SSTP en IKEv2 brûke ferskate RRAS-sertifikaatynstellings

Ferfangt jo «it VPN-sertifikaat», dan feroarje jo miskien de ferkearde tsjinst. RRAS hat teminsten trije sertifikaatynstellings, elk hearrend by in oar protokoll en in oare ferbiningsrol. It protokoll earst neame makket fan in riskante gissing ien inkelde, weromdraaibare biningferoaring. Alles hjirûnder hinget fan dy iene sin ôf.

Neam it protokoll foar it sertifikaat

In SSTP-listener presintearret in TLS-sertifikaat oan in klant dy't him as HTTPS hâldt en draacht. In ynkommende site-to-site-IKEv2-ferbining advertearret in serveridentiteit en falidearret peer-sertifikaten tsjin in fertroude woartel. In site-to-site-definysje per ynterface draacht in eigen masjine-identiteit.

Dat binne trije ynstellings mei trije berikken. Se trochinoar helje jout in feroaring dy't op it iene protokoll liket te wurkjen en op it oare gjin effekt hat, wat slimmer is as in dúdlike flater. Skriuw op hokker protokoll mislearre, hokker kant it sertifikaat presintearre en hokker kant it wegere, foardat jo eat oanreitsje.

SSTP is in HTTPS-bining

Foar stipe Remote Access-ynsetten eksposearret Set-RemoteAccess in parameter SslCertificate dy't brûkt wurdt foar SSTP-ferbining en foar de HTTPS-relatearre DirectAccess-rol.

It falidaasje- en ynsetberik folget de Remote Access-konfiguraasje, sadat ien biningferoaring mear as ien ferbining of knooppunt berikke kin. Yn in load-balanced ynset omfettet dat berik elk knooppunt dat de konfiguraasje dekt. Ien knooppunt feroarje en ien klant testen lit de rest it âlde bladsertifikaat presintearje, en dat is it soarte healwize feroaring dat in ûnderhâldsfenster oerlibbet.

Kontrolearje de ferwachte tsjinstnamme, de keten, de jildichheid, it bedoelde gebrûk en de beskikberens fan de priveeskaai foar de update. It sertifikaat moat oerienkomme mei de namme dy't de klant kontrolearret, en in adapterlabel is dy namme net.

Ynkommend IKEv2 hat syn eigen parameter

Set-VpnAuthProtocol konfigurearret ynkommende site-to-site-IKEv2-autentikaasje, en CertificateAdvertised leveret in sertifikaat as de tunnelautentikaasjemodus dy brûkt. It is gjin algemien kommando om samar hokker serversertifikaat dan ek op de host te kiezen.

Hâld twa objekten útinoar: it bladsertifikaat dat de server as eigen identiteit presintearret, en de woartel dy't er brûkt om peer-sertifikaten te akseptearjen. Hokker útjouwer jo fertrouwe seit neat oer hokker bladsertifikaat de server presintearret.

De identiteit fan in apart site-to-site-ynterface wurdt ynsteld fia Set-VpnS2SInterface. It is net automatysk it SSTP-sertifikaat, sels as beide yn itselde argyf op deselde masjine steane.

Besjoch earst de kandidaat

In rjochte werjefte fan it argyf fan de lokale masjine toant iepenbiere metadata sûnder eat privee te eksportearjen:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Dy list is in útgongspunt en gjin geskiktheidstest. Besjoch de SAN-ynskriuwingen, de útwreide skaaiberikken, de keten en de tagong fan it tsjinstaccount ta de priveeskaai foar it protokoll dat jo konfigurearje.

In sertifikaat dat ynstallearre is foar in net-relatearre cloud-klantidentiteit is net geskikt om't it yn itselde argyf ferskynt. Sichtberens is gjin geskiktheid, en in fingerôfdruk op in skermôfbylding bewissiget neat oer de fraach oft it tsjinstaccount de skaai lêze kin. Kontrolearje dy tagong eksplisyt, want in ûntbrekkende skaaipermisje falt pas as de tsjinst opnij start en it sertifikaat besiket te brûken.

Registrearje de hjoeddeistige bining en befêstigje dat jo de host noch op in oare wize berikke kinne foardat jo dy feroarje. It herstelpaad heart by de feroaring, net by it ynsidint dat folget.

Fernijing is gjin aktivaasje

In sertifikaat opnij útjaan is in oare aksje as it selektearjen foar de rinnende tsjinst. It nije bladsertifikaat kin de bedoelde DNS-identiteit behâlde en dochs in oare fingerôfdruk drage, sadat neat derop wiist oant de bining bywurke is. Fernijing feroaret it objekt; aktivaasje feroaret de ferwizing dernei. Dy twa trochinoar helje is de reden wêrom't in korrekt fernijd sertifikaat wikenlang ûnbrûkt bliuwe kin.

Tapas de stipe feroaring ta yn in geskikt finster, ynklusyf in eventuele dokumintearre werstart, en besjoch it sertifikaat dêrnei fanôf in nije ferbining mei it bedoelde protokoll. In cachede klientsesje kin noch it âlde bladsertifikaat sjen litte en in korrekte feroaring defekt lykje litte.

Nim it foarige sertifikaat pas út gebrûk fia it normale proses neidat dy kontrôle slagge is. De Set-RemoteAccess-referinsje dokumintearret it berik fan de SSL-parameter, ynklusyf it effekt dêrfan yn load-balanced ynsetten, en dat is it diel dat jo foar in biningferoaring lêze wolle.