Windows VPN ಯಾವ ಯಂತ್ರ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನೀಡುತ್ತದೆ?

ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಸ್ಥಾಪಿಸಲಾಗಿದೆ, ಖಾಸಗಿ ಕೀಗಳು ಇವೆ, ಆದರೂ ಸುರಂಗವು ಇನ್ನೂ ದೃಢೀಕರಣದಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ. ಹಲವು ಪ್ರಮಾಣಪತ್ರಗಳಿರುವ ಯಂತ್ರವು ಯಾರೂ ಉದ್ದೇಶಿಸದ ಅಭ್ಯರ್ಥಿಯನ್ನು VPN ಗೆ ನೀಡಬಹುದು, ಮತ್ತು ಗೇಟ್‌ವೇ ಯಾವುದನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂದು ತಿಳಿಯಲು ಕ್ಲೈಂಟ್‌ಗೆ ಯಾವುದೇ ದಾರಿ ಇಲ್ಲ. ಉಳಿದವನ್ನು ಅಳಿಸುವುದು ಯಂತ್ರದ ಪ್ರತಿಯೊಂದು ಸೇವೆಗೂ ಪರಿಣಾಮ ಬೀರುವ ಆಯ್ಕೆ ನೀತಿ. ಬದಲಾಗಿ ಅರ್ಹ ಗುಂಪನ್ನು ಸೀಮಿತಗೊಳಿಸಿ, ನಂತರ ವಾಸ್ತವವಾಗಿ ಯಾವ ಪ್ರಮಾಣಪತ್ರ ನೀಡಲಾಯಿತು ಎಂದು ಖಚಿತಪಡಿಸಿ.

ಹಲವು ಪ್ರಮಾಣಪತ್ರಗಳು, ಒಂದು ನೀಡಲಾಗಿದೆ

ಯಂತ್ರ ಪ್ರಮಾಣಪತ್ರ ದೃಢೀಕರಣದೊಂದಿಗೆ Windows ನ ಸ್ಥಳೀಯ VPN ಪ್ರೊಫೈಲ್‌ಗಳು ಅಭ್ಯರ್ಥಿಗಳನ್ನು ಮಿತಿಗೊಳಿಸುವ ಎರಡು ಫಿಲ್ಟರ್‌ಗಳನ್ನು ಒದಗಿಸುತ್ತವೆ: ನೀಡುವವರ ಫಿಲ್ಟರ್ ಮತ್ತು ವಿಸ್ತೃತ ಕೀ ಬಳಕೆಯ ಫಿಲ್ಟರ್. ಅವು ಕ್ಲೈಂಟ್ ಆಯ್ಕೆ ಮಾಡಬಹುದಾದ ಗುಂಪನ್ನು ಚಿಕ್ಕದಾಗಿಸುತ್ತವೆ. ಅವು ಸೂಕ್ತವಲ್ಲದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಉಳಿದದ್ದನ್ನು ಸರ್ವರ್ ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂದು ಖಾತರಿಪಡಿಸುವುದಿಲ್ಲ. ಆ ಗಡಿಯನ್ನು ಬದಲಾವಣೆ ದಾಖಲೆಯಲ್ಲಿ ಬರೆಯುವುದು ಯೋಗ್ಯ, ಏಕೆಂದರೆ ಮುಂದಿನ ಓದುಗರು ಫಿಲ್ಟರ್ ವಾಸ್ತವವಾಗಿ ನಿರ್ಧರಿಸಿದ್ದಕ್ಕಿಂತ ಹೆಚ್ಚು ನಿರ್ಧರಿಸಿದೆ ಎಂದು ಭಾವಿಸುತ್ತಾರೆ.

ಅವು ಪರಿಹರಿಸುವ ವೈಫಲ್ಯ ಕಿರಿದಾದ ಮತ್ತು ನಿರ್ದಿಷ್ಟವಾದುದು. ತಪ್ಪು ಪ್ರಾಧಿಕಾರದ ಸಿಂಧು ಪ್ರಮಾಣಪತ್ರ, ಅಥವಾ ಗೇಟ್‌ವೇ ಸ್ವೀಕರಿಸದ ಉದ್ದೇಶಕ್ಕೆ ನೀಡಲಾದ ಪ್ರಮಾಣಪತ್ರ, ಉದ್ದೇಶಿಸಿದ್ದಕ್ಕಿಂತ ಮೊದಲು ಆಯ್ಕೆಯಾಗುತ್ತದೆ, ಇದು ಆರೋಗ್ಯಕರ ಭಂಡಾರದ ಪಕ್ಕದಲ್ಲಿ ದೃಢೀಕರಣ ವೈಫಲ್ಯವನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ. ಎರಡು ಫಿಲ್ಟರ್‌ಗಳು ಅದನ್ನು ಯೋಚಿಸಲು ಸಾಕಷ್ಟು ಚಿಕ್ಕ ಗುಂಪಾಗಿ ಪರಿವರ್ತಿಸುತ್ತವೆ, ಮತ್ತು ಈ ಪುಟದ ಉಳಿದ ಭಾಗ ಅವನ್ನು ಕ್ರಮವಾಗಿ ಅನ್ವಯಿಸುತ್ತದೆ.

ಪ್ರೊಫೈಲ್ ಸಂಪಾದಿಸುವ ಮೊದಲು ಭಂಡಾರವನ್ನು ಪರಿಶೀಲಿಸಿ

ಪ್ರೊಫೈಲ್ ವಾಸ್ತವವಾಗಿ ಬಳಸುವ ಭಂಡಾರದಲ್ಲಿ ಅಭ್ಯರ್ಥಿಗಳು ಮತ್ತು ಅವರ ಗುಣಲಕ್ಷಣಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡಿ. ಇಲ್ಲಿ ಯಾವುದೂ ಖಾಸಗಿ ಕೀಯನ್ನು ರಫ್ತು ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು ಯಾವುದೇ ಪ್ರಮಾಣಪತ್ರವು ಯಂತ್ರವನ್ನು ಬಿಡಬೇಕಿಲ್ಲ:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

ನಿರ್ಧಾರ ಅವಲಂಬಿಸಿರುವ ಗುಣಲಕ್ಷಣಗಳಿಗಾಗಿ ಔಟ್‌ಪುಟ್ ಓದಿ: ಬಳಸಬಹುದಾದ ಖಾಸಗಿ ಕೀ, ಸ್ವೀಕಾರಾರ್ಹ ಮಾನ್ಯತಾ ಅವಧಿ, ಉದ್ದೇಶಿಸಿದ ನೀಡುವವರು ಮತ್ತು ವಿಸ್ತರಣೆಯಲ್ಲಿನ ಉದ್ದೇಶಗಳು. ಪ್ರಮಾಣಪತ್ರವು ಒಂದೇ ಸಮಯದಲ್ಲಿ ಇರಬಹುದು, ಸರಿಯಾಗಿ ನೋಂದಾಯಿಸಲ್ಪಟ್ಟಿರಬಹುದು ಮತ್ತು ಈ ಸಂಪರ್ಕಕ್ಕೆ ನಿರುಪಯುಕ್ತವಾಗಿರಬಹುದು. ಬೆರಳಚ್ಚು ಕಾಲಮ್ ನಂತರ ನೀವು ಹೋಲಿಸುವ ಕಾಲಮ್, ಆದ್ದರಿಂದ ಔಟ್‌ಪುಟ್ ಉಳಿಸಿ.

ಸಂಪಾದನೆಯ ಮೊದಲು ಪ್ರೊಫೈಲ್ ಮತ್ತು ಅದರ ವ್ಯಾಪ್ತಿಯನ್ನು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ LocalMachine ನಲ್ಲಿರುವ ಯಂತ್ರ ಪ್ರಮಾಣಪತ್ರ, ಬಳಕೆದಾರರ EAP-TLS ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್‌ನ ಸ್ವಂತ ಖಾಸಗಿ ಕೀ ಭಂಡಾರ ಮೂರು ವಿಭಿನ್ನ ಸಂದರ್ಭಗಳು. ನಿರ್ವಹಿತ ಪ್ರೊಫೈಲ್ ಅಲ್ಲಿದ್ದಾಗ ಎಲ್ಲಾ ಬಳಕೆದಾರರ ವ್ಯಾಪ್ತಿ ಮತ್ತು ಆಡಳಿತಾತ್ಮಕ ಸಂದರ್ಭ ಬಳಸಿ. ಸಮಾನ ಹೆಸರಿನಲ್ಲಿ ಎರಡನೇ ಪ್ರೊಫೈಲ್ ರಚಿಸುವುದು ಸಂಪರ್ಕವು ವಾಸ್ತವವಾಗಿ ಯಾವ ಸಂರಚನೆ ಬಳಸುತ್ತದೆ ಎಂಬುದನ್ನು ಮರೆಮಾಡುತ್ತದೆ.

ನೀಡುವವರ ಫಿಲ್ಟರ್‌ಗೆ ವಸ್ತು ಬೇಕು

ನೀಡುವವರ ಪ್ಯಾರಾಮೀಟರ್ ಪ್ರಮಾಣಪತ್ರ ವಸ್ತುವನ್ನು ನಿರೀಕ್ಷಿಸುತ್ತದೆ, ಪ್ರದರ್ಶನ ಹೆಸರನ್ನಲ್ಲ ಮತ್ತು ಬರೀ ಬೆರಳಚ್ಚು ಸ್ಟ್ರಿಂಗನ್ನೂ ಅಲ್ಲ. ಅನುಮೋದಿತ ಪ್ರಾಧಿಕಾರದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನೀವು ಪರಿಶೀಲಿಸಿದ ಮಾರ್ಗದಿಂದ, ಅದು ಸೇರಬೇಕಾದ ಭಂಡಾರಕ್ಕೆ ಒದಗಿಸಿ:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

ಪ್ಯಾರಾಮೀಟರ್‌ನ ಪ್ರಕಾರವು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂಬ ಕಾರಣಕ್ಕೆ ಮಾತ್ರ ಕ್ಲೈಂಟ್‌ನ ಸ್ವಂತ ಎಲೆ ಪ್ರಮಾಣಪತ್ರ, ಸಮಾನ ವಿಷಯವಿರುವ ಬೇರೆ ಪ್ರಾಧಿಕಾರ, ಅಥವಾ ಹೊಸದಾಗಿ ರಚಿಸಿದ ಮೂಲವನ್ನು ಬದಲಾಯಿಸಬೇಡಿ. ಎರಡು ಪ್ರಾಧಿಕಾರಗಳು ಒಂದೇ ವಿಷಯ ಸ್ಟ್ರಿಂಗ್ ಹಂಚಿಕೊಳ್ಳಬಹುದು, ಆದ್ದರಿಂದ ಪಠ್ಯಕ್ಕಿಂತ ವಸ್ತು ಮುಖ್ಯ. Microsoft cmdlet ಉಲ್ಲೇಖ ಎರಡೂ ಇನ್‌ಪುಟ್ ಪ್ರಕಾರಗಳನ್ನು ದಾಖಲಿಸುತ್ತದೆ, ಮತ್ತು ವಿಫಲ ಪ್ರಯತ್ನದ ನಂತರವಲ್ಲ, ಮೊದಲ ಸಂಪಾದನೆಗೆ ಮೊದಲು ಅದನ್ನು ಓದುವುದು ಯೋಗ್ಯ.

ಬಳಕೆ ಫಿಲ್ಟರ್‌ಗೆ OID ಸ್ಟ್ರಿಂಗ್ ಬೇಕು

ವಿಸ್ತೃತ ಕೀ ಬಳಕೆಯ ಪ್ಯಾರಾಮೀಟರ್ OID ಸ್ಟ್ರಿಂಗ್‌ಗಳನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ, ಮತ್ತು ಕ್ಲೈಂಟ್ ದೃಢೀಕರಣದ ಉದ್ದೇಶ 1.3.6.1.5.5.7.3.2. ಅದನ್ನು ಅನ್ವಯಿಸುವುದು ಅಭ್ಯರ್ಥಿಗಳನ್ನು ಆ ಉದ್ದೇಶವನ್ನು ಹೊಂದಿರುವ ಪ್ರಮಾಣಪತ್ರಗಳಿಗೆ ಸೀಮಿತಗೊಳಿಸುತ್ತದೆ, ಇದು ಕ್ಲೈಂಟ್ ದೃಢೀಕರಣದ ನಿಯೋಜನೆ ಬಯಸುವುದು:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

ಮೌಲ್ಯವು ಒಂದು ಶ್ರೇಣಿ, ಆದ್ದರಿಂದ ಹಲವು ಉದ್ದೇಶಗಳು ಬೇಕಾದ ನಿಯೋಜನೆ ಅವನ್ನು ಪಟ್ಟಿಯಾಗಿ ನೀಡುತ್ತದೆ. ಫಿಲ್ಟರ್ ಮಾಡಲಾಗದ್ದು ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಉದ್ದೇಶ ಸೇರಿಸುವುದು: ಇದು ಸಹಿ ಮಾಡಿದ ವಿಸ್ತರಣೆಗಳ ವಿರುದ್ಧ ಮೌಲ್ಯಮಾಪನವಾಗುವ ಆಯ್ಕೆ ಅಭಿವ್ಯಕ್ತಿ, ಮತ್ತು ಯಾವುದೇ ಫಿಲ್ಟರ್ ಅವನ್ನು ಮರುಬರೆಯುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಉದ್ದೇಶ ಇಲ್ಲದ ಪ್ರಮಾಣಪತ್ರವು ನೋಂದಣಿಯ ಮೂಲಕ ಮತ್ತೆ ಹೋಗಬೇಕು.

ಬಳಕೆದಾರ ಪ್ರಮಾಣಪತ್ರಗಳ EAP ಸಂರಚನೆಯನ್ನು ಯಂತ್ರ ಪ್ರಮಾಣಪತ್ರಗಳ ಫಿಲ್ಟರಿಂಗ್‌ನಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿಡಿ, ಏಕೆಂದರೆ ಅವು ಬೇರೆ ಬೇರೆ ಸ್ಥಳಗಳಲ್ಲಿವೆ ಮತ್ತು ಒಂದರಲ್ಲಿ ಬದಲಾವಣೆ ಇನ್ನೊಂದರ ವೈಫಲ್ಯವನ್ನು ವಿರಳವಾಗಿ ವಿವರಿಸುತ್ತದೆ. ಪ್ರೊಫೈಲ್ ಡೊಮೇನ್ ಅಥವಾ ಸಾಧನ ನಿರ್ವಹಣೆಯ ಒಡೆತನದಲ್ಲಿದೆಯೇ ಎಂದೂ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಸ್ಥಳೀಯ ಸಂಪಾದನೆಯನ್ನು ಮುಂದಿನ ನೀತಿ ರಿಫ್ರೆಶ್‌ನಲ್ಲಿ ಯಾರೂ ಯಂತ್ರವನ್ನು ಮುಟ್ಟದೆ ಬದಲಾಯಿಸಬಹುದು.

ಕ್ಲೈಂಟ್ ಯಾವ ಪ್ರಮಾಣಪತ್ರ ನೀಡಿತು ಎಂದು ಸಾಬೀತುಪಡಿಸಿ

ಹೊಸ ಸಂಪರ್ಕವನ್ನು ಸ್ಥಾಪಿಸಿ ಮತ್ತು ಉದ್ದೇಶಿಸಿದ ಗುರುತಿಗಾಗಿ ಕ್ಲೈಂಟ್ ಮತ್ತು ಸರ್ವರ್ ದೃಢೀಕರಣ ಸಾಕ್ಷ್ಯಗಳನ್ನು ಓದಿ. ಫಿಲ್ಟರ್‌ಗಳನ್ನು ಒಂದಕ್ಕಿಂತ ಹೆಚ್ಚು ಪ್ರಮಾಣಪತ್ರಗಳು ಪೂರೈಸಿದಾಗ, ಫಲಿತಾಂಶವು ಪಿನ್ ಮಾಡಿದ ಎಲೆಯಲ್ಲ ಬದಲಾಗಿ ಚಿಕ್ಕ ಕೊಳವಾಗಿರುತ್ತದೆ, ಆದ್ದರಿಂದ ಮುಂದಿನ ಪ್ರಯತ್ನವು ಬೇರೆ ಸದಸ್ಯರನ್ನು ಆಯ್ಕೆ ಮಾಡಬಹುದು. ಆ ಸಾಕ್ಷ್ಯಗಳಲ್ಲಿ ಕಾಣುವ ಬೆರಳಚ್ಚನ್ನು ಗಮನಿಸಿ ಮತ್ತು ಭಂಡಾರದಿಂದ ದಾಖಲಿಸಿದ್ದರೊಂದಿಗೆ ಹೋಲಿಸಿ.

ಯಶಸ್ವಿ ಆದೇಶವು ಯಶಸ್ವಿ ದೃಢೀಕರಣವಲ್ಲ. ದಾಖಲಿಸಲು ಯೋಗ್ಯವಾದ ಫಲಿತಾಂಶವೆಂದರೆ ಉದ್ದೇಶಿಸಿದ ಪ್ರಮಾಣಪತ್ರವು ನಿರ್ವಹಿತ ನೀತಿಯ ಅಡಿಯಲ್ಲಿ ದೃಢೀಕರಿಸುತ್ತಿದೆ ಮತ್ತು ಪ್ರತಿ ಅಸಂಬಂಧಿತ ಪ್ರಮಾಣಪತ್ರವು ಅದನ್ನು ಅವಲಂಬಿಸಿರುವ ಸೇವೆಗಳಿಗೆ ಲಭ್ಯವಾಗಿ ಉಳಿಯುತ್ತದೆ. ವೈಫಲ್ಯವು ಎರಡೂ ಫಿಲ್ಟರ್‌ಗಳ ನಂತರವೂ ಮುಂದುವರಿದರೆ, ಮುಂದೆ ನೋಡಬೇಕಾದ ಸ್ಥಳ ಪೂರ್ಣ ಪ್ರೊಫೈಲ್ ಅಲ್ಲ, ಉಳಿದ ಅಭ್ಯರ್ಥಿಗಳು.