एक Azure Point-to-Site क्लाइंट प्रमाणपत्र कैसे निरस्त करें

एक Azure Point-to-Site क्लाइंट को निरस्त करने का अर्थ है उसकी थंबप्रिंट को गेटवे की निरस्त सूची में जोड़ना। इसका अर्थ भरोसेमंद रूट को हटाना नहीं है। रूट हर उस क्लाइंट प्रमाणपत्र का जारीकर्ता है जो आपने कभी दिया है, इसलिए उसे हटाना एक अलग कार्रवाई है जिसका प्रभाव कहीं अधिक व्यापक है। यहाँ निरस्तीकरण की इकाई एक ही प्रमाणपत्र है।

चरण 1: जिस प्रमाणपत्र की बात है उसे ठीक से तय करें

प्रदर्शित नाम से नहीं, प्रमाणपत्र रिकॉर्ड से शुरू करें। Azure वह मित्रवत नाम दिखाता है जो आपने स्वयं लिखा था, और उस लेबल का विषय या जिस डिवाइस के लिए वह जारी हुआ उससे मेल खाना ज़रूरी नहीं है।

निरस्त करने से पहले एक और जाँच: पता लगाएँ कि कितने डिवाइस इसे प्रस्तुत करते हैं। यदि कई लैपटॉप एक ही PFX की प्रतियों से बने हैं, तो थंबप्रिंट निरस्त करने पर वे सभी बंद हो जाते हैं, और Azure के पास खोए हुए को दराज़ में पड़े वैकल्पिक से अलग पहचानने का कोई तरीका नहीं है।

क्लाइंट पर, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter उस उपयोगकर्ता के लिए क्या इंस्टॉल है यह सूचीबद्ध करता है, और Cert:\LocalMachine\My को भी जाँचना उचित है क्योंकि VPN क्लाइंट किसी भी स्टोर से चुन सकता है। थंबप्रिंट की तुलना अपनी नामांकन सूची से करें। नवीनीकृत प्रमाणपत्र की थंबप्रिंट अलग होती है, भले ही विषय एक जैसा हो।

सार्वजनिक प्रमाणपत्र की थंबप्रिंट पढ़ने के लिए आपको क्लाइंट की निजी कुंजी या पासवर्ड-सुरक्षित PFX की आवश्यकता नहीं है। जो भी प्रक्रिया इनमें से किसी एक की माँग करती है, वह किसी दूसरे कार्य से नकल की गई है।

चरण 2: इसे गेटवे की निरस्त सूची में जोड़ें

पोर्टल में वर्चुअल नेटवर्क गेटवे खोलें, फिर Point-to-site कॉन्फ़िगरेशन, फिर निरस्त प्रमाणपत्रों का अनुभाग। ऐसा मित्रवत नाम जोड़ें जिसे आप छह महीने बाद भी पहचानेंगे और थंबप्रिंट को बिना रिक्त स्थानों के एक सतत स्ट्रिंग के रूप में चिपकाएँ।

सहेजने से पहले जाँचें कि कौन-सा गेटवे चुना गया है, क्योंकि कई गेटवे वाली सदस्यता ठीक वही जगह है जहाँ यह गड़बड़ होती है। Microsoft की प्रमाणपत्र कॉन्फ़िगरेशन मार्गदर्शिका कहती है कि अपडेट पूरा होने के बाद प्रमाणपत्र का उपयोग कनेक्ट करने के लिए नहीं किया जा सकता।

पोर्टल की सूचना पर भरोसा करने के बजाय बाद में संग्रहीत मान की पुष्टि करें: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" दिखाता है कि गेटवे वास्तव में क्या रखता है।

चरण 3: दोनों दिशाओं को सत्यापित करें

निरस्त प्रमाणपत्र के साथ अस्वीकृति का परीक्षण करें, फिर परीक्षण करें कि उसी रूट के अंतर्गत एक अन्य प्रमाणपत्र अभी भी प्रमाणीकरण करता है। वही दूसरा परीक्षण लोग छोड़ देते हैं, और वही गलती से रूट हटाने या किसी के न बताए नीति परिवर्तन को पकड़ता है। ऐसा डिवाइस उपयोग करें जहाँ आप देख सकें कि कौन-सा प्रमाणपत्र प्रस्तुत हो रहा है। कई प्रमाणपत्र रखने वाला क्लाइंट चुपचाप काम करने वाला प्रमाणपत्र उपयोग करके आपके निरस्तीकरण को टूटा हुआ दिखा सकता है।

दोनों परिणाम टिकट में दर्ज करें। केवल अस्वीकृति की दिशा में सत्यापित निरस्तीकरण आधा सत्यापित है।

चरण 4: पहले से चालू सत्र

प्रलेखित परिणाम नए कनेक्शनों के बारे में है। इसे इस वादे तक न बढ़ाएँ कि सूची सहेजे जाने के क्षण हर मौजूदा टनल गिर जाएगी। यदि तत्काल हटाना मायने रखता है, तो वही नियंत्रण उपयोग करें जो आपका तैनात कॉन्फ़िगरेशन वास्तव में देता है और मान लेने के बजाय उस विशेष सत्र की जाँच करें।

इसका परीक्षण प्रमाणीकरण से अलग करें, क्योंकि दोनों अलग-अलग जगहों पर विफल होते हैं और अलग साक्ष्य छोड़ते हैं।

रोलबैक, और बचने योग्य शॉर्टकट

रोलबैक का अर्थ है थंबप्रिंट को निरस्त सूची से हटाना और उसी अपडेट के पूरा होने की प्रतीक्षा करना। जब आपने गलत प्रविष्टि निरस्त की हो तो यह सुरक्षित है, और जब प्रमाणपत्र वास्तव में समझौता किया गया हो तो यह खतरनाक है, इसलिए पहले तय करें कि आप किस स्थिति में हैं। भरोसेमंद रूट हटाना एक खोए लैपटॉप के लिए शॉर्टकट नहीं है। एक मशीन पर स्थानीय VPN प्रोफ़ाइल हटाने से यह नहीं बदलता कि कोई गेटवे क्या स्वीकार करता है।

यदि पहचान दूसरे गेटवे पर भी प्रमाणीकरण करती है, तो दोनों को एक ही उपचार चाहिए। निरस्त सूची गेटवे की होती है, सदस्यता की नहीं।