SSTP un IKEv2 izmanto atšķirīgus RRAS sertifikātu vadības elementus

Aizstājot „VPN sertifikātu“, jūs varat mainīt nepareizo pakalpojumu. RRAS uztur vismaz trīs sertifikātu vadības elementus, un katrs no tiem pieder citam protokolam un citai savienojuma lomai. Ja vispirms nosaucat protokolu, riskants minējums pārvēršas vienā atgriezeniskā saistījuma izmaiņā. Viss turpmāk ir atkarīgs no šī viena teikuma.

Nosauciet protokolu pirms sertifikāta

Klausītājs SSTP klientam, kas uzvedas kā HTTPS, uzrāda TLS sertifikātu. Ienākošais IKEv2 savienojums starp vietnēm paziņo servera identitāti un pārbauda partneru sertifikātus pret uzticamu sakni. Starpvietņu definīcija saskarnei nes savu mašīnas identitāti.

Tie ir trīs vadības elementi ar trim tvērumiem. To sajaukšana rada izmaiņas, kas šķietami darbojas vienā protokolā un neietekmē otru, un tas ir sliktāk par acīmredzamu kļūmi. Pirms kaut ko aiztikt, pierakstiet, kurš protokols neizdevās, kura puse uzrādīja sertifikātu un kura to noraidīja.

SSTP ir HTTPS saistījums

Atbalstītos Remote Access izvietojumos Set-RemoteAccess nodrošina parametru SslCertificate, ko izmanto SSTP savienojamībai un ar HTTPS saistītajai DirectAccess lomai.

Tā validācijas un izvietošanas tvērums seko Remote Access konfigurācijai, tāpēc viena saistījuma izmaiņa var skart vairāk nekā vienu savienojumu vai mezglu. Izvietojumā ar slodzes līdzsvarošanu šis tvērums ietver katru mezglu, ko konfigurācija aptver. Viena mezgla maiņa un viena klienta pārbaude atstāj pārējos ar veco lapas sertifikātu, un tās ir tieši tās pusīgās izmaiņas, kas pārdzīvo apkopes logu.

Pirms atjaunināšanas pārbaudiet gaidīto pakalpojuma nosaukumu, ķēdi, derīgumu, paredzēto lietojumu un privātās atslēgas pieejamību. Sertifikātam jāatbilst nosaukumam, ko klients pārbaudīs, un adaptera marķējums nav šis nosaukums.

Ienākošajam IKEv2 ir savs parametrs

Set-VpnAuthProtocol konfigurē ienākošā IKEv2 savienojuma starp vietnēm autentifikāciju, un CertificateAdvertised piegādā sertifikātu, kad tuneļa autentifikācijas režīms tos izmanto. Tā nav vispārīga komanda jebkura servera sertifikāta izvēlei resursdatorā.

Turiet atsevišķi divus objektus: lapas sertifikātu, ko serveris uzrāda kā savu identitāti, un sakni, ko tas izmanto partneru sertifikātu pieņemšanai. Izvēle, kuram izdevējam uzticēties, neko nepasaka par to, kuru lapas sertifikātu serveris uzrāda.

Atsevišķas saskarnes starp vietnēm identitāte tiek iestatīta ar Set-VpnS2SInterface. Tas nav automātiski SSTP sertifikāts, pat ja abi atrodas vienā glabātavā uz vienas mašīnas.

Vispirms pārbaudiet kandidātu

Mērķtiecīgs vietējās mašīnas glabātavas skats parāda publiskos metadatus, neeksportējot neko privātu:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Šis saraksts ir sākumpunkts, nevis piemērotības tests. Pārbaudiet SAN ierakstus, paplašinātos atslēgas lietojumus, ķēdi un pakalpojuma konta piekļuvi privātajai atslēgai protokolam, kuru konfigurējat.

Sertifikāts, kas instalēts nesaistītai mākoņa klienta identitātei, nav piemērots tikai tāpēc, ka parādās tajā pašā glabātavā. Redzamība nav piemērotība, un ekrānuzņēmuma nospiedums neko nepierāda par to, vai pakalpojuma konts var nolasīt atslēgu. Pārbaudiet šo piekļuvi skaidri, jo trūkstoša atslēgas atļauja izpaužas tikai tad, kad pakalpojums tiek restartēts un mēģina izmantot sertifikātu.

Pierakstiet pašreizējo saistījumu un pirms tā maiņas apstipriniet, ka resursdatoram joprojām varat piekļūt citādi. Atjaunošanas ceļš pieder izmaiņām, nevis sekojošajam incidentam.

Atjaunošana nav aktivizācija

Sertifikāta atkārtota izsniegšana ir cita darbība nekā tā izvēle darbojošam pakalpojumam. Jaunais lapas sertifikāts var saglabāt paredzēto DNS identitāti un tomēr nest citu nospiedumu, tāpēc nekas uz to nenorāda, kamēr saistījums netiek atjaunināts. Atjaunošana maina objektu; aktivizācija maina atsauci uz to. Šo divu sajaukšana ir iemesls, kāpēc pareizi atjaunots sertifikāts var nedēļām palikt neizmantots.

Piemērojiet atbalstītās izmaiņas piemērotā logā, tostarp jebkuru dokumentētu restartu, un pēc tam pārbaudiet sertifikātu no jauna paredzētā protokola savienojuma. Kešota klienta sesija joprojām var rādīt veco lapas sertifikātu un likt pareizām izmaiņām izskatīties salauztām.

Izņemiet iepriekšējo sertifikātu parastā kārtībā tikai pēc tam, kad šī pārbaude ir izturēta. Set-RemoteAccess atsauce dokumentē SSL parametra tvērumu, tostarp tā ietekmi izvietojumos ar slodzes līdzsvarošanu, un tas ir tas elements, ko ir vērts izlasīt pirms saistījuma maiņas.