Kiun maŝinan atestilon proponas la Windows-VPN?

La atestiloj estas instalitaj, la privataj ŝlosiloj ĉeestas, kaj la tunelo ankoraŭ fiaskas la aŭtentikigon. Maŝino kun pluraj atestiloj povas doni al la VPN kandidaton, kiun neniu intencis, kaj la kliento ne havas rimedon scii, kiun la enirejo akceptus. Forigi la ceterajn estas elekta politiko kun sekvoj por ĉiu servo sur la maŝino. Mallarĝigu anstataŭe la elekteblan aron, poste konfirmu, kiu atestilo estis fakte proponita.

Pluraj atestiloj, unu proponita

Denaskaj Windows-VPN-profiloj kun aŭtentikigo per maŝina atestilo elmontras du filtrilojn, kiuj limigas la kandidatojn: eldoninton-filtrilon kaj filtrilon de etendita ŝlosiluzo. Ili malgrandigas la aron, el kiu la kliento povas elekti. Ili ne riparas maltaŭgan atestilon, kaj ili ne garantias, ke la servilo akceptos tion, kio restas. Tiu limo indas esti notita en la ŝanĝprotokolo, ĉar la sekva leganto supozos, ke la filtrilo decidis pli ol ĝi decidis.

La fiasko, kiun ili alparolas, estas mallarĝa kaj specifa. Valida atestilo de malĝusta aŭtoritato, aŭ unu eldonita por celo, kiun la enirejo ne akceptas, estas elektita antaŭ la intencita, kio produktas aŭtentikigan fiaskon apud sana konservejo. Du filtriloj turnas tion en aron sufiĉe malgrandan por pripensi, kaj la resto de ĉi tiu paĝo aplikas ilin laŭorde.

Ekzamenu la konservejon antaŭ ol redakti la profilon

Listigu la kandidatojn kaj iliajn ecojn en la konservejo, kiun la profilo fakte uzas. Nenio ĉi tie eksportas privatan ŝlosilon, kaj neniu atestilo devas lasi la maŝinon:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Legu la eligon por la ecoj, de kiuj dependas la decido: uzebla privata ŝlosilo, akceptebla valideca fenestro, la intencita eldoninto kaj la celoj en la etendaĵo. Atestilo povas samtempe ĉeesti, esti ĝuste registrita kaj esti senutila por ĉi tiu konekto. La fingrospura kolumno estas tiu, kun kiu vi poste komparos, do konservu la eligon.

Konfirmu la profilon kaj ĝian amplekson antaŭ ol redakti, ĉar maŝina atestilo en LocalMachine, uzanta atestilo EAP-TLS kaj propra privata ŝlosilkonservejo de aplikaĵo estas tri malsamaj kuntekstoj. Uzu la amplekson de ĉiuj uzantoj kaj administran kuntekston, kiam la administrata profilo loĝas tie. Krei duan profilon kun simila nomo kaŝas, kiun agordon la konekto fakte uzas.

La eldoninto-filtrilo volas objekton

La eldoninta parametro atendas atestilan objekton, ne vidigeblan nomon kaj ne nudan fingrospuran ĉenon. Provizu la atestilon de la aprobita aŭtoritato el vojo, kiun vi kontrolis, en la konservejo, al kiu ĝi apartenas:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ne anstataŭigu la propran finatestilon de la kliento, alian aŭtoritaton kun simila subjekto, nek ĵus generitan radikon nur ĉar la parametra tipo akceptas ĝin. Du aŭtoritatoj povas kunhavigi subjektan ĉenon, kaj tial la objekto gravas pli ol la teksto. La Microsoft-cmdlet-referenco dokumentas ambaŭ enigajn tipojn, kaj indas legi ĝin antaŭ la unua redakto, ne post la fiaskinta provo.

La uzfiltrilo volas OID-ĉenon

La parametro de etendita ŝlosiluzo akceptas OID-ĉenojn, kaj la celo de klienta aŭtentikigo estas 1.3.6.1.5.5.7.3.2. Ĝia aplikado limigas la kandidatojn al atestiloj portantaj tiun celon, kio estas ĝuste tio, kion volas surmeto kun klienta aŭtentikigo:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

La valoro estas tabelo, do surmeto, kiu bezonas plurajn celojn, transdonas ilin kiel liston. Kion la filtrilo ne povas, estas aldoni celon al atestilo: ĝi estas elekta esprimo taksata kontraŭ subskribitaj etendaĵoj, kaj neniu filtrilo reverkas tiujn, do atestilo mankanta la celon devas reiri tra registrado.

Tenu la EAP-agordon de uzantaj atestiloj aparte de la filtrado de maŝinaj atestiloj, ĉar ili loĝas en malsamaj lokoj kaj ŝanĝo en unu malofte klarigas fiaskon en la alia. Kontrolu ankaŭ, ĉu la domajno aŭ la aparatadministrado posedas la profilon, ĉar loka redakto povas esti anstataŭigita ĉe la sekva politika refreŝigo sen ke iu tuŝu la maŝinon.

Pruvu, kiun atestilon la kliento proponis

Starigu novan konekton kaj legu la aŭtentikigajn pruvojn de kliento kaj servilo por la identeco, kiun vi intencis. Kiam pli ol unu atestilo plenumas la filtrilojn, la rezulto estas pli malgranda aro anstataŭ fiksita finatestilo, do la sekva provo povas elekti alian membron. Notu la fingrospuron, kiu aperas en tiuj pruvoj, kaj komparu ĝin kun tiu, kiun vi registris el la konservejo.

Sukcesa komando ne estas sukcesa aŭtentikigo. La rezulto inda je registrado estas la intencita atestilo aŭtentikanta sub la administrata politiko, dum ĉiu nerilata atestilo restas disponebla por la servoj dependaj de ĝi. Se la fiasko postvivas ambaŭ filtrilojn, la ceteraj kandidatoj estas la sekva loko por rigardi, ne la tuta profilo.