Kuru datora sertifikātu piedāvā Windows VPN?

Sertifikāti ir instalēti, privātās atslēgas ir pieejamas, un tunelis joprojām neiztur autentifikāciju. Dators ar vairākiem sertifikātiem var piedāvāt VPN kandidātu, ko neviens nebija paredzējis, un klientam nav veida, kā uzzināt, kuru vārteja pieņemtu. Pārējo dzēšana ir atlases politika ar sekām katrai datora pakalpojuma daļai. Tā vietā sašauriniet atļauto kopu un pēc tam apstipriniet, kurš sertifikāts faktiski tika piedāvāts.

Vairāki sertifikāti, viens piedāvāts

Vietējie Windows VPN profili ar datora sertifikāta autentifikāciju piedāvā divus filtrus, kas ierobežo kandidātus: izdevēja filtru un paplašinātās atslēgas lietojuma filtru. Tie samazina kopu, no kuras klients var izvēlēties. Tie nelabo nepiemērotu sertifikātu un negarantē, ka serveris pieņems to, kas palicis. Šo robežu ir vērts ierakstīt izmaiņu žurnālā, jo nākamais lasītājs pieņems, ka filtrs izlēmis vairāk, nekā tas izlēma.

Kļūme, ko tie risina, ir šaura un konkrēta. Derīgs sertifikāts no nepareizas iestādes vai tāds, kas izsniegts mērķim, kuru vārteja nepieņem, tiek izvēlēts pirms paredzētā, kas rada autentifikācijas kļūmi līdzās veselīgai krātuvei. Divi filtri to pārvērš kopā, kas ir pietiekami maza pārdomām, un pārējā šīs lapas daļa tos piemēro secībā.

Pārbaudiet krātuvi pirms profila rediģēšanas

Uzskaitiet kandidātus un to īpašības krātuvē, ko profils faktiski izmanto. Nekas šeit neeksportē privātu atslēgu, un neviens sertifikāts nav jāizņem no datora:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Lasiet izvadi par īpašībām, no kurām atkarīgs lēmums: izmantojama privātā atslēga, pieņemams derīguma logs, paredzētais izdevējs un mērķi paplašinājumā. Sertifikāts vienlaikus var būt pieejams, pareizi reģistrēts un šim savienojumam nederīgs. Pirkstu nospieduma kolonna ir tā, ar ko vēlāk salīdzināsiet, tāpēc saglabājiet izvadi.

Pirms rediģēšanas apstipriniet profilu un tā tvērumu, jo datora sertifikāts LocalMachine ietvaros, lietotāja EAP-TLS sertifikāts un lietojumprogrammas pašas privāto atslēgu krātuve ir trīs atšķirīgi konteksti. Izmantojiet visu lietotāju tvērumu un administratīvo kontekstu, kad pārvaldītais profils atrodas tieši tur. Otra profila ar līdzīgu nosaukumu izveide slēpj, kuru konfigurāciju savienojums faktiski izmanto.

Izdevēja filtrs grib objektu

Izdevēja parametrs gaida sertifikāta objektu, nevis parādāmo nosaukumu un nevis kailu pirkstu nospieduma virkni. Nodrošiniet apstiprinātās iestādes sertifikātu no ceļa, kuru esat pārbaudījis, krātuvē, kurā tas pieder:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Neaizstājiet paša klienta lapas sertifikātu, citu iestādi ar līdzīgu subjektu vai tikko ģenerētu sakni tikai tāpēc, ka parametra tips to pieņem. Divas iestādes var koplietot vienu subjekta virkni, un tāpēc objekts ir svarīgāks par tekstu. Microsoft cmdlet atsauce dokumentē abus ievades tipus, un to ir vērts lasīt pirms pirmās rediģēšanas, nevis pēc neveiksmīgā mēģinājuma.

Lietojuma filtrs grib OID virkni

Paplašinātās atslēgas lietojuma parametrs pieņem OID virknes, un klienta autentifikācijas mērķis ir 1.3.6.1.5.5.7.3.2. Tā piemērošana ierobežo kandidātus ar sertifikātiem, kas nes šo mērķi, un tas ir tieši tas, ko vēlas izvietojums ar klienta autentifikāciju:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Vērtība ir masīvs, tāpēc izvietojums, kuram vajag vairākus mērķus, tos nodod kā sarakstu. Ko filtrs nevar, ir pievienot sertifikātam mērķi: tā ir atlases izteiksme, kas tiek vērtēta pret parakstītiem paplašinājumiem, un neviens filtrs tos nepārraksta, tāpēc sertifikātam, kuram trūkst mērķa, atkal jāiziet reģistrācija.

Turiet lietotāju sertifikātu EAP konfigurāciju atsevišķi no datora sertifikātu filtrēšanas, jo tie atrodas dažādās vietās un izmaiņas vienā reti izskaidro kļūmi otrā. Pārbaudiet arī, vai profilu pārvalda domēns vai ierīču pārvaldība, jo lokāla izmaiņa var tikt aizstāta nākamajā politikas atjauninājumā, nevienam neaiztiekot datoru.

Pierādiet, kuru sertifikātu klients piedāvāja

Izveidojiet jaunu savienojumu un lasiet klienta un servera autentifikācijas pierādījumus paredzētajai identitātei. Kad filtrus apmierina vairāk nekā viens sertifikāts, rezultāts ir mazāka kopa, nevis piesprausta lapa, tāpēc nākamais mēģinājums var izvēlēties citu dalībnieku. Pierakstiet pirkstu nospiedumu, kas parādās šajos pierādījumos, un salīdziniet to ar to, ko pierakstījāt no krātuves.

Veiksmīga komanda nav veiksmīga autentifikācija. Rezultāts, ko ir vērts pierakstīt, ir tas, ka paredzētais sertifikāts autentificējas saskaņā ar pārvaldīto politiku, kamēr katrs nesaistītais sertifikāts paliek pieejams pakalpojumiem, kas no tā ir atkarīgi. Ja kļūme pārdzīvo abus filtrus, nākamā vieta, kur skatīties, ir atlikušie kandidāti, nevis viss profils.