Cara membatalkan satu sijil klien Azure Point-to-Site

Membatalkan satu klien Azure Point-to-Site bermaksud menambah cap jarinya ke senarai batal gateway. Ia tidak bermaksud memadam akar yang dipercayai. Akar ialah pengeluar setiap sijil klien yang pernah anda berikan, jadi mengeluarkannya ialah operasi lain dengan kesan yang jauh lebih besar. Unit pembatalan di sini ialah satu sijil.

Langkah 1: Pastikan sijil yang anda maksudkan

Mulakan dengan rekod sijil, bukan dengan nama paparan. Azure menunjukkan nama mesra yang anda taip sendiri, dan label itu tidak perlu sepadan dengan subjek atau peranti yang sijil itu dikeluarkan.

Satu lagi semakan sebelum membatalkan: ketahui berapa banyak peranti yang mengemukakannya. Jika beberapa komputer riba dibina daripada salinan PFX yang sama, membatalkan cap jari akan mengunci semuanya, dan Azure tiada cara untuk membezakan yang hilang daripada yang ganti di dalam laci.

Pada klien, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter menyenaraikan apa yang dipasang untuk pengguna itu, dan Cert:\LocalMachine\My juga wajar diperiksa kerana klien VPN boleh memilih daripada mana-mana satu daripada dua kedai. Bandingkan cap jari dengan inventori pendaftaran anda. Sijil yang diperbaharui mempunyai cap jari yang berbeza walaupun subjeknya sama.

Anda tidak memerlukan kunci peribadi klien atau PFX yang dilindungi kata laluan untuk membaca cap jari sijil awam. Mana-mana prosedur yang memerlukan salah satu daripadanya disalin daripada tugas lain.

Langkah 2: Tambahkannya ke senarai batal gateway

Dalam portal, buka gateway rangkaian maya, kemudian konfigurasi Point-to-site, kemudian bahagian sijil yang dibatalkan. Tambahkan nama mesra yang akan anda kenali dalam enam bulan dan tampal cap jari sebagai satu rentetan berterusan tanpa ruang.

Periksa gateway mana yang dipilih sebelum menyimpan, kerana langganan dengan beberapa gateway ialah tempat yang tepat apabila perkara ini silap. panduan konfigurasi sijil Microsoft menyatakan bahawa selepas kemas kini selesai, sijil itu tidak lagi boleh digunakan untuk menyambung.

Sahkan nilai yang disimpan selepas itu dan bukan mempercayai pemberitahuan portal: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" menunjukkan apa yang sebenarnya disimpan oleh gateway.

Langkah 3: Sahkan kedua-dua arah

Uji penolakan dengan sijil yang dibatalkan, kemudian uji bahawa sijil lain di bawah akar yang sama masih mengesahkan. Ujian kedua itulah yang orang terlepas, dan itulah yang menangkap pembuangan akar secara tidak sengaja atau perubahan dasar yang tidak disebut oleh sesiapa. Gunakan peranti yang anda boleh lihat sijil mana yang dikemukakan. Klien yang memegang beberapa sijil boleh secara senyap menggunakan yang berfungsi dan membuat pembatalan anda kelihatan rosak.

Rekodkan kedua-dua hasil dalam tiket. Pembatalan yang disahkan hanya dalam arah penolakan adalah separuh disahkan.

Langkah 4: Sesi yang sudah aktif

Hasil yang didokumenkan berkaitan sambungan baharu. Jangan panjangkan kepada janji bahawa setiap terowong sedia ada akan jatuh pada saat senarai disimpan. Jika pembuangan segera penting, gunakan kawalan yang benar-benar ditawarkan oleh konfigurasi yang digunakan dan periksa sesi tertentu dan bukan menganggap.

Uji itu secara berasingan daripada pengesahan, kerana kedua-duanya gagal di tempat berbeza dan meninggalkan bukti berbeza.

Pengunduran, dan jalan pintas yang perlu dielakkan

Mengundurkan bermaksud membuang cap jari daripada senarai batal dan menunggu kemas kini yang sama selesai. Itu selamat apabila anda membatalkan entri yang salah, dan berbahaya apabila sijil itu benar-benar terjejas, jadi tentukan dahulu kes mana anda berada. Memadam akar yang dipercayai bukan jalan pintas untuk satu komputer riba yang hilang. Memadam profil VPN setempat pada satu mesin tidak mengubah apa yang diterima oleh mana-mana gateway.

Jika identiti itu juga mengesahkan pada gateway kedua, kedua-duanya memerlukan layanan yang sama. Senarai batal milik gateway, bukan langganan.