Koji certifikat računala nudi VPN u Windowsu?

Certifikati su instalirani, privatni ključevi postoje, a tunel i dalje ne prolazi autentifikaciju. Računalo s više certifikata može VPN-u ponuditi kandidata kojeg nitko nije namjeravao, a klijent ne može znati koji bi pristupnik prihvatio. Brisanje ostalih politika je odabira s posljedicama za svaku uslugu na računalu. Umjesto toga suzite prihvatljiv skup, pa potvrdite koji je certifikat doista ponuđen.

Više certifikata, jedan ponuđen

Izvorni Windows VPN profili s autentifikacijom certifikatom računala nude dva filtra koja ograničavaju kandidate: filtar izdavatelja i filtar proširene uporabe ključa. Oni smanjuju skup iz kojeg klijent može birati. Ne popravljaju neprikladan certifikat i ne jamče da će poslužitelj prihvatiti ono što ostane. Tu granicu vrijedi zapisati u evidenciju promjena, jer će sljedeći čitatelj pretpostaviti da je filtar odlučio više nego što jest.

Smetnja koju rješavaju uska je i konkretna. Važeći certifikat pogrešnog tijela, ili onaj izdan za svrhu koju pristupnik ne prihvaća, odabire se prije namjeravanoga, što daje neuspjelu autentifikaciju pokraj zdravog spremišta. Dva filtra od toga stvaraju skup dovoljno malen za zaključivanje, a ostatak ove stranice primjenjuje ih redom.

Pregledajte spremište prije uređivanja profila

Navedite kandidate i njihova svojstva u spremištu koje profil stvarno koristi. Ovdje ništa ne izvozi privatni ključ i nijedan certifikat ne mora napustiti računalo:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Pročitajte izlaz za svojstva o kojima odluka ovisi: upotrebljiv privatni ključ, prihvatljivo razdoblje valjanosti, namjeravani izdavatelj i svrhe u proširenju. Certifikat može istodobno biti prisutan, ispravno upisan i beskorisan za ovu vezu. Stupac otiska je ono s čime ćete kasnije uspoređivati, zato sačuvajte izlaz.

Potvrdite profil i njegov obuhvat prije uređivanja, jer certifikat računala u LocalMachine, korisnički EAP-TLS certifikat i vlastito spremište privatnih ključeva aplikacije tri su različita konteksta. Upotrijebite obuhvat svih korisnika i administrativni kontekst kada upravljani profil tamo živi. Stvaranje drugog profila sa sličnim imenom prikriva koju konfiguraciju veza stvarno koristi.

Filtar izdavatelja želi objekt

Parametar izdavatelja očekuje objekt certifikata, ne prikazno ime i ne goli niz otiska. Dostavite certifikat odobrenog tijela s putanje koju ste pregledali, u spremište kojem pripada:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ne zamjenjujte klijentov vlastiti završni certifikat, drugo tijelo sa sličnim subjektom ni svježe generirani korijen samo zato što tip parametra to prihvaća. Dva tijela mogu dijeliti isti niz subjekta, i zato je objekt važniji od teksta. Microsoftova referenca za cmdlete dokumentira oba tipa unosa, i vrijedi ju pročitati prije prve izmjene, a ne poslije neuspjelog pokušaja.

Filtar uporabe želi OID niz

Parametar proširene uporabe ključa prima OID nizove, a svrha autentifikacije klijenta je 1.3.6.1.5.5.7.3.2. Njegova primjena ograničava kandidate na certifikate koji nose tu svrhu, što je upravo ono što raspoređivanje s autentifikacijom klijenta želi:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Vrijednost je polje, pa raspoređivanje kojem treba više svrha predaje ih kao popis. Ono što filtar ne može jest dodati svrhu certifikatu: to je izraz odabira koji se procjenjuje prema potpisanim proširenjima, i nijedan filtar ih ne prepisuje, pa certifikat kojem svrha nedostaje mora ponovno kroz upis.

Držite EAP konfiguraciju korisničkih certifikata odvojeno od filtriranja certifikata računala, jer žive na različitim mjestima i promjena na jednom rijetko objašnjava smetnju na drugom. Provjerite i upravlja li profilom domena ili upravljanje uređajima, jer lokalna izmjena može biti zamijenjena pri sljedećem osvježavanju pravila bez ikakva dodira s računalom.

Dokažite koji je certifikat klijent ponudio

Uspostavite novu vezu i pročitajte dokaze autentifikacije klijenta i poslužitelja za identitet koji ste namjeravali. Kada filtre zadovoljava više od jednog certifikata, rezultat je manji skup, a ne prikovani završni certifikat, pa sljedeći pokušaj može odabrati drugog člana. Zabilježite otisak koji se pojavi u tim dokazima i usporedite ga s onim koji ste zapisali iz spremišta.

Uspješna naredba nije uspješna autentifikacija. Rezultat koji vrijedi zapisati jest da se namjeravani certifikat autentificira pod upravljanim pravilima, dok svaki nepovezani certifikat ostaje dostupan uslugama koje o njemu ovise. Ako smetnja preživi oba filtra, sljedeće mjesto za pregled su preostali kandidati, a ne cijeli profil.