Windows VPN कोणते मशीन प्रमाणपत्र सादर करते?

प्रमाणपत्रे स्थापित आहेत, खाजगी किल्ल्या उपलब्ध आहेत, आणि बोगदा तरीही प्रमाणीकरणात अयशस्वी होतो। अनेक प्रमाणपत्रे असलेले मशीन VPN ला असा उमेदवार देऊ शकते ज्याची कोणीही अपेक्षा केली नव्हती, आणि गेटवे कोणते स्वीकारेल हे जाणून घेण्याचा क्लायंटकडे कोणताही मार्ग नाही। उर्वरित हटवणे ही निवड धोरण आहे ज्याचे परिणाम मशीनवरील प्रत्येक सेवेवर होतात। त्याऐवजी पात्र संच मर्यादित करा, नंतर प्रत्यक्षात कोणते प्रमाणपत्र सादर झाले याची पुष्टी करा।

अनेक प्रमाणपत्रे, एक सादर

मशीन-प्रमाणपत्र प्रमाणीकरण असलेली मूळ Windows VPN प्रोफाइल्स उमेदवारांना मर्यादित करणारे दोन गाळणे देतात: जारीकर्ता गाळणे आणि विस्तारित-किल्ली-वापर गाळणे। ते क्लायंट निवडू शकणारा संच लहान करतात। ते अयोग्य प्रमाणपत्र दुरुस्त करत नाहीत, आणि उरलेले सर्व्हर स्वीकारेल याची हमी देत नाहीत। ही सीमा बदल-नोंदीत लिहिण्यासारखी आहे, कारण पुढील वाचक गाळणीने प्रत्यक्षात घेतलेल्या निर्णयापेक्षा जास्त निर्णय घेतला असे गृहीत धरेल।

ते ज्या अयशस्वीतेला सामोरे जातात ती अरुंद आणि विशिष्ट आहे। चुकीच्या प्राधिकरणाचे वैध प्रमाणपत्र, किंवा गेटवे स्वीकारत नाही अशा उद्देशासाठी जारी केलेले प्रमाणपत्र, इच्छित प्रमाणपत्राच्या आधी निवडले जाते, ज्यामुळे निरोगी संग्रहाच्या शेजारी प्रमाणीकरण अयशस्वी होते। दोन गाळण्या त्याचा विचार करण्याइतका लहान संच बनवतात, आणि या पृष्ठाचा उर्वरित भाग त्या क्रमाने लागू करतो।

प्रोफाइल संपादित करण्यापूर्वी संग्रह तपासा

प्रोफाइल प्रत्यक्षात वापरत असलेल्या संग्रहात उमेदवार आणि त्यांचे गुणधर्म सूचीबद्ध करा। येथे काहीही खाजगी किल्ली निर्यात करत नाही, आणि कोणत्याही प्रमाणपत्राला मशीन सोडण्याची आवश्यकता नाही:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

निर्णय ज्या गुणधर्मांवर अवलंबून आहे त्यांच्यासाठी आउटपुट वाचा: वापरण्यायोग्य खाजगी किल्ली, स्वीकार्य वैधता कालावधी, इच्छित जारीकर्ता आणि विस्तारातील उद्देश। प्रमाणपत्र एकाच वेळी उपस्थित, योग्यरित्या नोंदवलेले आणि या कनेक्शनसाठी निरुपयोगी असू शकते। थंबप्रिंट स्तंभ हाच पुढे तुम्ही तुलना कराल, म्हणून आउटपुट ठेवा।

संपादनापूर्वी प्रोफाइल आणि त्याची व्याप्ती पुष्टी करा, कारण LocalMachine मधील मशीन प्रमाणपत्र, वापरकर्त्याचे EAP-TLS प्रमाणपत्र आणि अनुप्रयोगाचा स्वतःचा खाजगी किल्ली संग्रह हे तीन वेगळे संदर्भ आहेत। व्यवस्थापित प्रोफाइल तेथे असेल तेव्हा सर्व-वापरकर्ता व्याप्ती आणि प्रशासकीय संदर्भ वापरा। समान नावाचे दुसरे प्रोफाइल तयार करणे कनेक्शन प्रत्यक्षात कोणते संरचना वापरते हे लपवते।

जारीकर्ता गाळणीला ऑब्जेक्ट हवा असतो

जारीकर्ता पॅरामीटर प्रमाणपत्र ऑब्जेक्टची अपेक्षा करतो, प्रदर्शित नावाची नाही आणि रिकाम्या थंबप्रिंट स्ट्रिंगचीही नाही। मंजूर प्राधिकरणाचे प्रमाणपत्र तुम्ही तपासलेल्या मार्गाने, ते ज्या संग्रहात राहते तेथे द्या:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

क्लायंटचे स्वतःचे लीफ प्रमाणपत्र, समान विषय असलेले दुसरे प्राधिकरण, किंवा नुकतेच तयार केलेले रूट फक्त पॅरामीटरचा प्रकार ते स्वीकारतो म्हणून बदलू नका। दोन प्राधिकरणे एकच विषय स्ट्रिंग सामायिक करू शकतात, आणि म्हणूनच मजकुरापेक्षा ऑब्जेक्ट महत्त्वाचा आहे। Microsoft cmdlet संदर्भ दोन्ही इनपुट प्रकारांचे दस्तऐवजीकरण करतो, आणि अयशस्वी प्रयत्नानंतर नाही, पहिल्या संपादनापूर्वी तो वाचणे योग्य आहे।

वापर गाळणीला OID स्ट्रिंग हवी असते

विस्तारित-किल्ली-वापर पॅरामीटर OID स्ट्रिंग घेतो, आणि क्लायंट प्रमाणीकरणाचा उद्देश आहे 1.3.6.1.5.5.7.3.2। ते लागू केल्याने उमेदवार तो उद्देश असलेल्या प्रमाणपत्रांपुरते मर्यादित होतात, जे क्लायंट-प्रमाणीकरण तैनातीला हवे असते:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

मूल्य एक अर्रे आहे, म्हणून अनेक उद्देश आवश्यक असलेली तैनाती ते सूची म्हणून देते। गाळणी जे करू शकत नाही ते म्हणजे प्रमाणपत्रात उद्देश जोडणे: ती एक निवड अभिव्यक्ती आहे जी स्वाक्षरी केलेल्या विस्तारांविरुद्ध मूल्यांकन केली जाते, आणि कोणतीही गाळणी त्या पुन्हा लिहीत नाही, म्हणून उद्देश नसलेल्या प्रमाणपत्राला पुन्हा नोंदणीतून जावे लागते।

वापरकर्ता-प्रमाणपत्र EAP संरचना मशीन-प्रमाणपत्र गाळणीपासून वेगळी ठेवा, कारण त्या वेगवेगळ्या ठिकाणी राहतात आणि एकातील बदल दुसऱ्यातील अयशस्वीता क्वचितच स्पष्ट करतो। प्रोफाइल डोमेनचे आहे की उपकरण व्यवस्थापनाचे, हेही तपासा, कारण स्थानिक संपादन पुढील धोरण ताजेतवान्यात कोणीही मशीनला हात न लावता बदलले जाऊ शकते।

क्लायंटने कोणते प्रमाणपत्र सादर केले हे सिद्ध करा

नवीन कनेक्शन स्थापित करा आणि इच्छित ओळखीसाठी क्लायंट आणि सर्व्हर प्रमाणीकरणाचे पुरावे वाचा। जेव्हा एकापेक्षा जास्त प्रमाणपत्रे गाळण्या पूर्ण करतात, तेव्हा परिणाम पिन केलेले लीफ नसून लहान पूल असतो, म्हणून पुढील प्रयत्न दुसरा सदस्य निवडू शकतो। त्या पुराव्यांत दिसणारे थंबप्रिंट नोंदवा आणि संग्रहातून नोंदवलेल्याशी त्याची तुलना करा।

यशस्वी आदेश म्हणजे यशस्वी प्रमाणीकरण नाही। नोंदवण्यासारखा निकाल असा आहे की इच्छित प्रमाणपत्र व्यवस्थापित धोरणाखाली प्रमाणीकरण करत आहे, तर प्रत्येक असंबंधित प्रमाणपत्र त्यावर अवलंबून असलेल्या सेवांसाठी उपलब्ध राहते। अयशस्वीता दोन्ही गाळण्यांनंतरही टिकली, तर पुढे पाहण्याचे ठिकाण संपूर्ण प्रोफाइल नाही तर उर्वरित उमेदवार आहेत।