איך לבטל תעודת לקוח אחת של Azure Point-to-Site

ביטול של לקוח Azure Point-to-Site אחד פירושו הוספת טביעת האצבע שלו לרשימת הביטולים של השער. זה לא אומר למחוק את השורש המהימן. השורש הוא הרשות המנפיקה של כל תעודת לקוח שאי פעם הנפקתם, ולכן הסרתו היא פעולה אחרת עם השפעה רחבה הרבה יותר. יחידת הביטול כאן היא תעודה אחת.

שלב 1: קבעו בדיוק באיזו תעודה מדובר

התחילו מרשומת התעודה, לא משם תצוגה. Azure מציג שם ידידותי שהקלדתם בעצמכם, והתווית הזו לא חייבת להתאים לנושא או להתקן שלשמו הונפקה.

בדיקה נוספת לפני הביטול: גלו כמה התקנים מציגים אותה. אם נבנו כמה מחשבים ניידים מעותקים של אותו PFX, ביטול טביעת האצבע נועל את כולם, ול-Azure אין דרך להבדיל בין האבוד לבין החלופי שבמגירה.

בצד הלקוח, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter מפרט מה מותקן עבור המשתמש הזה, ושווה לבדוק גם את Cert:\LocalMachine\My כי לקוח ה-VPN עשוי לבחור מכל אחד משני המאגרים. השוו את טביעת האצבע למלאי ההרשמות שלכם. לתעודה מחודשת יש טביעת אצבע אחרת גם כשהנושא זהה.

אין צורך במפתח הפרטי של הלקוח או ב-PFX מוגן בסיסמה כדי לקרוא טביעת אצבע של תעודה ציבורית. כל נוהל שמחייב אחד מהם הועתק ממשימה אחרת.

שלב 2: הוסיפו אותה לרשימת הביטולים של השער

בפורטל, פתחו את שער הרשת הווירטואלית, אחר כך את תצורת Point-to-site, ואחר כך את קטע התעודות המבוטלות. הוסיפו שם ידידותי שתזהו בעוד חצי שנה והדביקו את טביעת האצבע כמחרוזת רציפה אחת ללא הרווחים.

בדקו איזה שער נבחר לפני השמירה, כי מנוי עם כמה שערים הוא בדיוק המקום שבו זה משתבש. מדריך תצורת התעודות של Microsoft קובע שלאחר השלמת העדכון, לא ניתן עוד להשתמש בתעודה כדי להתחבר.

אמתו לאחר מכן את הערך השמור במקום לסמוך על הודעת הפורטל: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" מציג מה השער באמת מחזיק.

שלב 3: אמתו את שני הכיוונים

בדקו את הדחייה עם התעודה המבוטלת, ואחר כך בדקו שתעודה אחרת תחת אותו שורש עדיין מאמתת. הבדיקה השנייה היא זו שאנשים מדלגים עליה, והיא זו שתופסת הסרה מקרית של השורש או שינוי מדיניות שאיש לא הזכיר. השתמשו בהתקן שבו אתם יכולים לראות איזו תעודה מוצגת. לקוח שמחזיק כמה תעודות עשוי להשתמש בשקט בתעודה עובדת ולגרום לביטול שלכם להיראות שבור.

תעדו את שתי התוצאות בכרטיס. ביטול שאומת רק בכיוון הדחייה הוא חצי מאומת.

שלב 4: הפעלות שכבר פתוחות

התוצאה המתועדת נוגעת לחיבורים חדשים. אל תמתחו אותה להבטחה שכל מנהרה קיימת תיפול בשנייה שבה הרשימה נשמרת. אם הסרה מיידית חשובה, השתמשו בבקרות שהתצורה שנפרסה שלכם מציעה באמת ובדקו את ההפעלה הספציפית במקום להניח.

בדקו זאת בנפרד מאימות, מפני ששניהם נכשלים במקומות שונים ומשאירים ראיות שונות.

שחזור, והקיצורים שכדאי להימנע מהם

שחזור פירושו הסרת טביעת האצבע מרשימת הביטולים והמתנה שאותו עדכון יסתיים. זה בטוח כאשר ביטלתם את הרשומה הלא נכונה, ומסוכן כאשר התעודה אכן נפרצה, ולכן החליטו קודם באיזה מקרה אתם. מחיקת השורש המהימן אינה קיצור דרך למחשב נייד אחד שאבד. מחיקת פרופיל VPN מקומי במחשב אחד אינה משנה מה שער כלשהו מקבל.

אם הזהות מאמתת גם בשער שני, שניהם זקוקים לאותו טיפול. רשימת הביטולים שייכת לשער, לא למנוי.