Cara mencabut satu sertifikat klien Azure Point-to-Site

Mencabut satu klien Azure Point-to-Site berarti menambahkan sidik jarinya ke daftar dicabut gateway. Ini tidak berarti menghapus akar tepercaya. Akar adalah otoritas penerbit untuk setiap sertifikat klien yang pernah Anda berikan, jadi menghapusnya adalah operasi lain dengan dampak yang jauh lebih luas. Satuan pencabutan di sini adalah satu sertifikat.

Langkah 1: Pastikan sertifikat mana yang dimaksud

Mulailah dari catatan sertifikat, bukan dari nama tampilan. Azure menampilkan nama ramah yang Anda ketik sendiri, dan label itu tidak harus cocok dengan subjek atau perangkat tempat sertifikat diterbitkan.

Satu pemeriksaan lagi sebelum mencabut: cari tahu berapa banyak perangkat yang menyajikannya. Jika beberapa laptop dibuat dari salinan PFX yang sama, mencabut sidik jari akan mengunci semuanya, dan Azure tidak punya cara membedakan yang hilang dari cadangan di laci.

Di klien, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter mencantumkan apa yang terpasang untuk pengguna itu, dan Cert:\LocalMachine\My juga layak diperiksa karena klien VPN dapat memilih dari salah satu dari dua penyimpanan. Bandingkan sidik jari dengan inventaris pendaftaran Anda. Sertifikat yang diperbarui memiliki sidik jari berbeda meskipun subjeknya identik.

Anda tidak perlu kunci privat klien atau PFX yang dilindungi kata sandi untuk membaca sidik jari sertifikat publik. Prosedur apa pun yang menuntut salah satunya disalin dari tugas lain.

Langkah 2: Tambahkan ke daftar dicabut gateway

Di portal, buka gateway jaringan virtual, lalu konfigurasi Point-to-site, lalu bagian sertifikat yang dicabut. Tambahkan nama ramah yang akan Anda kenali dalam enam bulan dan tempelkan sidik jari sebagai satu string bersambung tanpa spasi.

Periksa gateway mana yang dipilih sebelum menyimpan, karena langganan dengan beberapa gateway adalah tepat tempat hal ini salah. panduan konfigurasi sertifikat Microsoft menyatakan bahwa setelah pembaruan selesai, sertifikat tidak dapat lagi digunakan untuk terhubung.

Konfirmasi nilai yang tersimpan sesudahnya alih-alih memercayai pemberitahuan portal: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" menampilkan apa yang sebenarnya disimpan gateway.

Langkah 3: Verifikasi kedua arah

Uji penolakan dengan sertifikat yang dicabut, lalu uji bahwa sertifikat lain di bawah akar yang sama masih terautentikasi. Pengujian kedua itulah yang dilewati orang, dan itulah yang menangkap penghapusan akar secara tidak sengaja atau perubahan kebijakan yang tidak disebutkan siapa pun. Gunakan perangkat tempat Anda dapat melihat sertifikat mana yang disajikan. Klien yang memegang beberapa sertifikat dapat diam-diam memakai yang berfungsi dan membuat pencabutan Anda tampak rusak.

Catat kedua hasil di tiket. Pencabutan yang diverifikasi hanya pada arah penolakan baru setengah terverifikasi.

Langkah 4: Sesi yang sudah aktif

Hasil yang didokumentasikan menyangkut koneksi baru. Jangan menariknya menjadi janji bahwa setiap terowongan yang ada akan putus pada detik daftar disimpan. Jika penghapusan segera penting, gunakan kontrol yang benar-benar ditawarkan konfigurasi terpasang Anda dan periksa sesi tertentu alih-alih menganggap.

Uji itu terpisah dari autentikasi, karena keduanya gagal di tempat berbeda dan meninggalkan bukti berbeda.

Pengembalian, dan jalan pintas yang harus dihindari

Mengembalikan berarti menghapus sidik jari dari daftar dicabut dan menunggu pembaruan yang sama selesai. Itu aman ketika Anda mencabut entri yang salah, dan berbahaya ketika sertifikat benar-benar disusupi, jadi putuskan dulu kasus mana yang Anda hadapi. Menghapus akar tepercaya bukan jalan pintas untuk satu laptop yang hilang. Menghapus profil VPN lokal di satu mesin tidak mengubah apa yang diterima gateway mana pun.

Jika identitas juga terautentikasi ke gateway kedua, keduanya memerlukan perlakuan yang sama. Daftar dicabut milik gateway, bukan milik langganan.