SSTP og IKEv2 nota ólíkar skírteinisstýringar í RRAS

Ef þú skiptir um „VPN-skírteinið“ gætir þú breytt rangri þjónustu. RRAS hefur að minnsta kosti þrjár skírteinisstýringar, sem hver tilheyrir annarri samskiptareglu og öðru hlutverki tengingar. Að nefna samskiptaregluna fyrst breytir áhættusamri ágiskun í eina afturkvæma tengingarbreytingu. Allt hér að neðan veltur á þeirri einu setningu.

Nefndu samskiptaregluna fyrir skírteinið

SSTP-hlustari kynnir TLS-skírteini fyrir biðlara sem hegðar sér eins og HTTPS. Innkomandi IKEv2-tenging stað-til-staðar tilkynnir auðkenni þjóns og staðfestir skírteini jafningja gagnvart treystu rót. Skilgreining stað-til-staðar fyrir hvert viðmót ber eigið vélauðkenni.

Þetta eru þrjár stýringar með þrjú gildissvið. Að rugla þeim saman framleiðir breytingu sem virðist virka á einni samskiptareglu og hefur engin áhrif á hina, sem er verra en augljós bilun. Skrifaðu niður hvaða samskiptaregla bilaði, hvaða hlið kynnti skírteinið og hvaða hlið hafnaði því áður en þú snertir neitt.

SSTP er HTTPS-tenging

Fyrir studdar Remote Access-uppsetningar birtir Set-RemoteAccess færibreytuna SslCertificate sem er notuð fyrir SSTP-tengingu og fyrir DirectAccess-hlutverkið sem tengist HTTPS.

Staðfestingar- og dreifingarsvið hennar fylgir Remote Access-stillingunum, svo ein tengingarbreyting getur náð til fleiri en einnar tengingar eða hnúts. Í uppsetningu með álagsdreifingu nær það svið til hvers hnúts sem stillingarnar ná yfir. Að breyta einum hnúti og prófa einn biðlara lætur hina kynna gamla blaðskírteinið, og það er hálf breyting sem lifir af viðhaldsglugga.

Staðfestu væntanlegt þjónustuheiti, keðjuna, gildistíma, fyrirhugaða notkun og aðgengi að einkalyklinum fyrir uppfærsluna. Skírteinið verður að passa við heitið sem biðlarinn mun athuga, og millistykkiheiti er ekki það heiti.

Innkomandi IKEv2 hefur eigin færibreytu

Set-VpnAuthProtocol stillir auðkenningu innkomandi IKEv2 stað-til-staðar, og CertificateAdvertised útvegar skírteini þegar stilling tengingarauðkenningar notar þau. Það er ekki almenn skipun til að velja hvaða þjónskírteini sem er á vélinni.

Haltu tveimur hlutum aðskildum: blaðskírteininu sem þjónninn kynnir sem eigið auðkenni, og rótinni sem hann notar til að samþykkja skírteini jafningja. Valið á því hvaða útgefanda þú treystir segir ekkert um hvaða blaðskírteini þjónninn kynnir.

Auðkenni einstaks viðmóts stað-til-staðar er sett með Set-VpnS2SInterface. Það er ekki sjálfkrafa SSTP-skírteinið, jafnvel þótt bæði séu í sama geymslu á sömu vél.

Skoðaðu kandídatið fyrst

Nákvæmt yfirlit yfir geymslu staðbundnu vélarinnar sýnir opinber lýsigögn án þess að flytja út eitthvað einkaaðið:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Þessi listi er upphafspunktur en ekki hæfnispróf. Skoðaðu SAN-færslur, aukna lykilnotkun, keðjuna og aðgang þjónustureikningsins að einkalyklinum fyrir samskiptaregluna sem þú ert að stilla.

Skírteini sem er sett upp fyrir ótengt skýbiðlaraauðkenni er ekki hæft bara vegna þess að það birtist í sömu geymslu. Sýnileiki er ekki hæfi, og fingrafar á skjámynd sannar ekkert um hvort þjónustureikningurinn geti lesið lykilinn. Athugaðu þann aðgang sérstaklega, því vantar leyfi á lykilinn kemur bilunin aðeins fram þegar þjónustan endurræsist og reynir að nota skírteinið.

Skráðu núverandi tengingu og staðfestu að þú getir enn náð til vélarinnar á annan hátt áður en þú breytir henni. Endurheimtarleiðin tilheyrir breytingunni, ekki atvikinu sem fylgir.

Endurnýjun er ekki virkjun

Að endurútgefa skírteini er önnur aðgerð en að velja það fyrir keyrandi þjónustuna. Nýja blaðskírteinið getur haldið fyrirhuguðu DNS-auðkenni og samt borið annað fingrafar, svo ekkert bendir á það fyrr en tengingunni er breytt. Endurnýjun breytir hlutnum; virkjun breytir tilvísuninni í hann. Að rugla þessu tvennu er ástæðan fyrir því að rétt endurnýjað skírteini getur legið ónotað í vikur.

Beittu studdu breytingunni í viðeigandi glugga, þar á meðal skjalfestri endurræsingu, og skoðaðu skírteinið síðan frá nýrri tengingu með fyrirhuguðu samskiptareglunni. Skyndiminni biðlaratíma getur enn sýnt gamla blaðskírteinið og látið rétta breytingu líta biluð út.

Settu fyrra skírteinið úr notkun með venjulegu ferli aðeins eftir að það próf stenst. Set-RemoteAccess-tilvísunin skjalfestir gildissvið SSL-færibreytunnar, þar á meðal áhrif hennar í uppsetningum með álagsdreifingu, sem er sá hluti sem vert er að lesa fyrir tengingarbreytingu.