SSTP kaj IKEv2 uzas malsamajn RRAS-atestilajn regilojn

Se vi anstataŭigos «la VPN-atestilon», vi eble ŝanĝos la malĝustan servon. RRAS tenas almenaŭ tri atestilajn regilojn, kaj ĉiu apartenas al malsama protokolo kaj malsama konekta rolo. Unue nomi la protokolon transformas riskan konjekton en unu solan reigeblan ligoŝanĝon. Ĉio sube dependas de tiu unu frazo.

Nomu la protokolon antaŭ la atestilo

SSTP-aŭskultanto prezentas TLS-atestilon al kliento, kiu kondutas kiel HTTPS. Envenanta IKEv2-konekto retejo-al-retejo anoncas servilan identecon kaj validigas la atestilojn de la partneroj kontraŭ fidinda radiko. Retejo-al-reteja difino por ĉiu interfaco portas sian propran maŝinan identecon.

Tiuj estas tri regiloj kun tri ampleksoj. Konfuzi ilin produktas ŝanĝon, kiu ŝajnas funkcii en unu protokolo kaj havas neniun efikon en la alia, kio estas pli malbona ol evidenta fiasko. Notu, kiu protokolo fiaskis, kiu flanko prezentis la atestilon kaj kiu flanko malakceptis ĝin antaŭ ol tuŝi ion ajn.

SSTP estas HTTPS-ligo

En subtenataj Remote Access-aranĝoj, Set-RemoteAccess elmontras la parametron SslCertificate uzatan por SSTP-konektebleco kaj por la HTTPS-rilata DirectAccess-rolo.

Ĝia validiga kaj deploja amplekso sekvas la Remote Access-agordon, do unu ligoŝanĝo povas atingi pli ol unu konekton aŭ nodon. En ŝarĝekvilibrigita aranĝo tiu amplekso inkluzivas ĉiun nodon, kiun la agordo kovras. Ŝanĝi unu nodon kaj testi unu klienton lasas la ceterajn prezenti la malnovan folion, kaj tio estas la speco de duonŝanĝo, kiu postvivas prizorgan fenestron.

Antaŭ la ĝisdatigo, kontrolu la atendatan servan nomon, la ĉenon, la validecon, la celatan uzon kaj la disponeblecon de la privata ŝlosilo. La atestilo devas kongrui kun la nomo, kiun la kliento kontrolos, kaj adaptila etikedo ne estas tiu nomo.

Envenanta IKEv2 havas sian propran parametron

Set-VpnAuthProtocol agordas la envenantan konektan IKEv2-aŭtentikigon retejo-al-retejo, kaj CertificateAdvertised liveras atestilon, kiam la tunela aŭtentikiga reĝimo uzas ilin. Ĝi ne estas ĝenerala komando por elekti ajnan servilan atestilon en la gastiganto.

Tenu aparte du objektojn: la folion, kiun la servilo prezentas kiel sian propran identecon, kaj la radikon, kiun ĝi uzas por akcepti la atestilojn de la partneroj. Elekti, al kiu eldonanto vi fidas, diras nenion pri tio, kiun folion la servilo prezentas.

La identeco de unuopa retejo-al-reteja interfaco estas fiksata per Set-VpnS2SInterface. Ĝi ne estas aŭtomate la SSTP-atestilo, eĉ kiam ambaŭ troviĝas en la sama stokejo sur la sama maŝino.

Unue ekzamenu la kandidaton

Fokusita vido de la stokejo de la loka maŝino montras publikajn metadatenojn sen eksporti ion privatan:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Tiu listo estas komenca punkto, ne taŭgeca testo. Ekzamenu la SAN-enskribojn, la etenditajn ŝlosiluzojn, la ĉenon kaj la aliron de la serva konto al la privata ŝlosilo por la protokolo, kiun vi agordas.

Atestilo instalita por nerilata nuba klienta identeco ne taŭgas nur ĉar ĝi aperas en la sama stokejo. Videbleco ne estas taŭgeco, kaj fingrospuro en ekrankopio pruvas nenion pri tio, ĉu la serva konto povas legi la ŝlosilon. Kontrolu tiun aliron eksplicite, ĉar mankanta ŝlosilpermeso fiaskas nur tiam, kiam la servo restartas kaj provas uzi la atestilon.

Registru la nunan ligon kaj konfirmu, ke vi ankoraŭ povas atingi la gastiganton alimaniere antaŭ ol ŝanĝi ĝin. La restaŭra vojo apartenas al la ŝanĝo, ne al la sekva okazaĵo.

Renovigo ne estas aktivigo

Reeldoni atestilon estas malsama ago ol elekti ĝin por la kuranta servo. La nova folio povas konservi la celatan DNS-identecon kaj tamen porti malsaman fingrospuron, do nenio montras al ĝi ĝis la ligo estos ĝisdatigita. Renovigo ŝanĝas la objekton; aktivigo ŝanĝas la referencon al ĝi. Konfuzi tiujn du estas la kialo, ke ĝuste renovigita atestilo povas resti neuzata dum semajnoj.

Apliku la subtenatan ŝanĝon en taŭga fenestro, inkluzive de ajna dokumentita restarto, poste ekzamenu la atestilon el nova konekto de la celata protokolo. Kaŝmemorita klienta sesio povas ankoraŭ montri la malnovan folion kaj igi ĝustan ŝanĝon aspekti rompita.

Eligu la antaŭan atestilon per la normala procezo nur post kiam tiu kontrolo sukcesos. La referenco al Set-RemoteAccess dokumentas la amplekson de la SSL-parametro, inkluzive de ĝia efiko en ŝarĝekvilibrigitaj aranĝoj, kaj tio estas la parto inda legi antaŭ ligoŝanĝo.