Ինչպես չեղարկել Azure Point-to-Site-ի մեկ հաճախորդի վկայական

Azure Point-to-Site-ի մեկ հաճախորդին չեղարկելը նշանակում է նրա մատնահետքը ավելացնել դարպասի չեղարկվածների ցանկին։ Դա չի նշանակում ջնջել վստահելի արմատը։ Արմատը ձեր երբևէ տրամադրած յուրաքանչյուր հաճախորդի վկայականի թողարկողն է, ուստի այն հեռացնելը այլ գործողություն է՝ շատ ավելի մեծ ազդեցությամբ։ Այստեղ չեղարկման միավորը մեկ վկայական է։

Քայլ 1: Ճշգրտեք, թե որ վկայականն նկատի ունեք

Սկսեք վկայականի գրառումից, ոչ թե ցուցադրվող անունից։ Azure-ը ցույց է տալիս ձեր իսկ մուտքագրած ընկերական անունը, և այդ պիտակը պարտավոր չէ համընկնել սուբյեկտի կամ այն սարքի հետ, որի համար այն տրվել է։

Եվս մեկ ստուգում չեղարկելուց առաջ՝ պարզեք, թե քանի սարք է ներկայացնում այն։ Եթե մի քանի նոթբուքեր ստեղծվել են նույն PFX-ի պատճեններից, մատնահետքի չեղարկումը կողպում է բոլորին, և Azure-ը չի կարող տարբերել կորածը դարակում գտնվող պահեստայինից։

Հաճախորդի կողմում Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter ցուցակում է, թե ինչ է տեղադրված այդ օգտատիրոջ համար, և Cert:\LocalMachine\My նույնպես արժե ստուգել, որովհետև VPN հաճախորդը կարող է ընտրել երկու պահոցներից որևէ մեկից։ Համեմատեք մատնահետքը ձեր գրանցման գույքագրման հետ։ Թարմացված վկայականն ունի այլ մատնահետք, նույնիսկ երբ սուբյեկտը նույնական է։

Հանրային վկայականի մատնահետքը կարդալու համար ձեզ հարկավոր չէ հաճախորդի մասնավոր բանալին կամ գաղտնաբառով պաշտպանված PFX։ Ցանկացած ընթացակարգ, որը պահանջում է դրանցից մեկը, պատճենված է այլ առաջադրանքից։

Քայլ 2: Ավելացրեք այն դարպասի չեղարկվածների ցանկին

Պորտալում բացեք վիրտուալ ցանցի դարպասը, ապա Point-to-site կարգավորումը, ապա չեղարկված վկայականների բաժինը։ Ավելացրեք ընկերական անուն, որը կճանաչեք վեց ամիս անց, և տեղադրեք մատնահետքը որպես մեկ շարունակական տող՝ առանց բացատների։

Պահելուց առաջ ստուգեք, թե որ դարպասն է ընտրված, որովհետև մի քանի դարպաս ունեցող բաժանորդագրությունը հենց այն տեղն է, որտեղ սա սխալ է գնում։ Microsoft-ի վկայականների կարգավորման ուղեցույցը նշում է, որ թարմացումն ավարտվելուց հետո վկայականն այլևս չի կարող օգտագործվել միանալու համար։

Հետո հաստատեք պահված արժեքը՝ փոխարենը չվստահելով պորտալի ծանուցմանը՝ az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" ցույց է տալիս, թե դարպասն իրականում ինչ է պահում։

Քայլ 3: Ստուգեք երկու ուղղությունները

Փորձարկեք մերժումը չեղարկված վկայականով, ապա փորձարկեք, որ նույն արմատի տակ գտնվող մեկ այլ վկայական դեռ նույնականացվում է։ Հենց այդ երկրորդ թեստն են մարդիկ բաց թողնում, և հենց այն է բռնում արմատի պատահական հեռացումը կամ ինչ-որ մեկի չնշած քաղաքականության փոփոխությունը։ Օգտագործեք սարք, որտեղ կարող եք տեսնել, թե որ վկայականն է ներկայացվում։ Մի քանի վկայական ունեցող հաճախորդը կարող է լուռ օգտագործել աշխատող մեկը և ձեր չեղարկումը կոտրված տեսք տալ։

Գրանցեք երկու արդյունքներն էլ տոմսում։ Միայն մերժման ուղղությամբ ստուգված չեղարկումը կիսով չափ ստուգված է։

Քայլ 4: Արդեն բաց սեսիաներ

Փաստաթղթավորված արդյունքը վերաբերում է նոր միացումներին։ Մի ձգեք այն մինչև խոստում, որ յուրաքանչյուր գոյություն ունեցող թունել կընկնի ցանկի պահման պահին։ Եթե անհապաղ հեռացումը կարևոր է, օգտագործեք այն կառավարման միջոցները, որ ձեր տեղակայված կարգավորումն իսկապես առաջարկում է, և ստուգեք կոնկրետ սեսիան՝ ենթադրելու փոխարեն։

Փորձարկեք դա առանձին նույնականացումից, որովհետև երկուսը ձախողվում են տարբեր տեղերում և տարբեր ապացույցներ թողնում։

Հետ շրջելը և այն կարճուղիները, որոնցից պետք է խուսափել

Հետ շրջելը նշանակում է հեռացնել մատնահետքը չեղարկվածների ցանկից և սպասել նույն թարմացման ավարտին։ Դա անվտանգ է, երբ չեղարկել եք սխալ գրառումը, և վտանգավոր է, երբ վկայականն իսկապես վտանգված է, ուստի նախ որոշեք, թե որ դեպքում եք։ Վստահելի արմատը ջնջելը կարճուղի չէ մեկ կորած նոթբուքի համար։ Մեկ մեքենայի վրա տեղական VPN պրոֆիլը ջնջելը չի փոխում, թե ինչ է ընդունում որևէ դարպաս։

Եթե ինքնությունը նույնականացվում է նաև երկրորդ դարպասում, երկուսն էլ նույն վերաբերմունքի կարիքն ունեն։ Չեղարկվածների ցանկը պատկանում է դարպասին, ոչ թե բաժանորդագրությանը։