SSTP ja IKEv2 kasutavad erinevaid RRAS-i sertifikaadikontrolle

Kui asendate „VPN-sertifikaadi“, võite muuta vale teenust. RRAS hoiab vähemalt kolme sertifikaadikontrolli ja igaüks neist kuulub erineva protokolli ja erineva ühendusrolli juurde. Kui nimetate esmalt protokolli, muutub riskantne oletus üheks pöörduvaks sidumismuudatuseks. Kõik allpool sõltub sellest ühest lausest.

Nimetage protokoll enne sertifikaati

SSTP-kuulaja esitab TLS-sertifikaadi kliendile, mis käitub nagu HTTPS. Sissetulev saidi-saiti IKEv2 ühendus teatab serveri identiteedi ja valideerib partnerite sertifikaadid usaldusväärse juure vastu. Liidesepõhine saidi-saiti määratlus kannab oma masinaidentiteeti.

Need on kolm kontrolli kolme ulatusega. Nende segamine annab muudatuse, mis näib töötavat ühes protokollis ja ei mõjuta teist, mis on hullem kui ilmne tõrge. Enne millegi puudutamist kirjutage üles, milline protokoll ebaõnnestus, milline pool sertifikaadi esitas ja milline pool selle tagasi lükkas.

SSTP on HTTPS-i sidumine

Toetatud Remote Access-i juurutustes pakub Set-RemoteAccess parameetrit SslCertificate, mida kasutatakse SSTP-ühenduvuseks ja HTTPS-iga seotud DirectAccess-rolli jaoks.

Selle valideerimis- ja juurutusulatus järgib Remote Access-i konfiguratsiooni, seega võib üks sidumismuudatus jõuda rohkem kui ühe ühenduse või sõlmeni. Koormuse tasakaalustamisega juurutuses hõlmab see ulatus iga sõlme, mida konfiguratsioon katab. Ühe sõlme muutmine ja ühe kliendi testimine jätab ülejäänud vana lehtsertifikaati esitama, ja see on just see poolik muudatus, mis elab üle hooldusakna.

Enne värskendust kontrollige eeldatavat teenuse nime, ahelat, kehtivust, kavandatud kasutust ja privaatvõtme kättesaadavust. Sertifikaat peab vastama nimele, mida klient kontrollib, ja adapteri silt ei ole see nimi.

Sissetuleval IKEv2-l on oma parameeter

Set-VpnAuthProtocol konfigureerib sissetuleva saidi-saiti IKEv2 autentimise ja CertificateAdvertised pakub sertifikaati, kui tunneli autentimisrežiim neid kasutab. See ei ole üldine käsk valida hostis ükskõik millist serverisertifikaati.

Hoidke kahte objekti lahus: lehtsertifikaat, mida server esitab oma identiteedina, ja juur, mida ta kasutab partnerite sertifikaatide vastuvõtmiseks. Valik, millist väljaandjat usaldada, ei ütle midagi selle kohta, millist lehtsertifikaati server esitab.

Üksiku saidi-saiti liidese identiteet määratakse Set-VpnS2SInterface kaudu. See ei ole automaatselt SSTP sertifikaat, isegi kui mõlemad asuvad samas hoidlas samas masinas.

Uurige esmalt kandidaati

Kohaliku masina hoidla sihitud vaade näitab avalikke metaandmeid ilma midagi privaatset eksportimata:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

See loend on lähtepunkt, mitte sobivuse test. Uurige SAN-kirjeid, laiendatud võtmekasutusi, ahelat ja teenusekonto juurdepääsu privaatvõtmele protokolli jaoks, mida konfigureerite.

Sertifikaat, mis on installitud mitteseotud pilvekliendi identiteedile, ei sobi ainult sellepärast, et see ilmub samasse hoidlasse. Nähtavus ei ole sobivus, ja ekraanipildil olev sõrmejälg ei tõesta midagi selle kohta, kas teenusekonto saab võtit lugeda. Kontrollige seda juurdepääsu selgesõnaliselt, sest puuduv võtmeluba ilmneb alles siis, kui teenus taaskäivitub ja proovib sertifikaati kasutada.

Registreerige praegune sidumine ja kinnitage, et pääsete hostile endiselt muul viisil, enne kui seda muudate. Taastamistee kuulub muudatuse juurde, mitte järgneva juhtumi juurde.

Uuendamine ei ole aktiveerimine

Sertifikaadi uuesti väljaandmine on teine toiming kui selle valimine töötava teenuse jaoks. Uus lehtsertifikaat võib säilitada kavandatud DNS-identiteedi ja kanda siiski teistsugust sõrmejälge, nii et miski ei osuta sellele enne, kui sidumine on värskendatud. Uuendamine muudab objekti; aktiveerimine muudab viidet sellele. Nende kahe segamine on põhjus, miks korrektselt uuendatud sertifikaat võib nädalaid kasutuna seista.

Rakendage toetatud muudatus sobivas aknas, sealhulgas mis tahes dokumenteeritud taaskäivitus, ja uurige seejärel sertifikaati kavandatud protokolli uuest ühendusest. Vahemällu salvestatud kliendiseanss võib endiselt näidata vana lehtsertifikaati ja jätta korrektse muudatuse katkise mulje.

Võtke eelmine sertifikaat kasutusest tavapärase protsessi kaudu alles pärast selle kontrolli läbimist. Set-RemoteAccess viide dokumenteerib SSL-parameetri ulatuse, sealhulgas selle mõju koormuse tasakaalustamisega juurutustes, ja see on osa, mida tasub enne sidumismuudatust lugeda.