რომელი მანქანის სერტიფიკატს გვთავაზობს Windows-ის VPN?

სერტიფიკატები დაყენებულია, პირადი გასაღებები არსებობს, და გვირაბი მაინც ვერ გადის ავთენტიფიკაციას. მანქანა, რომელსაც რამდენიმე სერტიფიკატი აქვს, შეიძლება VPN-ს შესთავაზოს ისეთი კანდიდატი, რომელიც არავის განუზრახავს, და კლიენტს არ აქვს გზა იცოდეს, რომელს მიიღებს გეითვეი. დანარჩენების წაშლა არჩევანის პოლიტიკაა, რომელსაც შედეგები აქვს მანქანის ყველა სერვისისთვის. სანაცვლოდ შევიწროეთ დასაშვები ნაკრები, შემდეგ დაადასტურეთ, რომელი სერტიფიკატი იყო რეალურად შემოთავაზებული.

რამდენიმე სერტიფიკატი, ერთი შემოთავაზებული

Windows-ის მშობლიური VPN პროფილები მანქანის სერტიფიკატის ავთენტიფიკაციით გვაძლევენ ორ ფილტრს, რომლებიც ზღუდავენ კანდიდატებს: გამცემის ფილტრი და გაფართოებული გასაღების გამოყენების ფილტრი. ისინი ამცირებენ იმ ნაკრებს, საიდანაც კლიენტს შეუძლია აირჩიოს. ისინი არ არემონტებენ შეუფერებელ სერტიფიკატს და არ იძლევიან გარანტიას, რომ სერვერი მიიღებს დარჩენილს. ეს ზღვარი ღირს ცვლილებების ჟურნალში ჩაწერად, რადგან შემდეგი მკითხველი ჩათვლის, რომ ფილტრმა იმაზე მეტი გადაწყვიტა, ვიდრე რეალურად გადაწყვიტა.

წარუმატებლობა, რომელსაც ისინი ეხმარებიან, ვიწრო და კონკრეტულია. არასწორი ორგანოს მიერ გაცემული ვალიდური სერტიფიკატი, ან ისეთი, რომელიც გაცემულია იმ მიზნისთვის, რომელსაც გეითვეი არ იღებს, აირჩევა განზრახულამდე, რაც ავთენტიფიკაციის წარუმატებლობას იწვევს ჯანსაღი საცავის გვერდით. ორი ფილტრი ამას აქცევს საკმარისად პატარა ნაკრებად მსჯელობისთვის, და ამ გვერდის დარჩენილი ნაწილი მათ თანმიმდევრობით იყენებს.

შეამოწმეთ საცავი პროფილის რედაქტირებამდე

ჩამოთვალეთ კანდიდატები და მათი თვისებები იმ საცავში, რომელსაც პროფილი რეალურად იყენებს. აქ არაფერი ახდენს პირადი გასაღების ექსპორტს, და არც ერთმა სერტიფიკატმა არ უნდა დატოვოს მანქანა:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

წაიკითხეთ გამოტანა იმ თვისებებისთვის, რომლებზეც გადაწყვეტილებაა დამოკიდებული: გამოსადეგი პირადი გასაღები, მისაღები ვალიდურობის შუალედი, განზრახული გამცემი და გაფართოებაში არსებული მიზნები. სერტიფიკატი შეიძლება ერთდროულად არსებობდეს, სწორად იყოს რეგისტრირებული და ამ კავშირისთვის უსარგებლო იყოს. თითის ანაბეჭდის სვეტი არის ის, რასაც მოგვიანებით შეადარებთ, ამიტომ შეინახეთ გამოტანა.

რედაქტირებამდე დაადასტურეთ პროფილი და მისი არეალი, რადგან მანქანის სერტიფიკატი LocalMachine-ში, მომხმარებლის EAP-TLS სერტიფიკატი და აპლიკაციის საკუთარი პირადი გასაღების საცავი სამი განსხვავებული კონტექსტია. გამოიყენეთ ყველა მომხმარებლის არეალი და ადმინისტრაციული კონტექსტი, როცა მართული პროფილი სწორედ იქ არის. მსგავსი სახელით მეორე პროფილის შექმნა მალავს, თუ რომელი კონფიგურაცია გამოიყენება რეალურად.

გამცემის ფილტრს ობიექტი სჭირდება

გამცემის პარამეტრი ელოდება სერტიფიკატის ობიექტს, არა ჩვენების სახელს და არა შიშველ თითის ანაბეჭდის სტრიქონს. მიაწოდეთ დამტკიცებული ორგანოს სერტიფიკატი თქვენ მიერ შემოწმებული ბილიკიდან, იმ საცავში, სადაც ის ეკუთვნის:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

ნუ შეცვლით კლიენტის საკუთარ ფოთლოვან სერტიფიკატს, მსგავსი სუბიექტის მქონე სხვა ორგანოს ან ახლად შექმნილ ფესვს მხოლოდ იმიტომ, რომ პარამეტრის ტიპი მას იღებს. ორ ორგანოს შეიძლება ჰქონდეს ერთი სუბიექტის სტრიქონი, და სწორედ ამიტომ ობიექტი ტექსტზე მნიშვნელოვანია. Microsoft-ის cmdlet ცნობარი ორივე შეყვანის ტიპს აღწერს, და ღირს მისი წაკითხვა პირველ რედაქტირებამდე და არა წარუმატებელი ცდის შემდეგ.

გამოყენების ფილტრს OID სტრიქონი სჭირდება

გაფართოებული გასაღების გამოყენების პარამეტრი იღებს OID სტრიქონებს, და კლიენტის ავთენტიფიკაციის მიზანია 1.3.6.1.5.5.7.3.2. მისი გამოყენება კანდიდატებს ზღუდავს ამ მიზნის მქონე სერტიფიკატებით, რაც ზუსტად ის არის, რაც კლიენტის ავთენტიფიკაციის განლაგებას სჭირდება:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

მნიშვნელობა მასივია, ამიტომ რამდენიმე მიზნის საჭიროების მქონე განლაგება მათ სიის სახით გადასცემს. რასაც ფილტრი ვერ აკეთებს, ეს არის მიზნის დამატება სერტიფიკატზე: ის არის არჩევანის გამოსახულება, რომელიც ფასდება ხელმოწერილ გაფართოებებთან მიმართებით, და არც ერთი ფილტრი არ გადაწერს მათ, ამიტომ მიზნის არმქონე სერტიფიკატმა თავიდან უნდა გაიაროს რეგისტრაცია.

მომხმარებლის სერტიფიკატების EAP კონფიგურაცია ცალკე შეინახეთ მანქანის სერტიფიკატების ფილტრაციისგან, რადგან ისინი სხვადასხვა ადგილას ცხოვრობენ და ერთში ცვლილება იშვიათად ხსნის მეორეში წარუმატებლობას. ასევე შეამოწმეთ, ეკუთვნის თუ არა პროფილი დომენს ან მოწყობილობების მართვას, რადგან ლოკალური რედაქტირება შეიძლება შეიცვალოს პოლიტიკის შემდეგი განახლებისას ვინმეს მანქანაზე ხელის შეუხებლად.

დაამტკიცეთ, რომელი სერტიფიკატი შესთავაზა კლიენტმა

დაამყარეთ ახალი კავშირი და წაიკითხეთ კლიენტისა და სერვერის ავთენტიფიკაციის მტკიცებულებები განზრახული იდენტობისთვის. როცა ერთზე მეტი სერტიფიკატი აკმაყოფილებს ფილტრებს, შედეგი უფრო პატარა ნაკრებია და არა ჩამაგრებული ფოთოლი, ამიტომ შემდეგმა ცდამ შეიძლება სხვა წევრი აირჩიოს. ჩაიწერეთ ის თითის ანაბეჭდი, რომელიც ამ მტკიცებულებებში ჩანს, და შეადარეთ საცავიდან ჩაწერილს.

წარმატებული ბრძანება წარმატებული ავთენტიფიკაცია არ არის. ჩასაწერად ღირსეული შედეგია ის, რომ განზრახული სერტიფიკატი ავთენტიფიცირდება მართული პოლიტიკის ქვეშ, მაშინ როცა ყოველი შეუსაბამო სერტიფიკატი ხელმისაწვდომი რჩება მასზე დამოკიდებული სერვისებისთვის. თუ წარუმატებლობა გადაურჩა ორივე ფილტრს, შემდეგი შესამოწმებელი ადგილი დარჩენილი კანდიდატებია და არა მთელი პროფილი.