SSTP ir IKEv2 naudoja skirtingas RRAS sertifikatų valdymo priemones

Pakeitę „VPN sertifikatą“ galite pakeisti ne tą paslaugą. RRAS turi bent tris sertifikatų valdymo priemones, ir kiekviena jų priklauso kitam protokolui bei kitam prisijungimo vaidmeniui. Jei pirmiausia įvardysite protokolą, rizikingas spėjimas virsta vienu grįžtamu susiejimo pakeitimu. Viskas toliau priklauso nuo šio vieno sakinio.

Įvardykite protokolą prieš sertifikatą

Klausytojas SSTP klientui, kuris elgiasi kaip HTTPS, pateikia TLS sertifikatą. Gaunamas IKEv2 ryšys tarp svetainių paskelbia serverio tapatybę ir tikrina partnerių sertifikatus pagal patikimą šaknį. Sąsajos apibrėžtis tarp svetainių turi savo mašinos tapatybę.

Tai trys valdymo priemonės su trimis sritimis. Jas sumaišius gaunamas pakeitimas, kuris tarsi veikia viename protokole ir neturi jokio poveikio kitame, o tai blogiau nei akivaizdus gedimas. Užsirašykite, kuris protokolas nepavyko, kuri pusė pateikė sertifikatą ir kuri jį atmetė, prieš ką nors liedami.

SSTP yra HTTPS susiejimas

Palaikomuose Remote Access diegimuose Set-RemoteAccess pateikia parametrą SslCertificate, naudojamą SSTP ryšiui ir su HTTPS susijusiam DirectAccess vaidmeniui.

Jo tikrinimo ir diegimo sritis priklauso nuo Remote Access konfigūracijos, todėl vienas susiejimo pakeitimas gali pasiekti daugiau nei vieną ryšį ar mazgą. Diegime su apkrovos balansavimu ši sritis apima kiekvieną mazgą, kurį apima konfigūracija. Pakeitus vieną mazgą ir patikrinus vieną klientą, likusieji pateikia seną lapo sertifikatą, ir tai būtent tas pusinis pakeitimas, kuris išgyvena techninės priežiūros langą.

Prieš atnaujinimą patikrinkite numatomą paslaugos pavadinimą, grandinę, galiojimą, numatomą naudojimą ir privataus rakto prieinamumą. Sertifikatas turi atitikti vardą, kurį patikrins klientas, o adapterio žymė nėra tas vardas.

Gaunamas IKEv2 turi savo parametrą

Set-VpnAuthProtocol konfigūruoja gaunamo IKEv2 ryšio tarp svetainių autentifikavimą, o CertificateAdvertised pateikia sertifikatą, kai tunelio autentifikavimo režimas juos naudoja. Tai nėra bendra komanda pasirinkti bet kurį serverio sertifikatą hoste.

Laikykite atskirai du objektus: lapo sertifikatą, kurį serveris pateikia kaip savo tapatybę, ir šaknį, kurią jis naudoja partnerių sertifikatams priimti. Pasirinkimas, kuriuo išdavėju pasitikite, nieko nesako apie tai, kurį lapo sertifikatą pateikia serveris.

Atskiros sąsajos tarp svetainių tapatybė nustatoma per Set-VpnS2SInterface. Tai nėra automatiškai SSTP sertifikatas, net kai abu yra toje pačioje saugykloje toje pačioje mašinoje.

Pirmiausia patikrinkite kandidatą

Tikslinga vietinės mašinos saugyklos peržiūra rodo viešus metaduomenis nieko privataus neeksportuodama:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Šis sąrašas yra atspirties taškas, o ne tinkamumo testas. Patikrinkite SAN įrašus, išplėstinius rakto naudojimo būdus, grandinę ir paslaugos paskyros prieigą prie privataus rakto tam protokolui, kurį konfigūruojate.

Sertifikatas, įdiegtas nesusijusiai debesijos kliento tapatybei, netinka vien todėl, kad pasirodo toje pačioje saugykloje. Matomumas nėra tinkamumas, o ekrano kopijos atspaudas nieko neįrodo apie tai, ar paslaugos paskyra gali perskaityti raktą. Patikrinkite šią prieigą aiškiai, nes trūkstamas rakto leidimas pasireiškia tik tada, kai paslauga paleidžiama iš naujo ir bando naudoti sertifikatą.

Užfiksuokite dabartinį susiejimą ir prieš jį keisdami patvirtinkite, kad prie hosto vis dar galite prieiti kitu būdu. Atkūrimo kelias priklauso pakeitimui, o ne incidentui, kuris įvyks po jo.

Atnaujinimas nėra aktyvinimas

Pakartotinis sertifikato išdavimas yra kitas veiksmas nei jo pasirinkimas veikiančiai paslaugai. Naujasis lapo sertifikatas gali išlaikyti numatytą DNS tapatybę ir vis tiek turėti kitą atspaudą, todėl niekas į jį nenurodo, kol susiejimas neatnaujinamas. Atnaujinimas keičia objektą; aktyvinimas keičia nuorodą į jį. Šių dviejų painiojimas yra priežastis, kodėl teisingai atnaujintas sertifikatas gali savaitėmis likti nenaudojamas.

Taikykite palaikomą pakeitimą tinkamame lange, įskaitant bet kokį dokumentuotą paleidimą iš naujo, tada patikrinkite sertifikatą iš naujo numatyto protokolo ryšio. Talpykloje esanti kliento sesija vis dar gali rodyti seną lapo sertifikatą ir teisingą pakeitimą padaryti panašų į gedimą.

Ankstesnį sertifikatą išimkite įprasta tvarka tik po to, kai šis patikrinimas pavyksta. Set-RemoteAccess nuoroda dokumentuoja SSL parametro sritį, įskaitant jo poveikį diegimuose su apkrovos balansavimu, ir tai yra dalis, kurią verta perskaityti prieš susiejimo pakeitimą.