Yhden Azure Point-to-Site -asiakasvarmenneen peruuttaminen

Yhden Azure Point-to-Site -asiakkaan peruuttaminen tarkoittaa sen sormenjäljen lisäämistä yhdyskäytävän peruutettujen luetteloon. Se ei tarkoita luotetun juuren poistamista. Juuri on myöntäjä jokaiselle koskaan antamallesi asiakasvarmenteelle, joten sen poistaminen on toinen toimenpide, jonka vaikutus on paljon laajempi. Peruuttamisen yksikkö on tässä yksi varmenne.

Vaihe 1: Täsmennä, mitä varmennetta tarkoitat

Aloita varmenteen tietueesta, älä näytetystä nimestä. Azure näyttää itse kirjoittamasi ystävällisen nimen, eikä sen tunnisteen tarvitse vastata kohdetta tai laitetta, jolle varmenne myönnettiin.

Vielä yksi tarkistus ennen peruuttamista: selvitä, kuinka moni laite esittää sen. Jos useita kannettavia on rakennettu saman PFX-tiedoston kopioista, sormenjäljen peruuttaminen lukitsee ne kaikki, eikä Azure pysty erottamaan kadonnutta laatikossa olevasta varalaiteesta.

Asiakkaassa Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter luettelee, mitä kyseiselle käyttäjälle on asennettu, ja Cert:\LocalMachine\My kannattaa myös tarkistaa, koska VPN-asiakas voi valita kummasta tahansa varastosta. Vertaa sormenjälkeä rekisteröintiluetteloosi. Uusitulla varmenteella on eri sormenjälki, vaikka kohde olisi sama.

Et tarvitse asiakkaan yksityistä avainta etkä salasanalla suojattua PFX-tiedostoa julkisen varmenteen sormenjäljen lukemiseen. Jokainen menettely, joka vaatii toisen niistä, on kopioitu toisesta tehtävästä.

Vaihe 2: Lisää se yhdyskäytävän peruutettujen luetteloon

Avaa portaalissa virtuaaliverkon yhdyskäytävä, sitten Point-to-site-määritys ja sitten peruutettujen varmenteiden osio. Lisää ystävällinen nimi, jonka tunnistat kuuden kuukauden kuluttua, ja liitä sormenjälki yhtenä jatkuvana merkkijonona ilman välilyöntejä.

Tarkista ennen tallentamista, mikä yhdyskäytävä on valittuna, sillä tilaus, jossa on useita yhdyskäytäviä, on juuri se paikka, jossa tämä menee pieleen. Microsoftin varmenteen määritysoppaan mukaan varmenteella ei voi enää muodostaa yhteyttä, kun päivitys on valmis.

Vahvista tallennettu arvo jälkikäteen sen sijaan, että luottaisit portaalin ilmoitukseen: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" näyttää, mitä yhdyskäytävä todella sisältää.

Vaihe 3: Tarkista molemmat suunnat

Testaa hylkäys peruutetulla varmenteella ja testaa sitten, että toinen saman juuren varmenne todentuu edelleen. Juuri sen toisen testin ihmiset jättävät väliin, ja juuri se nappaa vahingossa tapahtuneen juuren poiston tai kenenkään mainitsemattoman käytäntömuutoksen. Käytä laitetta, jossa näet, mikä varmenne esitetään. Asiakas, jolla on useita varmenteita, voi hiljaa käyttää toimivaa ja saada peruutuksesi näyttämään rikkinäiseltä.

Kirjaa molemmat tulokset tikettiin. Peruutus, joka on vahvistettu vain hylkäyssuunnassa, on puoliksi vahvistettu.

Vaihe 4: Istunnot, jotka ovat jo käynnissä

Dokumentoitu tulos koskee uusia yhteyksiä. Älä venytä sitä lupaukseksi, että jokainen olemassa oleva tunneli katkeaa sinä hetkenä, kun luettelo tallennetaan. Jos välitön poisto on tärkeää, käytä niitä ohjaimia, joita käyttöönotettu määrityksesi todella tarjoaa, ja tarkista kyseinen istunto olettamisen sijaan.

Testaa se erikseen todennuksesta, koska ne kaksi epäonnistuvat eri paikoissa ja jättävät erilaiset jäljet.

Palautus ja lyhyet tiet, joita kannattaa välttää

Palauttaminen tarkoittaa sormenjäljen poistamista peruutettujen luettelosta ja saman päivityksen valmistumisen odottamista. Se on turvallista, kun peruutit väärän merkinnän, ja vaarallista, kun varmenne on todella vaarantunut, joten päätä ensin, kummassa tapauksessa olet. Luotetun juuren poistaminen ei ole oikotie yhden kadonneen kannettavan takia. Paikallisen VPN-profiilin poistaminen yhdestä koneesta ei muuta sitä, mitä mikä tahansa yhdyskäytävä hyväksyy.

Jos identiteetti todentuu myös toisessa yhdyskäytävässä, molemmat tarvitsevat saman käsittelyn. Peruutettujen luettelo kuuluu yhdyskäytävälle, ei tilaukselle.