Come revocare un certificato client Azure Point-to-Site

Revocare un client Azure Point-to-Site significa aggiungere la sua impronta all'elenco revocato del gateway. Non significa eliminare la radice attendibile. La radice è l'autorità emittente di ogni certificato client che tu abbia mai distribuito, quindi rimuoverla è un'altra operazione con una portata molto maggiore. L'unità di revoca qui è un singolo certificato.

Passo 1: Individua il certificato esatto

Parti dalla scheda del certificato, non da un nome visualizzato. Azure mostra un nome descrittivo che hai digitato tu, e quell'etichetta non deve corrispondere al soggetto né al dispositivo a cui è stato emesso.

Un altro controllo prima di revocare: scopri quanti dispositivi lo presentano. Se diversi portatili sono stati creati da copie dello stesso PFX, revocare l'impronta li blocca tutti, e Azure non ha modo di distinguere quello perso da quello di riserva nel cassetto.

Sul client, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter elenca ciò che è installato per quell'utente, e vale la pena controllare anche Cert:\LocalMachine\My perché il client VPN può scegliere da uno dei due archivi. Confronta l'impronta con il tuo inventario di registrazione. Un certificato rinnovato ha un'impronta diversa anche quando il soggetto è identico.

Non serve la chiave privata del client né un PFX protetto da password per leggere l'impronta di un certificato pubblico. Qualsiasi procedura che richieda uno dei due è stata copiata da un'altra attività.

Passo 2: Aggiungilo all'elenco revocato del gateway

Nel portale, apri il gateway di rete virtuale, poi la configurazione Point-to-site, poi la sezione dei certificati revocati. Aggiungi un nome descrittivo che riconoscerai fra sei mesi e incolla l'impronta come un'unica stringa continua senza gli spazi.

Controlla quale gateway è selezionato prima di salvare, perché una sottoscrizione con più gateway è esattamente il punto in cui questo va storto. La guida alla configurazione dei certificati di Microsoft afferma che, una volta completato l'aggiornamento, il certificato non può più essere usato per connettersi.

Verifica poi il valore memorizzato invece di fidarti dell'avviso del portale: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" mostra cosa contiene davvero il gateway.

Passo 3: Verifica entrambe le direzioni

Prova il rifiuto con il certificato revocato, poi verifica che un altro certificato sotto la stessa radice si autentichi ancora. È quel secondo test che la gente salta, ed è quello che intercetta una rimozione accidentale della radice o un cambio di criteri che nessuno ha menzionato. Usa un dispositivo in cui puoi vedere quale certificato viene presentato. Un client con più certificati può usarne silenziosamente uno funzionante e far sembrare rotta la tua revoca.

Registra entrambi i risultati nel ticket. Una revoca verificata solo nella direzione del rifiuto è verificata a metà.

Passo 4: Sessioni già attive

L'esito documentato riguarda le nuove connessioni. Non estenderlo alla promessa che ogni tunnel esistente cada nel secondo in cui l'elenco viene salvato. Se la rimozione immediata conta, usa i controlli che la tua configurazione distribuita offre davvero e controlla la sessione specifica invece di dare per scontato.

Prova questo separatamente dall'autenticazione, perché i due falliscono in punti diversi e lasciano prove diverse.

Il rollback e le scorciatoie da evitare

Tornare indietro significa rimuovere l'impronta dall'elenco revocato e attendere che lo stesso aggiornamento finisca. È sicuro quando hai revocato la voce sbagliata, ed è pericoloso quando il certificato è davvero compromesso, quindi decidi prima in quale caso ti trovi. Eliminare la radice attendibile non è una scorciatoia per un portatile perso. Eliminare un profilo VPN locale su una macchina non cambia ciò che qualsiasi gateway accetta.

Se l'identità si autentica anche su un secondo gateway, entrambi hanno bisogno dello stesso trattamento. L'elenco revocato appartiene a un gateway, non alla sottoscrizione.