Hoe't jo ien Azure Point-to-Site-kliïntsertifikaat ynlûke

Ien Azure Point-to-Site-kliïnt ynlûke betsjut syn tomme taheakje oan 'e ynlutsen list fan 'e poarte. It betsjut net de fertroude woartel wiskje. De woartel is de útjouwer fan elk kliïntsertifikaat dat jo ea útjûn hawwe, dus it fuortheljen is in oare operaasje mei in folle gruttere ynfloed. De ienheid fan ynlûken is hjir ien sertifikaat.

Stap 1: Bepaal krekt hokker sertifikaat jo bedoele

Begjin by it sertifikaatrekord, net by in werjefte namme. Azure toant in freonlike namme dy't jo sels yntypen hawwe, en dat label hoecht net oerien te kommen mei it ûnderwerp of it apparaat dêr't it foar útjûn is.

Noch ien kontrôle foardat jo ynlûke: fyn út hoefolle apparaten it presintearje. As ferskate laptops boud binne fan kopyen fan deselde PFX, slút it ynlûken fan 'e tomme se allegear bûten, en Azure kin de ferlerne net fan 'e reserve yn 'e la ûnderskiede.

Op 'e kliïnt Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter listet wat foar dy brûker ynstallearre is, en Cert:\LocalMachine\My is ek it kontrolearjen wurdich, want de VPN-kliïnt kin út ien fan beide opslachplakken kieze. Fergelykje de tomme mei jo ynskriuwingsynventaris. In fernijde sertifikaat hat in oare tomme sels as it ûnderwerp identyk is.

Jo hawwe de priveezkaai fan 'e kliïnt of in mei wachtwurd befeilige PFX net nedich om de tomme fan in iepenbier sertifikaat te lêzen. Eltse proseduere dy't ien fan beide freget, is fan in oare taak kopiearre.

Stap 2: Foegje it ta oan 'e ynlutsen list fan 'e poarte

Iepenje yn it portaal de poarte fan it firtuele netwurk, dan de Point-to-site-konfiguraasje, dan de seksje mei ynlutsen sertifikaten. Foegje in freonlike namme ta dy't jo oer seis moannen weromkenne, en plak de tomme as ien trochgeande tekenrige sûnder de spaasjes.

Kontrolearje hokker poarte selektearre is foardat jo bewarje, want in abonnemint mei ferskate poarten is krekt it plak dêr't dit misgiet. De hantlieding foar sertifikaatkonfiguraasje fan Microsoft stelt dat it sertifikaat, sadree't de bywurking klear is, net mear brûkt wurde kin om te ferbinen.

Befêstigje dêrnei de bewarre wearde yn stee fan op 'e melding fan it portaal te fertrouwen: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" toant wat de poarte eins hâldt.

Stap 3: Kontrolearje beide rjochtingen

Test de wegering mei it ynlutsen sertifikaat, en test dan dat in oar sertifikaat ûnder deselde woartel noch altyd autentisearret. Krekt dy twadde test slane minsken oer, en hy is dejinge dy't in tafallich fuortheljen fan 'e woartel of in beliedswiziging dy't nimmen neamde, opfettet. Brûk in apparaat dêr't jo sjen kinne hokker sertifikaat presintearre wurdt. In kliïnt mei ferskate sertifikaten kin stil in wurkjend eksimplaar brûke en jo ynlûken der brutsen útsjen litte.

Skriuw beide resultaten yn 'e ticket. In ynlûken dat allinnich yn 'e wegeringsrjochting ferifiearre is, is heal ferifiearre.

Stap 4: Sessys dy't al iepen binne

It dokumintearre resultaat giet oer nije ferbiningen. Strûp it net út ta de belofte dat elke besteande tunnel falt op it stuit dat de list bewarre wurdt. As fuortendaliks fuortheljen fan belang is, brûk dan de kontrôles dy't jo útrôle konfiguraasje echt biedt, en kontrolearje de spesifike sesje ynstee fan oan te nimmen.

Test dat apart fan autentikaasje, want de twa mislearje op ferskate plakken en litte ferskate bewiis efter.

Weromdraaie, en de flugge wegen dy't jo mije moatte

Weromdraaie betsjut de tomme fan 'e ynlutsen list helje en wachtsje oant deselde bywurking klear is. Dat is feilich as jo de ferkearde ynfier ynlutsen hawwe, en gefaarlik as it sertifikaat echt kompromittearre is, dus beslute earst yn hokker gefal jo sitte. De fertroude woartel wiskje is gjin flugge wei foar ien ferlerne laptop. In lokaal VPN-profyl op ien masine wiskje feroaret net wat in poarte akseptearret.

As de identiteit ek by in twadde poarte autentisearret, hawwe beide deselde behanneling nedich. De ynlutsen list heart by in poarte, net by it abonnemint.