Hvaða vélarvottorð býður Windows-VPNið upp á?

Vottorðin eru uppsett, einkalyklarnir eru til staðar og göngin mistakast enn við auðkenningu. Vél sem geymir nokkur vottorð getur boðið VPNinu frambjóðanda sem enginn ætlaði, og biðlarinn hefur enga leið til að vita hvaða gátt myndi samþykkja. Að eyða hinum er valstefna með afleiðingum fyrir hverja þjónustu á vélinni. Þrengdu frekar leyfilega mengið og staðfestu síðan hvaða vottorð var í raun boðið upp á.

Nokkur vottorð, einu boðið

Innbyggð Windows VPN-snið með auðkenningu vélarvottorðs bjóða upp á tvær síur sem takmarka frambjóðendurna: útgefandasíu og síu fyrir útvíkkaða lyklanotkun. Þær minnka mengið sem biðlarinn getur valið úr. Þær laga óviðeigandi vottorð ekki og ábyrgjast ekki að þjónninn samþykki það sem eftir verður. Þessi mörk er vert að skrá í breytingaskrána, því næsti lesandi mun gera ráð fyrir að sían hafi ákveðið meira en hún gerði.

Bilunin sem þær taka á er þröng og nákvæm. Gilt vottorð frá röngu yfirvaldi, eða vottorð sem gefið er út fyrir tilgang sem gáttin samþykkir ekki, er valið á undan því sem ætlað var, sem veldur auðkenningarbilun við hlið heilbrigðs geymslu. Tvær síur gera úr því mengi sem er nógu lítið til að rökræða um, og afgangur þessarar síðu beitir þeim í röð.

Skoðaðu geymsluna áður en þú breytir sniðinu

Skráðu frambjóðendurna og eiginleika þeirra í geymslunni sem sniðið notar í raun. Ekkert hér flytur út einkalykil, og ekkert vottorð þarf að yfirgefa vélina:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Lestu úttakið fyrir þá eiginleika sem ákvörðunin ræðst af: nothæfur einkalykill, ásættanlegt gildistímaþrep, ætlað útgefanda og tilgangana í viðbótinni. Vottorð getur verið til staðar, rétt skráð og gagnslaust fyrir þessa tengingu á sama tíma. Fingrafaradálkurinn er sá sem þú berð saman við síðar, svo geymdu úttakið.

Staðfestu sniðið og umfang þess áður en þú breytir, því vélarvottorð í LocalMachine, EAP-TLS vottorð notanda og eigin einkalyklageymsla forrits eru þrjú mismunandi samhengi. Notaðu umfang allra notenda og stjórnandssamhengi þegar stýrða sniðið er þar. Að búa til annað snið með svipuðu nafni hylur hvaða uppsetning tengingin notar í raun.

Útgefandasían vill hlut

Útgefandabreytan býst við vottorðshlut, ekki birtu nafni og ekki berum fingrafarastreng. Leggðu fram vottorð samþykkta yfirvaldsins frá slóð sem þú hefur farið yfir, í geymslunni sem það tilheyrir:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Skiptu ekki út eigin blaðvottorði biðlarans, öðru yfirvaldi með svipað efni eða nýsköpuðum rót undir því einu að breytutegundin samþykkir það. Tvö yfirvöld geta deilt sama efnastreng, og þess vegna skiptir hluturinn meira máli en textinn. cmdlet-tilvísun Microsoft skjalfestir báðar inntakstegundirnar, og það er vert að lesa hana fyrir fyrstu breytingu frekar en eftir misheppnaða tilraun.

Notkunarsían vill OID-streng

Breytan fyrir útvíkkaða lyklanotkun tekur OID-strengi, og tilgangur auðkenningar biðlara er 1.3.6.1.5.5.7.3.2. Að beita henni takmarkar frambjóðendurna við vottorð sem bera þann tilgang, sem er einmitt það sem uppsetning með auðkenningu biðlara vill:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Gildið er fylki, svo uppsetning sem þarf nokkra tilganga sendir þá sem lista. Það sem sían getur ekki gert er að bæta tilgangi við vottorð: hún er valssegð sem metin er á móti undirrituðum viðbótum, og engin sía endurskrífur þær, svo vottorð sem vantar tilganginn verður að fara aftur í gegnum skráningu.

Haltu EAP-uppsetningu notendavottorða aðgreindri frá síun vélarvottorða, því þær lifa á mismunandi stöðum og breyting á annarri útskýrir sjaldan bilun í hinni. Athugaðu líka hvort lénið eða tækjastýringin eigi sniðið, því staðbundin breyting getur verið skipt út við næstu stefnuhressingu án þess að nokkur snerti vélina.

Sannaðu hvaða vottorð biðlarinn bauð upp á

Komdu á nýrri tengingu og lestu auðkenningarsönnun biðlara og þjóns fyrir þau auðkenni sem þú ætlaðir. Þegar fleiri en eitt vottorð uppfylla síurnar er niðurstaðan minna safn frekar en fest blað, svo næsta tilraun getur valið annan meðlim. Skráðu fingrafarið sem birtist í þeirri sönnun og berðu það saman við það sem þú skráðir úr geymslunni.

Árangursrík skipun er ekki árangursrík auðkenning. Niðurstaðan sem er vert að skrá er að ætlaða vottorðið auðkennir sig undir stýrðu stefnunni á meðan hvert ótengt vottorð helst aðgengilegt fyrir þjónusturnar sem reiða sig á það. Ef bilunin lifir báðar síurnar eru eftirliggjandi frambjóðendur næsti staðurinn til að skoða, ekki sniðið í heild.