Hokker machine-sertifikaat biedt de Windows-VPN oan?

De sertifikaten binne ynstalleare, de priveeskaaien binne oanwêzich, en de tunnel mislearret noch altyd de autentikaasje. In masine mei ferskate sertifikaten kin de VPN in kandidaat jaan dy't nimmen bedoelde, en de klant hat gjin manier om te witten hokker de gateway akseptearje soe. De oaren wiskje is in seleksjebelied mei gefolgen foar elke tsjinst op ’e masine. Behein ynstee de talitbere set, en befêstigje dêrnei hokker sertifikaat eins oanbean waard.

Ferskate sertifikaten, ien oanbean

Native Windows-VPN-profylen mei autentikaasje fia machine-sertifikaat biede twa filters dy't de kandidaten beheine: in útjouwerfilter en in filter foar útwreide kaaiberik. Se ferlytsje de set dêr't de klant út kieze mei. Se reparearje gjin ûngeskikt sertifikaat en se garandearje net dat de server akseptearret wat oerbliuwt. Dy grins is it wurdich yn it feroaringsloch te skriuwen, want de folgjende lêzer sil oannimme dat it filter mear beslein hat as it die.

It fersom dat se oanpakke is smel en konkreet. In jildich sertifikaat fan ’e ferkearde autoriteit, of ien dat útjûn is foar in doel dat de gateway net akseptearret, wurdt foar it bedoelde keazen, wat in autentikaasjefersom neist in sûne opslach jout. Twa filters meitsje dêrfan in set dy't lyts genôch is om oer te riddenearjen, en de rest fan dizze side past se yn folchoarder ta.

Undersykje de opslach foar't jo it profyl bewurkje

List de kandidaten en har eigenskippen op yn ’e opslach dy't it profyl eins brûkt. Neat hjir eksportearret in priveekaai, en gjin sertifikaat hoecht de masine te ferlitten:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Lês de útfier foar de eigenskippen dêr't it beslút fan ôfhinget: in brûkbere priveekaai, in akseptabel jildichheidsfinster, de bedoelde útjouwer en de doelen yn ’e útwreiding. In sertifikaat kin tagelyk oanwêzich, goed registrearre en nutteloas wêze foar dizze ferbining. De fingerôfdruk-kolom is dejinge dêr't jo letter mei fergelykje, dus bewarje de útfier.

Befêstigje it profyl en syn berik foar't jo bewurkje, want in machine-sertifikaat yn LocalMachine, in brûkers-EAP-TLS-sertifikaat en in eigen priveekaaiopslach fan in applikaasje binne trije ferskillende konteksten. Brûk it berik fan alle brûkers en in administratyf kontekst as it behearde profyl dêr wennet. In twadde profyl mei in ferlykbere namme meitsje ferberget hokker konfiguraasje de ferbining eins brûkt.

It útjouwerfilter wol in objekt

De útjouwerparameter ferwachtet in sertifikaatobjekt, gjin werjeftenamme en gjin keale fingerôfdrukrige. Leverje it sertifikaat fan ’e goedkarde autoriteit fan in paad dat jo neigongen hawwe, yn ’e opslach dêr't it heart:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ferfang it eigen bledsertifikaat fan ’e klant, in oare autoriteit mei in ferlykber subjekt, of in nij makke woartel net allinnich om't it parametertype it akseptearret. Twa autoriteiten kinne in subjektstring diele, en dêrom is it objekt wichtiger as de tekst. De Microsoft-cmdletreferinsje dokumintearret beide yntfiertypen, en it is it wurdich om dy foar de earste bewurking te lêzen ynstee fan nei de mislearre poging.

It gebrûksfilter wol in OID-string

De parameter foar útwreide kaaiberik nimt OID-stringen, en it doel fan klantautentikaasje is 1.3.6.1.5.5.7.3.2. Derop tapast beheint it de kandidaten ta sertifikaten dy't dat doel drage, en dat is krekt wat in ynset mei klantautentikaasje wol:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

De wearde is in array, dus in ynset dy't ferskate doelen nedich hat, jout se as list troch. Wat it filter net kin, is in doel oan in sertifikaat taheakje: it is in seleksje-útdrukking dy't tsjin ûndertekene útwreidingen evaluearre wurdt, en gjin filter skriuwt dy oer, dus in sertifikaat sûnder it doel moat wer troch registraasje.

Hâld de EAP-konfiguraasje fan brûkerssertifikaten apart fan it filterjen fan machine-sertifikaten, want se wenje op ferskillende plakken en in feroaring yn ’e iene ferklearret selden in fersom yn ’e oare. Kontrolearje ek oft it domein of it apparaatbehear it profyl besit, want in lokale bewurking kin by de folgjende beliedsferfarsking ferfongen wurde sûnder dat immen de masine oanrekket.

Bewiis hokker sertifikaat de klant oanbean hat

Meitsje in nije ferbining en lês it autentikaasjebewiis fan klant en server foar de identiteit dy't jo bedoelden. As mear as ien sertifikaat de filters foldocht, is it resultaat in lytsere pool ynstee fan in fêstsette bled, dus de folgjende poging kin in oar lid kieze. Notearje de fingerôfdruk dy't yn dat bewiis ferskynt en fergelykje dy mei dejinge dy't jo út ’e opslach fêstleine.

In slagge opdracht is gjin slagge autentikaasje. It resultaat dat it wurdich is om fêst te lizzen, is dat it bedoelde sertifikaat autentisearret ûnder it beheard belied, wylst elk ûnbelangryk sertifikaat beskikber bliuwt foar de tsjinsten dy't dêrfan ôfhingje. As it fersom beide filters oerlibbet, binne de oerbliuwende kandidaten it folgjende plak om te sykjen, net it profyl as gehiel.