Millist masinasertifikaati Windowsi VPN pakub?

Sertifikaadid on paigaldatud, privaatvõtmed on olemas ja tunnel ei läbi ikkagi autentimist. Masin, millel on mitu sertifikaati, võib VPN-ile pakkuda kandidaadi, mida keegi ei kavatsenud, ja kliendil pole võimalust teada, millise lüüs vastu võtaks. Teiste kustutamine on valikupoliitika, millel on tagajärjed masina igale teenusele. Kitsendage selle asemel lubatud hulka ja kinnitage seejärel, milline sertifikaat tegelikult pakuti.

Mitu sertifikaati, üks pakutud

Windowsi natiivsed VPN-profiilid masinasertifikaadi autentimisega pakuvad kahte filtrit, mis piiravad kandidaate: väljaandja filter ja laiendatud võtmekasutuse filter. Need vähendavad hulka, mille seast klient saab valida. Need ei paranda sobimatut sertifikaati ega taga, et server võtab vastu selle, mis järele jääb. See piir tasub muudatuste logisse kirjutada, sest järgmine lugeja eeldab, et filter otsustas rohkem, kui ta tegelikult otsustas.

Tõrge, mida need lahendavad, on kitsas ja konkreetne. Vale asutuse väljastatud kehtiv sertifikaat või selline, mis on välja antud eesmärgil, mida lüüs ei aktsepteeri, valitakse kavandatu ees, mis tekitab autentimistõrke terve hoidla kõrval. Kaks filtrit muudavad selle hulgaks, mis on piisavalt väike, et selle üle arutleda, ja ülejäänud see leht rakendab neid järjekorras.

Kontrollige hoidlat enne profiili muutmist

Loetlege kandidaadid ja nende atribuudid hoidlas, mida profiil tegelikult kasutab. Miski siin ei ekspordi privaatvõtit ja ükski sertifikaat ei pea masinast lahkuma:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Lugege väljundit nende atribuutide jaoks, millest otsus sõltub: kasutatav privaatvõti, vastuvõetav kehtivusaken, kavandatud väljaandja ja laienduses olevad eesmärgid. Sertifikaat võib olla korraga olemas, õigesti registreeritud ja selle ühenduse jaoks kasutu. Sõrmejälje veerg on see, millega te hiljem võrdlete, seega hoidke väljund alles.

Kinnitage profiil ja selle ulatus enne muutmist, sest masinasertifikaat asukohas LocalMachine, kasutaja EAP-TLS sertifikaat ja rakenduse oma privaatvõtmete hoidla on kolm erinevat konteksti. Kasutage kõigi kasutajate ulatust ja administratiivset konteksti, kui hallatav profiil asub seal. Teise sarnase nimega profiili loomine varjab, millist konfiguratsiooni ühendus tegelikult kasutab.

Väljaandja filter tahab objekti

Väljaandja parameeter ootab sertifikaadiobjekti, mitte kuvatavat nime ja mitte paljast sõrmejälje stringi. Esitage kinnitatud asutuse sertifikaat teest, mille olete üle vaadanud, hoidlasse, kuhu see kuulub:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ärge asendage kliendi enda lehtsertifikaati, sarnase subjektiga teist asutust ega värskelt loodud juurt ainult seetõttu, et parameetri tüüp seda aktsepteerib. Kaks asutust võivad jagada sama subjekti stringi, ja seetõttu loeb objekt rohkem kui tekst. Microsofti cmdlet-viide dokumenteerib mõlemad sisendtüübid ja seda tasub lugeda enne esimest muudatust, mitte pärast ebaõnnestunud katset.

Kasutusfilter tahab OID-stringi

Laiendatud võtmekasutuse parameeter võtab OID-stringe ja kliendi autentimise eesmärk on 1.3.6.1.5.5.7.3.2. Selle rakendamine piirab kandidaadid sertifikaatidega, mis kannavad seda eesmärki, mis on täpselt see, mida kliendi autentimisega juurutus tahab:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Väärtus on massiiv, seega juurutus, mis vajab mitut eesmärki, edastab need loendina. Mida filter teha ei saa, on lisada sertifikaadile eesmärki: see on valikuavaldis, mida hinnatakse allkirjastatud laienduste vastu, ja ükski filter ei kirjuta neid ümber, seega sertifikaat, millel eesmärk puudub, peab uuesti registreerimise läbima.

Hoidke kasutajasertifikaatide EAP-konfiguratsioon masinasertifikaatide filtreerimisest eraldi, sest need asuvad eri kohtades ja muudatus ühes harva selgitab tõrget teises. Kontrollige ka, kas profiil kuulub domeenile või seadmehaldusele, sest kohaliku muudatuse võib järgmisel poliitika värskendusel asendada, ilma et keegi masinat puudutaks.

Tõestage, millise sertifikaadi klient pakkus

Looge uus ühendus ja lugege kliendi ja serveri autentimise tõendeid kavandatud identiteedi kohta. Kui filtreid rahuldab rohkem kui üks sertifikaat, on tulemuseks väiksem hulk, mitte kinnitatud leht, seega võib järgmine katse valida teise liikme. Märkige üles sõrmejälg, mis neis tõendites ilmub, ja võrrelge seda sellega, mille hoidlast kirjutasite.

Õnnestunud käsk ei ole õnnestunud autentimine. Tulemus, mida tasub kirja panna, on see, et kavandatud sertifikaat autentib hallatava poliitika all, samal ajal kui iga seostamatu sertifikaat jääb kättesaadavaks teenustele, mis sellest sõltuvad. Kui tõrge elab üle mõlemad filtrid, tuleb järgmisena vaadata ülejäänud kandidaate, mitte kogu profiili.