SSTP мен IKEv2 әртүрлі RRAS сертификат басқару элементтерін пайдаланады

«VPN сертификатын» ауыстырсаңыз, қате қызметті өзгертуіңіз мүмкін. RRAS кемінде үш сертификат басқару элементін ұстайды және олардың әрқайсысы басқа протоколға және басқа қосылым рөліне жатады. Протоколды бірінші атасаңыз, қауіпті болжам бір кері қайтарылатын байланыс өзгерісіне айналады. Төмендегінің бәрі осы бір сөйлемге байланысты.

Протоколды сертификаттан бұрын атаңыз

SSTP тыңдаушысы HTTPS сияқты әрекет ететін клиентке TLS сертификатын ұсынады. Кіріс сайт-аралық IKEv2 қосылымы сервер идентификаторын жариялайды және серіктес сертификаттарын сенімді түбірге қарсы тексереді. Интерфейс бойынша сайт-аралық анықтама өз машина идентификаторын алып жүреді.

Бұлар — үш ауқымды үш басқару элементі. Оларды шатастыру бір протоколда жұмыс істейтін, ал екіншісінде еш әсері жоқ өзгеріс тудырады, бұл айқын ақаудан да нашар. Бірдеңеге тимес бұрын қай протокол сәтсіз болғанын, қай тарап сертификатты ұсынғанын және қай тарап оны қабылдамағанын жазып алыңыз.

SSTP — HTTPS байланысы

Қолдау көрсетілетін Remote Access орналастыруларында Set-RemoteAccess SSTP қосылымы мен HTTPS-қа қатысты DirectAccess рөлі үшін пайдаланылатын SslCertificate параметрін ұсынады.

Оның тексеру және орналастыру ауқымы Remote Access конфигурациясына сәйкес келеді, сондықтан бір байланыс өзгерісі бірнеше қосылымға немесе түйінге жетуі мүмкін. Жүктеме теңгерілетін орналастыруда бұл ауқым конфигурация қамтитын әр түйінді қамтиды. Бір түйінді өзгертіп, бір клиентті сынау қалғандарының ескі парақшаны ұсынуына әкеледі, және бұл техникалық қызмет көрсету терезесінен аман өтетін жартылай өзгеріс.

Жаңартудан бұрын күтілетін қызмет атауын, тізбекті, жарамдылықты, мақсатты пайдалануды және жеке кілттің қолжетімділігін тексеріңіз. Сертификат клиент тексеретін атауға сәйкес болуы керек, ал адаптер белгісі бұл атау емес.

Кіріс IKEv2-нің өз параметрі бар

Set-VpnAuthProtocol кіріс сайт-аралық IKEv2 аутентификациясын конфигурациялайды, ал CertificateAdvertised туннель аутентификация режимі оларды пайдаланғанда сертификат береді. Бұл хосттағы кез келген сервер сертификатын таңдауға арналған жалпы пәрмен емес.

Екі нысанды бөлек ұстаңыз: сервер өз идентификаторы ретінде ұсынатын парақша және ол серіктес сертификаттарын қабылдау үшін пайдаланатын түбір. Қай берушіге сенетініңізді таңдау сервер қай парақшаны ұсынатыны туралы ештеңе айтпайды.

Жеке сайт-аралық интерфейстің идентификаторы Set-VpnS2SInterface арқылы орнатылады. Екеуі де бір машинадағы бір қоймада тұрса да, бұл автоматты түрде SSTP сертификаты емес.

Алдымен үміткерді қарап шығыңыз

Жергілікті машина қоймасының мақсатты көрінісі жеке ештеңе экспорттамай-ақ ашық метадеректерді көрсетеді:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Бұл тізім — бастапқы нүкте, сәйкестік тесті емес. Конфигурациялап жатқан протокол үшін SAN жазбаларын, кеңейтілген кілт пайдалануларын, тізбекті және қызмет тіркелгісінің жеке кілтке қолжетімділігін қарап шығыңыз.

Байланысы жоқ бұлт клиентінің идентификаторы үшін орнатылған сертификат бір қоймада көрінгені үшін ғана жарамды емес. Көріну — жарамдылық емес, ал экран суретіндегі саусақ ізі қызмет тіркелгісінің кілтті оқи алатыны туралы ештеңені дәлелдемейді. Бұл қолжетімділікті анық тексеріңіз, өйткені кілт рұқсатының болмауы қызмет қайта іске қосылып, сертификатты пайдалануға тырысқанда ғана байқалады.

Ағымдағы байланысты жазып алыңыз және оны өзгерту алдында хостқа әлі де басқа жолмен жете алатыныңызды растаңыз. Қалпына келтіру жолы өзгеріске жатады, келесі оқиғаға емес.

Жаңарту — белсендіру емес

Сертификатты қайта шығару — оны жұмыс істеп тұрған қызмет үшін таңдаудан өзге әрекет. Жаңа парақша мақсатты DNS идентификаторын сақтап, бәрібір басқа саусақ ізін алып жүруі мүмкін, сондықтан байланыс жаңартылмайынша ештеңе оған нұсқамайды. Жаңарту нысанды өзгертеді; белсендіру оған сілтемені өзгертеді. Екеуін шатастыру дұрыс жаңартылған сертификаттың апталап пайдаланылмай қалуының себебі.

Қолдау көрсетілетін өзгерісті қолайлы терезеде, құжатталған қайта жүктеуді қоса алғанда қолданыңыз, содан кейін сертификатты мақсатты протоколдың жаңа қосылымынан қарап шығыңыз. Кэштелген клиент сессиясы әлі де ескі парақшаны көрсетіп, дұрыс өзгерісті бұзылғандай көрсетуі мүмкін.

Алдыңғы сертификатты тек осы тексеру өткеннен кейін ғана әдеттегі процеспен пайдаланудан шығарыңыз. Set-RemoteAccess анықтамасы SSL параметрінің ауқымын, оның ішінде жүктеме теңгерілетін орналастырулардағы әсерін құжаттайды, және бұл байланысты өзгерту алдында оқыған жөн бөлік.