Кое сертификат на машина го нуди Windows VPN?

Сертификатите се инсталирани, приватните клучеви се присутни, а тунелот сѐ уште не поминува автентикација. Машина со неколку сертификати може да му понуди на VPN кандидат што никој не го предвидел, а клиентот нема начин да знае кој портата би го прифатила. Бришењето на останатите е политика на избор со последици за секоја услуга на машината. Наместо тоа стеснете го допуштеното множество, па потврдете кој сертификат всушност бил понуден.

Неколку сертификати, еден понуден

Изворните Windows VPN профили со автентикација со сертификат на машина нудат два филтри што ги ограничуваат кандидатите: филтер за издавач и филтер за продолжена употреба на клуч. Тие го намалуваат множеството од кое клиентот може да избира. Не поправаат несоодветен сертификат и не гарантираат дека серверот ќе го прифати тоа што останува. Таа граница вреди да се запише во дневникот на промени, бидејќи следниот читател ќе претпостави дека филтерот одлучил повеќе отколку што одлучил.

Дефектот што го решаваат е тесен и конкретен. Важечки сертификат од погрешен орган, или оној издаден за цел што портата не ја прифаќа, се избира пред предвидениот, што создава грешка при автентикација покрај здраво складиште. Два филтри го претвораат тоа во множество доволно мало за размислување, а остатокот од оваа страница ги применува по ред.

Прегледајте го складиштето пред да го уредите профилот

Наведете ги кандидатите и нивните својства во складиштето што профилот навистина го користи. Ништо овде не извезува приватен клуч и ниту еден сертификат не мора да ја напушти машината:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Прочитајте го излезот за својствата од кои зависи одлуката: употреблив приватен клуч, прифатлив период на важност, предвидениот издавач и целите во продолжувањето. Сертификатот може истовремено да биде присутен, правилно запишан и бескорисен за оваа врска. Колоната со отпечаток е онаа со која подоцна ќе споредувате, затоа зачувајте го излезот.

Потврдете го профилот и неговиот опфат пред уредување, бидејќи сертификат на машина во LocalMachine, кориснички сертификат EAP-TLS и сопствено складиште за приватни клучеви на апликација се три различни контексти. Користете опфат на сите корисници и административен контекст кога управуваниот профил е таму. Создавањето втор профил со слично име прикрива која конфигурација врската всушност ја користи.

Филтерот за издавач бара објект

Параметарот за издавач очекува објект на сертификат, не прикажано име и не гола низа со отпечаток. Доставете го сертификатот на одобрениот орган од патека што сте ја прегледале, во складиштето каде што припаѓа:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Не го заменувајте сопствениот лист-сертификат на клиентот, друг орган со сличен субјект или новосоздаден корен само затоа што типот на параметарот го прифаќа. Два органи можат да делат иста низа за субјект, и затоа објектот е поважен од текстот. Референцата за cmdlet на Microsoft ги документира двата типа влез, и вреди да се прочита пред првото уредување, а не по неуспешниот обид.

Филтерот за употреба бара OID низа

Параметарот за продолжена употреба на клуч прима OID низи, а целта за автентикација на клиент е 1.3.6.1.5.5.7.3.2. Неговата примена ги ограничува кандидатите на сертификати што ја носат таа цел, што е токму она што го сака распоредување со автентикација на клиент:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Вредноста е низа, па распоредувањето што бара неколку цели ги пренесува како список. Она што филтерот не може е да додаде цел на сертификат: тој е израз за избор што се оценува спрема потпишани продолжувања, и ниту еден филтер не ги препишува, па сертификатот што ја нема целта мора повторно да помине низ запишување.

Држете ја EAP конфигурацијата за кориснички сертификати одделно од филтрирањето на сертификати на машина, бидејќи тие живеат на различни места и промена во едното ретко објаснува дефект во другото. Проверете и дали профилот го поседува доменот или управувањето со уреди, бидејќи локалното уредување може да биде заменето при следното освежување на правилата без никој да ја допре машината.

Докажете кој сертификат го понудил клиентот

Воспоставете нова врска и прочитајте ги доказите за автентикација на клиентот и серверот за идентитетот што сте го предвиделе. Кога филтрите ги задоволува повеќе од еден сертификат, резултатот е помало множество, а не прикачен лист, па следниот обид може да избере друг член. Забележете го отпечатокот што се појавува во тие докази и споредете го со оној што сте го запишале од складиштето.

Успешна команда не е успешна автентикација. Резултатот што вреди да се запише е предвидениот сертификат да се автентикува според управуваните правила, додека секој неповрзан сертификат останува достапен за услугите што зависат од него. Ако дефектот го надживее обата филтри, следното место за преглед се преостанатите кандидати, а не целиот профил.