Kaip atšaukti vieną „Azure Point-to-Site“ kliento sertifikatą

Atšaukti vieną „Azure Point-to-Site“ klientą reiškia pridėti jo kontrolinį kodą prie šliuzo atšauktų sąrašo. Tai nereiškia ištrinti patikimos šaknies. Šaknis yra kiekvieno jūsų kada nors išduoto kliento sertifikato išdavėjas, todėl jos pašalinimas yra kita operacija, turinti daug didesnį poveikį. Atšaukimo vienetas čia yra vienas sertifikatas.

1 veiksmas: Nustatykite, kurį sertifikatą turite omenyje

Pradėkite nuo sertifikato įrašo, o ne nuo rodomo pavadinimo. „Azure“ rodo draugišką pavadinimą, kurį įvedėte patys, ir ši etiketė neturi atitikti subjekto ar įrenginio, kuriam jis buvo išduotas.

Dar vienas patikrinimas prieš atšaukiant: išsiaiškinkite, kiek įrenginių jį pateikia. Jei keli nešiojamieji kompiuteriai buvo sukurti iš to paties PFX kopijų, atšaukus kontrolinį kodą visi jie bus užblokuoti, o „Azure“ negali atskirti pamesto nuo atsarginio stalčiuje.

Kliente Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter išvardija, kas įdiegta tam naudotojui, ir Cert:\LocalMachine\My taip pat verta patikrinti, nes VPN klientas gali rinktis iš bet kurios iš dviejų saugyklų. Palyginkite kontrolinį kodą su savo registracijos inventoriumi. Atnaujintas sertifikatas turi kitą kontrolinį kodą, net kai subjektas yra identiškas.

Jums nereikia kliento privataus rakto ar slaptažodžiu apsaugoto PFX, kad perskaitytumėte viešo sertifikato kontrolinį kodą. Bet kuri procedūra, reikalaujanti vieno iš jų, buvo nukopijuota iš kitos užduoties.

2 veiksmas: Pridėkite jį prie šliuzo atšauktų sąrašo

Portale atidarykite virtualaus tinklo šliuzą, tada „Point-to-site“ konfigūraciją, tada atšauktų sertifikatų skyrių. Pridėkite draugišką pavadinimą, kurį atpažinsite po šešių mėnesių, ir įklijuokite kontrolinį kodą kaip vieną ištisinę eilutę be tarpų.

Prieš išsaugodami patikrinkite, kuris šliuzas pasirinktas, nes prenumerata su keliais šliuzais yra būtent ta vieta, kur tai sugenda. „Microsoft“ sertifikatų konfigūracijos vadovas nurodo, kad baigus naujinimą sertifikato nebegalima naudoti prisijungimui.

Po to patvirtinkite išsaugotą reikšmę, o ne pasikliaukite portalo pranešimu: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" rodo, ką šliuzas iš tikrųjų saugo.

3 veiksmas: Patikrinkite abi kryptis

Išbandykite atmetimą su atšauktu sertifikatu, tada patikrinkite, kad kitas tos pačios šaknies sertifikatas vis dar autentifikuojamas. Būtent šį antrą testą žmonės praleidžia, ir būtent jis pagauna atsitiktinį šaknies pašalinimą arba niekam nepaminėtą politikos pakeitimą. Naudokite įrenginį, kuriame matote, kuris sertifikatas pateikiamas. Klientas, turintis kelis sertifikatus, gali tyliai naudoti veikiantį ir priversti jūsų atšaukimą atrodyti sugedusiu.

Įrašykite abu rezultatus į bilietą. Atšaukimas, patikrintas tik atmetimo kryptimi, yra patikrintas pusiau.

4 veiksmas: Jau aktyvios sesijos

Dokumentuotas rezultatas susijęs su naujais ryšiais. Neišplėskite jo iki pažado, kad kiekvienas esamas tunelis nukris tą sekundę, kai sąrašas bus išsaugotas. Jei tiesioginis pašalinimas svarbus, naudokite valdiklius, kuriuos jūsų įdiegta konfigūracija iš tikrųjų siūlo, ir patikrinkite konkrečią sesiją, o ne darykite prielaidas.

Išbandykite tai atskirai nuo autentifikavimo, nes abu nepavyksta skirtingose vietose ir palieka skirtingus pėdsakus.

Atšaukimas atgal ir sąsajos, kurių reikia vengti

Grąžinimas reiškia kontrolinio kodo pašalinimą iš atšauktų sąrašo ir to paties naujinimo pabaigos laukimą. Tai saugu, kai atšaukėte neteisingą įrašą, ir pavojinga, kai sertifikatas tikrai sukompromituotas, todėl pirmiausia nuspręskite, koks atvejis jūsų. Patikimos šaknies trynimas nėra sąsaja vienam pamestam nešiojamajam kompiuteriui. Vietinio VPN profilio trynimas viename kompiuteryje nekeičia to, ką priima bet kuris šliuzas.

Jei tapatybė taip pat autentifikuojama antrame šliuze, abiem reikia tokio paties apdorojimo. Atšauktų sąrašas priklauso šliuzui, o ne prenumeratai.