SSTP ja IKEv2 käyttävät eri RRAS-varmenteen hallintakeinoja

Jos korvaat „VPN-varmenteen”, saatat muuttaa väärää palvelua. RRAS ylläpitää vähintään kolmea varmenteen hallintakeinoa, joista jokainen kuuluu eri protokollaan ja eri yhteyden rooliin. Kun nimeät protokollan ensin, riskialtis arvaus muuttuu yhdeksi peruttavaksi sidontamuutokseksi. Kaikki alla riippuu tästä yhdestä lauseesta.

Nimeä protokolla ennen varmennetta

SSTP-kuuntelija esittää TLS-varmenteen asiakkaalle, joka käyttäytyy kuin HTTPS. Saapuva sivustojen välinen IKEv2-yhteys ilmoittaa palvelimen identiteetin ja validoi vertaisten varmenteet luotettua juurta vastaan. Liitäntäkohtainen sivustojen välinen määritelmä kantaa oman koneidentiteettinsä.

Nämä ovat kolme hallintakeinoa ja kolme laajuutta. Niiden sekoittaminen tuottaa muutoksen, joka näyttää toimivan yhdessä protokollassa eikä vaikuta toiseen, ja se on pahempaa kuin ilmeinen vika. Kirjoita muistiin, mikä protokolla epäonnistui, kumpi osapuoli esitti varmenteen ja kumpi hylkäsi sen, ennen kuin kosket mihinkään.

SSTP on HTTPS-sidonta

Tuettuissa Remote Access -käyttöönotoissa Set-RemoteAccess tarjoaa parametrin SslCertificate, jota käytetään SSTP-yhteyteen ja HTTPS:ään liittyvään DirectAccess-rooliin.

Sen validointi- ja käyttöönottoalue noudattaa Remote Access -kokoonpanoa, joten yksi sidontamuutos voi tavoittaa useamman kuin yhden yhteyden tai solmun. Kuormantasatussa käyttöönotossa tämä alue kattaa jokaisen solmun, jonka kokoonpano kattaa. Yhden solmun muuttaminen ja yhden asiakkaan testaaminen jättää muut esittämään vanhaa lehtivarmennetta, ja juuri sellainen puolittainen muutos säilyy huoltokatkon yli.

Ennen päivitystä varmista odotettu palvelunimi, ketju, voimassaolo, aiottu käyttö ja yksityisen avaimen saatavuus. Varmenteen on vastattava nimeä, jonka asiakas tarkistaa, eikä sovittimen tunniste ole se nimi.

Saapuvalla IKEv2:lla on oma parametri

Set-VpnAuthProtocol määrittää saapuvan sivustojen välisen IKEv2-todennuksen, ja CertificateAdvertised toimittaa varmenteen, kun tunnelin todennustila käyttää niitä. Se ei ole yleinen komento minkä tahansa palvelinvarmenteen valitsemiseen isännässä.

Pidä kaksi objektia erillään: lehtivarmenne, jonka palvelin esittää omana identiteettinään, ja juuri, jota se käyttää vertaisten varmenteiden hyväksymiseen. Valinta siitä, mihin myöntäjään luotat, ei kerro mitään siitä, minkä lehtivarmenteen palvelin esittää.

Yksittäisen sivustojen välisen liitännän identiteetti asetetaan Set-VpnS2SInterface:n kautta. Se ei ole automaattisesti SSTP-varmenne, vaikka molemmat olisivat samassa säilössä samalla koneella.

Tarkastele ensin ehdokasta

Paikallisen koneen säilön kohdennettu näkymä näyttää julkiset metatiedot viemättä mitään yksityistä:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Tämä luettelo on lähtökohta, ei soveltuvuustesti. Tarkastele SAN-merkintöjä, laajennettuja avainkäyttöjä, ketjua ja palvelutilin pääsyä yksityiseen avaimeen määritettävälle protokollalle.

Erilliselle pilviasiakasidentiteetille asennettu varmenne ei sovellu vain siksi, että se näkyy samassa säilössä. Näkyvyys ei ole soveltuvuutta, eikä kuvakaappauksen sormenjälki todista mitään siitä, voiko palvelutili lukea avaimen. Tarkista tämä pääsy nimenomaisesti, sillä puuttuva avainlupa ilmenee vasta, kun palvelu käynnistyy uudelleen ja yrittää käyttää varmennetta.

Kirjaa nykyinen sidonta ja vahvista ennen sen muuttamista, että pääset isäntään edelleen muulla tavoin. Palautumispolku kuuluu muutokseen, ei sitä seuraavaan häiriöön.

Uusiminen ei ole aktivointi

Varmenteen uudelleenmyöntäminen on eri toimi kuin sen valitseminen käynnissä olevaa palvelua varten. Uusi lehtivarmenne voi säilyttää aiotun DNS-identiteetin ja silti kantaa eri sormenjäljen, joten mikään ei osoita siihen ennen kuin sidonta päivitetään. Uusiminen muuttaa objektia; aktivointi muuttaa viittausta siihen. Näiden kahden sekoittaminen on syy siihen, miksi oikein uusittu varmenne voi seisoa käyttämättömänä viikkoja.

Ota tuettu muutos käyttöön sopivassa ikkunassa, mukaan lukien mahdollinen dokumentoitu uudelleenkäynnistys, ja tarkastele sitten varmennetta aiotun protokollan uudesta yhteydestä. Välimuistiin tallennettu asiakasistunto voi yhä näyttää vanhan lehtivarmenteen ja saada oikean muutoksen näyttämään rikkinäiseltä.

Poista edellinen varmenne käytöstä tavallisella prosessilla vasta, kun tämä tarkistus on mennyt läpi. Set-RemoteAccess-viite dokumentoi SSL-parametrin laajuuden, mukaan lukien sen vaikutuksen kuormantasatuissa käyttöönotoissa, ja juuri se osa kannattaa lukea ennen sidontamuutosta.