Wéi een eenzelt Azure Point-to-Site-Clientszertifikat zréckzitt

Een Azure Point-to-Site-Client zréckzéien heescht säi Fangerofdrock op d'Zeréckzuchslëscht vum Gateway setzen. Et heescht net d'vertrauenswürdeg Wurzel ze läschen. D'Wurzel ass d'Ausgabestell fir all Clientszertifikat, dat Dir jeemools ausginn hutt, dofir ass hir Ewechhuele eng aner Operatioun mat engem vill méi groussen Impakt. D'Eenheet vum Zeréckzuch ass hei een eenzelt Zertifikat.

Schrëtt 1: Bestëmmt genau, wéi ee Zertifikat Dir mengt

Fänkt beim Zertifikatsrekord un, net bei engem ugewise Numm. Azure weist en frëndlechen Numm, deen Dir selwer getippt hutt, an dës Etikett muss net mam Sujet oder mam Apparat iwwereneestëmmen, fir deen en ausgestallt gouf.

Nach eng Kontroll ier Dir zréckzitt: fënnt eraus, wéi vill Apparater en presentéieren. Wann e puer Laptoppe vun Ofschrëfte vum selwechte PFX gebaut goufen, spärrt de Zeréckzuch vum Fangerofdrock se alleguer aus, an Azure huet keng Méiglechkeet, dee verluerenen aus dem Ersatz an der Tirang ze ënnerscheeden.

Um Client Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter listet op, wat fir dee Benotzer installéiert ass, an Cert:\LocalMachine\My ass och eng Kontroll wäert, well de VPN-Client ka vun engem vun deenen zwee Späicher wielen. Vergläicht de Fangerofdrock mat Ärem Aschreiwungsinventar. En erneierte Zertifikat huet en anere Fangerofdrock, och wann de Sujet identesch ass.

Dir braucht net de private Schlëssel vum Client oder e passwuertgeschützte PFX, fir de Fangerofdrock vun engem ëffentlechen Zertifikat ze liesen. All Prozedur, déi ee vun deenen zwee verlaangt, gouf vun enger anerer Aufgab kopéiert.

Schrëtt 2: Setzt en op d'Zeréckzuchslëscht vum Gateway

Am Portal, maacht de Gateway vum virtuelle Netzwierk op, duerno d'Point-to-site-Konfiguratioun, duerno d'Sektioun vun den zréckgezunnenen Zertifikaten. Füügt e frëndlechen Numm derbäi, deen Dir a sechs Méint erëm erkennt, a setzt de Fangerofdrock als eng eenzeg duerchgehend Zeecheketten ouni d'Leeschraumen an.

Kontrolléiert, wéi ee Gateway ausgewielt ass, ier Dir späichert, well en Abonnement mat méi Gateways ass genee déi Plaz, wou dat schief geet. Dem Microsoft säi Leitfuedem fir Zertifikatskonfiguratioun seet, datt de Zertifikat nom Ofschloss vum Update net méi fir d'Verbindung ka benotzt ginn.

Bestätegt duerno de gespäicherte Wäert, amplaz dem Portal seng Notiz ze vertrauen: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" weist, wat de Gateway tatsächlech hält.

Schrëtt 3: Iwwerpréift béid Richtungen

Test d'Refus mam zréckgezunnenen Zertifikat, an test duerno, datt en aneren Zertifikat ënner der selwechter Wurzel nach ëmmer authentifizéiert. Genau deen zweeten Test iwwersprangen d'Leit, an en ass deen, deen eng zoufälleg Ewechhuele vun der Wurzel oder eng Richtlinn ännert, déi keen ernimmt huet, opfänkt. Benotzt en Apparat, op deem Dir gesitt, wéi ee Zertifikat presentéiert gëtt. E Client mat méi Zertifikaten kann heimlech e funktionéierende benotzen an Ären Zeréckzuch als futti ausgesinn.

Hält béid Resultater am Ticket fest. En Zeréckzuch, deen nëmmen an der Refusrichtung iwwerpréift gouf, ass hallef iwwerpréift.

Schrëtt 4: Sessiounen, déi schonn oppen sinn

Dat dokumentéiert Resultat betrëfft nei Verbindungen. Zitt et net an d'Verspriechen aus, datt all existéierenden Tunnel an der Sekonn fält, an där d'Lëscht gespäichert gëtt. Wann dat direkt Ewechhuele wichteg ass, benotzt d'Kontrollen, déi Är ausgerullt Konfiguratioun wierklech bitt, a kontrolléiert déi spezifesch Sessioun, amplaz unzehuelen.

Test dat getrennt vun der Authentifikatioun, well déi zwee op verschiddene Plazen ausfalen an ënnerschiddlech Beweiser hannerleeën.

Zeréckrollen, an d'Ofkierzungen, déi Dir vermeide sollt

Zeréckrollen heescht de Fangerofdrock vun der Zeréckzuchslëscht huelen an op d'Enn vum selwechten Update waarden. Dat ass sécher, wann Dir de falschen Aschreiwung zréckgezunn hutt, a geféierlech, wann de Zertifikat wierklech kompromittéiert ass, also entscheet Iech fir d'éischt, wéi ee Fall Dir sidd. D'vertrauenswürdeg Wurzel läschen ass keng Ofkierzung fir een eenzelen verluerene Laptop. E lokale VPN-Profil op enger Maschinn läschen ännert net, wat en Gateway akzeptéiert.

Wann d'Identitéit och op engem zweete Gateway authentifizéiert, brauche béid déi selwecht Behandlung. D'Zeréckzuchslëscht gehéiert zu engem Gateway, net zum Abonnement.