SSTP-ն և IKEv2-ը օգտագործում են RRAS վկայագրերի տարբեր կառավարումներ

Եթե փոխեք «VPN վկայագիրը», կարող եք փոխել սխալ ծառայությունը։ RRAS-ը պահում է առնվազն երեք վկայագրի կառավարում, և դրանցից յուրաքանչյուրը պատկանում է տարբեր արձանագրության և տարբեր միացման դերին։ Արձանագրությունը նախ անվանելը ռիսկային ենթադրությունը դարձնում է մեկ շրջելի կապակցման փոփոխություն։ Ներքևի ամեն ինչ կախված է այդ մեկ նախադասությունից։

Անվանեք արձանագրությունը վկայագրից առաջ

SSTP լսիչը TLS վկայագիր է ներկայացնում HTTPS-ի պես վարվող հաճախորդին։ Մուտքային կայք-կայք IKEv2 միացումը հայտարարում է սերվերի ինքնությունը և ստուգում գործընկերների վկայագրերը վստահելի արմատի դեմ։ Ինտերֆեյսի համար կայք-կայք սահմանումը կրում է իր սեփական մեքենայի ինքնությունը։

Սրանք երեք կառավարում են՝ երեք շրջանակով։ Դրանք խառնելը ստեղծում է փոփոխություն, որը կարծես աշխատում է մի արձանագրության վրա և ոչ մի ազդեցություն չունի մյուսի վրա, ինչը վատթար է ակնհայտ ձախողումից։ Նախքան որևէ բանի դիպչելը գրեք, թե որ արձանագրությունն է ձախողվել, որ կողմն է ներկայացրել վկայագիրը և որ կողմն է մերժել այն։

SSTP-ն HTTPS կապակցում է

Աջակցվող Remote Access տեղակայումներում Set-RemoteAccess-ը բացահայտում է SslCertificate պարամետրը, որն օգտագործվում է SSTP միացման և HTTPS-ի հետ կապված DirectAccess դերի համար։

Դրա ստուգման և տեղակայման շրջանակը հետևում է Remote Access կարգավորումներին, ուստի մեկ կապակցման փոփոխությունը կարող է հասնել մեկից ավելի միացման կամ հանգույցի։ Բեռնվածքի հավասարակշռությամբ տեղակայումներում այդ շրջանակը ներառում է յուրաքանչյուր հանգույց, որը ծածկում է կարգավորումը։ Մեկ հանգույց փոխելը և մեկ հաճախորդ փորձարկելը թողնում է մյուսներին ցուցադրել հին տերևը, և դա հենց այն կիսատ փոփոխությունն է, որը գոյատևում է սպասարկման պատուհանից։

Մինչ թարմացումը ստուգեք սպասվող ծառայության անունը, շղթան, վավերականությունը, նախատեսված օգտագործումը և մասնավոր բանալու հասանելիությունը։ Վկայագիրը պետք է համապատասխանի այն անվանը, որը կստուգի հաճախորդը, և ադապտերի պիտակը այդ անունը չէ։

Մուտքային IKEv2-ն ունի իր պարամետրը

Set-VpnAuthProtocol-ը կարգավորում է մուտքային կայք-կայք IKEv2 նույնականացումը, իսկ CertificateAdvertised-ը վկայագիր է տրամադրում, երբ թունելի նույնականացման ռեժիմն օգտագործում է դրանք։ Սա ընդհանուր հրաման չէ հյուրընկալողի ցանկացած սերվերի վկայագիր ընտրելու համար։

Առանձնացրեք երկու օբյեկտ՝ տերևը, որը սերվերը ներկայացնում է որպես իր ինքնություն, և արմատը, որը նա օգտագործում է գործընկերների վկայագրերն ընդունելու համար։ Որ թողարկողին վստահելու ընտրությունը ոչինչ չի ասում այն մասին, թե որ տերևն է ներկայացնում սերվերը։

Առանձին կայք-կայք ինտերֆեյսի ինքնությունը սահմանվում է Set-VpnS2SInterface-ի միջոցով։ Սա ինքնաբերաբար SSTP վկայագիր չէ, նույնիսկ երբ երկուսն էլ գտնվում են նույն պահոցում նույն մեքենայի վրա։

Նախ զննեք թեկնածուին

Տեղական մեքենայի պահոցի նպատակային դիտումը ցույց է տալիս հանրային մետատվյալներ՝ առանց որևէ մասնավոր բան արտահանելու։

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Այդ ցանկը մեկնարկային կետ է, ոչ թե համապատասխանության թեստ։ Զննեք SAN գրառումները, ընդլայնված բանալու օգտագործումները, շղթան և ծառայության հաշվի հասանելիությունը մասնավոր բանալուն այն արձանագրության համար, որը կարգավորում եք։

Անկապ ամպային հաճախորդի ինքնության համար տեղադրված վկայագիրը հարմար չէ միայն այն պատճառով, որ հայտնվում է նույն պահոցում։ Տեսանելիությունը համապատասխանություն չէ, և էկրանի նկարի մատնահետքը ոչինչ չի ապացուցում այն մասին, թե արդյոք ծառայության հաշիվը կարող է կարդալ բանալին։ Ստուգեք այդ հասանելիությունը բացահայտ, քանի որ բանալու թույլտվության բացակայությունը ի հայտ է գալիս միայն այն ժամանակ, երբ ծառայությունը վերագործարկվում է և փորձում օգտագործել վկայագիրը։

Գրանցեք ընթացիկ կապակցումը և նախքան այն փոխելը հաստատեք, որ դեռ կարող եք հասնել հյուրընկալողին այլ կերպ։ Վերականգնման ուղին պատկանում է փոփոխությանը, ոչ թե հաջորդող միջադեպին։

Թարմացումը ակտիվացում չէ

Վկայագրի վերաթողարկումը տարբեր գործողություն է, քան այն աշխատող ծառայության համար ընտրելը։ Նոր տերևը կարող է պահպանել նախատեսված DNS ինքնությունը և միևնույն ժամանակ կրել այլ մատնահետք, ուստի ոչինչ չի մատնանշում դրան, քանի դեռ կապակցումը չի թարմացվել։ Թարմացումը փոխում է օբյեկտը, ակտիվացումը փոխում է դրան ուղղված հղումը։ Այս երկուսը շփոթելն է պատճառը, որ ճիշտ թարմացված վկայագիրը կարող է շաբաթներ մնալ չօգտագործված։

Կիրառեք աջակցվող փոփոխությունը համապատասխան պատուհանում՝ ներառյալ ցանկացած փաստաթղթավորված վերագործարկում, ապա զննեք վկայագիրը նախատեսված արձանագրության նոր միացումից։ Քեշավորված հաճախորդի սեսիան կարող է դեռ ցույց տալ հին տերևը և ճիշտ փոփոխությունը կոտրված թվալ։

Հին վկայագրից հրաժարվեք սովորական ընթացակարգով միայն այդ ստուգումն անցնելուց հետո։ Set-RemoteAccess-ի տեղեկանքը նկարագրում է SSL պարամետրի շրջանակը, ներառյալ դրա ազդեցությունը բեռնվածքի հավասարակշռությամբ տեղակայումներում, և դա այն մասն է, որն արժե կարդալ կապակցման փոփոխությունից առաջ։