SSTP eta IKEv2-k RRAS ziurtagiri-kontrol desberdinak erabiltzen dituzte

«VPN ziurtagiria» ordezkatzen baduzu, baliteke zerbitzu okerra aldatzea. RRASek gutxienez hiru ziurtagiri-kontrol gordetzen ditu, eta bakoitza protokolo eta konexio-rol ezberdin bati dagokio. Protokoloa lehenengo izendatzeak ziurgabetasun arriskutsua atzera buelta daitekeen lotura-aldaketa bakarra bihurtzen du. Beheko guztia esaldi horren mende dago.

Izenda ezazu protokoloa ziurtagiria baino lehen

SSTP entzuleak HTTPS bezala jokatzen duen bezeroari TLS ziurtagiria aurkezten dio. Sarrerako gunez guneko IKEv2 konexioak zerbitzariaren identitatea iragartzen du eta pareen ziurtagiriak erro fidagarri baten aurka balioztatzen ditu. Interfaze bakoitzeko gunez guneko definizioak bere makina-identitatea darama.

Hiru kontrol dira, hiru esparrurekin. Hauek nahasteak protokolo batean funtzionatzen duela dirudien eta bestean eraginkortasunik ez duen aldaketa eragiten du, eta hori huts egite argia baino okerragoa da. Idatzi zein protokolo huts egin zuen, zein aldek aurkeztu zuen ziurtagiria eta zein aldek ukatu zuen ezer ukitu aurretik.

SSTP HTTPS lotura da

Onartutako Remote Access inplementazioetan, Set-RemoteAccess SSTP konektibitaterako eta HTTPSrekin lotutako DirectAccess rolerako erabiltzen den SslCertificate parametroa erakusten du.

Bere balioztatze- eta inplementazio-esparrua Remote Access konfigurazioari jarraitzen dio, beraz lotura-aldaketa batek konexio edo nodo bat baino gehiago har ditzake. Karga orekatuko inplementazio batean esparru horrek konfigurazioak estaltzen duen nodo bakoitza barne hartzen du. Nodo bat aldatzeak eta bezero bat probatzeak gainerakoek hostoa zaharra aurkezten jarraitzea uzten du, eta hori mantentze-leiho bat gainditzen duen erdi-aldaketa da.

Eguneratu aurretik, egiaztatu espero den zerbitzu-izena, katea, baliozkotasuna, aurreikusitako erabilera eta gako pribatuaren erabilgarritasuna. Ziurtagiriak bezeroak egiaztatuko duen izenarekin bat etorri behar du, eta egokitzailearen etiketa ez da izen hori.

Sarrerako IKEv2-k bere parametroa du

Set-VpnAuthProtocol sarrerako gunez guneko IKEv2 autentifikazioa konfiguratzen du, eta CertificateAdvertised ziurtagiri bat ematen du tuneleko autentifikazio-moduak horiek erabiltzen dituenean. Hau ez da hostean edozein zerbitzari-ziurtagiri hautatzeko komando orokorra.

Eutsi bereizita bi objektu: zerbitzariak bere identitate gisa aurkezten duen hostoa, eta pareen ziurtagiriak onartzeko erabiltzen duen erroa. Zein emititzaileri fidatzen zaren hautatzeak ez du ezer esaten zerbitzariak zein hosto aurkezten duen buruz.

Gunez guneko interfaze indibidual baten identitatea Set-VpnS2SInterface bidez ezartzen da. Ez da automatikoki SSTP ziurtagiria, biak makina bereko biltegi berean daudenean ere.

Aztertu hautagaia lehenengo

Makina lokalaren biltegirako ikuspegi fokatu batek metadatu publikoak erakusten ditu ezer pribaturik esportatu gabe:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Zerrenda hori abiapuntua da, ez egokitasun-proba. Aztertu SAN sarrerak, gakoaren erabilera hedatua, katea eta zerbitzu-kontuaren sarbidea gako pribatura konfiguratzen ari zaren protokolorako.

Erlaziorik gabeko hodeiko bezero-identitate baterako instalatutako ziurtagiria ez da egokia biltegi berean agertzen delako soilik. Ikusgaitasuna ez da egokitasuna, eta pantaila-argazki bateko hatz-markak ez du ezer frogatzen zerbitzu-kontuak gakoa irakur dezakeen ala ez. Egiaztatu sarbide hori modu esplizituan, gakoaren baimena falta bada zerbitzua berrabiarazten denean eta ziurtagiria erabiltzen saiatzen denean soilik agertzen baita.

Erregistratu uneko lotura eta berretsi hostoa beste modu batera iristen jarraitzen duzula aldatu aurretik. Berreskuratze-bidea aldaketaren parte da, ez ondorengo gertakariarena.

Berritzea ez da aktibatzea

Ziurtagiri bat berriro igortzea unean martxan dagoen zerbitzurako hautatzea baino ekintza desberdina da. Hosto berriak aurreikusitako DNS identitatea gorde dezake eta hala ere hatz-marka desberdina izan, beraz ezer ez da hartara zuzentzen lotura eguneratu arte. Berritzeak objektua aldatzen du; aktibatzeak hari buruzko erreferentzia aldatzen du. Biak nahastea da zuzen berritutako ziurtagiri bat asteetan erabili gabe egon daitekeen arrazoia.

Aplikatu onartutako aldaketa leiho egoki batean, dokumentatutako berrabiaraztea barne, eta gero aztertu ziurtagiria aurreikusitako protokoloaren konexio berri batetik. Cachean dagoen bezero-saioak hosto zaharra erakusten jarrai dezake eta aldaketa zuzena hautsita bezala ikusarazi.

Erretiratu aurreko ziurtagiria ohiko prozesuaren bidez egiaztapen hori gainditu ondoren soilik. Set-RemoteAccess erreferentzia SSL parametroaren esparrua dokumentatzen du, karga orekatuko inplementazioetan duen eragina barne, eta hori da lotura-aldaketa baten aurretik irakurtzea merezi duen zatia.