Egy Azure Point-to-Site ügyfél-tanúsítvány visszavonása

Egy Azure Point-to-Site ügyfél visszavonása azt jelenti, hogy hozzáadjuk az ujjlenyomatát az átjáró visszavont listájához. Ez nem jelenti a megbízható gyökér törlését. A gyökér minden valaha kiadott ügyfél-tanúsítvány kiállítója, ezért eltávolítása más művelet, sokkal nagyobb hatókörrel. A visszavonás egysége itt egyetlen tanúsítvány.

1. lépés: Határozza meg, melyik tanúsítványra gondol

A tanúsítványrekordból induljon ki, ne egy megjelenített névből. Az Azure egy általad beírt barátságos nevet mutat, és ennek a címkének nem kell egyeznie a tárggyal vagy azzal az eszközzel, amelynek kiadták.

Még egy ellenőrzés a visszavonás előtt: derítse ki, hány eszköz mutatja be. Ha több laptop ugyanazon PFX másolataiból készült, az ujjlenyomat visszavonása mindegyiket kizárja, és az Azure nem tudja megkülönböztetni az elveszettet a fiókban lévő tartaléktól.

Az ügyfélen Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter listázza, mi van telepítve ehhez a felhasználóhoz, és érdemes Cert:\LocalMachine\My is ellenőrizni, mert a VPN-ügyfél bármelyik tárhelyről választhat. Hasonlítsa össze az ujjlenyomatot a regisztrációs leltárával. A megújított tanúsítványnak más az ujjlenyomata akkor is, ha a tárgy azonos.

Nyilvános tanúsítvány ujjlenyomatának olvasásához nincs szüksége az ügyfél privát kulcsára vagy jelszóval védett PFX-re. Minden olyan eljárás, amely ezek egyikét igényli, egy másik feladatból lett átmásolva.

2. lépés: Adja hozzá az átjáró visszavont listájához

A portálon nyissa meg a virtuális hálózati átjárót, majd a Point-to-site konfigurációt, majd a visszavont tanúsítványok szakaszt. Adjon hozzá egy barátságos nevet, amelyet hat hónap múlva is felismer, és illessze be az ujjlenyomatot egyetlen folyamatos karakterláncként, a szóközök nélkül.

Mentés előtt ellenőrizze, melyik átjáró van kiválasztva, mert a több átjárós előfizetés pontosan az a hely, ahol ez elromlik. A Microsoft tanúsítvány-konfigurációs útmutatója szerint a frissítés befejezése után a tanúsítvány már nem használható csatlakozásra.

Utólag erősítse meg a tárolt értéket, ahelyett hogy a portál értesítésében bízna: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" megmutatja, mit tart valójában az átjáró.

3. lépés: Ellenőrizze mindkét irányt

Tesztelje az elutasítást a visszavont tanúsítvánnyal, majd tesztelje, hogy egy másik, ugyanazon gyökér alatti tanúsítvány még mindig hitelesít. Ezt a második tesztet szokták kihagyni, és ez az, amely elkapja a véletlen gyökér-eltávolítást vagy egy senki által nem említett házirend-változást. Olyan eszközt használjon, amelyen látszik, melyik tanúsítvány kerül bemutatásra. Egy több tanúsítvánnyal rendelkező ügyfél csendben használhat egy működőt, és úgy tüntetheti fel a visszavonást, mintha el lenne törve.

Rögzítse mindkét eredményt a jegyben. A csak az elutasítás irányában ellenőrzött visszavonás félig ellenőrzött.

4. lépés: Már nyitva lévő munkamenetek

A dokumentált eredmény az új kapcsolatokra vonatkozik. Ne nyújtsa ki olyan ígéretig, hogy minden meglévő alagút abban a másodpercben megszakad, amikor a lista mentésre kerül. Ha az azonnali eltávolítás fontos, használja azokat a vezérlőket, amelyeket a telepített konfigurációja valóban kínál, és ellenőrizze az adott munkamenetet ahelyett, hogy feltételezne.

Ezt a hitelesítéstől elkülönítve tesztelje, mert a kettő különböző helyeken hibázik, és különböző nyomokat hagy.

Visszaállítás, és az elkerülendő rövidítések

A visszaállítás azt jelenti, hogy eltávolítja az ujjlenyomatot a visszavont listáról, és megvárja, hogy ugyanaz a frissítés befejeződjön. Ez biztonságos, ha rossz bejegyzést vont vissza, és veszélyes, ha a tanúsítvány valóban kompromittálódott, ezért először döntse el, melyik eset áll fenn. A megbízható gyökér törlése nem rövidítés egyetlen elveszett laptophoz. A helyi VPN-profil törlése egy gépen nem változtat azon, mit fogad el bármelyik átjáró.

Ha az identitás egy második átjárónál is hitelesít, mindkettőnek ugyanaz a kezelés kell. A visszavont lista az átjáróhoz tartozik, nem az előfizetéshez.