SSTP u IKEv2 jużaw kontrolli differenti taċ-ċertifikat RRAS

Jekk tissostitwixxi «iċ-ċertifikat VPN», tista’ tibdel is-servizz ħażin. RRAS iżomm mill-inqas tliet kontrolli taċ-ċertifikat, u kull wieħed jappartjeni għal protokoll u rwol ta’ konnessjoni differenti. Li ssemmi l-protokoll l-ewwel ibiddel stima riskjuża fi tibdil wieħed tal-bonding li jista’ jitreġġa’ lura. Kollox hawn taħt jiddependi fuq dik is-sentenza waħda.

Semmi l-protokoll qabel iċ-ċertifikat

Listener SSTP jippreżenta ċertifikat TLS lil klijent li jaġixxi bħal HTTPS. Konnessjoni IKEv2 bejn is-siti dieħla tħabbar identità tas-server u tivvalida ċ-ċertifikati tal-pari kontra għerq fiduċjuż. Definizzjoni bejn is-siti għal kull interface ġġorr identità tal-magna tagħha stess.

Dawn huma tliet kontrolli b’tliet ambjenti. Li tħallathom flimkien jipproduċi tibdil li jidher jaħdem fuq protokoll wieħed u m’għandu l-ebda effett fuq l-ieħor, li huwa agħar minn falliment ovvju. Ikteb liema protokoll falla, liema naħa ppreżentat iċ-ċertifikat u liema naħa rrifjutatu qabel ma tmiss xejn.

SSTP huwa bonding tal-HTTPS

Għal implimentazzjonijiet Remote Access appoġġjati, Set-RemoteAccess jesponi parametru SslCertificate użat għall-konnettività SSTP u għar-rwol DirectAccess marbut mal-HTTPS.

L-ambitu tal-validazzjoni u l-implimentazzjoni tiegħu jsegwi l-konfigurazzjoni Remote Access, għalhekk tibdil wieħed tal-bonding jista’ jilħaq aktar minn konnessjoni jew node waħda. F’implimentazzjoni b’bbilanċjar tat-tagħbija dak l-ambitu jinkludi kull node li tkopri l-konfigurazzjoni. Li tibdel node waħda u tittestja klijent wieħed iħalli lill-bqija jippreżentaw il-foglia l-qadima, u dan huwa t-tip ta’ tibdil nofsu li jibqa’ ħaj minn tieqa ta’ manutenzjoni.

Qabel l-aġġornament, ivverifika l-isem tas-servizz mistenni, il-katina, il-validità, l-użu maħsub u d-disponibbiltà tal-kjavi privata. Iċ-ċertifikat irid jaqbel mal-isem li l-klijent se jiċċekkja, u tikketta tal-adapter mhijiex dak l-isem.

IKEv2 dieħel għandu l-parametru tiegħu

Set-VpnAuthProtocol tikkonfigura l-awtentikazzjoni IKEv2 bejn is-siti dieħla, u CertificateAdvertised tforni ċertifikat meta l-mod tal-awtentikazzjoni tat-tunnel jużahom. Dan mhuwiex kmand ġenerali biex tagħżel kwalunkwe ċertifikat tas-server fuq il-host.

Żomm żewġ oġġetti separati: il-foglia li s-server jippreżenta bħala l-identità tiegħu stess, u l-għerq li juża biex jaċċetta ċ-ċertifikati tal-pari. Li tagħżel liema emittent tafda ma jgħid xejn dwar liema foglia jippreżenta s-server.

L-identità ta’ interface bejn is-siti individwali tiġi stabbilita permezz ta’ Set-VpnS2SInterface. Mhijiex awtomatikament iċ-ċertifikat SSTP, anki meta t-tnejn ikunu fl-istess maħżen fuq l-istess magna.

Spezzjona l-kandidat l-ewwel

Veduta ffukata tal-maħżen tal-magna lokali turi metadejta pubblika mingħajr ma tesporta xejn privat:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Dik il-lista hija punt tat-tluq u mhux test ta’ adattabilità. Spezzjona d-dħuliet SAN, l-użi estiżi tal-kjavi, il-katina u l-aċċess tal-kont tas-servizz għall-kjavi privata għall-protokoll li qed tikkonfigura.

Ċertifikat installat għal identità ta’ klijent cloud mhux relatata mhuwiex adatt biss għax jidher fl-istess maħżen. Il-viżibbiltà mhijiex adattabilità, u marka tas-swaba’ fi screenshot ma tipprova xejn dwar jekk il-kont tas-servizz jistax jaqra l-kjavi. Ivverifika dak l-aċċess b’mod espliċitu, għax permess tal-kjavi nieqes jidher biss meta s-servizz jerġa’ jibda u jipprova juża ċ-ċertifikat.

Irreġistra l-bonding attwali u kkonferma li xorta tista’ tilħaq il-host b’mod ieħor qabel ma tibdlu. It-triq tal-irkupru hija parti mit-tibdil, mhux mill-inċident li jiġi wara.

It-tiġdid mhuwiex attivazzjoni

Li terġa’ toħroġ ċertifikat hija azzjoni differenti milli tagħżlu għas-servizz li qed jaħdem. Il-foglia l-ġdida tista’ żżomm l-identità DNS maħsuba u xorta ġġorr marka tas-swaba’ differenti, għalhekk xejn ma jindika lejha sakemm jiġi aġġornat il-bonding. It-tiġdid ibiddel l-oġġett; l-attivazzjoni tibdel ir-referenza lejh. Li tħallat it-tnejn hija r-raġuni għalfejn ċertifikat imġedded b’mod korrett jista’ jibqa’ mhux użat għal ġimgħat.

Applika t-tibdil appoġġjat f’tieqa xierqa, inkluż kwalunkwe restart dokumentat, imbagħad spezzjona ċ-ċertifikat minn konnessjoni ġdida tal-protokoll maħsub. Sessjoni tal-klijent fil-cache tista’ xorta turi l-foglia l-qadima u tagħmel tibdil korrett jidher miksur.

Irtira ċ-ċertifikat preċedenti permezz tal-proċess normali biss wara li tgħaddi dik il-verifika. Ir-referenza ta’ Set-RemoteAccess tiddokumenta l-ambitu tal-parametru SSL, inkluż l-effett tiegħu f’implimentazzjonijiet b’bbilanċjar tat-tagħbija, u dik hija l-parti li jiswa’ l-ħin li taqra qabel tibdil tal-bonding.