Kā atsaukt vienu Azure Point-to-Site klienta sertifikātu

Atsaukt vienu Azure Point-to-Site klientu nozīmē pievienot tā nospiedumu vārtejas atsaukto sarakstam. Tas nenozīmē dzēst uzticamo sakni. Sakne ir katra jūsu kādreiz izdotā klienta sertifikāta izdevējs, tāpēc tās noņemšana ir cita darbība ar daudz lielāku ietekmi. Atsaukšanas vienība šeit ir viens sertifikāts.

1. solis: Nosakiet, kuru sertifikātu domājat

Sāciet ar sertifikāta ierakstu, nevis ar parādīto nosaukumu. Azure rāda draudzīgu nosaukumu, ko ievadījāt paši, un šai etiķetei nav jāatbilst subjektam vai ierīcei, kurai tas tika izsniegts.

Vēl viena pārbaude pirms atsaukšanas: noskaidrojiet, cik ierīces to uzrāda. Ja vairāki klēpjdatori tika veidoti no viena un tā paša PFX kopijām, nospieduma atsaukšana bloķēs tos visus, un Azure nevar atšķirt pazaudēto no rezerves atvilktnē.

Klientā Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter uzskaita, kas instalēts šim lietotājam, un Cert:\LocalMachine\My arī ir vērts pārbaudīt, jo VPN klients var izvēlēties no jebkuras no divām krātuvēm. Salīdziniet nospiedumu ar savu reģistrācijas uzskaiti. Atjauninātam sertifikātam ir cits nospiedums, pat ja subjekts ir identisks.

Publiska sertifikāta nospieduma nolasīšanai jums nav nepieciešama klienta privātā atslēga vai ar paroli aizsargāts PFX. Jebkura procedūra, kas pieprasa kādu no tiem, ir kopēta no cita uzdevuma.

2. solis: Pievienojiet to vārtejas atsaukto sarakstam

Portālā atveriet virtuālā tīkla vārteju, pēc tam Point-to-site konfigurāciju, pēc tam atsaukto sertifikātu sadaļu. Pievienojiet draudzīgu nosaukumu, ko atpazīsiet pēc sešiem mēnešiem, un ielīmējiet nospiedumu kā vienu nepārtrauktu virkni bez atstarpēm.

Pirms saglabāšanas pārbaudiet, kura vārteja ir atlasīta, jo abonements ar vairākām vārtejām ir tieši tā vieta, kur tas noiet greizi. Microsoft sertifikātu konfigurācijas rokasgrāmata norāda, ka pēc atjauninājuma pabeigšanas sertifikātu vairs nevar izmantot savienojuma izveidei.

Pēc tam apstipriniet saglabāto vērtību, nevis paļaujieties uz portāla paziņojumu: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" parāda, ko vārteja patiešām glabā.

3. solis: Pārbaudiet abus virzienus

Pārbaudiet noraidījumu ar atsaukto sertifikātu, pēc tam pārbaudiet, vai cits sertifikāts zem tās pašas saknes joprojām autentificējas. Tieši šo otro testu cilvēki izlaiž, un tieši tas uztver nejaušu saknes noņemšanu vai politikas izmaiņu, ko neviens nav pieminējis. Izmantojiet ierīci, kurā varat redzēt, kurš sertifikāts tiek uzrādīts. Klients ar vairākiem sertifikātiem var klusi izmantot strādājošu un likt jūsu atsaukšanai izskatīties salauztai.

Ierakstiet abus rezultātus biļetē. Atsaukšana, kas pārbaudīta tikai noraidījuma virzienā, ir pārbaudīta uz pusi.

4. solis: Sesijas, kas jau ir aktīvas

Dokumentētais rezultāts attiecas uz jauniem savienojumiem. Nepaplašiniet to līdz solījumam, ka katrs esošais tunelis nokritīs tajā sekundē, kad saraksts tiks saglabāts. Ja tūlītēja noņemšana ir svarīga, izmantojiet vadīklas, ko jūsu izvietotā konfigurācija patiešām piedāvā, un pārbaudiet konkrēto sesiju, nevis pieņemiet.

Pārbaudiet to atsevišķi no autentifikācijas, jo abi neizdodas dažādās vietās un atstāj dažādas pēdas.

Atritināšana un apvedceļi, no kuriem jāizvairās

Atritināšana nozīmē noņemt nospiedumu no atsaukto saraksta un gaidīt tā paša atjauninājuma pabeigšanu. Tas ir droši, ja atsaukāt nepareizo ierakstu, un bīstami, ja sertifikāts patiešām ir kompromitēts, tāpēc vispirms izlemiet, kurš gadījums jums ir. Uzticamās saknes dzēšana nav apvedceļš vienam pazaudētam klēpjdatoram. Lokāla VPN profila dzēšana vienā mašīnā nemaina to, ko pieņem jebkura vārteja.

Ja identitāte autentificējas arī otrajā vārtejā, abām nepieciešama tāda pati apstrāde. Atsaukto saraksts pieder vārtejai, nevis abonementam.