Windows VPN કયું મશીન પ્રમાણપત્ર ઓફર કરે છે?

પ્રમાણપત્રો ઇન્સ્ટોલ થયેલાં છે, ખાનગી કી હાજર છે, અને ટનલ હજી પણ પ્રમાણીકરણમાં નિષ્ફળ જાય છે. ઘણાં પ્રમાણપત્રો ધરાવતું મશીન VPNને એવો ઉમેદવાર આપી શકે છે જે કોઈએ ધાર્યો ન હતો, અને ગેટવે કયું સ્વીકારશે તે જાણવાનો ક્લાયન્ટ પાસે કોઈ રસ્તો નથી. બાકીનાં ડિલીટ કરવું એ પસંદગીની નીતિ છે જેની અસર મશીન પરની દરેક સેવા પર પડે છે. તેના બદલે પાત્ર સમૂહ સાંકડો કરો, પછી ખરેખર કયું પ્રમાણપત્ર ઓફર થયું તેની પુષ્ટિ કરો.

ઘણાં પ્રમાણપત્રો, એક ઓફર

મશીન-પ્રમાણપત્ર પ્રમાણીકરણ સાથેના નેટિવ Windows VPN પ્રોફાઇલ ઉમેદવારોને મર્યાદિત કરતા બે ફિલ્ટર આપે છે: ઇશ્યુઅર ફિલ્ટર અને વિસ્તૃત-કી-ઉપયોગ ફિલ્ટર. તેઓ ક્લાયન્ટ પસંદ કરી શકે તે સમૂહ ઘટાડે છે. તેઓ અયોગ્ય પ્રમાણપત્ર સુધારતા નથી, અને જે બાકી રહે તે સર્વર સ્વીકારશે તેની બાંયધરી આપતા નથી. એ સીમા ફેરફાર-નોંધમાં લખવા જેવી છે, કારણ કે આગલો વાચક ધારશે કે ફિલ્ટરે ખરેખર કર્યા કરતાં વધુ નિર્ણય લીધો.

તેઓ જે નિષ્ફળતા સંબોધે છે તે સાંકડી અને ચોક્કસ છે. ખોટી સત્તામંડળનું માન્ય પ્રમાણપત્ર, અથવા ગેટવે સ્વીકારતું ન હોય તેવા હેતુ માટે ઇશ્યુ થયેલું પ્રમાણપત્ર, ધારેલા પ્રમાણપત્ર પહેલાં પસંદ થાય છે, જે સ્વસ્થ સ્ટોરની બાજુમાં પ્રમાણીકરણ નિષ્ફળતા ઉત્પન્ન કરે છે. બે ફિલ્ટર તેને વિચારણા માટે પૂરતા નાના સમૂહમાં ફેરવે છે, અને આ પૃષ્ઠનો બાકીનો ભાગ તેમને ક્રમમાં લાગુ કરે છે.

પ્રોફાઇલ સંપાદિત કરતાં પહેલાં સ્ટોર તપાસો

પ્રોફાઇલ ખરેખર જે સ્ટોર વાપરે છે તેમાં ઉમેદવારો અને તેમના ગુણધર્મોની યાદી બનાવો. અહીં કંઈ પણ ખાનગી કી નિકાસ કરતું નથી, અને કોઈ પણ પ્રમાણપત્રે મશીન છોડવાની જરૂર નથી:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

નિર્ણય જે ગુણધર્મો પર આધાર રાખે તે માટે આઉટપુટ વાંચો: વાપરી શકાય તેવી ખાનગી કી, સ્વીકાર્ય માન્યતા-અવધિ, ધારેલું ઇશ્યુઅર અને એક્સ્ટેન્શનમાંના હેતુઓ. પ્રમાણપત્ર એક જ સમયે હાજર, યોગ્ય રીતે નોંધાયેલું અને આ કનેક્શન માટે નકામું હોઈ શકે છે. થંબપ્રિન્ટ કૉલમ એ છે જેની સાથે તમે પછીથી તુલના કરશો, તેથી આઉટપુટ રાખો.

સંપાદિત કરતાં પહેલાં પ્રોફાઇલ અને તેનો વ્યાપ પુષ્ટિ કરો, કારણ કે LocalMachine માં રહેલું મશીન પ્રમાણપત્ર, વપરાશકર્તાનું EAP-TLS પ્રમાણપત્ર અને એપ્લિકેશનનું પોતાનું ખાનગી કી સ્ટોર ત્રણ જુદા સંદર્ભો છે. જ્યારે મેનેજ કરેલ પ્રોફાઇલ ત્યાં રહેતું હોય ત્યારે બધા-વપરાશકર્તા વ્યાપ અને વહીવટી સંદર્ભ વાપરો. સમાન નામની બીજી પ્રોફાઇલ બનાવવી એ છુપાવે છે કે કનેક્શન ખરેખર કઈ રૂપરેખા વાપરે છે.

ઇશ્યુઅર ફિલ્ટરને ઑબ્જેક્ટ જોઈએ છે

ઇશ્યુઅર પરિમાણ પ્રમાણપત્ર ઑબ્જેક્ટની અપેક્ષા રાખે છે, ડિસ્પ્લે નામની નહીં અને ખાલી થંબપ્રિન્ટ શબ્દમાળાની પણ નહીં. મંજૂર સત્તામંડળનું પ્રમાણપત્ર તમે તપાસેલા પાથથી, તે જે સ્ટોરમાં રહેવું જોઈએ ત્યાં આપો:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

ક્લાયન્ટના પોતાના લીફ પ્રમાણપત્ર, સમાન વિષય ધરાવતી બીજી સત્તામંડળ, અથવા તાજેતરમાં જ બનાવેલું રૂટ ફક્ત એટલા માટે બદલશો નહીં કે પરિમાણનો પ્રકાર તેને સ્વીકારે છે. બે સત્તામંડળ એક જ વિષય શબ્દમાળા વહેંચી શકે છે, અને તેથી જ ટેક્સ્ટ કરતાં ઑબ્જેક્ટ વધુ મહત્ત્વનું છે. Microsoft cmdlet સંદર્ભ બંને ઇનપુટ પ્રકારોનું દસ્તાવેજીકરણ કરે છે, અને નિષ્ફળ પ્રયાસ પછી નહીં, પહેલી સંપાદન પહેલાં તેને વાંચવું યોગ્ય છે.

ઉપયોગ ફિલ્ટરને OID શબ્દમાળા જોઈએ છે

વિસ્તૃત-કી-ઉપયોગ પરિમાણ OID શબ્દમાળાઓ લે છે, અને ક્લાયન્ટ પ્રમાણીકરણનો હેતુ છે 1.3.6.1.5.5.7.3.2. તેને લાગુ કરવાથી ઉમેદવારો તે હેતુ ધરાવતાં પ્રમાણપત્રો સુધી મર્યાદિત થાય છે, જે ક્લાયન્ટ-પ્રમાણીકરણ તૈનાતી ઈચ્છે છે તે જ છે:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

મૂલ્ય એક ઍરે છે, તેથી ઘણા હેતુઓની જરૂર હોય તેવી તૈનાતી તેમને યાદી તરીકે આપે છે. ફિલ્ટર જે કરી શકતું નથી તે પ્રમાણપત્રમાં હેતુ ઉમેરવો છે: તે સહી કરેલા એક્સ્ટેન્શન સામે મૂલ્યાંકન થતી પસંદગીની અભિવ્યક્તિ છે, અને કોઈ ફિલ્ટર તેમને ફરી લખતું નથી, તેથી હેતુ વગરના પ્રમાણપત્રે ફરી નોંધણીમાંથી પસાર થવું પડે છે.

વપરાશકર્તા-પ્રમાણપત્ર EAP રૂપરેખાને મશીન-પ્રમાણપત્ર ફિલ્ટરિંગથી અલગ રાખો, કારણ કે તે જુદી જગ્યાએ રહે છે અને એકમાંનો ફેરફાર બીજામાંની નિષ્ફળતા ભાગ્યે જ સમજાવે છે. એ પણ તપાસો કે પ્રોફાઇલ ડોમેનની છે કે ઉપકરણ વ્યવસ્થાપનની, કારણ કે સ્થાનિક સંપાદન આગલા નીતિ રિફ્રેશમાં કોઈએ મશીનને અડ્યા વગર બદલાઈ શકે છે.

ક્લાયન્ટે કયું પ્રમાણપત્ર ઓફર કર્યું તે સાબિત કરો

નવું કનેક્શન સ્થાપિત કરો અને તમે ધારેલી ઓળખ માટે ક્લાયન્ટ અને સર્વર પ્રમાણીકરણના પુરાવા વાંચો. જ્યારે એક કરતાં વધુ પ્રમાણપત્ર ફિલ્ટર પૂરા કરે છે, ત્યારે પરિણામ પિન કરેલું લીફ નહીં પણ નાનો પૂલ હોય છે, તેથી આગલો પ્રયાસ બીજો સભ્ય પસંદ કરી શકે છે. તે પુરાવામાં દેખાતું થંબપ્રિન્ટ નોંધો અને સ્ટોરમાંથી નોંધેલા થંબપ્રિન્ટ સાથે તેની તુલના કરો.

સફળ આદેશ એ સફળ પ્રમાણીકરણ નથી. નોંધવા લાયક પરિણામ એ છે કે ધારેલું પ્રમાણપત્ર મેનેજ કરેલી નીતિ હેઠળ પ્રમાણીકરણ કરે છે જ્યારે દરેક અસંબંધિત પ્રમાણપત્ર તેના પર નિર્ભર સેવાઓ માટે ઉપલબ્ધ રહે છે. જો નિષ્ફળતા બંને ફિલ્ટર પછી પણ ટકે, તો આગળ જોવાનું સ્થળ આખી પ્રોફાઇલ નહીં પણ બાકીના ઉમેદવારો છે.