SSTP an IKEv2 benotze verschidde RRAS-Zertifikatskontrollen

Wann Dir «d'VPN-Zertifikat» ersetzt, kënnt Dir de falschen Déngscht änneren. RRAS hält op d'mannst dräi Zertifikatskontrollen, an all gehéiert zu engem aneren Protokoll an enger anerer Verbindungsroll. De Protokoll fir d'éischt nennen mécht aus enger riskanter Vermutung eng eenzeg, ëmkiirbar Bindungännerung. Alles hei ënnen hänkt vun där eenzeger Saz of.

Nennt de Protokoll virum Zertifikat

E SSTP-Listener presentéiert en TLS-Zertifikat un engem Client, dee sech wéi HTTPS verhält. Eng agaangend IKEv2-Verbindung vun Site zu Site annoncéiert eng Serveridentitéit a validéiert d'Zertifikate vun de Partner géint eng vertrauenswürdeg Wuerzel. Eng Definitioun vun Site zu Site pro Interface dréit seng eegen Maschinnenidentitéit.

Dat sinn dräi Kontrollen mat dräi Beräicher. Se verwiesselen ergëtt eng Ännerung, déi op engem Protokoll ze schaffen schéngt an um aneren keen Effekt huet, wat schlëmmer ass wéi e kloere Feeler. Schreift op, wéi ee Protokoll versot huet, wéi eng Säit d'Zertifikat presentéiert huet a wéi eng Säit et ofgeleent huet, ier Dir eppes ufaasst.

SSTP ass eng HTTPS-Bindung

Fir ënnerstëtzte Remote Access-Bereitstellungen exposéiert Set-RemoteAccess de Parameter SslCertificate, dee fir SSTP-Verbindung an fir d'HTTPS-bezunn DirectAccess-Roll benotzt gëtt.

Säi Validéierungs- a Bereitstellungsberäich follegt der Remote Access-Konfiguratioun, sou datt eng Bindungännerung méi wéi eng Verbindung oder een Node erreeche kann. An enger Bereitstellung mat Laaschtverdeelung ëmfaasst dee Beräich all Node, deen d'Konfiguratioun deckt. Een Node änneren an een Client testen hannerléisst déi aner mam ale Blatt, an dat ass déi Zort hallef Ännerung, déi en Ënnerhaltsfenster iwwerlieft.

Ier Dir aktualiséiert, iwwerpréift den erwaarten Déngschtnumm, d'Kette, d'Gëltegkeet, d'beabsichtegt Notzung an d'Disponibilitéit vum private Schlëssel. D'Zertifikat muss mam Numm iwwerenee stëmmen, deen de Client iwwerpréift, an en Adapterlabel ass net deen Numm.

Agaangend IKEv2 huet säin eegene Parameter

Set-VpnAuthProtocol konfiguréiert d'agaangend IKEv2-Authentifizéierung vun Site zu Site, an CertificateAdvertised liwwert en Zertifikat, waarm de Tunnelauthentifizéierungsmodus se benotzt. Dëst ass keen allgemenge Kommando fir en typesche Serverzertifikat um Host ze wielen.

Halt zwee Objeten auserneen: d'Blatt, dat de Server als seng eegen Identitéit presentéiert, an d'Wuerzel, déi en akzeptéiert fir d'Zertifikate vun de Partner ze akzeptéieren. D'Wiel, wiem sengem Aussteller Dir vertraut, seet näischt doriwwer, wéi ee Blatt de Server presentéiert.

D'Identitéit vun engem eenzelen Site-zu-Site-Interface gëtt iwwer Set-VpnS2SInterface gesat. Et ass net automatesch d'SSTP-Zertifikat, och wann béid am selwechte Späicher op der selwechter Maschinn leien.

Iwwerpréift als éischt de Kandidat

Eng fokusséiert Vue vum Späicher vun der lokaler Maschinn weist ëffentlech Metadaten, ouni eppes Privates z'exportéieren:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Déi Lëscht ass en Ausgangspunkt an keen Eignungstest. Iwwerpréift d'SAN-Anträg, déi erweidert Schlësselnotzungen, d'Kette an den Zougang vum Déngschtkonto zum private Schlëssel fir de Protokoll, deen Dir konfiguréiert.

En Zertifikat, dat fir eng onverbonn Cloud-Clientidentitéit installéiert gouf, ass net gëeegent just well et am selwechte Späicher erschéngt. Visibilitéit ass keng Eignung, an e Fangerofdrock an engem Screenshot beweist näischt doriwwer, ob den Déngschtkonto de Schlëssel liese kann. Iwwerpréift deen Zougang ausdrécklech, well eng feelend Schlësselberechtegung just dann versot, wann den Déngscht nei start an d'Zertifikat probéiert ze benotzen.

Registréiert déi aktuell Bindung a bestätegt, datt Dir den Host nach op eng aner Manéier erreeche kënnt, ier Dir se ännert. De Recuperatiounswee gehéiert zur Ännerung, net zum Incident, dee follegt.

Erneierung ass keng Aktivéierung

En Zertifikat nei auszeginn ass eng aner Aktioun wéi et fir den lafenden Déngscht auszewielen. D'neit Blatt kann d'beabsichteg DNS-Identitéit behalen an trotzdeem en aneren Fangerofdrock droen, sou datt näischt drop weist, bis d'Bindung aktualiséiert gëtt. Erneierung ännert den Objet; Aktivéierung ännert d'Referenz dozou. Dës zwee verwiesselen ass de Grond, firwat en korrekt erneiert Zertifikat wocheklaang onbenotzt ka leien.

Wend d'ënnerstëtzt Ännerung an engem passenden Fenster un, inklusiv all dokumentéierte Neistart, an iwwerpréift duerno d'Zertifikat vun enger neier Verbindung vum beabsichtigte Protokoll. Eng gecacht Clientssitzung kann nach dat aalt Blatt weisen an eng korrekt Ännerung defekt ausgesäi loossen.

Zitt dat viregt Zertifikat nëmmen nom normale Prozess aus dem Betrib, nodeems deen Test bestanen ass. D'Referenz zu Set-RemoteAccess dokumentéiert de Beräich vum SSL-Parameter, inklusiv sengem Effekt an Bereitstellungen mat Laaschtverdeelung, an dat ass den Deel, deen et sech lount ze liesen ier eng Bindung geännert gëtt.