Како да отповикате еден клиентски сертификат Azure Point-to-Site

Отповикувањето на еден клиент Azure Point-to-Site значи додавање на неговиот отпечаток во списокот отповикани на портата. Тоа не значи бришење на доверливиот корен. Коренот е издавачот на секој клиентски сертификат што некогаш сте го издале, па неговото отстранување е друга операција со многу поголем ефект. Единицата на отповикување овде е еден сертификат.

Чекор 1: Утврдете точно кој сертификат го мислите

Започнете од записот на сертификатот, а не од прикажаното име. Azure прикажува пријателско име што самите сте го внеле, и таа ознака не мора да се совпаѓа со субјектот или со уредот за кој е издадена.

Уште една проверка пред отповикување: дознајте колку уреди го презентираат. Ако неколку лаптопи се изградени од копии на истиот PFX, отповикувањето на отпечатокот ги заклучува сите, а Azure нема начин да го разликува изгубениот од резервниот во фиоката.

На клиентот Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter ги наведува она што е инсталирано за тој корисник, а Cert:\LocalMachine\My исто така вреди да се провери, бидејќи VPN клиентот може да избере од кое било од двете складишта. Споредете го отпечатокот со вашиот регистрациски инвентар. Обновениот сертификат има различен отпечаток дури и кога субјектот е идентичен.

Не ви треба приватниот клуч на клиентот или PFX заштитен со лозинка за да го прочитате отпечатокот на јавен сертификат. Секоја постапка што бара едно од двете е копирана од друга задача.

Чекор 2: Додајте го во списокот отповикани на портата

Во порталот отворете ја портата на виртуелната мрежа, потоа конфигурацијата Point-to-site, потоа делот со отповикани сертификати. Додајте пријателско име што ќе го препознаете по шест месеци и залепете го отпечатокот како една непрекината низа без празните места.

Проверете која порта е избрана пред да зачувате, бидејќи претплата со неколку порти е токму местото каде што ова оди наопаку. Водичот на Microsoft за конфигурација на сертификати наведува дека по завршувањето на ажурирањето, сертификатот повеќе не може да се користи за поврзување.

Потоа потврдете ја зачуваната вредност наместо да се потпрете на известувањето на порталот: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" покажува што портата навистина чува.

Чекор 3: Проверете ги двата правци

Тестирајте го одбивањето со отповиканиот сертификат, потоа тестирајте дека друг сертификат под истиот корен сѐ уште се автентицира. Токму тој втор тест луѓето го прескокнуваат и токму тој фаќа случајно отстранување на коренот или промена на политика што никој не ја спомнал. Користете уред на кој можете да видите кој сертификат се презентира. Клиент со неколку сертификати може тивко да користи работен и да го направи вашето отповикување да изгледа расипано.

Запишете ги двата резултати во тикетот. Отповикување проверено само во правецот на одбивање е половина проверено.

Чекор 4: Сесии што се веќе отворени

Документираниот резултат се однесува на нови врски. Не го протегајте до ветување дека секој постоечки тунел ќе падне во секундата кога списокот ќе се зачува. Ако моменталното отстранување е важно, користете ги контролите што вашата распоредена конфигурација навистина ги нуди и проверете ја конкретната сесија наместо да претпоставувате.

Тестирајте го ова одделно од автентикацијата, бидејќи двете не успеваат на различни места и оставаат различни траги.

Враќање назад и кратенките што треба да се избегнуваат

Враќање назад значи отстранување на отпечатокот од списокот отповикани и чекање да заврши истото ажурирање. Тоа е безбедно кога сте отповикале погрешен запис, а опасно кога сертификатот е навистина компромитиран, затоа прво одлучете во кој случај сте. Бришењето на доверливиот корен не е кратенка за еден изгубен лаптоп. Бришењето на локален VPN профил на една машина не менува што прифаќа која било порта.

Ако идентитетот се автентицира и на втора порта, и двете бараат ист третман. Списокот отповикани и припаѓа на портата, не на претплатата.