Kurį kompiuterio sertifikatą siūlo „Windows“ VPN?

Sertifikatai įdiegti, privatūs raktai yra, o tunelis vis tiek nepraeina autentifikacijos. Kompiuteris su keliais sertifikatais gali pasiūlyti VPN kandidatą, kurio niekas nenumatė, o klientas neturi būdo sužinoti, kurį tarpinė priimtų. Kitų trynimas yra atrankos politika, turinti pasekmių kiekvienai kompiuterio paslaugai. Vietoj to susiaurinkite leistiną grupę, tada patvirtinkite, kuris sertifikatas iš tikrųjų buvo pasiūlytas.

Keli sertifikatai, vienas pasiūlytas

Vietiniai „Windows“ VPN profiliai su kompiuterio sertifikato autentifikacija siūlo du filtrus, kurie apriboja kandidatus: išdavėjo filtrą ir išplėstinio rakto naudojimo filtrą. Jie sumažina grupę, iš kurios klientas gali rinktis. Jie nesutaiso netinkamo sertifikato ir negarantuoja, kad serveris priims tai, kas liko. Šią ribą verta užrašyti pakeitimų žurnale, nes kitas skaitytojas manys, kad filtras nusprendė daugiau, nei nusprendė.

Gedimas, kurį jie sprendžia, yra siauras ir konkretus. Galiojantis netinkamos įstaigos sertifikatas arba išduotas tikslui, kurio tarpinė nepriima, parenkamas prieš numatytąjį, todėl šalia sveikos saugyklos atsiranda autentifikacijos gedimas. Du filtrai paverčia tai grupe, pakankamai maža samprotavimui, o likusi šio puslapio dalis juos taiko iš eilės.

Patikrinkite saugyklą prieš redaguodami profilį

Išvardykite kandidatus ir jų savybes saugykloje, kurią profilis iš tikrųjų naudoja. Nieko čia neeksportuoja privataus rakto, ir joks sertifikatas neturi palikti kompiuterio:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Perskaitykite išvestį dėl savybių, nuo kurių priklauso sprendimas: naudotinas privatus raktas, priimtinas galiojimo langas, numatytas išdavėjas ir plėtinyje esantys tikslai. Sertifikatas gali vienu metu būti, būti teisingai įregistruotas ir būti nenaudingas šiam ryšiui. Pirštų atspaudo stulpelis yra tas, su kuriuo vėliau lyginsite, todėl išsaugokite išvestį.

Patvirtinkite profilį ir jo apimtį prieš redaguodami, nes kompiuterio sertifikatas, esantis LocalMachine, vartotojo EAP-TLS sertifikatas ir programos nuosava privataus rakto saugykla yra trys skirtingi kontekstai. Naudokite visų vartotojų apimtį ir administracinį kontekstą, kai valdomas profilis yra ten. Antro profilio su panašiu pavadinimu sukūrimas paslepia, kurią konfigūraciją ryšys iš tikrųjų naudoja.

Išdavėjo filtras nori objekto

Išdavėjo parametras tikisi sertifikato objekto, o ne rodomo pavadinimo ir ne plikos pirštų atspaudo eilutės. Pateikite patvirtintos įstaigos sertifikatą iš kelio, kurį peržiūrėjote, į saugyklą, kuriai jis priklauso:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Nepakeiskite paties kliento lapinio sertifikato, kitos įstaigos su panašiu subjektu ar ką tik sugeneruotos šaknies vien todėl, kad parametro tipas tai priima. Dvi įstaigos gali dalytis ta pačia subjekto eilute, ir todėl objektas svarbesnis už tekstą. „Microsoft“ cmdlet nuoroda dokumentuoja abu įvesties tipus, ir ją verta perskaityti prieš pirmą redagavimą, o ne po nepavykusio bandymo.

Naudojimo filtras nori OID eilutės

Išplėstinio rakto naudojimo parametras priima OID eilutes, o kliento autentifikacijos tikslas yra 1.3.6.1.5.5.7.3.2. Jį pritaikius kandidatai apribojami sertifikatais, turinčiais šį tikslą, o būtent to ir nori diegimas su kliento autentifikacija:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Reikšmė yra masyvas, todėl diegimas, kuriam reikia kelių tikslų, perduoda juos kaip sąrašą. Ko filtras negali, tai pridėti tikslo prie sertifikato: tai atrankos išraiška, vertinama pagal pasirašytus plėtinius, ir joks filtras jų neperrašo, todėl sertifikatas, kuriam trūksta tikslo, turi vėl praeiti registraciją.

Laikykite vartotojo sertifikatų EAP konfigūraciją atskirai nuo kompiuterio sertifikatų filtravimo, nes jie yra skirtingose vietose ir vieno pakeitimas retai paaiškina gedimą kitame. Taip pat patikrinkite, ar profilį valdo domenas, ar įrenginių valdymas, nes lokalus pakeitimas gali būti pakeistas kitoje strategijos atnaujinimo metu niekam neliečiant kompiuterio.

Įrodykite, kurį sertifikatą klientas pasiūlė

Užmegzkite naują ryšį ir perskaitykite kliento bei serverio autentifikacijos įrodymus numatytai tapatybei. Kai filtrus tenkina daugiau nei vienas sertifikatas, rezultatas yra mažesnė grupė, o ne prisegtas lapinis sertifikatas, todėl kitas bandymas gali pasirinkti kitą narį. Užsirašykite pirštų atspaudą, kuris pasirodo tuose įrodymuose, ir palyginkite jį su tuo, kurį užsirašėte iš saugyklos.

Sėkminga komanda nėra sėkminga autentifikacija. Rezultatas, kurį verta užrašyti, yra tai, kad numatytas sertifikatas autentifikuojasi pagal valdomą strategiją, o kiekvienas nesusijęs sertifikatas lieka prieinamas nuo jo priklausančioms paslaugoms. Jei gedimas išlieka po abiejų filtrų, toliau žiūrėti reikia likusių kandidatų, o ne viso profilio.