Որ մեքենայի վկայականն է առաջարկում Windows VPN-ը։

Վկայականները տեղադրված են, մասնավոր բանալիները առկա են, և թունելը դեռ ձախողում է նույնականացումը։ Մի քանի վկայական ունեցող մեքենան կարող է VPN-ին տալ թեկնածու, որը ոչ ոք չէր նախատեսել, և հաճախորդը որևէ միջոց չունի իմանալու, թե որին կընդունի դարպասը։ Մյուսներին ջնջելը ընտրության քաղաքականություն է, որն անդրադառնում է մեքենայի յուրաքանչյուր ծառայության վրա։ Փոխարենը նեղացրեք թույլատրելի բազմությունը, ապա հաստատեք, թե որ վկայականն է իրականում առաջարկվել։

Մի քանի վկայական, մեկը առաջարկված

Մեքենայի վկայականի նույնականացմամբ Windows-ի բնիկ VPN պրոֆիլները տրամադրում են երկու զտիչ, որոնք սահմանափակում են թեկնածուներին՝ թողարկողի զտիչ և ընդլայնված բանալու օգտագործման զտիչ։ Դրանք փոքրացնում են այն բազմությունը, որից հաճախորդը կարող է ընտրել։ Դրանք չեն վերանորոգում ոչ պիտանի վկայականը և չեն երաշխավորում, որ սերվերը կընդունի մնացածը։ Այդ սահմանն արժե գրանցել փոփոխությունների մատյանում, որովհետև հաջորդ ընթերցողը կենթադրի, թե զտիչը որոշել է ավելին, քան իրականում որոշել է։

Խափանումը, որին դրանք անդրադառնում են, նեղ և կոնկրետ է։ Սխալ մարմնի կողմից տրված վավեր վկայականը, կամ այն, որը տրվել է դարպասի չընդունած նպատակի համար, ընտրվում է նախատեսվածից առաջ, ինչը նույնականացման խափանում է առաջացնում առողջ պահոցի կողքին։ Երկու զտիչ դա դարձնում են բավական փոքր բազմություն՝ դատելու համար, և այս էջի մնացած մասը դրանք կիրառում է հերթականությամբ։

Ստուգեք պահոցը նախքան պրոֆիլը խմբագրելը

Թվարկեք թեկնածուներին և նրանց հատկությունները այն պահոցում, որն իրականում օգտագործում է պրոֆիլը։ Այստեղ ոչինչ չի արտահանում մասնավոր բանալի, և ոչ մի վկայական ստիպված չէ հեռանալ մեքենայից:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Կարդացեք ելքը այն հատկությունների համար, որոնցից կախված է որոշումը՝ օգտագործելի մասնավոր բանալի, ընդունելի վավերականության պատուհան, նախատեսված թողարկող և ընդլայնման մեջ եղած նպատակները։ Վկայականը կարող է միաժամանակ առկա լինել, ճիշտ գրանցված լինել և անօգուտ լինել այս միացման համար։ Մատնահետքի սյունը այն է, որի հետ հետո կհամեմատեք, ուստի պահեք ելքը։

Նախքան խմբագրելը հաստատեք պրոֆիլը և դրա շրջանակը, որովհետև LocalMachine-ում գտնվող մեքենայի վկայականը, օգտվողի EAP-TLS վկայականը և հավելվածի սեփական մասնավոր բանալիների պահոցը երեք տարբեր համատեքստեր են։ Օգտագործեք բոլոր օգտվողների շրջանակը և վարչական համատեքստ, երբ կառավարվող պրոֆիլը հենց այնտեղ է։ Նման անունով երկրորդ պրոֆիլ ստեղծելը թաքցնում է, թե որ կազմաձևն է իրականում օգտագործում միացումը։

Թողարկողի զտիչը օբյեկտ է ուզում

Թողարկողի պարամետրը սպասում է վկայականի օբյեկտ, ոչ ցուցադրվող անուն և ոչ մերկ մատնահետքի տող։ Տրամադրեք հաստատված մարմնի վկայականը ձեր ստուգած ուղուց, այն պահոցում, որտեղ այն պատկանում է:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Չփոխարինեք հաճախորդի սեփական տերևային վկայականը, նման սուբյեկտով այլ մարմին կամ նոր ստեղծված արմատ միայն այն պատճառով, որ պարամետրի տեսակը ընդունում է այն։ Երկու մարմին կարող են կիսել նույն սուբյեկտի տողը, ինչի պատճառով օբյեկտը ավելի կարևոր է, քան տեքստը։ Microsoft cmdlet-ի տեղեկատուն փաստագրում է երկու մուտքային տեսակները, և արժե այն կարդալ առաջին խմբագրումից առաջ, այլ ոչ թե ձախողված փորձից հետո։

Օգտագործման զտիչը OID տող է ուզում

Ընդլայնված բանալու օգտագործման պարամետրը ընդունում է OID տողեր, և հաճախորդի նույնականացման նպատակն է 1.3.6.1.5.5.7.3.2։ Դրա կիրառումը թեկնածուներին սահմանափակում է այդ նպատակը կրող վկայականներով, ինչը հենց այն է, ինչ ուզում է հաճախորդի նույնականացմամբ տեղադրումը:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Արժեքը զանգված է, ուստի մի քանի նպատակ անհրաժեշտ տեղադրումը դրանք փոխանցում է որպես ցուցակ։ Զտիչը չի կարող նպատակ ավելացնել վկայականին՝ դա ընտրության արտահայտություն է, որը գնահատվում է ստորագրված ընդլայնումների նկատմամբ, և ոչ մի զտիչ դրանք չի վերագրում, ուստի նպատակից զուրկ վկայականը պետք է նորից անցնի գրանցումով։

Օգտվողի վկայականների EAP կազմաձևը առանձին պահեք մեքենայի վկայականների զտումից, որովհետև դրանք ապրում են տարբեր վայրերում, և մեկի փոփոխությունը հազվադեպ է բացատրում մյուսի խափանումը։ Ստուգեք նաև, թե արդյոք պրոֆիլը պատկանում է տիրույթին կամ սարքերի կառավարմանը, որովհետև տեղական խմբագրումը կարող է փոխարինվել հաջորդ քաղաքականության թարմացման ժամանակ՝ առանց որևէ մեկի դիպչելու մեքենային։

Ապացուցեք, թե որ վկայականն է առաջարկել հաճախորդը

Հաստատեք նոր միացում և կարդացեք հաճախորդի ու սերվերի նույնականացման ապացույցները նախատեսված ինքնության համար։ Երբ զտիչներին բավարարում է մեկից ավելի վկայական, արդյունքը փոքր բազմություն է, այլ ոչ թե ամրացված տերև, ուստի հաջորդ փորձը կարող է ընտրել այլ անդամ։ Նշեք այդ ապացույցներում հայտնված մատնահետքը և համեմատեք պահոցից գրանցածի հետ։

Հաջող հրամանը հաջող նույնականացում չէ։ Գրանցման արժանի արդյունքն այն է, որ նախատեսված վկայականը նույնականացվում է կառավարվող քաղաքականության ներքո, մինչդեռ յուրաքանչյուր անկապ վկայական մնում է հասանելի այն ծառայություններին, որոնք կախված են դրանից։ Եթե խափանումը վերապրում է երկու զտիչները, հաջորդ դիտարկման տեղը մնացած թեկնածուներն են, այլ ոչ թե ամբողջ պրոֆիլը։