SSTP और IKEv2 अलग-अलग RRAS प्रमाणपत्र नियंत्रणों का उपयोग करते हैं

अगर आप «VPN प्रमाणपत्र» बदलते हैं तो हो सकता है कि आप गलत सेवा बदल दें। RRAS कम से कम तीन प्रमाणपत्र नियंत्रण रखता है और इनमें से हर एक अलग प्रोटोकॉल और अलग कनेक्शन भूमिका से संबंधित है। पहले प्रोटोकॉल का नाम लेना जोखिम भरे अनुमान को एक ही वापस लौटाने योग्य बाइंडिंग बदलाव में बदल देता है। नीचे सब कुछ उसी एक वाक्य पर निर्भर है।

प्रमाणपत्र से पहले प्रोटोकॉल का नाम लें

SSTP श्रोता HTTPS जैसा व्यवहार करने वाले क्लाइंट को TLS प्रमाणपत्र प्रस्तुत करता है। आने वाला साइट-से-साइट IKEv2 कनेक्शन सर्वर की पहचान की घोषणा करता है और साथियों के प्रमाणपत्रों को विश्वसनीय रूट के विरुद्ध सत्यापित करता है। प्रति इंटरफ़ेस साइट-से-साइट परिभाषा अपनी अलग मशीन पहचान रखती है।

ये तीन दायरों वाले तीन नियंत्रण हैं। इन्हें आपस में मिलाना ऐसा बदलाव पैदा करता है जो एक प्रोटोकॉल पर काम करता दिखता है और दूसरे पर कोई असर नहीं डालता, जो किसी स्पष्ट विफलता से भी बुरा है। कुछ भी छूने से पहले लिख लें कि कौन सा प्रोटोकॉल विफल हुआ, किस पक्ष ने प्रमाणपत्र प्रस्तुत किया और किस पक्ष ने उसे अस्वीकार किया।

SSTP एक HTTPS बाइंडिंग है

समर्थित Remote Access परिनियोजनों में Set-RemoteAccess वह SslCertificate पैरामीटर उपलब्ध कराता है जो SSTP कनेक्टिविटी और HTTPS से जुड़ी DirectAccess भूमिका के लिए उपयोग होता है।

इसका सत्यापन और परिनियोजन दायरा Remote Access कॉन्फ़िगरेशन का पालन करता है, इसलिए एक बाइंडिंग बदलाव एक से अधिक कनेक्शन या नोड तक पहुँच सकता है। लोड-संतुलित परिनियोजन में यह दायरा उस हर नोड को शामिल करता है जिसे कॉन्फ़िगरेशन कवर करता है। एक नोड बदलना और एक क्लाइंट जाँचना बाकी सबको पुरानी पत्ती प्रस्तुत करते हुए छोड़ देता है, और यही वह आधा-अधूरा बदलाव है जो रखरखाव विंडो से बच जाता है।

अपडेट से पहले अपेक्षित सेवा नाम, श्रृंखला, वैधता, इच्छित उपयोग और निजी कुंजी की उपलब्धता सत्यापित करें। प्रमाणपत्र को उस नाम से मेल खाना चाहिए जिसे क्लाइंट जाँचेगा, और एडाप्टर लेबल वह नाम नहीं है।

आने वाले IKEv2 का अपना पैरामीटर है

Set-VpnAuthProtocol आने वाले साइट-से-साइट IKEv2 प्रमाणीकरण को कॉन्फ़िगर करता है, और CertificateAdvertised प्रमाणपत्र प्रदान करता है जब टनल प्रमाणीकरण मोड उनका उपयोग करता है। यह होस्ट पर कोई भी सर्वर प्रमाणपत्र चुनने का सामान्य आदेश नहीं है।

दो वस्तुओं को अलग रखें: वह पत्ती जो सर्वर अपनी पहचान के रूप में प्रस्तुत करता है, और वह रूट जिसका उपयोग वह साथियों के प्रमाणपत्र स्वीकार करने के लिए करता है। यह चुनना कि आप किस जारीकर्ता पर भरोसा करते हैं, इस बारे में कुछ नहीं कहता कि सर्वर कौन सी पत्ती प्रस्तुत करता है।

किसी व्यक्तिगत साइट-से-साइट इंटरफ़ेस की पहचान Set-VpnS2SInterface के माध्यम से निर्धारित होती है। यह अपने आप SSTP प्रमाणपत्र नहीं है, भले ही दोनों एक ही मशीन पर एक ही स्टोर में हों।

पहले उम्मीदवार का निरीक्षण करें

स्थानीय मशीन के स्टोर का केंद्रित दृश्य सार्वजनिक मेटाडेटा दिखाता है बिना कोई निजी चीज़ निर्यात किए:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

वह सूची प्रारंभ बिंदु है, उपयुक्तता परीक्षण नहीं। जिस प्रोटोकॉल को आप कॉन्फ़िगर कर रहे हैं उसके लिए SAN प्रविष्टियाँ, विस्तारित कुंजी उपयोग, श्रृंखला और सेवा खाते की निजी कुंजी तक पहुँच का निरीक्षण करें।

किसी असंबंधित क्लाउड क्लाइंट पहचान के लिए स्थापित प्रमाणपत्र केवल इसलिए उपयुक्त नहीं है कि वह उसी स्टोर में दिखता है। दृश्यता उपयुक्तता नहीं है, और स्क्रीनशॉट में उंगलियों का निशान इस बारे में कुछ सिद्ध नहीं करता कि सेवा खाता कुंजी पढ़ सकता है या नहीं। उस पहुँच की स्पष्ट रूप से जाँच करें, क्योंकि कुंजी की अनुमति न होना केवल तब प्रकट होता है जब सेवा पुनः आरंभ होती है और प्रमाणपत्र का उपयोग करने का प्रयास करती है।

वर्तमान बाइंडिंग दर्ज करें और इसे बदलने से पहले पुष्टि करें कि आप अब भी होस्ट तक किसी अन्य तरीके से पहुँच सकते हैं। रिकवरी पथ बदलाव का हिस्सा है, न कि उसके बाद आने वाली घटना का।

नवीनीकरण सक्रियण नहीं है

प्रमाणपत्र का पुनः जारी होना चल रही सेवा के लिए उसे चुनने से अलग कार्रवाई है। नई पत्ती इच्छित DNS पहचान बनाए रख सकती है और फिर भी भिन्न उंगली-निशान रख सकती है, इसलिए जब तक बाइंडिंग अपडेट नहीं होती कोई चीज़ उसकी ओर इशारा नहीं करती। नवीनीकरण वस्तु बदलता है; सक्रियण उसकी ओर संदर्भ बदलता है। इन दोनों को मिलाना ही कारण है कि सही ढंग से नवीनीकृत प्रमाणपत्र हफ्तों तक अप्रयुक्त पड़ा रह सकता है।

समर्थित बदलाव को उपयुक्त विंडो में लागू करें, जिसमें कोई भी प्रलेखित पुनः आरंभ शामिल हो, फिर प्रमाणपत्र को इच्छित प्रोटोकॉल के नए कनेक्शन से जाँचें। कैश किया गया क्लाइंट सत्र अब भी पुरानी पत्ती दिखा सकता है और सही बदलाव को टूटा हुआ दिखा सकता है।

पिछला प्रमाणपत्र सामान्य प्रक्रिया से केवल उस जाँच के पास होने के बाद हटाएँ। Set-RemoteAccess संदर्भ SSL पैरामीटर का दायरा प्रलेखित करता है, जिसमें लोड-संतुलित परिनियोजनों में उसका प्रभाव शामिल है, और यही वह हिस्सा है जो बाइंडिंग बदलाव से पहले पढ़ने योग्य है।