάπτυξη με εξισορρόπηση φορτίου το πεδίο αυτό περιλαμβάνει κάθε κόμβο που καλύπτει η διαμόρφωση. Αν αλλάξετε έναν κόμβο και δοκιμάσετε έναν πελάτη, οι υπόλοιποι παρουσιάζουν το παλιό φύλλο, και αυτή είναι ακριβώς η μισή αλλαγή που επιβιώνει από ένα παράθυρο συντήρησης.

Πριν από την ενημέρωση, επαληθεύστε το αναμενόμενο όνομα υπηρεσίας, την αλυσίδα, την εγκυρότητα, την προβλεπόμενη χρήση και τη διαθεσιμότητα του ιδιωτικού κλειδιού. Το πιστοποιητικό πρέπει να ταιριάζει με το όνομα που θα ελέγξει ο πελάτης, και μια ετικέτα προσαρμογέα δεν είναι αυτό το όνομα.

Το εισερχόμενο IKEv2 έχει δική του παράμετρο

Το Set-VpnAuthProtocol ρυθμίζει τον έλεγχο ταυτότητας του εισερχόμενου IKEv2 από site σε site, και το CertificateAdvertised παρέχει πιστοποιητικό όταν η λειτουργία ελέγχου ταυτότητας σήραγγας τα χρησιμοποιεί. Δεν είναι γενική εντολή για την επιλογή οποιουδήποτε πιστοποιητικού διακομιστή στον κεντρικό υπολογιστή.

Κρατήστε χωριστά δύο αντικείμενα: το φύλλο που παρουσιάζει ο διακομιστής ως δική του ταυτότητα και τη ρίζα που χρησιμοποιεί για να δέχεται πιστοποιητικά ομοτίμων. Η επιλογή του εκδότη στον οποίο εμπιστεύεστε δεν λέει τίποτε για το ποιο φύλλο παρουσιάζει ο διακομιστής.

Η ταυτότητα μιας μεμονωμένης διεπαφής από site σε site ορίζεται μέσω του Set-VpnS2SInterface. Δεν είναι αυτόματα το πιστοποιητικό SSTP, ακόμη και όταν και τα δύο βρίσκονται στο ίδιο χώρο αποθήκευσης στον ίδιο υπολογιστή.

Ελέγξτε πρώτα το υποψήφιο

Μια στοχευμένη προβολή του χώρου αποθήκευσης του τοπικού υπολογιστή εμφανίζει δημόσια μεταδεδομένα χωρίς να εξάγει τίποτε ιδιωτικό:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Αυτή η λίστα είναι αφετηρία και όχι δοκιμή καταλληλότητας. Ελέγξτε τις καταχωρίσεις SAN, τις εκτεταμένες χρήσεις κλειδιού, την αλυσίδα και την πρόσβαση του λογαριασμού υπηρεσίας στο ιδιωτικό κλειδί για το πρωτόκολλο που ρυθμίζετε.

Ένα πιστοποιητικό που έχει εγκατασταθεί για άσχετη ταυτότητα πελάτη cloud δεν είναι κατάλληλο μόνο επειδή εμφανίζεται στον ίδιο χώρο αποθήκευσης. Η ορατότητα δεν είναι καταλληλότητα, και ένα αποτύπωμα σε στιγμιότυπο οθόνης δεν αποδεικνύει τίποτε για το αν ο λογαριασμός υπηρεσίας μπορεί να διαβάσει το κλειδί. Ελέγξτε ρητά αυτή την πρόσβαση, γιατί η έλλειψη άδειας κλειδιού εμφανίζεται μόνο όταν η υπηρεσία επανεκκινήσει και προσπαθήσει να χρησιμοποιήσει το πιστοποιητικό.

Καταγράψτε την τρέχουσα δέσμευση και επιβεβαιώστε ότι μπορείτε ακόμη να φτάσετε στον κεντρικό υπολογιστή με άλλον τρόπο πριν την αλλάξετε. Η διαδρομή ανάκτησης ανήκει στην αλλαγή, όχι στο περιστατικό που ακολουθεί.

Η ανανέωση δεν είναι ενεργοποίηση

Η επανέκδοση πιστοποιητικού είναι διαφορετική ενέργεια από την επιλογή του για την εκτελούμενη υπηρεσία. Το νέο φύλλο μπορεί να διατηρεί την προβλεπόμενη ταυτότητα DNS και παρ' όλα αυτά να φέρει διαφορετικό αποτύπωμα, επομένως τίποτα δεν το δείχνει μέχρι να ενημερωθεί η δέσμευση. Η ανανέωση αλλάζει το αντικείμενο· η ενεργοποίηση αλλάζει την αναφορά σε αυτό. Η σύγχυση των δύο είναι ο λόγος που ένα σωστά ανανεωμένο πιστοποιητικό μπορεί να μείνει αχρησιμοποίητο για εβδομάδες.

Εφαρμόστε την υποστηριζόμενη αλλαγή σε κατάλληλο παράθυρο, συμπεριλαμβανομένης τυχόν τεκμηριωμένης επανεκκίνησης, και μετά ελέγξτε το πιστοποιητικό από νέα σύνδεση του προβλεπόμενου πρωτοκόλλου. Μια προσωρινά αποθηκευμένη συνεδρία πελάτη μπορεί ακόμη να δείχνει το παλιό φύλλο και να κάνει μια σωστή αλλαγή να φαίνεται χαλασμένη.

Αποσύρετε το προηγούμενο πιστοποιητικό με την κανονική διαδικασία μόνο αφού περάσει αυτός ο έλεγχος. Η αναφορά Set-RemoteAccess τεκμηριώνει το πεδίο της παραμέτρου SSL, συμπεριλαμβανομένης της επίδρασής της σε αναπτύξεις με εξισορρόπηση φορτίου, και αυτό είναι το μέρος που αξίζει να διαβάσετε πριν από μια αλλαγή δέσμευσης.