Que certificado de máquina ofrece a VPN de Windows?

Os certificados están instalados, as claves privadas están presentes e o túnel segue fallando a autenticación. Unha máquina con varios certificados pode entregar á VPN un candidato que ninguén pretendía, e o cliente non ten forma de saber cal aceptaría a pasarela. Borrar os demais é unha política de selección con consecuencias para cada servizo do equipo. Reduza en cambio o conxunto admisible e logo confirme que certificado se ofreceu realmente.

Varios certificados, un ofrecido

Os perfís VPN nativos de Windows con autenticación de certificado de máquina expoñen dous filtros que restrinxen os candidatos: un filtro de emisor e un filtro de uso estendido da clave. Reducen o conxunto do que o cliente pode elixir. Non reparan un certificado inadecuado e non garanten que o servidor acepte o que quede. Esa fronteira merece constar no rexistro de cambios, porque o seguinte lector asumirá que o filtro decidiu máis do que decidiu.

O fallo que atenden é estreito e concreto. Un certificado válido da autoridade equivocada, ou un emitido para un propósito que a pasarela non acepta, elíxese antes que o previsto, o que produce un fallo de autenticación xunto a un almacén san. Dous filtros convérteno nun conxunto o bastante pequeno para razoar sobre el, e o resto desta páxina aplícaos en orde.

Inspeccione o almacén antes de editar o perfil

Enumere os candidatos e as súas propiedades no almacén que o perfil usa realmente. Nada aquí exporta unha clave privada, e ningún certificado ten que saír do equipo:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Lea a saída para as propiedades das que depende a decisión: unha clave privada utilizábel, unha xanela de validez aceptábel, o emisor previsto e os propósitos da extensión. Un certificado pode estar presente, correctamente inscrito e inútil para esta conexión ao mesmo tempo. A columna da pegada é coa que comparará máis adiante, así que conserve a saída.

Confirme o perfil e o seu ámbito antes de editar, porque un certificado de máquina en LocalMachine, un certificado EAP-TLS de usuario e un almacén de claves privadas propio dunha aplicación son tres contextos distintos. Use o ámbito de todos os usuarios e un contexto administrativo cando o perfil xestionado viva alí. Crear un segundo perfil cun nome semellante oculta que configuración usa realmente a conexión.

O filtro de emisor quere un obxecto

O parámetro de emisor espera un obxecto de certificado, non un nome de visualización nin unha cadea de pegada espida. Proporcione o certificado da autoridade aprobada desde unha ruta que revisase, no almacén ao que pertence:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Non substitúa o certificado folla do propio cliente, outra autoridade cun suxeito semellante nin unha raíz acabada de xerar só porque o tipo do parámetro o acepta. Dúas autoridades poden compartir unha cadea de suxeito, e por iso o obxecto importa máis que o texto. A referencia de cmdlets de Microsoft documenta ambos os tipos de entrada, e paga a pena lela antes da primeira edición e non despois do intento fallido.

O filtro de uso quere unha cadea OID

O parámetro de uso estendido da clave acepta cadeas OID, e o propósito de autenticación de cliente é 1.3.6.1.5.5.7.3.2. Aplicarlo restrinxe os candidatos aos certificados que levan ese propósito, que é o que quere un despregamento de autenticación de cliente:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

O valor é unha matriz, así que un despregamento que necesita varios propósitos pásaos como lista. O que o filtro non pode facer é engadir un propósito a un certificado: é unha expresión de selección avaliada contra extensións asinadas, e ningún filtro as reescribe, así que un certificado ao que lle falta o propósito ten que volver pasar polo rexistro.

Manteña a configuración EAP de certificados de usuario separada do filtrado de certificados de máquina, porque viven en lugares distintos e un cambio nun raramente explica un fallo no outro. Comprobe tamén se o dominio ou a xestión de dispositivos é dono do perfil, porque unha edición local pode ser substituída no seguinte refresco de directivas sen que ninguén toque o equipo.

Demostre que certificado ofreceu o cliente

Estableza unha conexión nova e lea as evidencias de autenticación de cliente e servidor para a identidade que pretendía. Cando máis dun certificado satisfai os filtros, o resultado é un conxunto máis pequeno e non unha folla fixada, así que o seguinte intento pode elixir outro membro. Anote a pegada que aparece nesas evidencias e compárea coa que rexistrou do almacén.

Un comando correcto non é unha autenticación correcta. O resultado que merece rexistrarse é o certificado previsto autenticándose baixo a directiva xestionada mentres cada certificado non relacionado segue dispoñible para os servizos que dependen del. Se o fallo sobrevive a ambos os filtros, o seguinte lugar onde mirar son os candidatos restantes e non o perfil enteiro.