Azure Point-to-Site 클라이언트 인증서 하나를 해지하는 방법

Azure Point-to-Site 클라이언트 하나를 해지한다는 것은 해당 지문을 게이트웨이의 해지 목록에 추가하는 것입니다. 신뢰할 수 있는 루트를 삭제하는 것이 아닙니다. 루트는 지금까지 발급한 모든 클라이언트 인증서의 발급 기관이므로, 이를 제거하는 것은 영향 범위가 훨씬 큰 다른 작업입니다. 여기서 해지의 단위는 인증서 하나입니다.

1단계: 어떤 인증서인지 정확히 확인

표시 이름이 아니라 인증서 레코드에서 시작합니다. Azure는 직접 입력한 친숙한 이름을 표시하며, 그 레이블이 주체나 발급 대상 장치와 일치할 필요는 없습니다.

해지 전에 한 가지 더 확인할 것은, 이를 제시하는 장치가 몇 개인지입니다. 여러 노트북이 동일한 PFX의 복사본으로 만들어졌다면 지문을 해지하면 모두 잠기며, Azure는 분실한 것과 서랍 속 예비를 구분할 방법이 없습니다.

클라이언트에서 Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter 는 해당 사용자에게 설치된 항목을 나열하며, Cert:\LocalMachine\My 도 확인할 가치가 있는데, VPN 클라이언트가 두 저장소 중 어디에서든 선택할 수 있기 때문입니다. 지문을 등록 인벤토리와 비교하십시오. 갱신된 인증서는 주체가 동일하더라도 지문이 다릅니다.

공개 인증서의 지문을 읽는 데 클라이언트의 개인 키나 암호로 보호된 PFX가 필요하지 않습니다. 둘 중 하나를 요구하는 절차는 다른 작업에서 복사된 것입니다.

2단계: 게이트웨이의 해지 목록에 추가

포털에서 가상 네트워크 게이트웨이를 열고, 그다음 Point-to-site 구성을, 그다음 해지된 인증서 섹션을 엽니다. 여섯 달 후에도 알아볼 수 있는 친숙한 이름을 추가하고 공백을 제거한 지문을 하나의 연속 문자열로 붙여 넣습니다.

저장하기 전에, 게이트웨이가 여러 개인 구독이 바로 여기서 잘못되는 지점이므로 어느 게이트웨이가 선택되었는지 확인하십시오. Microsoft의 인증서 구성 가이드에 따르면 업데이트가 완료되면 해당 인증서로 더 이상 연결할 수 없습니다.

포털 알림을 믿는 대신 나중에 저장된 값을 확인하십시오: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" 는 게이트웨이가 실제로 보관하는 내용을 보여 줍니다.

3단계: 양방향 확인

해지된 인증서로 거부를 테스트한 다음, 같은 루트 아래의 다른 인증서가 여전히 인증되는지 테스트합니다. 사람들이 건너뛰는 것이 바로 그 두 번째 테스트이며, 루트의 우발적 제거나 아무도 언급하지 않은 정책 변경을 잡아내는 것도 그 테스트입니다. 어떤 인증서가 제시되는지 볼 수 있는 장치를 사용하십시오. 인증서가 여러 개인 클라이언트는 조용히 작동하는 인증서를 사용해 해지가 깨진 것처럼 보이게 할 수 있습니다.

두 결과를 모두 티켓에 기록하십시오. 거부 방향에서만 확인된 해지는 절반만 확인된 것입니다.

4단계: 이미 열려 있는 세션

문서화된 결과는 새 연결에 관한 것입니다. 목록이 저장되는 순간 기존 터널이 모두 끊어진다는 약속으로 확장하지 마십시오. 즉시 제거가 중요하다면 배포된 구성이 실제로 제공하는 제어를 사용하고, 가정하는 대신 특정 세션을 확인하십시오.

이것은 둘이 서로 다른 곳에서 실패하고 서로 다른 증거를 남기 때문에 인증과 별도로 테스트하십시오.

롤백과 피해야 할 지름길

롤백은 해지 목록에서 지문을 제거하고 동일한 업데이트가 끝나기를 기다리는 것입니다. 잘못된 항목을 해지했을 때는 안전하고, 인증서가 실제로 손상되었을 때는 위험하므로 먼저 어느 경우인지 판단하십시오. 신뢰할 수 있는 루트를 삭제하는 것은 노트북 한 대를 잃었을 때의 지름길이 아닙니다. 한 머신에서 로컬 VPN 프로필을 삭제해도 어떤 게이트웨이가 무엇을 받아들이는지는 바뀌지 않습니다.

ID가 두 번째 게이트웨이에서도 인증된다면 둘 다 같은 처리가 필요합니다. 해지 목록은 구독이 아니라 게이트웨이에 속합니다.