Cómo revocar un certificado de cliente Azure Point-to-Site

Revocar un cliente Azure Point-to-Site significa añadir su huella a la lista de revocados de la puerta de enlace. No significa eliminar la raíz de confianza. La raíz es la autoridad emisora de todos los certificados de cliente que haya entregado, así que eliminarla es otra operación con un alcance mucho mayor. La unidad de revocación aquí es un solo certificado.

Paso 1: Fije el certificado al que se refiere

Empiece por el registro del certificado, no por un nombre para mostrar. Azure muestra un nombre descriptivo que usted mismo escribió, y esa etiqueta no tiene por qué coincidir con el sujeto ni con el dispositivo al que se emitió.

Una comprobación más antes de revocar: averigüe cuántos dispositivos lo presentan. Si varios portátiles se crearon a partir de copias del mismo PFX, revocar la huella los bloquea a todos, y Azure no tiene forma de distinguir el perdido del de repuesto en el cajón.

En el cliente, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter enumera lo instalado para ese usuario, y Cert:\LocalMachine\My también merece una comprobación porque el cliente VPN puede elegir de cualquiera de los dos almacenes. Compare la huella con su inventario de inscripción. Un certificado renovado tiene una huella distinta aunque el sujeto sea idéntico.

No necesita la clave privada del cliente ni un PFX protegido con contraseña para leer la huella de un certificado público. Cualquier procedimiento que exija uno de los dos se copió de otra tarea.

Paso 2: Añádalo a la lista de revocados de la puerta de enlace

En el portal, abra la puerta de enlace de red virtual, luego la configuración Point-to-site y luego la sección de certificados revocados. Añada un nombre descriptivo que reconozca dentro de seis meses y pegue la huella como una sola cadena continua sin los espacios.

Compruebe qué puerta de enlace está seleccionada antes de guardar, porque una suscripción con varias puertas de enlace es exactamente donde esto sale mal. La guía de configuración de certificados de Microsoft indica que, una vez completada la actualización, el certificado ya no puede usarse para conectarse.

Confirme después el valor almacenado en lugar de fiarse del aviso del portal: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" muestra lo que la puerta de enlace guarda realmente.

Paso 3: Verifique ambas direcciones

Pruebe la denegación con el certificado revocado y luego pruebe que otro certificado bajo la misma raíz sigue autenticándose. Esa segunda prueba es la que la gente se salta, y es la que detecta una eliminación accidental de la raíz o un cambio de directiva que nadie mencionó. Use un dispositivo donde pueda ver qué certificado se presenta. Un cliente con varios certificados puede usar en silencio uno que funciona y hacer que su revocación parezca rota.

Registre ambos resultados en el ticket. Una revocación verificada solo en la dirección de denegación está medio verificada.

Paso 4: Sesiones que ya están activas

El resultado documentado se refiere a conexiones nuevas. No lo convierta en la promesa de que cada túnel existente caerá en el segundo en que se guarde la lista. Si la eliminación inmediata importa, use los controles que su configuración desplegada ofrece realmente y compruebe la sesión concreta en lugar de suponer.

Pruébelo por separado de la autenticación, porque ambas fallan en lugares distintos y dejan pruebas distintas.

Reversión y los atajos que conviene evitar

Revertir significa quitar la huella de la lista de revocados y esperar a que termine la misma actualización. Eso es seguro cuando revocó la entrada equivocada y peligroso cuando el certificado está realmente comprometido, así que decida primero en qué caso está. Eliminar la raíz de confianza no es un atajo para un portátil perdido. Eliminar un perfil de VPN local en una máquina no cambia lo que acepta ninguna puerta de enlace.

Si la identidad también se autentica en una segunda puerta de enlace, ambas necesitan el mismo tratamiento. La lista de revocados pertenece a una puerta de enlace, no a la suscripción.