چگونه یک گواهی مشتری Azure Point-to-Site را باطل کنیم
انگشت‌نگاری یک مشتری را به فهرست باطل‌شده دروازه اضافه کنید، نه اینکه ریشه را حذف کنید. سپس مشتری ردشده و یک همتای سالم را با دو آزمون اثبات کنید.
باطل کردن یک مشتری Azure Point-to-Site یعنی افزودن انگشت‌نگاری آن به فهرست باطل‌شده دروازه. این به معنای حذف ریشه مورد اعتماد نیست. ریشه، مرجع صادرکننده هر گواهی مشتری است که تاکنون صادر کرده‌اید، بنابراین حذف آن عملیاتی متفاوت با دامنه اثر بسیار بزرگ‌تر است. واحد باطل‌سازی در اینجا یک گواهی واحد است.
گام 1: گواهی مورد نظر را مشخص کنید
از رکورد گواهی شروع کنید، نه از نام نمایشی. Azure نامی دوستانه را نشان می‌دهد که خودتان تایپ کرده‌اید، و آن برچسب لازم نیست با موضوع یا دستگاهی که گواهی برایش صادر شده مطابقت داشته باشد.
یک بررسی دیگر پیش از باطل کردن: بفهمید چند دستگاه آن را ارائه می‌کنند. اگر چند لپ‌تاپ از نسخه‌های همان PFX ساخته شده باشند، باطل کردن انگشت‌نگاری همه آن‌ها را قفل می‌کند و Azure راهی ندارد که دستگاه گم‌شده را از یدکی داخل کشو تشخیص دهد.
در سمت مشتری، Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter آنچه برای آن کاربر نصب شده را فهرست می‌کند، و Cert:\LocalMachine\My هم ارزش بررسی دارد زیرا مشتری VPN ممکن است از هر یک از دو مخزن انتخاب کند. انگشت‌نگاری را با فهرست ثبت‌نام خود مقایسه کنید. گواهی تمدیدشده حتی وقتی موضوع یکسان است انگشت‌نگاری متفاوتی دارد.
برای خواندن انگشت‌نگاری یک گواهی عمومی به کلید خصوصی مشتری یا PFX محافظت‌شده با گذرواژه نیاز ندارید. هر رویه‌ای که یکی از این‌ها را بخواهد از کار دیگری کپی شده است.
گام 2: آن را به فهرست باطل‌شده دروازه اضافه کنید
در پرتال، دروازه شبکه مجازی را باز کنید، سپس پیکربندی Point-to-site و سپس بخش گواهی‌های باطل‌شده. نامی دوستانه که شش ماه بعد بشناسید اضافه کنید و انگشت‌نگاری را به‌صورت یک رشته پیوسته و بدون فاصله بچسبانید.
پیش از ذخیره بررسی کنید کدام دروازه انتخاب شده است، زیرا اشتراکی با چند دروازه دقیقاً جایی است که این کار اشتباه می‌شود. راهنمای پیکربندی گواهی مایکروسافت می‌گوید پس از تکمیل به‌روزرسانی، دیگر نمی‌توان از گواهی برای اتصال استفاده کرد.
بعداً مقدار ذخیره‌شده را تأیید کنید، نه اینکه به اعلان پرتال اعتماد کنید: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" نشان می‌دهد دروازه واقعاً چه چیزی نگه می‌دارد.
گام 3: هر دو جهت را بررسی کنید
رد شدن را با گواهی باطل‌شده آزمون کنید، سپس آزمون کنید که گواهی دیگری زیر همان ریشه هنوز احراز هویت می‌شود. همان آزمون دوم است که مردم از آن می‌گذرند و همان است که حذف تصادفی ریشه یا تغییر سیاستی را که کسی نگفته است می‌گیرد. از دستگاهی استفاده کنید که در آن ببینید کدام گواهی ارائه می‌شود. مشتری‌ای که چند گواهی دارد ممکن است بی‌صدا از یک گواهی کارآمد استفاده کند و باطل‌سازی شما را خراب نشان دهد.
هر دو نتیجه را در تیکت ثبت کنید. باطل‌سازی‌ای که فقط در جهت رد شدن بررسی شده باشد، نیمه‌بررسی‌شده است.
گام 4: نشست‌هایی که از قبل برقرارند
نتیجه مستند درباره اتصال‌های جدید است. آن را به این وعده گسترش ندهید که هر تونل موجود همان ثانیه‌ای که فهرست ذخیره می‌شود قطع می‌شود. اگر حذف فوری مهم است، از کنترل‌هایی استفاده کنید که پیکربندی مستقر شما واقعاً ارائه می‌دهد و به‌جای فرض کردن، نشست مشخص را بررسی کنید.
این را جدا از احراز هویت آزمون کنید، زیرا این دو در جاهای متفاوت شکست می‌خورند و شواهد متفاوتی بر جای می‌گذارند.
بازگردانی و میان‌برهایی که باید از آن‌ها دوری کرد
بازگردانی یعنی برداشتن انگشت‌نگاری از فهرست باطل‌شده و انتظار برای پایان همان به‌روزرسانی. وقتی ورودی اشتباه را باطل کرده‌اید این کار ایمن است و وقتی گواهی واقعاً به‌خطر افتاده خطرناک است، پس نخست تصمیم بگیرید در کدام حالت هستید. حذف ریشه مورد اعتماد میان‌بری برای یک لپ‌تاپ گم‌شده نیست. حذف یک پروفایل VPN محلی روی یک ماشین تغییری در آنچه هر دروازه می‌پذیرد ایجاد نمی‌کند.
اگر این هویت در دروازه دومی هم احراز هویت می‌شود، هر دو به یک برخورد نیاز دارند. فهرست باطل‌شده به دروازه تعلق دارد، نه به اشتراک.