Windows VPN ഏത് മെഷീൻ സർട്ടിഫിക്കറ്റാണ് നൽകുന്നത്?

സർട്ടിഫിക്കറ്റുകൾ ഇൻസ്റ്റാൾ ചെയ്തു, സ്വകാര്യ കീകൾ ഉണ്ട്, എന്നിട്ടും ടണൽ ഓത്തന്റിക്കേഷനിൽ പരാജയപ്പെടുന്നു. പല സർട്ടിഫിക്കറ്റുകളുള്ള ഒരു മെഷീൻ ആരും ഉദ്ദേശിക്കാത്ത ഒരു സ്ഥാനാർത്ഥിയെ VPN-ന് നൽകിയേക്കാം, ഗേറ്റ്‌വേ ഏതിനെ സ്വീകരിക്കുമെന്ന് അറിയാൻ ക്ലയന്റിന് വഴിയില്ല. ബാക്കിയുള്ളവ ഇല്ലാതാക്കുന്നത് മെഷീനിലെ എല്ലാ സേവനത്തെയും ബാധിക്കുന്ന ഒരു തിരഞ്ഞെടുപ്പ് നയമാണ്. പകരം യോഗ്യമായ കൂട്ടം ചുരുക്കി, യഥാർത്ഥത്തിൽ ഏത് സർട്ടിഫിക്കറ്റാണ് നൽകിയതെന്ന് സ്ഥിരീകരിക്കുക.

പല സർട്ടിഫിക്കറ്റുകൾ, ഒന്ന് നൽകി

മെഷീൻ സർട്ടിഫിക്കറ്റ് ഓത്തന്റിക്കേഷനുള്ള Windows-ന്റെ സ്വദേശീയ VPN പ്രൊഫൈലുകൾ സ്ഥാനാർത്ഥികളെ പരിമിതപ്പെടുത്തുന്ന രണ്ട് ഫിൽട്ടറുകൾ നൽകുന്നു: ഇഷ്യൂവർ ഫിൽട്ടറും വിപുലീകൃത കീ ഉപയോഗ ഫിൽട്ടറും. അവ ക്ലയന്റിന് തിരഞ്ഞെടുക്കാവുന്ന കൂട്ടം ചെറുതാക്കുന്നു. അനുയോജ്യമല്ലാത്ത സർട്ടിഫിക്കറ്റ് അവ നന്നാക്കുന്നില്ല, ബാക്കിയുള്ളത് സെർവർ സ്വീകരിക്കുമെന്ന് ഉറപ്പും നൽകുന്നില്ല. ആ അതിർത്തി മാറ്റരേഖയിൽ എഴുതാൻ യോഗ്യമാണ്, കാരണം അടുത്ത വായനക്കാരൻ ഫിൽട്ടർ യഥാർത്ഥത്തിൽ തീരുമാനിച്ചതിലധികം തീരുമാനിച്ചു എന്ന് കരുതും.

അവ പരിഹരിക്കുന്ന പരാജയം ഇടുങ്ങിയതും കൃത്യവുമാണ്. തെറ്റായ അധികാരിയിൽ നിന്നുള്ള സാധുവായ സർട്ടിഫിക്കറ്റ്, അല്ലെങ്കിൽ ഗേറ്റ്‌വേ സ്വീകരിക്കാത്ത ഉദ്ദേശ്യത്തിനായി നൽകിയത്, ഉദ്ദേശിച്ചതിന് മുൻപ് തിരഞ്ഞെടുക്കപ്പെടുന്നു, ഇത് ആരോഗ്യകരമായ സംഭരണത്തിന് സമീപം ഓത്തന്റിക്കേഷൻ പരാജയം ഉണ്ടാക്കുന്നു. രണ്ട് ഫിൽട്ടറുകൾ അതിനെ ചിന്തിക്കാൻ മാത്രം ചെറിയ കൂട്ടമാക്കുന്നു, ഈ പേജിന്റെ ബാക്കി അവ ക്രമത്തിൽ പ്രയോഗിക്കുന്നു.

പ്രൊഫൈൽ എഡിറ്റ് ചെയ്യുന്നതിന് മുൻപ് സംഭരണം പരിശോധിക്കുക

പ്രൊഫൈൽ യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന സംഭരണത്തിൽ സ്ഥാനാർത്ഥികളെയും അവയുടെ ഗുണങ്ങളും ലിസ്റ്റ് ചെയ്യുക. ഇവിടെ ഒന്നും സ്വകാര്യ കീ കയറ്റുമതി ചെയ്യുന്നില്ല, ഒരു സർട്ടിഫിക്കറ്റും മെഷീൻ വിടേണ്ടതില്ല:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

തീരുമാനം ആശ്രയിക്കുന്ന ഗുണങ്ങൾക്കായി ഔട്ട്‌പുട്ട് വായിക്കുക: ഉപയോഗയോഗ്യമായ സ്വകാര്യ കീ, സ്വീകാര്യമായ സാധുതാ കാലയളവ്, ഉദ്ദേശിച്ച ഇഷ്യൂവർ, വിപുലീകരണത്തിലെ ഉദ്ദേശ്യങ്ങൾ. ഒരു സർട്ടിഫിക്കറ്റ് ഒരേ സമയം ഉണ്ടാകാം, ശരിയായി രജിസ്റ്റർ ചെയ്യപ്പെടാം, ഈ കണക്ഷന് ഉപയോഗശൂന്യവുമാകാം. വിരലടയാളം കോളം പിന്നീട് താരതമ്യം ചെയ്യുന്നതാണ്, അതിനാൽ ഔട്ട്‌പുട്ട് സൂക്ഷിക്കുക.

എഡിറ്റിംഗിന് മുൻപ് പ്രൊഫൈലും അതിന്റെ പരിധിയും സ്ഥിരീകരിക്കുക, കാരണം LocalMachine എന്നതിലുള്ള മെഷീൻ സർട്ടിഫിക്കറ്റ്, ഉപയോക്താവിന്റെ EAP-TLS സർട്ടിഫിക്കറ്റ്, ഒരു ആപ്ലിക്കേഷന്റെ സ്വന്തം സ്വകാര്യ കീ സംഭരണം എന്നിവ മൂന്ന് വ്യത്യസ്ത സന്ദർഭങ്ങളാണ്. മാനേജ് ചെയ്യുന്ന പ്രൊഫൈൽ അവിടെയാണെങ്കിൽ എല്ലാ ഉപയോക്താക്കളുടെയും പരിധിയും അഡ്മിനിസ്ട്രേറ്റീവ് സന്ദർഭവും ഉപയോഗിക്കുക. സമാനമായ പേരിൽ രണ്ടാമത്തെ പ്രൊഫൈൽ ഉണ്ടാക്കുന്നത് കണക്ഷൻ യഥാർത്ഥത്തിൽ ഏത് കോൺഫിഗറേഷൻ ഉപയോഗിക്കുന്നു എന്നത് മറയ്ക്കുന്നു.

ഇഷ്യൂവർ ഫിൽട്ടറിന് ഒരു വസ്തു വേണം

ഇഷ്യൂവർ പാരാമീറ്റർ സർട്ടിഫിക്കറ്റ് വസ്തുവിനെ പ്രതീക്ഷിക്കുന്നു, പ്രദർശന നാമമല്ല, നഗ്നമായ വിരലടയാള സ്ട്രിംഗുമല്ല. അംഗീകൃത അധികാരിയുടെ സർട്ടിഫിക്കറ്റ് നിങ്ങൾ പരിശോധിച്ച പാതയിൽ നിന്ന്, അത് ചേരുന്ന സംഭരണത്തിലേക്ക് നൽകുക:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

പാരാമീറ്ററിന്റെ തരം സ്വീകരിക്കുന്നു എന്ന കാരണത്താൽ മാത്രം ക്ലയന്റിന്റെ സ്വന്തം ലീഫ് സർട്ടിഫിക്കറ്റ്, സമാന വിഷയമുള്ള മറ്റൊരു അധികാരി, അല്ലെങ്കിൽ പുതുതായി ഉണ്ടാക്കിയ റൂട്ട് എന്നിവ മാറ്റിസ്ഥാപിക്കരുത്. രണ്ട് അധികാരികൾക്ക് ഒരേ വിഷയ സ്ട്രിംഗ് പങ്കിടാം, അതുകൊണ്ടാണ് വാചകത്തേക്കാൾ വസ്തു പ്രധാനമാകുന്നത്. Microsoft cmdlet റഫറൻസ് രണ്ട് ഇൻപുട്ട് തരങ്ങളും രേഖപ്പെടുത്തുന്നു, പരാജയപ്പെട്ട ശ്രമത്തിന് ശേഷമല്ല, ആദ്യ എഡിറ്റിന് മുൻപ് അത് വായിക്കാൻ യോഗ്യമാണ്.

ഉപയോഗ ഫിൽട്ടറിന് OID സ്ട്രിംഗ് വേണം

വിപുലീകൃത കീ ഉപയോഗ പാരാമീറ്റർ OID സ്ട്രിംഗുകൾ സ്വീകരിക്കുന്നു, ക്ലയന്റ് ഓത്തന്റിക്കേഷന്റെ ഉദ്ദേശ്യം 1.3.6.1.5.5.7.3.2. അത് പ്രയോഗിക്കുന്നത് സ്ഥാനാർത്ഥികളെ ആ ഉദ്ദേശ്യം വഹിക്കുന്ന സർട്ടിഫിക്കറ്റുകളിൽ പരിമിതപ്പെടുത്തുന്നു, ക്ലയന്റ് ഓത്തന്റിക്കേഷനുള്ള വിന്യാസം ആഗ്രഹിക്കുന്നത് അതാണ്:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

മൂല്യം ഒരു അറേയാണ്, അതിനാൽ പല ഉദ്ദേശ്യങ്ങൾ വേണ്ട വിന്യാസം അവയെ ലിസ്റ്റായി നൽകുന്നു. ഫിൽട്ടറിന് ചെയ്യാനാകാത്തത് ഒരു സർട്ടിഫിക്കറ്റിലേക്ക് ഉദ്ദേശ്യം ചേർക്കുന്നതാണ്: ഇത് ഒപ്പിട്ട വിപുലീകരണങ്ങൾക്കെതിരെ വിലയിരുത്തുന്ന തിരഞ്ഞെടുപ്പ് പദപ്രയോഗമാണ്, ഏതൊരു ഫിൽട്ടറും അവ വീണ്ടും എഴുതുന്നില്ല, അതിനാൽ ഉദ്ദേശ്യം ഇല്ലാത്ത സർട്ടിഫിക്കറ്റ് വീണ്ടും രജിസ്ട്രേഷനിലൂടെ കടക്കണം.

ഉപയോക്തൃ സർട്ടിഫിക്കറ്റുകളുടെ EAP കോൺഫിഗറേഷൻ മെഷീൻ സർട്ടിഫിക്കറ്റ് ഫിൽട്ടറിംഗിൽ നിന്ന് വേർതിരിച്ചിടുക, കാരണം അവ വ്യത്യസ്ത സ്ഥലങ്ങളിലാണ്, ഒന്നിലെ മാറ്റം മറ്റൊന്നിലെ പരാജയം വിശദീകരിക്കുന്നത് അപൂർവമാണ്. പ്രൊഫൈൽ ഡൊമെയ്നിന്റേതാണോ ഉപകരണ മാനേജ്മെന്റിന്റേതാണോ എന്നും പരിശോധിക്കുക, കാരണം പ്രാദേശിക എഡിറ്റ് അടുത്ത നയ പുതുക്കലിൽ ആരും മെഷീൻ തൊടാതെ മാറ്റിസ്ഥാപിക്കപ്പെടാം.

ക്ലയന്റ് ഏത് സർട്ടിഫിക്കറ്റ് നൽകി എന്ന് തെളിയിക്കുക

പുതിയ കണക്ഷൻ സ്ഥാപിച്ച് ഉദ്ദേശിച്ച ഐഡന്റിറ്റിക്കായി ക്ലയന്റിന്റെയും സെർവറിന്റെയും ഓത്തന്റിക്കേഷൻ തെളിവുകൾ വായിക്കുക. ഫിൽട്ടറുകൾ ഒന്നിലധികം സർട്ടിഫിക്കറ്റുകൾ പാലിക്കുമ്പോൾ, ഫലം പിൻ ചെയ്ത ലീഫല്ല, ചെറിയ കൂട്ടമാണ്, അതിനാൽ അടുത്ത ശ്രമം മറ്റൊരു അംഗത്തെ തിരഞ്ഞെടുത്തേക്കാം. ആ തെളിവുകളിൽ കാണുന്ന വിരലടയാളം കുറിച്ച് സംഭരണത്തിൽ നിന്ന് രേഖപ്പെടുത്തിയതുമായി താരതമ്യം ചെയ്യുക.

വിജയകരമായ കമാൻഡ് വിജയകരമായ ഓത്തന്റിക്കേഷനല്ല. രേഖപ്പെടുത്താൻ യോഗ്യമായ ഫലം, ഉദ്ദേശിച്ച സർട്ടിഫിക്കറ്റ് മാനേജ് ചെയ്യുന്ന നയത്തിന് കീഴിൽ ഓത്തന്റിക്കേറ്റ് ചെയ്യുന്നു എന്നതാണ്, അതേസമയം ബന്ധമില്ലാത്ത ഓരോ സർട്ടിഫിക്കറ്റും അതിനെ ആശ്രയിക്കുന്ന സേവനങ്ങൾക്ക് ലഭ്യമായി തുടരുന്നു. രണ്ട് ഫിൽട്ടറുകൾക്ക് ശേഷവും പരാജയം നിലനിൽക്കുകയാണെങ്കിൽ, അടുത്ത് നോക്കേണ്ടത് മുഴുവൻ പ്രൊഫൈലല്ല, ബാക്കിയുള്ള സ്ഥാനാർത്ഥികളാണ്.