SSTP و IKEv2 از کنترل‌های مختلف گواهی RRAS استفاده می‌کنند

اگر «گواهی VPN» را جایگزین کنید، ممکن است سرویس اشتباه را تغییر دهید. RRAS دست‌کم سه کنترل گواهی نگه می‌دارد که هر یک به پروتکل و نقش اتصال متفاوتی تعلق دارد. نام بردن پروتکل در ابتدا، حدس پرخطر را به یک تغییر پیوند واحد و برگشت‌پذیر تبدیل می‌کند. همهٔ موارد زیر به همان یک جمله بستگی دارد.

پروتکل را پیش از گواهی نام ببرید

شنوندهٔ SSTP گواهی TLS را به کارخواهی که مانند HTTPS رفتار می‌کند ارائه می‌دهد. اتصال ورودی IKEv2 سایت‌به‌سایت هویت سرور را اعلام می‌کند و گواهی‌های همتا را بر پایهٔ ریشهٔ مورد اعتماد اعتبارسنجی می‌کند. تعریف سایت‌به‌سایت برای هر واسط هویت ماشین خودش را دارد.

این‌ها سه کنترل با سه دامنه‌اند. اشتباه گرفتن آن‌ها تغییری می‌سازد که روی یک پروتکل کار می‌کند و روی دیگری هیچ اثری ندارد، و این بدتر از یک شکست آشکار است. پیش از دست زدن به هر چیزی بنویسید کدام پروتکل شکست خورد، کدام سمت گواهی را ارائه کرد و کدام سمت آن را رد کرد.

SSTP یک پیوند HTTPS است

در استقرارهای پشتیبانی‌شدهٔ Remote Access، Set-RemoteAccess پارامتر SslCertificate را در اختیار می‌گذارد که برای اتصال SSTP و برای نقش DirectAccess مرتبط با HTTPS استفاده می‌شود.

دامنهٔ اعتبارسنجی و استقرار آن از پیکربندی Remote Access پیروی می‌کند، بنابراین یک تغییر پیوند می‌تواند به بیش از یک اتصال یا گره برسد. در استقرار متعادل‌سازی بار این دامنه هر گره‌ای را شامل می‌شود که پیکربندی پوشش می‌دهد. تغییر یک گره و آزمودن یک کارخواه باعث می‌شود بقیه برگهٔ قدیمی را ارائه کنند، و این همان تغییر نیمه‌کاری است که از پنجرهٔ نگهداری جان سالم به در می‌برد.

پیش از به‌روزرسانی، نام سرویس مورد انتظار، زنجیره، اعتبار، کاربرد مورد نظر و دسترس‌پذیری کلید خصوصی را بررسی کنید. گواهی باید با نامی که کارخواه بررسی می‌کند بخواند، و برچسب واسط آن نام نیست.

IKEv2 ورودی پارامتر خودش را دارد

Set-VpnAuthProtocol احراز هویت ورودی IKEv2 سایت‌به‌سایت را پیکربندی می‌کند، و CertificateAdvertised هنگامی که حالت احراز هویت تونل از آن‌ها استفاده می‌کند گواهی فراهم می‌کند. این یک فرمان عمومی برای انتخاب هر گواهی سروری روی میزبان نیست.

دو شیء را جدا نگه دارید: برگه‌ای که سرور به‌عنوان هویت خودش ارائه می‌کند، و ریشه‌ای که برای پذیرش گواهی‌های همتا به کار می‌برد. انتخاب اینکه به کدام صادرکننده اعتماد کنید هیچ چیزی دربارهٔ اینکه سرور کدام برگه را ارائه می‌کند نمی‌گوید.

هویت یک واسط سایت‌به‌سایت جداگانه از طریق Set-VpnS2SInterface تعیین می‌شود. این به‌طور خودکار گواهی SSTP نیست، حتی وقتی هر دو در همان مخزن روی همان ماشین قرار دارند.

ابتدا نامزد را بررسی کنید

نمای متمرکز مخزن ماشین محلی فراداده‌های عمومی را بدون صدور چیزی خصوصی نشان می‌دهد:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

این فهرست نقطهٔ شروع است و نه آزمون مناسب بودن. ورودی‌های SAN، کاربردهای گستردهٔ کلید، زنجیره و دسترسی حساب سرویس به کلید خصوصی را برای پروتکلی که پیکربندی می‌کنید بررسی کنید.

گواهی‌ای که برای هویت کارخواه ابری نامرتبط نصب شده فقط به این دلیل که در همان مخزن دیده می‌شود مناسب نیست. دیدپذیری مناسب بودن نیست، و اثر انگشت در یک تصویر صفحه هیچ چیزی را دربارهٔ اینکه حساب سرویس می‌تواند کلید را بخواند ثابت نمی‌کند. آن دسترسی را صریحاً بررسی کنید، زیرا مجوز کلیدِ نبوده فقط هنگام راه‌اندازی مجدد سرویس و تلاش برای استفاده از گواهی آشکار می‌شود.

پیوند فعلی را ثبت کنید و پیش از تغییرش تأیید کنید که هنوز می‌توانید به شکل دیگری به میزبان برسید. مسیر بازیابی بخشی از تغییر است، نه بخشی از رخدادی که پس از آن می‌آید.

تمدید، فعال‌سازی نیست

صدور دوبارهٔ گواهی اقدامی متفاوت از انتخاب آن برای سرویس در حال اجراست. برگهٔ جدید می‌تواند هویت DNS مورد نظر را حفظ کند و در همان حال اثر انگشت دیگری داشته باشد، پس هیچ چیز تا به‌روزرسانی پیوند به آن اشاره نمی‌کند. تمدید شیء را تغییر می‌دهد؛ فعال‌سازی ارجاع به آن را تغییر می‌دهد. اشتباه گرفتن این دو دلیل آن است که گواهی درست تمدیدشده می‌تواند هفته‌ها بی‌استفاده بماند.

تغییر پشتیبانی‌شده را در پنجرهٔ مناسب، همراه با هر راه‌اندازی مجدد مستند، اعمال کنید و سپس گواهی را از اتصال تازه‌ای با پروتکل مورد نظر بررسی کنید. نشست کارخواه ذخیره‌شده در حافظهٔ نهان ممکن است هنوز برگهٔ قدیمی را نشان دهد و تغییر درست را خراب جلوه دهد.

گواهی پیشین را فقط پس از موفقیت آن بررسی از طریق فرایند عادی بازنشسته کنید. مرجع Set-RemoteAccess دامنهٔ پارامتر SSL، از جمله اثر آن در استقرارهای متعادل‌سازی بار را مستند می‌کند، و این همان بخشی است که پیش از تغییر پیوند ارزش خواندن دارد.