Melyik gépi tanúsítványt kínálja a Windows VPN-je?

A tanúsítványok telepítve vannak, a privát kulcsok megvannak, és az alagút továbbra is elbukik a hitelesítésen. Egy gép, amely több tanúsítvánnyal rendelkezik, olyan jelöltet adhat a VPN-nek, amelyet senki sem szánt rá, és a kliensnek nincs módja tudni, melyiket fogadná el az átjáró. A többi törlése olyan kiválasztási szabályzat, amelynek következményei vannak a gépen futó összes szolgáltatásra. Szűkítse inkább a jogosult halmazt, majd igazolja, melyik tanúsítványt kínálták fel valójában.

Több tanúsítvány, egy felajánlva

A gépi tanúsítványos hitelesítést használó natív Windows VPN-profilok két szűrőt tesznek elérhetővé, amelyek korlátozzák a jelölteket: egy kibocsátószűrőt és egy kiterjesztett kulcshasználati szűrőt. Csökkentik azt a halmazt, amelyből a kliens választhat. Nem javítanak meg egy alkalmatlan tanúsítványt, és nem garantálják, hogy a kiszolgáló elfogadja a maradékot. Ezt a határt érdemes rögzíteni a változási naplóban, mert a következő olvasó azt feltételezi majd, hogy a szűrő többet döntött, mint amennyit döntött.

A hiba, amelyet kezelnek, szűk és konkrét. Egy rossz hatóságtól származó érvényes tanúsítvány, vagy egy olyan célra kiadott, amelyet az átjáró nem fogad el, a szándékolt előtt választódik ki, ami hitelesítési hibát okoz egy egészséges tároló mellett. Két szűrő ebből elég kicsi halmazt csinál az átgondoláshoz, és az oldal hátralévő része sorrendben alkalmazza őket.

Vizsgálja meg a tárolót a profil szerkesztése előtt

Sorolja fel a jelölteket és tulajdonságaikat abban a tárolóban, amelyet a profil valóban használ. Semmi itt nem exportál privát kulcsot, és egyetlen tanúsítványnak sem kell elhagynia a gépet:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Olvassa el a kimenetet azoknál a tulajdonságoknál, amelyektől a döntés függ: használható privát kulcs, elfogadható érvényességi időablak, a szándékolt kibocsátó és a kiterjesztésben szereplő célok. Egy tanúsítvány egyszerre lehet jelen, helyesen regisztrált és hasznavehetetlen ehhez a kapcsolathoz. Az ujjlenyomat-oszlop az, amivel később összehasonlít, ezért őrizze meg a kimenetet.

Erősítse meg a profilt és annak hatókörét szerkesztés előtt, mert egy gépi tanúsítvány a következőben: LocalMachine, egy felhasználói EAP-TLS tanúsítvány és egy alkalmazás saját privátkulcs-tárolója három különböző kontextus. Használja a minden felhasználóra kiterjedő hatókört és adminisztratív kontextust, amikor a kezelt profil ott található. Egy hasonló nevű második profil létrehozása elrejti, melyik konfigurációt használja valójában a kapcsolat.

A kibocsátószűrő objektumot kér

A kibocsátó paramétere tanúsítványobjektumot vár, nem megjelenített nevet és nem csupasz ujjlenyomat-karakterláncot. Adja meg a jóváhagyott hatóság tanúsítványát egy általa ellenőrzött útvonalról, abban a tárolóban, ahová tartozik:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ne cserélje le a kliens saját levéltanúsítványát, egy hasonló tárgyú másik hatóságot vagy egy frissen generált gyökeret csak azért, mert a paraméter típusa elfogadja. Két hatóság osztozhat ugyanazon a tárgy-karakterláncon, és ezért az objektum többet számít, mint a szöveg. A Microsoft cmdlet-referenciája dokumentálja mindkét bemeneti típust, és érdemes az első szerkesztés előtt elolvasni, nem a sikertelen kísérlet után.

A használati szűrő OID-karakterláncot kér

A kiterjesztett kulcshasználat paramétere OID-karakterláncokat fogad, és az ügyfélhitelesítés célja a következő: 1.3.6.1.5.5.7.3.2. Az alkalmazása a jelölteket az erre a célra kiterjedő tanúsítványokra szűkíti, ami pontosan az, amit egy ügyfélhitelesítéses telepítés szeretne:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Az érték tömb, ezért a több célt igénylő telepítés listaként adja át őket. Amit a szűrő nem tud, az az, hogy célt adjon egy tanúsítványhoz: ez egy aláírt kiterjesztéseken kiértékelt kiválasztási kifejezés, és egyetlen szűrő sem írja át azokat, ezért a hiányzó célú tanúsítványnak újra át kell esnie a regisztráción.

Tartsa külön a felhasználói tanúsítványok EAP-konfigurációját a gépi tanúsítványok szűrésétől, mert különböző helyeken élnek, és az egyik változása ritkán magyarázza a másik hibáját. Azt is ellenőrizze, hogy a tartomány vagy az eszközkezelés birtokolja-e a profilt, mert egy helyi szerkesztést a következő házirend-frissítés helyettesíthet anélkül, hogy bárki hozzányúlna a géphez.

Bizonyítsa, melyik tanúsítványt kínálta a kliens

Hozzon létre új kapcsolatot, és olvassa el a kliens és a kiszolgáló hitelesítési bizonyítékait a szándékolt identitásra. Amikor több tanúsítvány is megfelel a szűrőknek, az eredmény kisebb halmaz, nem pedig rögzített levéltanúsítvány, ezért a következő kísérlet más tagot választhat. Jegyezze fel az ujjlenyomatot, amely ezekben a bizonyítékokban megjelenik, és hasonlítsa össze a tárolóból feljegyzettel.

A sikeres parancs nem sikeres hitelesítés. A rögzítésre érdemes eredmény az, hogy a szándékolt tanúsítvány hitelesít a kezelt házirend alatt, miközben minden nem kapcsolódó tanúsítvány elérhető marad az attól függő szolgáltatások számára. Ha a hiba mindkét szűrőt túléli, a következő vizsgálandó hely a fennmaradó jelöltek, nem a teljes profil.