SSTP болон IKEv2 нь RRAS-ын өөр өөр сертификатын удирдлагыг ашигладаг

Хэрэв та «VPN сертификат»-ыг солих юм бол буруу үйлчилгээг өөрчилж болно. RRAS нь дор хаяж гурван сертификатын удирдлагыг хадгалдаг бөгөөд тус бүр нь өөр протокол, өөр холболтын үүрэгт хамаарна. Протоколыг эхлээд нэрлэх нь эрсдэлтэй таамаглалыг нэг буцаах боломжтой холболтын өөрчлөлт болгоно. Доорх бүхэн энэ нэг өгүүлбэрээс хамаарна.

Протоколыг сертификатаас өмнө нэрлэ

SSTP сонсогч HTTPS шиг ажилладаг клиентэд TLS сертификат үзүүлдэг. Ирж буй сайт хоорондын IKEv2 холболт нь серверийн таних тэмдгийг зарлаж, хамтрагчдын сертификатыг итгэмжлэгдсэн үндэстэй тулгаж шалгадаг. Интерфэйс тус бүрийн сайт хоорондын тодорхойлолт өөрийн машины таних тэмдгийг агуулна.

Эдгээр нь гурван хүрээтэй гурван удирдлага юм. Тэдгээрийг хольж хутгах нь нэг протокол дээр ажиллаж байгаа мэт харагдаж, нөгөөд нь ямар ч нөлөөгүй өөрчлөлт үүсгэдэг бөгөөд энэ нь ил тод алдаанаас ч дор юм. Ямар нэгэн зүйлд хүрэхээс өмнө аль протокол бүтэлгүйтсэн, аль тал сертификатыг үзүүлсэн, аль тал үүнийг няцаасныг бичээрэй.

SSTP бол HTTPS холболт юм

Дэмжигдсэн Remote Access байршуулалтад Set-RemoteAccess нь SSTP холболт болон HTTPS-той холбоотой DirectAccess үүрэгт хэрэглэгддэг SslCertificate параметрийг ил болгодог.

Түүний шалгалт, байршуулалтын хүрээ нь Remote Access тохиргоог дагадаг тул нэг холболтын өөрчлөлт нэгээс олон холболт эсвэл зангилаанд хүрч болно. Ачаалал тэнцвэржүүлсэн байршуулалтад энэ хүрээ тохиргоонд хамаарах бүх зангилааг хамарна. Нэг зангилааг өөрчилж, нэг клиентийг турших нь бусад нь хуучин навчийг үзүүлсээр үлдэхэд хүргэдэг бөгөөд энэ нь засвар үйлчилгээний цонхоос гарч үлддэг хагас өөрчлөлт юм.

Шинэчлэхээс өмнө хүлээгдэж буй үйлчилгээний нэр, гинжин хэлхээ, хүчинтэй хугацаа, зориулалтын хэрэглээ, хувийн түлхүүрийн боломжийг шалгана уу. Сертификат нь клиентийн шалгах нэртэй тохирох ёстой бөгөөд адаптерийн шошго нь тэр нэр биш юм.

Ирж буй IKEv2 нь өөрийн параметртэй

Set-VpnAuthProtocol нь ирж буй сайт хоорондын IKEv2 баталгаажуулалтыг тохируулж, CertificateAdvertised нь туннелийн баталгаажуулалтын горим тэдгээрийг ашиглах үед сертификат нийлүүлдэг. Энэ нь хост дээрх дурын серверийн сертификатыг сонгох ерөнхий команд биш юм.

Хоёр объектыг тусад нь бариарай: сервер өөрийн таних тэмдэг болгон үзүүлдэг навч болон хамтрагчдын сертификатыг хүлээн авахад ашигладаг үндэс. Аль нийлүүлэгчид итгэхээ сонгох нь сервер аль навчийг үзүүлж байгаа талаар юу ч хэлэхгүй.

Бие даасан сайт хоорондын интерфэйсийн таних тэмдгийг Set-VpnS2SInterface-ээр тогтоодог. Хоёулаа нэг машины нэг агуулахад байсан ч энэ нь автоматаар SSTP сертификат биш юм.

Эхлээд нэр дэвшигчийг шалга

Локал машины агуулахын чиглэсэн харагдац нь хувийн юу ч экспортлохгүйгээр нийтийн мета өгөгдлийг харуулдаг:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Энэ жагсаалт нь эхлэх цэг бөгөөд тохирлын шалгалт биш. Таны тохируулж буй протоколд зориулсан SAN бичлэг, өргөтгөсөн түлхүүрийн хэрэглээ, гинжин хэлхээ, үйлчилгээний бүртгэлийн хувийн түлхүүрт хандах эрхийг шалгана уу.

Хамааралгүй үүлэн клиентийн таних тэмдэгт зориулж суулгасан сертификат нь зөвхөн нэг агуулахад харагдсан учраас тохиромжтой биш юм. Харагдах байдал нь тохирол биш бөгөөд дэлгэцийн зураг дээрх хурууны хээ нь үйлчилгээний бүртгэл түлхүүрийг уншиж чадах эсэхийг юу ч нотлохгүй. Энэ хандалтыг тодорхой шалгаарай, учир нь түлхүүрийн зөвшөөрөл дутмаг нь үйлчилгээ дахин эхлэхэд л илэрдэг.

Одоогийн холболтыг бүртгэж, өөрчлөхөөс өмнө хостод өөр замаар хандах боломжтой гэдгээ баталгаажуулна уу. Сэргээх зам нь өөрчлөлтөд хамаарах бөгөөд дараагийн осолд биш.

Шинэчлэл нь идэвхжүүлэлт биш

Сертификатыг дахин гаргах нь ажиллаж буй үйлчилгээнд сонгохоос өөр үйлдэл юм. Шинэ навч нь зориулалтын DNS таних тэмдгийг хадгалахын зэрэгцээ өөр хурууны хээтэй байж болох тул холболт шинэчлэгдэх хүртэл юу ч түүн рүү заахгүй. Шинэчлэл объектыг өөрчилдөг; идэвхжүүлэлт түүн рүү чиглэсэн лавлагааг өөрчилдөг. Энэ хоёрыг хольж хутгах нь зөв шинэчилсэн сертификат долоо хоногоор ашиглагдалгүй байх шалтгаан юм.

Дэмжигдсэн өөрчлөлтийг тохирох цонхонд, баримтжуулсан дахин ачааллыг оруулан хэрэглэж, дараа нь сертификатыг зориулалтын протоколын шинэ холболтоос шалгана уу. Кэшлэгдсэн клиентийн сесс хуучин навчийг үзүүлсээр байж, зөв өөрчлөлтийг эвдэрсэн мэт харуулж болно.

Өмнөх сертификатыг зөвхөн энэ шалгалт давсны дараа ердийн процессоор ашиглалтаас гаргана уу. Set-RemoteAccess лавлагаа нь SSL параметрийн хүрээг, түүний дотор ачаалал тэнцвэржүүлсэн байршуулалт дахь нөлөөг баримтжуулдаг бөгөөд энэ нь холболтын өөрчлөлтийн өмнө унших нь зүйтэй хэсэг юм.