Windows-ийн VPN аль машины гэрчилгээг санал болгодог вэ?

Гэрчилгээнүүд суулгагдсан, хувийн түлхүүрүүд байгаа бөгөөд туннель нь баталгаажуулалтад орсоор байна. Хэд хэдэн гэрчилгээтэй машин VPN-д хэн ч төлөвлөөгүй нэр дэвшигчийг санал болгож болох бөгөөд клиент гарц алийг нь хүлээж авахыг мэдэх ямар ч аргагүй. Бусдыг устгах нь машины бүх үйлчилгээнд үр дагавартай сонголтын бодлого юм. Оронд нь зөвшөөрөгдөх багцыг нарийсгаж, дараа нь аль гэрчилгээ үнэхээр санал болгогдсоныг баталгаажуулна уу.

Хэд хэдэн гэрчилгээ, нэг нь санал болгогдсон

Машины гэрчилгээний баталгаажуулалттай Windows-ийн уугуул VPN профайлууд нэр дэвшигчдийг хязгаарлах хоёр шүүлтүүр санал болгодог: олгогчийн шүүлтүүр ба өргөтгөсөн түлхүүрийн хэрэглээний шүүлтүүр. Тэд клиентийн сонгож болох багцыг багасгадаг. Тохиромжгүй гэрчилгээг засдаггүй бөгөөд үлдсэнийг сервер хүлээж авахыг баталгаажуулдаггүй. Энэ хязгаарыг өөрчлөлтийн бүртгэлд бичих нь зүйтэй, учир нь дараагийн уншигч шүүлтүүр бодитоор шийдсэнээс илүү ихийг шийдсэн гэж үзнэ.

Тэдний шийддэг алдаа нь нарийн бөгөөд тодорхой. Буруу байгууллагын гаргасан хүчинтэй гэрчилгээ, эсвэл гарц хүлээж авдаггүй зорилгоор олгогдсон гэрчилгээ нь төлөвлөсний өмнө сонгогдож, эрүүл агуулахын хажууд баталгаажуулалтын алдаа үүсгэдэг. Хоёр шүүлтүүр үүнийг дүгнэхэд хангалттай жижиг багц болгох бөгөөд энэ хуудасны үлдсэн хэсэг тэдгээрийг дарааллаар нь хэрэглэнэ.

Профайлыг засахын өмнө агуулахыг шалгана уу

Нэр дэвшигчид болон тэдгээрийн шинж чанарыг профайлын бодитоор ашигладаг агуулахад жагсаана уу. Энд юу ч хувийн түлхүүр экспортлохгүй бөгөөд ямар ч гэрчилгээ машиныг орхих шаардлагагүй:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Шийдвэр хамаарах шинж чанаруудын хувьд гаралтыг уншина уу: ашиглах боломжтой хувийн түлхүүр, хүлээн зөвшөөрөгдөх хүчинтэй хугацааны цонх, төлөвлөсөн олгогч ба өргөтгөл дэх зорилгууд. Гэрчилгээ нь нэгэн зэрэг байж, зөв бүртгэгдсэн байж, энэ холболтод хэрэггүй байж болно. Хурууны хээ багана нь та дараа харьцуулах багана тул гаралтыг хадгална уу.

Засахаас өмнө профайл болон түүний хамрах хүрээг баталгаажуулна уу, учир нь LocalMachine доторх машины гэрчилгээ, хэрэглэгчийн EAP-TLS гэрчилгээ, програмын өөрийн хувийн түлхүүрийн агуулах нь гурван өөр орчин юм. Удирдлагатай профайл тэнд байвал бүх хэрэглэгчийн хамрах хүрээ болон захиргааны орчныг ашиглана уу. Ижил нэртэй хоёр дахь профайл үүсгэх нь холболт бодитоор ямар тохиргоог ашиглаж байгааг нуудаг.

Олгогчийн шүүлтүүр объект хүсдэг

Олгогчийн параметр нь гэрчилгээний объект хүлээж байгаа бөгөөд харуулах нэр биш, нүцгэн хурууны хээний тэмдэгт мөр ч биш. Зөвшөөрөгдсөн байгууллагын гэрчилгээг таны шалгасан замаас, түүний хамаарах агуулахад өгнө үү:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Клиентийн өөрийн навч гэрчилгээг, ижил субъект бүхий өөр байгууллагыг эсвэл шинээр үүсгэсэн үндсийг зөвхөн параметрийн төрөл хүлээж авдаг гэсэн шалтгаанаар сольж болохгүй. Хоёр байгууллага нэг субъектийн тэмдэгт мөрийг хуваалцаж болно, тиймээс объект текстээс илүү чухал. Microsoft-ийн cmdlet лавлагаа хоёр төрлийн оролтыг баримтжуулдаг бөгөөд амжилтгүй оролдлогын дараа биш, эхний засварын өмнө унших нь зүйтэй.

Хэрэглээний шүүлтүүр OID тэмдэгт мөр хүсдэг

Өргөтгөсөн түлхүүрийн хэрэглээний параметр нь OID тэмдэгт мөрүүдийг авдаг бөгөөд клиентийн баталгаажуулалтын зорилго нь 1.3.6.1.5.5.7.3.2. Үүнийг хэрэглэснээр нэр дэвшигчид энэ зорилгыг агуулсан гэрчилгээгээр хязгаарлагдана, энэ нь клиентийн баталгаажуулалттай байршуулалтын хүсдэг зүйл юм:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Утга нь массив тул хэд хэдэн зорилго шаарддаг байршуулалт тэдгээрийг жагсаалтаар дамжуулдаг. Шүүлтүүрийн хийж чадахгүй зүйл бол гэрчилгээнд зорилго нэмэх: энэ нь гарын үсэг зурсан өргөтгөлүүдийн эсрэг үнэлэгддэг сонголтын илэрхийлэл бөгөөд ямар ч шүүлтүүр тэдгээрийг дахин бичихгүй, тиймээс зорилго дутуу гэрчилгээ бүртгэлээр дахин дамжих ёстой.

Хэрэглэгчийн гэрчилгээний EAP тохиргоог машины гэрчилгээний шүүлтээс тусдаа байлгана уу, учир нь тэд өөр газар амьдардаг бөгөөд нэг дэх өөрчлөлт нөгөө дэх алдааг ховор тайлбарладаг. Мөн профайлыг домэйн эсвэл төхөөрөмжийн удирдлага эзэмшиж байгаа эсэхийг шалгана уу, учир нь локал засвар дараагийн бодлогын шинэчлэлтэд хэн ч машинд хүрэхгүйгээр солигдож болно.

Клиент аль гэрчилгээг санал болгосныг нотолно уу

Шинэ холболт үүсгэж, төлөвлөсөн таних тэмдгийн хувьд клиент ба серверийн баталгаажуулалтын нотолгоог уншина уу. Шүүлтүүрийг нэгээс олон гэрчилгээ хангавал үр дүн нь бэхлэгдсэн навч биш, харин бага багц тул дараагийн оролдлого өөр гишүүнийг сонгож болно. Тэр нотолгоонд гарч буй хурууны хээг тэмдэглэж, агуулахаас бичсэнтэй харьцуулна уу.

Амжилттай команд нь амжилттай баталгаажуулалт биш. Бичихэд зүйтэй үр дүн нь төлөвлөсөн гэрчилгээ удирдлагатай бодлогын дагуу баталгаажиж, харин хамааралгүй гэрчилгээ бүр түүнээс хамааралтай үйлчилгээнүүдэд нээлттэй хэвээр байх явдал юм. Хэрэв алдаа хоёр шүүлтүүрээс хойш ч үргэлжилбэл дараагийн харах газар нь бүхэл профайл биш, үлдсэн нэр дэвшигчид юм.