SSTP i IKEv2 koriste različite upravljačke elemente certifikata RRAS

Zamijenite li „VPN certifikat”, možete promijeniti pogrešnu uslugu. RRAS drži najmanje tri upravljačka elementa certifikata, a svaki pripada drugom protokolu i drugoj ulozi veze. Ako prvo imenujete protokol, rizična pretpostavka postaje jedna povratna promjena vezanja. Sve u nastavku ovisi o toj jednoj rečenici.

Imenujte protokol prije certifikata

Slušač SSTP klijentu koji se ponaša kao HTTPS predstavlja TLS certifikat. Dolazna veza IKEv2 između lokacija oglašava identitet poslužitelja i provjerava certifikate partnera prema pouzdanom korijenu. Definicija između lokacija za sučelje nosi vlastiti identitet računala.

To su tri upravljačka elementa s tri opsega. Njihovo miješanje daje promjenu koja na jednom protokolu izgleda ispravno, a na drugom nema učinka, što je gore od očitog kvara. Zapišite koji protokol nije uspio, koja je strana predstavila certifikat i koja ga je odbila prije nego što bilo što dirnete.

SSTP je vezanje HTTPS

Za podržane implementacije Remote Access Set-RemoteAccess izlaže parametar SslCertificate koji se koristi za SSTP povezivost i za DirectAccess ulogu povezanu s HTTPS-om.

Njegov opseg provjere i implementacije slijedi konfiguraciju Remote Access, pa jedna promjena vezanja može dosegnuti više od jedne veze ili čvora. U implementaciji s raspodjelom opterećenja taj opseg uključuje svaki čvor koji konfiguracija pokriva. Promjena jednog čvora i testiranje jednog klijenta ostavlja ostale da predstavljaju stari lisni certifikat, a to je upravo ona polovična promjena koja preživi servisni prozor.

Prije ažuriranja provjerite očekivani naziv usluge, lanac, valjanost, namijenjenu upotrebu i dostupnost privatnog ključa. Certifikat mora odgovarati nazivu koji će klijent provjeriti, a oznaka adaptera nije taj naziv.

Dolazni IKEv2 ima vlastiti parametar

Set-VpnAuthProtocol konfigurira provjeru autentičnosti dolaznog IKEv2 između lokacija, a CertificateAdvertised isporučuje certifikat kada ga način provjere autentičnosti tunela koristi. To nije općenita naredba za odabir bilo kojeg poslužiteljskog certifikata na hostu.

Držite odvojeno dva objekta: lisni certifikat koji poslužitelj predstavlja kao vlastiti identitet i korijen koji koristi za prihvaćanje certifikata partnera. Odabir izdavatelja kojem vjerujete ne govori ništa o tome koji lisni certifikat poslužitelj predstavlja.

Identitet pojedinog sučelja između lokacija postavlja se putem Set-VpnS2SInterface. To nije automatski SSTP certifikat, čak i kada oba leže u istom spremištu na istom računalu.

Najprije pregledajte kandidata

Usredotočen prikaz spremišta lokalnog računala pokazuje javne metapodatke bez izvoza bilo čega privatnog:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Taj je popis polazište, a ne test prikladnosti. Pregledajte SAN unose, proširene upotrebe ključa, lanac i pristup računa usluge privatnom ključu za protokol koji konfigurirate.

Certifikat instaliran za nepovezani identitet klijenta u oblaku nije prikladan samo zato što se pojavljuje u istom spremištu. Vidljivost nije prikladnost, a otisak prsta na snimci zaslona ništa ne dokazuje o tome može li račun usluge čitati ključ. Provjerite taj pristup izričito, jer nedostatak dopuštenja za ključ otkriva se tek kada se usluga ponovno pokrene i pokuša upotrijebiti certifikat.

Zabilježite trenutačno vezanje i potvrdite da još možete doći do hosta na drugi način prije nego što ga promijenite. Put oporavka pripada promjeni, a ne incidentu koji slijedi.

Obnova nije aktivacija

Ponovno izdavanje certifikata radnja je različita od njegova odabira za uslugu koja radi. Novi lisni certifikat može zadržati namijenjeni DNS identitet i pritom nositi drugi otisak prsta, pa ništa ne pokazuje na njega dok se vezanje ne ažurira. Obnova mijenja objekt; aktivacija mijenja referencu na njega. Miješanje tih dvaju razlog je zašto ispravno obnovljen certifikat može tjednima stajati neiskorišten.

Primijenite podržanu promjenu u prikladnom prozoru, uključujući svako dokumentirano ponovno pokretanje, a zatim pregledajte certifikat iz nove veze namijenjenog protokola. Predmemorirana sesija klijenta može još prikazivati stari lisni certifikat i učiniti da ispravna promjena izgleda pokvareno.

Prethodni certifikat povucite uobičajenim postupkom tek nakon što ta provjera prođe. Referenca Set-RemoteAccess dokumentira opseg SSL parametra, uključujući njegov učinak u implementacijama s raspodjelom opterećenja, a to je dio koji vrijedi pročitati prije promjene vezanja.