Wéi ee Maschinnzertifikaat bitt d’Windows-VPN un?

D’Zertifikaen sinn installéiert, d’privat Schlësselen sinn do, an den Tunnel feelt ëmmer nach bei der Authentifizéierung. Eng Maschinn mat verschiddene Zertifikaen kann dem VPN ee Kandidat ginn, déi kee virgesinn huet, an de Client huet keng Méiglechkeet ze wëssen, wéi eng de Gateway akzeptéiere géif. Déi aner läschen ass eng Auswielpolitik mat Konsequenzen fir all Service op der Maschinn. Beschränkt amplaz dee zougeloossene Set, a bestätegt duerno, wéi ee Zertifikaat tatsächlech ugebuede gouf.

Verschidde Zertifikaen, eng ugebueden

Nativ Windows-VPN-Profiler mat Authentifizéierung duerch Maschinnzertifikaat bidden zwee Filteren, déi d’Kandidaten aschränken: en Ausstellerfilter an e Filter fir déi erweidert Schlësselnotzung. Si verklengeren de Set, aus deem de Client ka wielen. Si reparéieren keen onpassend Zertifikaat, a si garantéieren net, datt de Server akzeptéiert, wat iwwereg bleift. Déi Grenz ass et wäert am Ännerungsprotokoll ze vermierken, well de nächsten Lieser unhuele wäert, de Filter hätt méi decidéiert wéi hien decidéiert huet.

De Feeler, dee se ugoen, ass schmuel a konkret. En gültegt Zertifikaat vun der falscher Autoritéit, oder ee wat fir en Zweck ausgestallt gouf, deen de Gateway net akzeptéiert, gëtt virum virgesinnene gewielt, wat en Authentifizéierungsfeeler niewent engem gesonde Späicher produzéiert. Zwee Filteren maachen doraus e Set, dee kleng genuch ass fir driwwer nozedenken, an de Rescht vun dëser Säit applizéiert se an der Rei.

Kuckt de Späicher un, ier dir de Profil ännert

Lëscht d’Kandidaten an hir Eegeschaften am Späicher op, dee de Profil tatsächlech benotzt. Hei exportéiert näischt e private Schlëssel, an et muss keen Zertifikaat d’Maschinn verloossen:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Liest d’Ausgab fir d’Eegeschaften, vun deenen d’Entscheedung ofhänkt: en notzleche private Schlëssel, en akzeptabelt Gültegkeetsfenster, den Aussteller dee virgesinn ass an d’Zwecker an der Erweiderung. En Zertifikaat kann zur selwechter Zäit do sinn, richteg ageschriwwe sinn an fir dës Verbindung nëtzlos sinn. D’Kolonn vum Fangerofdrock ass déi, mat där Dir spéider vergläicht, also behält d’Ausgab.

Bestätegt de Profil an säin Ëmfang ier dir ännert, well e Maschinnzertifikaat an LocalMachine, en EAP-TLS-Zertifikaat vun engem Benotzer an en eegene private Schlësselspäicher vun enger Applikatioun sinn dräi verschidde Kontexter. Benotzt den Ëmfang vun alle Benotzer an en administratiivt Kontext, wann de verwaltete Profil do läit. En zweeten Profil mat engem ähnlechen Numm unzeleeën verstoppt, wéi eng Konfiguratioun d’Verbindung tatsächlech benotzt.

Den Ausstellerfilter wëllt en Objet

Den Ausstellerparameter erwaart en Zertifikaatsobjet, keen Unzeigenumm a keng blouss Fangerofdrock-Zeechekett. Gitt d’Zertifikaat vun der ugehollener Autoritéit vun engem Wee, deen dir nogekuckt hutt, an de Späicher, wou et higehéiert:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ersetzt net dem Client säin eegent Blatz-Zertifikaat, eng aner Autoritéit mat engem ähnlechen Sujet oder eng frësch generéiert Wuerzel just well den Typp vum Parameter et akzeptéiert. Zwou Autoritéiten kënnen eng Sujet-Zeechekett deelen, an dofir ass den Objet wichteger wéi den Text. D’Microsoft-Cmdlet-Referenz dokumentéiert déi zwou Aart vun Input, an et ass et wäert, se virun der éischter Ännerung ze liesen an net nom feelgeschloenen Versuch.

Den Notzungsfilter wëllt eng OID-Zeechekett

De Parameter fir déi erweidert Schlësselnotzung hëlt OID-Zeecheketten, an den Zweck vun der Client-Authentifizéierung ass 1.3.6.1.5.5.7.3.2. Wann een en applizéiert, ginn d’Kandidaten op Zertifikaen ageschränkt, déi dësen Zweck droen, wat just dat ass, wat eng Client-Authentifizéierung-Deployment wëllt:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

De Wäert ass en Array, also en Deployment, dee méi Zwecker brauch, gëtt se als Lëscht weider. Wat de Filter net kann, ass en Zweck un en Zertifikaat bäisetzen: et ass en Ausdrock vun der Auswiel, deen géint ënnerschriwwen Erweiderunge bewäert gëtt, an kee Filter schreift déi ëm, also muss en Zertifikaat, deem den Zweck feelt, nees duerch d’Inskriptioun.

Halt d’EAP-Konfiguratioun vun de Benotzerzertifikaen getrennt vum Filtere vun de Maschinnzertifikaen, well si liewen op verschiddene Plazen an eng Ännerung an der enger erkläert seelen e Feeler an der anerer. Kuckt och, ob d’Domain oder d’Apparatsverwaltung de Profil besëtzt, well eng lokal Ännerung bei der nächster Richtlinnen-Aktualiséierung ersat ka ginn, ouni datt een d’Maschinn beréiert.

Beweist, wéi ee Zertifikaat de Client ugebueden huet

Stellt eng nei Verbindung op a liest d’Beweiser vun der Client- a Server-Authentifizéierung fir d’Identitéit aus, déi dir virgesinn hutt. Wann méi wéi een Zertifikaat d’Filteren erfëllt, ass d’Resultat e méi klengen Pool amplaz e festgehalenen Blat, also kann den nächsten Versuch en anert Member wielen. Notéiert de Fangerofdrock, deen an deene Beweiser erschéngt, a vergläicht en mat deem, deen dir aus dem Späicher festgehalen hutt.

Eng Kommando déi geet, ass keng gelungen Authentifizéierung. D’Resultat, dat et wäert ze vermierken, ass datt sech dat virgesinn Zertifikaat ënner der verwalteter Richtlinn authentifizéiert, während all net verwandt Zertifikaat fir d’Servicer, déi dovunner ofhänken, disponibel bleift. Wann de Feeler béid Filteren iwwerlieft, sinn déi reschtlech Kandidaten déi nächst Plaz fir ze kucken, net de Profil als Ganzen.