SSTP आणि IKEv2 वेगवेगळे RRAS प्रमाणपत्र नियंत्रण वापरतात

जर तुम्ही «VPN प्रमाणपत्र» बदलले तर कदाचित चुकीची सेवा बदलाल. RRAS किमान तीन प्रमाणपत्र नियंत्रणे ठेवतो आणि त्यांपैकी प्रत्येक वेगळ्या प्रोटोकॉल आणि वेगळ्या कनेक्शन भूमिकेशी संबंधित आहे. आधी प्रोटोकॉलचे नाव घेणे जोखमीच्या अंदाजाला एकाच परतावण्यायोग्य बाइंडिंग बदलात बदलते. खालील सर्व काही त्याच एका वाक्यावर अवलंबून आहे.

प्रमाणपत्रापूर्वी प्रोटोकॉलचे नाव घ्या

SSTP श्रोता HTTPS सारखे वागणाऱ्या क्लायंटला TLS प्रमाणपत्र सादर करतो. येणारे साइट-ते-साइट IKEv2 कनेक्शन सर्व्हरची ओळख जाहीर करते आणि सहकाऱ्यांची प्रमाणपत्रे विश्वासार्ह मूळाशी पडताळते. प्रति इंटरफेस साइट-ते-साइट व्याख्या स्वतःची वेगळी मशीन ओळख बाळगते.

ही तीन व्याप्तींची तीन नियंत्रणे आहेत. त्यांना एकत्र मिसळल्यास असे बदल होते जे एका प्रोटोकॉलवर चालल्यासारखे दिसते आणि दुसऱ्यावर काहीच परिणाम करत नाही, जे स्पष्ट अपयशापेक्षाही वाईट आहे. काहीही हात लावण्यापूर्वी कोणता प्रोटोकॉल अपयशी ठरला, कोणत्या बाजूने प्रमाणपत्र सादर केले आणि कोणत्या बाजूने ते नाकारले हे लिहून घ्या.

SSTP हे HTTPS बाइंडिंग आहे

समर्थित Remote Access उपयोजनांमध्ये Set-RemoteAccess तो SslCertificate मापदंड उघड करतो जो SSTP कनेक्टिव्हिटी आणि HTTPS शी संबंधित DirectAccess भूमिकेसाठी वापरला जातो.

त्याची पडताळणी आणि उपयोजन व्याप्ती Remote Access संरचनेचे अनुसरण करते, त्यामुळे एक बाइंडिंग बदल एकापेक्षा जास्त कनेक्शन किंवा नोडपर्यंत पोहोचू शकतो. लोड-संतुलित उपयोजनात ही व्याप्ती संरचना ज्या प्रत्येक नोडला व्यापते त्या सर्वांना समाविष्ट करते. एक नोड बदलणे आणि एक क्लायंट तपासणे बाकीच्यांना जुने पान सादर करत ठेवते, आणि हाच तो अर्धवट बदल आहे जो देखभाल खिडकीतून वाचतो.

अद्ययावत करण्यापूर्वी अपेक्षित सेवा नाव, साखळी, वैधता, इच्छित वापर आणि खाजगी कीची उपलब्धता पडताळा. प्रमाणपत्र क्लायंट तपासणार असलेल्या नावाशी जुळले पाहिजे, आणि अडॅप्टर लेबल ते नाव नाही.

येणाऱ्या IKEv2 चा स्वतःचा मापदंड आहे

Set-VpnAuthProtocol येणाऱ्या साइट-ते-साइट IKEv2 प्रमाणीकरणाची रचना करतो, आणि CertificateAdvertised बोगदा प्रमाणीकरण मोड त्यांचा वापर करतो तेव्हा प्रमाणपत्र पुरवतो. होस्टवर कोणतेही सर्व्हर प्रमाणपत्र निवडण्याचा हा सामान्य आदेश नाही.

दोन वस्तू वेगळ्या ठेवा: सर्व्हर स्वतःची ओळख म्हणून सादर करतो ते पान, आणि सहकाऱ्यांची प्रमाणपत्रे स्वीकारण्यासाठी तो वापरतो ते मूळ. कोणत्या जारीकर्त्यावर विश्वास ठेवायचा हे निवडणे सर्व्हर कोणते पान सादर करतो याबद्दल काहीच सांगत नाही.

एखाद्या वैयक्तिक साइट-ते-साइट इंटरफेसची ओळख Set-VpnS2SInterface द्वारे ठरवली जाते. दोन्ही एकाच मशीनवर एकाच साठ्यात असले तरीही ते आपोआप SSTP प्रमाणपत्र नसते.

आधी उमेदवाराची तपासणी करा

स्थानिक मशीनच्या साठ्याचे केंद्रित दृश्य काहीही खाजगी निर्यात न करता सार्वजनिक मेटाडेटा दाखवते:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

ती यादी प्रारंभबिंदू आहे, उपयुक्तता चाचणी नाही. तुम्ही रचना करत असलेल्या प्रोटोकॉलसाठी SAN नोंदी, विस्तारित की वापर, साखळी आणि सेवा खात्याचा खाजगी कीपर्यंतचा प्रवेश तपासा.

असंबंधित क्लाउड क्लायंट ओळखीसाठी स्थापित प्रमाणपत्र फक्त त्याच साठ्यात दिसते म्हणून योग्य ठरत नाही. दृश्यता म्हणजे उपयुक्तता नाही, आणि स्क्रीनशॉटमधील बोटांचा ठसा सेवा खाते की वाचू शकते का याबद्दल काहीच सिद्ध करत नाही. त्या प्रवेशाची स्पष्ट तपासणी करा, कारण कीची परवानगी नसणे तेव्हाच समोर येते जेव्हा सेवा पुन्हा सुरू होते आणि प्रमाणपत्र वापरण्याचा प्रयत्न करते.

सध्याची बाइंडिंग नोंदवा आणि बदलण्यापूर्वी तुम्ही होस्टपर्यंत अजूनही दुसऱ्या मार्गाने पोहोचू शकता याची खात्री करा. पुनर्प्राप्तीचा मार्ग बदलाचा भाग आहे, त्यानंतर येणाऱ्या घटनेचा नाही.

नूतनीकरण म्हणजे सक्रियीकरण नाही

प्रमाणपत्र पुन्हा जारी करणे ही चालू सेवेसाठी ते निवडण्यापेक्षा वेगळी कृती आहे. नवे पान इच्छित DNS ओळख टिकवू शकते आणि तरीही वेगळा बोटांचा ठसा बाळगू शकते, त्यामुळे बाइंडिंग अद्ययावत होईपर्यंत काहीच त्याकडे निर्देश करत नाही. नूतनीकरण वस्तू बदलते; सक्रियीकरण तिच्याकडेचा संदर्भ बदलते. या दोन्हींचा गोंधळ हेच कारण आहे की योग्यरीत्या नूतनीकृत प्रमाणपत्र आठवडाभर न वापरलेले पडू शकते.

समर्थित बदल योग्य खिडकीत लागू करा, त्यात कोणतेही दस्तऐवजीकृत पुनःप्रारंभ समाविष्ट करा, नंतर प्रमाणपत्र इच्छित प्रोटोकॉलच्या नव्या कनेक्शनवरून तपासा. कॅशे केलेले क्लायंट सत्र अजूनही जुने पान दाखवू शकते आणि योग्य बदल तुटलेला दिसू शकतो.

मागील प्रमाणपत्र नेहमीच्या प्रक्रियेने केवळ ती तपासणी उत्तीर्ण झाल्यानंतर मागे घ्या. Set-RemoteAccess संदर्भ SSL मापदंडाची व्याप्ती, त्यात लोड-संतुलित उपयोजनांमधील त्याचा परिणाम यासह दस्तऐवजीकृत करतो, आणि हाच तो भाग आहे जो बाइंडिंग बदलापूर्वी वाचण्यासारखा आहे.