SSTP жана IKEv2 ар башка RRAS сертификат көзөмөлдөрүн колдонот

«VPN сертификатын» алмаштырсаңыз, туура эмес кызматты өзгөртүшүңүз мүмкүн. RRAS жок дегенде үч сертификат көзөмөлүн кармайт жана алардын ар бири башка протоколго жана башка туташуу ролуна таандык. Протоколду биринчи атасаңыз, тобокелдүү божомол бир кайтарылуучу туташуу өзгөртүүсүнө айланат. Төмөнкүнүн баары ушул бир сүйлөмгө байланыштуу.

Протоколду сертификаттан мурун атаңыз

SSTP угуучусу HTTPS сыяктуу жүрүм-турум көрсөткөн кардарга TLS сертификатын сунуштайт. Кирүүчү сайт-аралык IKEv2 туташуусу сервердин идентификаторын жарыялайт жана өнөктөш сертификаттарын ишенимдүү тамырга каршы текшерет. Интерфейс боюнча сайт-аралык аныктама өзүнүн машина идентификаторын алып жүрөт.

Бул — үч масштабдуу үч көзөмөл. Аларды аралаштыруу бир протоколдо иштегендей көрүнгөн, экинчисинде эч кандай таасири жок өзгөртүүнү жаратат, бул ачык катадан да жаман. Бир нерсеге тийиштин алдында кайсы протокол ийгиликсиз болгонун, кайсы тарап сертификатты сунуштаганын жана кайсы тарап аны четке какканын жазып алыңыз.

SSTP — HTTPS байланышы

Колдоого алынган Remote Access жайгаштырууларында Set-RemoteAccess SSTP туташуусу жана HTTPS менен байланышкан DirectAccess ролу үчүн колдонулган SslCertificate параметрин сунуштайт.

Анын текшерүү жана жайгаштыруу масштабы Remote Access конфигурациясына ээрчийт, ошондуктан бир туташуу өзгөртүүсү бирден ашык туташууга же түйүнгө жетиши мүмкүн. Жүктү теңдештирүү менен жайгаштырууда бул масштаб конфигурация камтыган ар бир түйүндү камтыйт. Бир түйүндү өзгөртүп, бир кардарды сынап көрүү калгандарынын эски баракчаны сунушташын калтырат, жана бул техникалык тейлөө терезесинен аман өткөн жарым өзгөртүү.

Жаңыртуудан мурун күтүлгөн кызмат атын, тизмекти, жарактуулукту, болжолдонгон колдонууну жана жеке ачкычтын жеткиликтүүлүгүн текшериңиз. Сертификат кардар текшере турган атка дал келиши керек, ал эми адаптер белгиси бул ат эмес.

Кирүүчү IKEv2нин өз параметри бар

Set-VpnAuthProtocol кирүүчү сайт-аралык IKEv2 аутентификациясын конфигурациялайт, ал эми CertificateAdvertised туннелдик аутентификация режими аларды колдонгондо сертификат берет. Бул хосттогу каалаган сервер сертификатын тандоо үчүн жалпы буйрук эмес.

Эки объектини өзүнчө кармаңыз: сервер өз идентификаторы катары сунуштаган баракча жана ал өнөктөш сертификаттарын кабыл алуу үчүн колдонгон тамыр. Кайсы берүүчүгө ишенериңизди тандоо сервер кайсы баракчаны сунуштаары тууралуу эч нерсе айтпайт.

Жеке сайт-аралык интерфейстин идентификаторы Set-VpnS2SInterface аркылуу коюлат. Экөө тең бир машинадагы бир кампада турса да, бул автоматтык түрдө SSTP сертификаты эмес.

Адегенде талапкерди карап чыгыңыз

Жергиликтүү машина кампасынын максаттуу көрүнүшү жеке эч нерсени экспорттобой эле ачык метаберилиштерди көрсөтөт:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Бул тизме — баштапкы чекит, ылайыктуулук тести эмес. Конфигурациялап жаткан протокол үчүн SAN жазууларын, кеңейтилген ачкыч колдонууларын, тизмекти жана кызмат эсебинин жеке ачкычка жетүүсүн карап чыгыңыз.

Байланышы жок булут кардарынын идентификаторы үчүн орнотулган сертификат бир кампада көрүнгөнү үчүн гана ылайыктуу эмес. Көрүнүү — ылайыктуулук эмес, ал эми экран сүрөтүндөгү манжа изи кызмат эсеби ачкычты окуй алары тууралуу эч нерсени далилдебейт. Бул жетүүнү ачык текшериңиз, анткени ачкыч уруксатынын жоктугу кызмат кайра башталып, сертификатты колдонууга аракет кылганда гана билинет.

Учурдагы туташууну жазып алыңыз жана аны өзгөртүүнүн алдында хостко дагы башка жол менен жете аларыңызды ырастаңыз. Калыбына келтирүү жолу өзгөртүүгө таандык, кийинки окуяга эмес.

Жаңылоо — активдештирүү эмес

Сертификатты кайра чыгаруу — аны иштеп жаткан кызмат үчүн тандоодон башка аракет. Жаңы баракча максаттуу DNS идентификаторын сактап, баары бир башка манжа изин алып жүрүшү мүмкүн, ошондуктан туташуу жаңыртылмайынча эч нерсе ага көрсөтпөйт. Жаңылоо объектини өзгөртөт; активдештирүү ага шилтемени өзгөртөт. Экөөнү аралаштыруу туура жаңыртылган сертификаттын жума бою колдонулбай калышынын себеби.

Колдоого алынган өзгөртүүнү ылайыктуу терезеде, документтелген кайра жүктөөнү кошкондо колдонуңуз, анан сертификатты максаттуу протоколдун жаңы туташуусунан карап чыгыңыз. Кэштөөгө алынган кардар сессиясы дагы эле эски баракчаны көрсөтүп, туура өзгөртүүнү бузук кылып көрсөтүшү мүмкүн.

Мурунку сертификатты тек ушул текшерүү өткөндөн кийин гана адаттагы процесс менен колдонуудан чыгарыңыз. Set-RemoteAccess шилтемеси SSL параметринин масштабын, анын ичинде жүктү теңдештирүү менен жайгаштыруулардагы таасирин документтештирет, жана бул туташууну өзгөртүүнүн алдында окууга татыктуу бөлүк.