SSTP и IKEv2 користат различни контролори на сертификати RRAS

Заменете ли „VPN сертификат“, може да ја смените погрешната услуга. RRAS држи најмалку три контролори на сертификати, а секој припаѓа на различен протокол и друга улога на врска. Ако прво го именувате протоколот, ризичната претпоставка станува една повратна промена на врзувањето. Сето подолу зависи од таа една реченица.

Именувајте го протоколот пред сертификатот

Слушачот SSTP на клиент што се однесува како HTTPS му претставува TLS сертификат. Дојдовна врска IKEv2 меѓу локации огласува идентитет на сервер и ги проверува сертификатите на партнерите против доверлив корен. Дефиниција меѓу локации за интерфејс носи сопствен идентитет на машината.

Тоа се три контролори со три опсези. Нивното мешање дава промена што на еден протокол изгледа исправно, а на другиот нема ефект, што е полошо од очигледен дефект. Запишете кој протокол не успеа, која страна го претстави сертификатот и која го одби пред да допрете било што.

SSTP е врзување HTTPS

За поддржани распоредувања на Remote Access, Set-RemoteAccess го изложува параметарот SslCertificate што се користи за SSTP поврзување и за DirectAccess улогата поврзана со HTTPS.

Неговиот опсег на проверка и распоредување го следи Remote Access конфигурирањето, па една промена на врзувањето може да стигне до повеќе од една врска или јазол. Во распоредување со балансирање на оптоварувањето тој опсег го вклучува секој јазол што го покрива конфигурацијата. Промена на еден јазол и тестирање на еден клиент ги остава другите да го претставуваат стариот лист, а тоа е токму онаа половична промена што преживува сервисен прозорец.

Пред ажурирањето проверете го очекуваното име на услугата, ланецот, важноста, наменетата употреба и достапноста на приватниот клуч. Сертификатот мора да одговара на името што клиентот ќе го провери, а ознаката на адаптерот не е тоа име.

Дојдовниот IKEv2 има сопствен параметар

Set-VpnAuthProtocol го конфигурира автентикацијата на дојдовниот IKEv2 меѓу локации, а CertificateAdvertised доставува сертификат кога режимот на автентикација на тунелот ги користи. Тоа не е општа команда за избор на кој било серверски сертификат на домаќинот.

Држете одвоено два објекта: листот што серверот го претставува како сопствен идентитет и коренот што го користи за прифаќање сертификати на партнерите. Изборот на издавач на кој му верувате не кажува ништо за тоа кој лист го претставува серверот.

Идентитетот на поединечен интерфејс меѓу локации се поставува преку Set-VpnS2SInterface. Тоа не е автоматски SSTP сертификат, дури и кога обата лежат во истото складиште на истата машина.

Најпрво прегледајте го кандидатот

Фокусиран приказ на складиштето на локалната машина покажува јавни метаподатоци без извоз на било што приватно:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Тој список е појдовна точка, а не тест за соодветност. Прегледајте ги SAN записите, проширените употреби на клучот, ланецот и пристапот на сметката на услугата до приватниот клуч за протоколот што го конфигурирате.

Сертификат инсталиран за неповрзан идентитет на клиент во облак не е соодветен само затоа што се појавува во истото складиште. Видливоста не е соодветност, а отпечатокот на екранска слика не докажува ништо за тоа дали сметката на услугата може да го чита клучот. Проверете го тој пристап изрично, бидејќи недостатокот на дозвола за клучот се појавува дури кога услугата ќе се рестартира и ќе се обиде да го користи сертификатот.

Забележете го тековното врзување и потврдете дека сѐ уште можете да стигнете до домаќинот на друг начин пред да го смените. Патот за опоравување припаѓа на промената, а не на инцидентот што следи.

Обновата не е активација

Повторното издавање сертификат е различно дејство од неговиот избор за услугата што работи. Новиот лист може да го задржи наменетиот DNS идентитет, а сепак да носи различен отпечаток, па ништо не покажува на него додека не се ажурира врзувањето. Обновата го менува објектот; активацијата ја менува референцата кон него. Мешањето на тие две е причината зошто правилно обновен сертификат може со недели да стои неискористен.

Применете ја поддржаната промена во соодветен прозорец, вклучувајќи го секое документирано рестартирање, а потоа прегледајте го сертификатот од нова врска на наменетиот протокол. Кешираната сесија на клиентот може сѐ уште да го прикажува стариот лист и да направи исправната промена да изгледа расипана.

Повлечете го претходниот сертификат по вообичаениот процес дури откако таа проверка ќе помине. Референцата за Set-RemoteAccess го документира опсегот на SSL параметарот, вклучувајќи го неговиот ефект во распоредувања со балансирање на оптоварувањето, а тоа е делот што вреди да се прочита пред промена на врзувањето.