Kuidas tühistada üks Azure Point-to-Site'i kliendisertifikaat

Ühe Azure Point-to-Site'i kliendi tühistamine tähendab selle sõrmejälje lisamist lüüsi tühistatud loendisse. See ei tähenda usaldusjuure kustutamist. Juur on väljaandja igale kliendisertifikaadile, mille olete kunagi välja andnud, seega on selle eemaldamine teine toiming, mille mõju on palju suurem. Tühistamise ühik on siin üks sertifikaat.

Samm 1: Tehke kindlaks, millist sertifikaati silmas peate

Alustage sertifikaadi kirjest, mitte kuvatavast nimest. Azure näitab sõbralikku nime, mille te ise sisestasite, ja see silt ei pea ühtima subjektiga ega seadmega, millele sertifikaat väljastati.

Veel üks kontroll enne tühistamist: uurige, kui mitu seadet seda esitab. Kui mitu sülearvutit on loodud sama PFX-i koopiatest, lukustab sõrmejälje tühistamine need kõik välja ja Azure ei suuda eristada kadunud seadet sahtlis olevast varuseadmest.

Kliendi poolel Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter loetleb selle kasutaja jaoks installitud sertifikaadid ja Cert:\LocalMachine\My tasub samuti kontrollida, sest VPN-klient võib valida kummast tahes hoidlast. Võrrelge sõrmejälge oma registreerimisvaraga. Uuendatud sertifikaadil on teistsugune sõrmejälg ka siis, kui subjekt on identne.

Avaliku sertifikaadi sõrmejälje lugemiseks ei vaja te kliendi privaatvõtit ega parooliga kaitstud PFX-i. Iga protseduur, mis nõuab ühte neist, on kopeeritud teisest ülesandest.

Samm 2: Lisage see lüüsi tühistatud loendisse

Avage portaalis virtuaalvõrgu lüüs, seejärel Point-to-site'i konfiguratsioon ja seejärel tühistatud sertifikaatide jaotis. Lisage sõbralik nimi, mille tunnete ära kuue kuu pärast, ja kleepige sõrmejälg ühe pideva stringina ilma tühikuteta.

Enne salvestamist kontrollige, milline lüüs on valitud, sest mitme lüüsiga tellimus on täpselt see koht, kus see valesti läheb. Microsofti sertifikaadi konfiguratsiooni juhend märgib, et pärast värskenduse lõppemist ei saa sertifikaati enam ühenduse loomiseks kasutada.

Kinnitage seejärel salvestatud väärtus, selle asemel et usaldada portaali märguannet: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" näitab, mida lüüs tegelikult hoiab.

Samm 3: Kontrollige mõlemat suunda

Testige keeldumist tühistatud sertifikaadiga ja seejärel testige, et teine sama juure all olev sertifikaat endiselt autendib. Just selle teise testi jätavad inimesed vahele ja just see tabab juhuslikku juure eemaldamist või poliitika muutust, mida keegi ei maininud. Kasutage seadet, kus on näha, millist sertifikaati esitatakse. Mitut sertifikaati omav klient võib vaikselt kasutada töötavat ja jätta teie tühistamisest katki näiva mulje.

Märkige mõlemad tulemused piletisse. Tühistamine, mida on kontrollitud ainult keeldumise suunas, on poolenisti kontrollitud.

Samm 4: Juba avatud sessioonid

Dokumenteeritud tulemus puudutab uusi ühendusi. Ärge laiendage seda lubaduseks, et iga olemasolev tunnel katkeb hetkel, mil loend salvestatakse. Kui kohene eemaldamine on oluline, kasutage juhtelemente, mida teie juurutatud konfiguratsioon tegelikult pakub, ja kontrollige konkreetset sessiooni, selle asemel et oletada.

Testige seda autentimisest eraldi, sest need kaks ebaõnnestuvad eri kohtades ja jätavad erineva jälje.

Tagasipööramine ja möödasõidud, mida vältida

Tagasipööramine tähendab sõrmejälje eemaldamist tühistatud loendist ja sama värskenduse lõppemise ootamist. See on ohutu, kui tühistasite vale kirje, ja ohtlik, kui sertifikaat on tõesti kahjustatud, seega otsustage esmalt, millises olukorras olete. Usaldusjuure kustutamine ei ole ühe kadunud sülearvuti möödasõit. Kohaliku VPN-profiili kustutamine ühes masinas ei muuda seda, mida ükski lüüs aktsepteerib.

Kui identiteet autendib end ka teises lüüsis, vajavad mõlemad sama käsitlust. Tühistatud loend kuulub lüüsile, mitte tellimusele.