Minkä koneen varmenteen Windows-VPN tarjoaa?

Varmenteet on asennettu, yksityiset avaimet ovat olemassa, ja tunneli epäonnistuu silti todennuksessa. Kone, jolla on useita varmenteita, voi antaa VPN:lle ehdokkaan, jota kukaan ei tarkoittanut, eikä asiakasohjelmalla ole keinoa tietää, minkä yhdyskäytävä hyväksyisi. Muiden poistaminen on valintakäytäntö, jolla on seurauksia koneen jokaiselle palvelulle. Rajaa sen sijaan kelvollinen joukko ja vahvista sitten, mikä varmenne todella tarjottiin.

Useita varmenteita, yksi tarjottu

Natiivit Windows-VPN-profiilit, joissa on koneen varmenteen todennus, tarjoavat kaksi ehdokkaita rajaavaa suodatinta: myöntäjäsuodatin ja laajennetun avaimen käytön suodatin. Ne pienentävät joukkoa, josta asiakasohjelma voi valita. Ne eivät korjaa sopimatonta varmennetta eivätkä takaa, että palvelin hyväksyy sen, mikä jää jäljelle. Tämä raja kannattaa kirjata muutoslokiin, koska seuraava lukija olettaa suodattimen päättäneen enemmän kuin se päätti.

Vika, jota ne käsittelevät, on kapea ja täsmällinen. Väärän viranomaisen myöntämä kelvollinen varmenne tai sellainen, joka on myönnetty tarkoitukseen, jota yhdyskäytävä ei hyväksy, valitaan ennen aiottua, mikä tuottaa todennusvirheen terveen säilön vieressä. Kaksi suodatinta tekevät siitä joukon, joka on tarpeeksi pieni päättelyyn, ja tämän sivun loppuosa soveltaa niitä järjestyksessä.

Tutki säilö ennen profiilin muokkaamista

Listaa ehdokkaat ja niiden ominaisuudet säilössä, jota profiili todella käyttää. Mikään tässä ei vie yksityistä avainta ulos, eikä yhdenkään varmenteen tarvitse poistua koneelta:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Lue tuloste niiden ominaisuuksien osalta, joista päätös riippuu: käyttökelpoinen yksityinen avain, hyväksyttävä voimassaoloikkuna, aiottu myöntäjä ja laajennuksen tarkoitukset. Varmenne voi olla samanaikaisesti läsnä, oikein rekisteröity ja hyödytön tälle yhteydelle. Sormenjälkisarake on se, johon myöhemmin vertaat, joten säilytä tuloste.

Vahvista profiili ja sen laajuus ennen muokkaamista, koska koneen varmenne sijainnissa LocalMachine, käyttäjän EAP-TLS-varmenne ja sovelluksen oma yksityisten avainten säilö ovat kolme eri kontekstia. Käytä kaikkien käyttäjien laajuutta ja hallinnollista kontekstia, kun hallittu profiili sijaitsee siellä. Toisen samannimisen profiilin luominen peittää, mitä kokoonpanoa yhteys todella käyttää.

Myöntäjäsuodatin haluaa objektin

Myöntäjäparametri odottaa varmenneobjektia, ei näyttönimeä eikä paljasta sormenjälkimerkkijonoa. Anna hyväksytyn viranomaisen varmenne polusta, jonka olet tarkistanut, siihen säilöön, johon se kuuluu:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Älä korvaa asiakasohjelman omaa lehtivarmennetta, samankaltaisen subjektin toista viranomaista tai juuri luotua juurta vain siksi, että parametrin tyyppi hyväksyy sen. Kaksi viranomaista voi jakaa saman subjektimerkkijonon, ja siksi objekti merkitsee enemmän kuin teksti. Microsoftin cmdlet-viite dokumentoi molemmat syöttötyypit, ja se kannattaa lukea ennen ensimmäistä muokkausta eikä vasta epäonnistuneen yrityksen jälkeen.

Käyttösuodatin haluaa OID-merkkijonon

Laajennetun avaimen käytön parametri ottaa OID-merkkijonoja, ja asiakastodennuksen tarkoitus on 1.3.6.1.5.5.7.3.2. Sen soveltaminen rajaa ehdokkaat varmenteisiin, joilla on tämä tarkoitus, ja juuri sitä asiakastodennukseen perustuva käyttöönotto haluaa:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Arvo on taulukko, joten käyttöönotto, joka tarvitsee useita tarkoituksia, välittää ne luettelona. Mitä suodatin ei voi tehdä, on lisätä tarkoitusta varmenteeseen: se on valintalauseke, joka arvioidaan allekirjoitettuja laajennuksia vasten, eikä mikään suodatin kirjoita niitä uudelleen, joten varmenteen, josta tarkoitus puuttuu, on mentävä uudelleen rekisteröinnin kautta.

Pidä käyttäjävarmenteiden EAP-kokoonpano erillään koneen varmenteiden suodatuksesta, koska ne sijaitsevat eri paikoissa ja muutos toisessa selittää harvoin vikaa toisessa. Tarkista myös, omistaako toimialue vai laitehallinta profiilin, koska paikallinen muokkaus voidaan korvata seuraavassa käytäntöpäivityksessä kenenkään koskematta koneeseen.

Todista, minkä varmenteen asiakasohjelma tarjosi

Muodosta uusi yhteys ja lue asiakasohjelman ja palvelimen todennusnäyttö aiottua identiteettiä varten. Kun useampi kuin yksi varmenne täyttää suodattimet, tuloksena on pienempi joukko eikä kiinnitetty lehtivarmenne, joten seuraava yritys voi valita toisen jäsenen. Merkitse muistiin sormenjälki, joka näkyy tässä näytössä, ja vertaa sitä siihen, jonka kirjasit säilöstä.

Onnistunut komento ei ole onnistunut todennus. Kirjaamisen arvoinen tulos on, että aiottu varmenne todennetaan hallitun käytännön alla, kun taas jokainen asiaankuulumaton varmenne pysyy niiden palvelujen käytettävissä, jotka ovat siitä riippuvaisia. Jos vika säilyy molempien suodattimien jälkeen, seuraava tarkistettava paikka ovat jäljellä olevat ehdokkaat eikä koko profiili.