Zein makinaren ziurtagiria eskaintzen du Windows-eko VPNak?

Ziurtagiriak instalatuta daude, gako pribatuak badaude, eta tunelean oraindik autentifikazioak huts egiten du. Ziurtagiri batzuk dituen makinak VPNari inork nahi ez zuen hautagai bat eman diezaioke, eta bezeroak ez du modurik jakiteko zein onartuko lukeen atebideak. Besteak ezabatzea aukeraketa-politika bat da, makinako zerbitzu bakoitzerako ondorioak dituena. Murriztu onargarria den multzoa eta gero egiaztatu ze ziurtagiri eskaini zen benetan.

Hainbat ziurtagiri, bat eskainia

Windows-eko VPN profil natiboei esker, makinaren ziurtagiriaren autentifikazioarekin, hautagaiak mugatzen dituzten bi iragazki daude: igorlearen iragazkia eta gakoaren erabilera hedatuko iragazkia. Bezeroak aukera dezakeen multzoa txikitzen dute. Ziurtagiri desegokirik ez dute konpontzen, eta ez dute bermatzen zerbitzariak gainerakoa onartuko duenik. Muga hori aldaketen erregistroan idaztea merezi du, hurrengo irakurleak iragazkiak uste baino gehiago erabaki zuela pentsatuko baitu.

Konpontzen duten hutsegitea estu eta zehatza da. Autoritate okerreko ziurtagiri baliozkoa, edo atebideak onartzen ez duen helburu baterako emandakoa, nahi dena baino lehenago hautatzen da, eta horrek autentifikazio-hutsegitea sortzen du biltegi osasuntsu baten ondoan. Bi iragazkik arrazoitzeko bezain multzo txiki bihurtzen dute hori, eta orrialde honen gainerakoak ordenan aplikatzen ditu.

Aztertu biltegia profila editatu aurretik

Zerrendatu hautagaiak eta haien propietateak profileak benetan erabiltzen duen biltegian. Ezerk ez du gako pribaturik esportatzen hemen, eta ziurtagiririk ez du makinatik atera behar:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Irakurri irteera erabakiak mendeko dituen propietateetarako: erabil daitekeen gako pribatu bat, onargarria den baliozkotasun-leiho bat, aurreikusitako igorlea eta luzapenean dauden helburuak. Ziurtagiri bat aldi berean egon daiteke, behar bezala inskribatuta eta konexio honetarako erabilgaitza. Hatz-markaren zutabea da geroago alderatuko duzuna, beraz gorde irteera.

Egiaztatu profila eta haren irismena editatu aurretik, makinaren ziurtagiri bat LocalMachine-en kokatuta, erabiltzaile baten EAP-TLS ziurtagiria eta aplikazio baten gako pribatuen biltegia hiru testuinguru desberdinak dira. Erabili erabiltzaile guztien irismena eta testuinguru administratiboa kudeatutako profila han bizi denean. Antzeko izena duen bigarren profil bat sortzeak konexioak benetan zein konfigurazio erabiltzen duen ezkutatzen du.

Igorlearen iragazkiak objektu bat nahi du

Igorlearen parametroak ziurtagiri-objektu bat espero du, ez bistaratze-izena eta ez hatz-markaren kate soila. Eman baimendutako autoritatearen ziurtagiria berrikusi duzun bide batetik, dagokion biltegian:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ez ordeztu bezeroaren beraren hosto-ziurtagiria, antzeko subjektua duen beste autoritate bat edo sortu berri den erro bat parametroaren motak onartzen duelako soilik. Bi autoritatek subjektu-kate bera parteka dezakete, eta horregatik objektuak testuak baino gehiago balio du. Microsoften cmdlet erreferentzia dokumentuak bi sarrera-motak jasotzen ditu, eta merezi du lehen edizioa baino lehen irakurtzea, huts egindako saiakeraren ondoren baino.

Erabilera-iragazkiak OID kate bat nahi du

Gakoaren erabilera hedatuko parametroak OID kateak hartzen ditu, eta bezeroaren autentifikazioaren helburua hau da: 1.3.6.1.5.5.7.3.2. Hori aplikatzeak hautagaiak helburu hori daramaten ziurtagirietara mugatzen ditu, eta hori da bezeroaren autentifikazioko hedapen batek nahi duena:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Balioa array bat da, beraz hainbat helburu behar dituen hedapenak zerrenda gisa pasatzen ditu. Iragazkiak ezin duena ziurtagiri bati helburu bat gehitzea da: sinatutako luzapenen aurka ebaluatzen den hautaketa-espresio bat da, eta inolako iragazkik ez ditu horiek berridazten, beraz helburua falta zaion ziurtagiriak inskripzioa berriro pasa behar du.

Erabiltzaile-ziurtagirien EAP konfigurazioa makinaren ziurtagirien iragazketatik bereizita eduki, leku desberdinetan bizi baitira eta bateko aldaketak gutxitan azaltzen baitu besteko hutsegitea. Egiaztatu, halaber, domeinuak edo gailuen kudeaketak profilea ote duen, tokiko edizio bat hurrengo politika-eguneratzean ordezkatu baitaiteke inork makina ukitu gabe.

Froga ezazu ze ziurtagiri eskaini zuen bezeroak

Ezarri konexio berri bat eta irakurri bezeroaren eta zerbitzariaren autentifikazio-ebidentziak aurreikusi duzun identitatearentzat. Ziurtagiri batek baino gehiagok iragazkiak betetzen dituztenean, emaitza multzo txikiagoa da, eta ez hosto finkatua, beraz hurrengo saiakerak beste kide bat aukera dezake. Idatzi ebidentzia horietan agertzen den hatz-marka eta alderatu biltegian erregistratu zenuenarekin.

Komando arrakastatsu bat ez da autentifikazio arrakastatsu bat. Erregistratzea merezi duen emaitza da aurreikusitako ziurtagiria kudeatutako politikan autentifikatzen ari dela, loturarik ez duen ziurtagiri bakoitza harekin mendeko diren zerbitzuetarako eskuragarri jarraitzen duen bitartean. Hutsegiteak bi iragazkiak gainditzen baditu, hurrengo begiratzeko lekua gainerako hautagaiak dira, ez profila osoa.