როგორ გავაუქმოთ ერთი Azure Point-to-Site კლიენტის სერტიფიკატი

Azure Point-to-Site კლიენტის გაუქმება ნიშნავს მისი თითის ანაბეჭდის დამატებას კარიბჭის გაუქმებულთა სიაში. ეს არ ნიშნავს სანდო ფესვის წაშლას. ფესვი არის ყოველი კლიენტის სერტიფიკატის გამომცემი, რომელიც ოდესმე გაუციათ, ამიტომ მისი წაშლა სხვა ოპერაციაა გაცილებით დიდი გავლენით. გაუქმების ერთეული აქ ერთი სერტიფიკატია.

ნაბიჯი 1: დააზუსტეთ, რომელი სერტიფიკატი გულისხმობთ

დაიწყეთ სერტიფიკატის ჩანაწერიდან და არა ნაჩვენები სახელიდან. Azure აჩვენებს მეგობრულ სახელს, რომელიც თქვენ თვითონ აკრიფეთ, და ეს ეტიკეტი არ არის ვალდებული შეესაბამებოდეს საგანს ან მოწყობილობას, რომლისთვისაც გაიცა.

კიდევ ერთი შემოწმება გაუქმებამდე: გაარკვიეთ რამდენი მოწყობილობა წარადგენს მას. თუ რამდენიმე ლეპტოპი ერთი და იმავე PFX-ის ასლებისგან შეიქმნა, ანაბეჭდის გაუქმება ყველას ჩაკეტავს და Azure-ს არ აქვს გზა განასხვავოს დაკარგული უჯრაში მდებარე სარეზერვოდან.

კლიენტზე, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter ჩამოთვლის, რა არის დაინსტალირებული ამ მომხმარებლისთვის, და Cert:\LocalMachine\My ასევე ღირს შემოწმება, რადგან VPN კლიენტს შეუძლია აირჩიოს ორივე საცავიდან. შეადარეთ ანაბეჭდი თქვენს რეგისტრაციის ინვენტარს. განახლებულ სერტიფიკატს განსხვავებული ანაბეჭდი აქვს, თუნდაც საგანი იდენტური იყოს.

საჯარო სერტიფიკატის ანაბეჭდის წასაკითხად არ გჭირდებათ კლიენტის კერძო გასაღები ან პაროლით დაცული PFX. ნებისმიერი პროცედურა, რომელიც ერთ-ერთ მათგანს მოითხოვს, სხვა დავალებიდან არის კოპირებული.

ნაბიჯი 2: დაამატეთ ის კარიბჭის გაუქმებულთა სიაში

პორტალში გახსენით ვირტუალური ქსელის კარიბჭე, შემდეგ Point-to-site კონფიგურაცია, შემდეგ გაუქმებული სერტიფიკატების განყოფილება. დაამატეთ მეგობრული სახელი, რომელსაც ექვს თვეში ამოიცნობთ, და ჩასვით ანაბეჭდი ერთ უწყვეტ სტრიქონად, სივრცეების გარეშე.

შენახვამდე შეამოწმეთ რომელი კარიბჭეა არჩეული, რადგან რამდენიმე კარიბჭის მქონე გამოწერა ზუსტად ის ადგილია, სადაც ეს ცდება. Microsoft-ის სერტიფიკატის კონფიგურაციის გზამკვლევი ამბობს, რომ განახლების დასრულების შემდეგ სერტიფიკატის გამოყენება დასაკავშირებლად აღარ შეიძლება.

შემდეგ დაადასტურეთ შენახული მნიშვნელობა, ნაცვლად იმისა, რომ პორტალის შეტყობინებას დაეყრდნოთ: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" აჩვენებს, რასაც კარიბჭე რეალურად ინახავს.

ნაბიჯი 3: შეამოწმეთ ორივე მიმართულება

შეამოწმეთ უარყოფა გაუქმებული სერტიფიკატით, შემდეგ შეამოწმეთ, რომ იმავე ფესვის ქვეშ მყოფი სხვა სერტიფიკატი კვლავ ავთენტიფიცირდება. სწორედ ამ მეორე ტესტს გამოტოვებენ ადამიანები და სწორედ ის იჭერს ფესვის შემთხვევით წაშლას ან ვიღაცის მიერ არნახსენებ პოლიტიკის ცვლილებას. გამოიყენეთ მოწყობილობა, სადაც ხედავთ, რომელი სერტიფიკატი წარედგინება. რამდენიმე სერტიფიკატის მქონე კლიენტმა შეიძლება ჩუმად გამოიყენოს მოქმედი და თქვენი გაუქმება გატეხილად აჩვენოს.

ორივე შედეგი ჩაწერეთ ბილეთში. მხოლოდ უარყოფის მიმართულებით შემოწმებული გაუქმება ნახევრად შემოწმებულია.

ნაბიჯი 4: უკვე გახსნილი სესიები

დოკუმენტირებული შედეგი ეხება ახალ კავშირებს. ნუ გაჭიმავთ მას დაპირებამდე, რომ ყოველი არსებული გვირაბი ჩამოვარდება იმ წამს, როცა სია შეინახება. თუ მყისიერი წაშლა მნიშვნელოვანია, გამოიყენეთ ის კონტროლი, რომელსაც თქვენი გაშვებული კონფიგურაცია ნამდვილად გთავაზობთ, და შეამოწმეთ კონკრეტული სესია, ვიდრე ჩათვალოთ.

შეამოწმეთ ეს ავთენტიფიკაციისგან დამოუკიდებლად, რადგან ორივე სხვადასხვა ადგილას ვარდება და სხვადასხვა კვალს ტოვებს.

უკან დაბრუნება და ის მოკლე გზები, რომლებსაც უნდა მოერიდოთ

უკან დაბრუნება ნიშნავს ანაბეჭდის გაუქმებულთა სიიდან წაშლას და იმავე განახლების დასრულების ლოდინს. ეს უსაფრთხოა, როცა არასწორი ჩანაწერი გააუქმეთ, და საშიშია, როცა სერტიფიკატი ნამდვილად კომპრომიტირებულია, ამიტომ ჯერ გადაწყვიტეთ, რომელ შემთხვევაში ხართ. სანდო ფესვის წაშლა მოკლე გზა არ არის ერთი დაკარგული ლეპტოპისთვის. ერთ მანქანაზე ლოკალური VPN პროფილის წაშლა არ ცვლის იმას, რასაც ნებისმიერი კარიბჭე იღებს.

თუ იდენტობა მეორე კარიბჭეზეც ავთენტიფიცირდება, ორივეს ერთი და იგივე მოპყრობა სჭირდება. გაუქმებულთა სია კარიბჭეს ეკუთვნის და არა გამოწერას.