Windows VPN кайсы машина сертификатын сунуштайт?

Сертификаттар орнотулган, жеке ачкычтар бар, бирок туннель дагы эле аутентификациядан өтпөй жатат. Бир нече сертификаты бар машина VPNге эч ким ойлогон эмес талапкерди сунушташы мүмкүн, ал эми кардар шлюз кайсынысын кабыл аларын билүүнүн жолу жок. Калгандарын өчүрүү — машинадагы ар бир кызматка таасири тийген тандоо саясаты. Анын ордуна жарактуу топтомду тарылтыңыз, анан кайсы сертификат чындыгында сунушталганын тастыктаңыз.

Бир нече сертификат, бирөө сунушталган

Машина сертификаты менен аутентификацияланган Windowsтун жергиликтүү VPN профилдери талапкерлерди чектеген эки чыпка сунуштайт: эмитент чыпкасы жана кеңейтилген ачкыч колдонуу чыпкасы. Алар кардар тандай ала турган топтомду азайтат. Алар жараксыз сертификатты оңдобойт жана калганын сервер кабыл аларына кепилдик бербейт. Бул чекти өзгөрүүлөр журналына жазууга татыктуу, анткени кийинки окурман чыпка чынында чечкенинен көбүрөөк чечти деп ойлойт.

Алар чечкен бузулуу тар жана так. Туура эмес органдан алынган жарактуу сертификат же шлюз кабыл албаган максатка берилген сертификат көздөлгөндөн мурун тандалат, бул соо кампанын жанында аутентификация ишке ашпастыгын жаратат. Эки чыпка муну ой жүгүртүүгө жетиштүү кичине топтомго айландырат, ал эми бул барактын калган бөлүгү аларды ирети менен колдонот.

Профилди түзөтүүдөн мурун кампаны текшериңиз

Талапкерлерди жана алардын касиеттерин профиль чындыгында колдонгон кампада тизмелеңиз. Бул жерде эч нерсе жеке ачкычты экспорттобойт, жана эч бир сертификат машинадан чыгууга милдеттүү эмес:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Чечим көз каранды касиеттер үчүн чыгарылышты окуңуз: колдонууга жарактуу жеке ачкыч, кабыл алынуучу жарактуулук терезеси, көздөлгөн эмитент жана кеңейтүүдөгү максаттар. Сертификат бир убакта бар болушу, туура катталган болушу жана бул туташуу үчүн пайдасыз болушу мүмкүн. Манжа изинин тилкеси — кийин салыштыра турган нерсе, ошондуктан чыгарылышты сактаңыз.

Түзөтүүдөн мурун профилди жана анын камтылышын тастыктаңыз, анткени LocalMachine ичиндеги машина сертификаты, колдонуучунун EAP-TLS сертификаты жана колдонмонун өзүнүн жеке ачкыч кампасы үч башка контекст. Башкарылуучу профиль ошол жерде болсо, бардык колдонуучулар камтылышын жана административдик контекстти колдонуңуз. Окшош ат менен экинчи профиль түзүү туташуу чындыгында кайсы конфигурацияны колдонорун жашырат.

Эмитент чыпкасы объектини каалайт

Эмитент параметри сертификат объектисин күтөт, көрсөтүлүүчү атты эмес жана жалаң манжа изи сабын да эмес. Бекитилген органдын сертификатын өзүңүз текшерген жолдон, ал таандык кампага бериңиз:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Кардардын өзүнүн жалбырак сертификатын, окшош субъектиси бар башка органды же жаңы жасалган тамырды параметрдин түрү кабыл алат деп гана алмаштырбаңыз. Эки орган бир субъект сабын бөлүшө алат, ошондуктан объект тексттен маанилүүрөөк. Microsoft cmdlet маалымдамасы эки кирүү түрүн тең документтейт, жана аны биринчи түзөтүүдөн мурун окуган жөн, ишке ашпаган аракеттен кийин эмес.

Колдонуу чыпкасы OID сабын каалайт

Кеңейтилген ачкыч колдонуу параметри OID саптарын кабыл алат, ал эми кардар аутентификациясынын максаты 1.3.6.1.5.5.7.3.2. Аны колдонуу талапкерлерди ушул максатты алып жүргөн сертификаттар менен чектейт, бул кардар аутентификациясы бар жайгаштырууга так керек нерсе:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Маани массив, ошондуктан бир нече максат керек жайгаштыруу аларды тизме катары берет. Чыпка жасай албаган нерсе — сертификатка максат кошуу: бул кол коюлган кеңейтүүлөргө каршы бааланган тандоо туюнтмасы, жана эч бир чыпка аларды кайра жазбайт, ошондуктан максаты жок сертификат каттоодон кайра өтүшү керек.

Колдонуучу сертификаттарынын EAP конфигурациясын машина сертификаттарын чыпкалоодон өзүнчө кармаңыз, анткени алар ар башка жерлерде жашайт жана бириндеги өзгөрүү экинчисиндеги бузулууну сейрек түшүндүрөт. Ошондой эле профиль доменге же түзмөктөрдү башкарууга таандыкпы, аны текшериңиз, анткени жергиликтүү түзөтүү кийинки саясат жаңыртуусунда эч ким машинага тийбестен алмаштырылышы мүмкүн.

Кардар кайсы сертификатты сунуштаганын далилдеңиз

Жаңы туташуу түзүп, көздөлгөн инсандык үчүн кардар менен сервердин аутентификация далилдерин окуңуз. Чыпкаларды бирден ашык сертификат канааттандырса, натыйжа бекитилген жалбырак эмес, кичирээк пул, ошондуктан кийинки аракет башка мүчөнү тандашы мүмкүн. Ошол далилдерде көрүнгөн манжа изин жазып, кампадан жазганыңыз менен салыштырыңыз.

Ийгиликтүү команда — ийгиликтүү аутентификация эмес. Жазууга татыктуу натыйжа — көздөлгөн сертификат башкарылуучу саясат боюнча аутентификацияланат, ал эми ар бир байланышсыз сертификат ага көз каранды кызматтар үчүн жеткиликтүү бойдон калат. Бузулуу эки чыпкадан тең аман өтсө, кийинки карай турган жер — бүтүндөй профиль эмес, калган талапкерлер.