Az SSTP és az IKEv2 eltérő RRAS-tanúsítvány-vezérlőket használ

Ha kicseréli „a VPN-tanúsítványt”, előfordulhat, hogy a rossz szolgáltatást módosítja. Az RRAS legalább három tanúsítvány-vezérlőt tart, mindegyik más protokollhoz és más kapcsolati szerephez tartozik. Ha először a protokollt nevezi meg, a kockázatos találgatás egyetlen visszafordítható kötésmódosítássá válik. Minden alábbi ezen az egy mondaton múlik.

Nevezze meg a protokollt a tanúsítvány előtt

Az SSTP-figyelő TLS-tanúsítványt mutat be egy HTTPS-ként viselkedő ügyfélnek. Egy bejövő helyek közötti IKEv2-kapcsolat kiszolgálóidentitást hirdet, és a partnerek tanúsítványait egy megbízható gyökérhez ellenőrzi. Az interfészenkénti helyek közötti definíció saját gépi identitást hordoz.

Ez három vezérlő három hatókörrel. Összekeverésük olyan módosítást eredményez, amely az egyik protokollon működni látszik, a másikon pedig nincs hatása, ami rosszabb egy nyilvánvaló hibánál. Bármihez nyúlna, írja fel, melyik protokoll hibázott, melyik fél mutatta be a tanúsítványt, és melyik fél utasította el.

SSTP: HTTPS-kötés

A támogatott Remote Access-telepítésekben a Set-RemoteAccess közzétesz egy SslCertificate paramétert, amelyet SSTP-kapcsolathoz és a HTTPS-hez kapcsolódó DirectAccess-szerephez használnak.

Ellenőrzési és telepítési hatóköre a Remote Access konfigurációját követi, így egy kötésmódosítás egynél több kapcsolatot vagy csomópontot érhet el. Terheléselosztásos telepítésben ez a hatókör minden csomópontot lefed, amelyre a konfiguráció kiterjed. Egy csomópont módosítása és egy ügyfél tesztelése a többieket a régi levéltanúsítvány bemutatásánál hagyja, és éppen ez az a félig végrehajtott módosítás, amely túlél egy karbantartási ablakot.

Frissítés előtt ellenőrizze a várt szolgáltatásnevet, a láncot, az érvényességet, a tervezett felhasználást és a titkos kulcs elérhetőségét. A tanúsítványnak meg kell felelnie annak a névnek, amelyet az ügyfél ellenőrizni fog, és az adapter címkéje nem ez a név.

A bejövő IKEv2 saját paraméterrel rendelkezik

A Set-VpnAuthProtocol a bejövő helyek közötti IKEv2-hitelesítést konfigurálja, a CertificateAdvertised pedig tanúsítványt biztosít, amikor az alagút hitelesítési módja ezeket használja. Ez nem általános parancs a gazdagép bármely kiszolgálótanúsítványának kiválasztására.

Tartsa külön a két objektumot: a levéltanúsítványt, amelyet a kiszolgáló saját identitásaként bemutat, és a gyökeret, amelyet a partnertanúsítványok elfogadására használ. Annak eldöntése, melyik kibocsátóban bízik, semmit nem mond arról, melyik levéltanúsítványt mutatja be a kiszolgáló.

Egy adott helyek közötti interfész identitását a Set-VpnS2SInterface állítja be. Ez nem automatikusan az SSTP-tanúsítvány, még akkor sem, ha mindkettő ugyanabban a tárolóban van ugyanazon a gépen.

Először vizsgálja meg a jelöltet

A helyi gép tárolójának célzott nézete nyilvános metaadatokat mutat, anélkül hogy bármi privátot exportálna:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Ez a lista kiindulópont, nem alkalmassági teszt. Vizsgálja meg a SAN-bejegyzéseket, a kiterjesztett kulcshasználatokat, a láncot és a szolgáltatásfiók hozzáférését a titkos kulcshoz a konfigurált protokollhoz.

Egy független felhőügyfél-identitáshoz telepített tanúsítvány nem alkalmas csak azért, mert ugyanabban a tárolóban jelenik meg. A láthatóság nem alkalmasság, és egy képernyőkép ujjlenyomata semmit nem bizonyít arról, hogy a szolgáltatásfiók olvasni tudja-e a kulcsot. Ellenőrizze ezt a hozzáférést kifejezetten, mert a hiányzó kulcsengedély csak akkor derül ki, amikor a szolgáltatás újraindul, és megpróbálja használni a tanúsítványt.

Jegyezze fel a jelenlegi kötést, és a módosítása előtt erősítse meg, hogy a gazdagép más módon továbbra is elérhető. A helyreállítási útvonal a módosításhoz tartozik, nem a következő incidenshez.

A megújítás nem aktiválás

A tanúsítvány újbóli kiállítása más művelet, mint kiválasztása a futó szolgáltatáshoz. Az új levéltanúsítvány megtarthatja a tervezett DNS-identitást, és mégis más ujjlenyomatot hordozhat, így semmi nem mutat rá, amíg a kötés nem frissül. A megújítás megváltoztatja az objektumot; az aktiválás megváltoztatja a rá mutató hivatkozást. A kettő összekeverése az oka annak, hogy egy helyesen megújított tanúsítvány hetekig használatlanul állhat.

Alkalmazza a támogatott módosítást megfelelő ablakban, beleértve bármilyen dokumentált újraindítást, majd vizsgálja meg a tanúsítványt a tervezett protokoll új kapcsolatából. Egy gyorsítótárazott ügyfél-munkamenet még a régi levéltanúsítványt mutathatja, és egy helyes módosítást hibásnak tüntethet fel.

A korábbi tanúsítványt a szokásos folyamattal csak akkor vonja ki, ha ez az ellenőrzés átment. A Set-RemoteAccess-referencia dokumentálja az SSL-paraméter hatókörét, beleértve annak hatását terheléselosztásos telepítésekben, és éppen ezt érdemes elolvasni egy kötésmódosítás előtt.