Sijil Mesin Mana yang Ditawarkan oleh VPN Windows?

Sijil telah dipasang, kunci peribadi tersedia, dan terowong masih gagal pengesahan. Mesin yang menyimpan beberapa sijil boleh memberikan VPN calon yang tidak dimaksudkan sesiapa, dan klien tidak mempunyai cara untuk mengetahui yang mana akan diterima oleh gerbang. Memadam yang lain ialah dasar pemilihan yang membawa kesan kepada setiap perkhidmatan pada mesin itu. Sempitkan set yang layak, kemudian sahkan sijil mana yang benar-benar ditawarkan.

Beberapa Sijil, Satu Ditawarkan

Profil VPN asli Windows dengan pengesahan sijil mesin menampilkan dua penapis yang mengehadkan calon: penapis pengeluar dan penapis penggunaan kunci lanjutan. Kedua-duanya mengecilkan set yang boleh dipilih oleh klien. Kedua-duanya tidak membaiki sijil yang tidak sesuai, dan tidak menjamin pelayan menerima apa yang tinggal. Had itu wajar dicatatkan dalam log perubahan, kerana pembaca seterusnya akan menganggap penapis memutuskan lebih banyak daripada yang sebenarnya.

Kegagalan yang ditanganinya sempit dan khusus. Sijil sah daripada penguasa yang salah, atau yang dikeluarkan untuk tujuan yang tidak diterima gerbang, dipilih sebelum yang dimaksudkan, yang menghasilkan kegagalan pengesahan di sebelah stor yang sihat. Dua penapis menjadikannya set yang cukup kecil untuk dinilai, dan baki halaman ini menerapkannya mengikut urutan.

Periksa Stor Sebelum Menyunting Profil

Senaraikan calon dan sifatnya dalam stor yang benar-benar digunakan oleh profil. Tiada apa-apa di sini mengeksport kunci peribadi, dan tiada sijil perlu meninggalkan mesin:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Baca output untuk sifat yang menjadi asas keputusan: kunci peribadi yang boleh digunakan, tetingkap kesahan yang boleh diterima, pengeluar yang dimaksudkan dan tujuan dalam sambungan itu. Sesuatu sijil boleh hadir, didaftarkan dengan betul dan tidak berguna untuk sambungan ini pada masa yang sama. Lajur cap jari ialah yang akan anda bandingkan kemudian, jadi simpan output itu.

Sahkan profil dan skopnya sebelum menyunting, kerana sijil mesin dalam LocalMachine, sijil EAP-TLS pengguna dan stor kunci peribadi milik aplikasi ialah tiga konteks berbeza. Gunakan skop semua pengguna dan konteks pentadbiran apabila profil terurus berada di situ. Mencipta profil kedua dengan nama serupa menyembunyikan konfigurasi mana yang sebenarnya digunakan oleh sambungan.

Penapis Pengeluar Mahukan Objek

Parameter pengeluar menjangka objek sijil, bukan nama paparan dan bukan rentetan cap jari kosong. Berikan sijil penguasa yang diluluskan daripada laluan yang telah anda semak, dalam stor tempat ia berada:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Jangan ganti sijil daun klien itu sendiri, penguasa lain dengan subjek serupa, atau akar yang baru dijana semata-mata kerana jenis parameter menerimanya. Dua penguasa boleh berkongsi rentetan subjek, dan itulah sebabnya objek lebih penting daripada teks. Rujukan cmdlet Microsoft mendokumenkan kedua-dua jenis input, dan ia wajar dibaca sebelum suntingan pertama, bukan selepas percubaan yang gagal.

Penapis Penggunaan Mahukan Rentetan OID

Parameter penggunaan kunci lanjutan menerima rentetan OID, dan tujuan pengesahan klien ialah 1.3.6.1.5.5.7.3.2. Menerapkannya mengehadkan calon kepada sijil yang membawa tujuan itu, iaitu apa yang dikehendaki oleh penggunaan pengesahan klien:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Nilainya ialah tatasusunan, jadi penggunaan yang memerlukan beberapa tujuan menghantarnya sebagai senarai. Apa yang penapis tidak boleh lakukan ialah menambah tujuan pada sijil: ia ialah ungkapan pemilihan yang dinilai terhadap sambungan bertandatangan, dan tiada penapis menulis semula sambungan itu, jadi sijil yang tiada tujuan mesti melalui pendaftaran semula.

Asingkan konfigurasi EAP sijil pengguna daripada penapisan sijil mesin, kerana kedua-duanya berada di tempat berbeza dan perubahan pada satu jarang menjelaskan kegagalan pada yang lain. Periksa juga sama ada domain atau pengurusan peranti memiliki profil, kerana suntingan setempat boleh diganti pada penyegaran dasar seterusnya tanpa sesiapa menyentuh mesin.

Buktikan Sijil Mana yang Ditawarkan Klien

Wujudkan sambungan baharu dan baca bukti pengesahan klien dan pelayan untuk identiti yang anda maksudkan. Apabila lebih daripada satu sijil memenuhi penapis, hasilnya ialah kumpulan yang lebih kecil dan bukan daun yang dipakukan, jadi percubaan seterusnya mungkin memilih ahli lain. Catat cap jari yang muncul dalam bukti itu dan bandingkannya dengan yang anda catat daripada stor.

Arahan yang berjaya bukan pengesahan yang berjaya. Hasil yang wajar dicatat ialah sijil yang dimaksudkan mengesahkan diri di bawah dasar terurus sementara setiap sijil yang tidak berkaitan kekal tersedia kepada perkhidmatan yang bergantung padanya. Jika kegagalan bertahan selepas kedua-dua penapis, calon yang tinggal ialah tempat seterusnya untuk diperiksa, bukan keseluruhan profil.