Liema Ċertifikat tal-Magna joffri l-VPN tal-Windows?

Iċ-ċertifikati huma installati, iċ-ċwievet privati huma preżenti, u l-mina għadha tonqos fl-awtentikazzjoni. Magna li żżomm diversi ċertifikati tista’ tagħti lill-VPN kandidat li ħadd ma kien beħsiebu, u l-klijent m’għandux mod kif ikun jaf liema wieħed il-gateway kien jaċċetta. It-tħassir tal-oħrajn hija politika ta’ għażla b’konsegwenzi għal kull servizz fuq il-magna. Iddejjaq minflok is-sett eliġibbli, imbagħad ikkonferma liema ċertifikat kien attwalment offrut.

Diversi Ċertifikati, Wieħed Offrut

Il-profili VPN nattivi tal-Windows b’awtentikazzjoni taċ-ċertifikat tal-magna jesponu żewġ filtri li jirrestrinġu l-kandidati: filtru tal-emittent u filtru tal-użu estiż taċ-ċavetta. Dawn iċekknu s-sett li minnu l-klijent jista’ jagħżel. Ma jsewwux ċertifikat mhux xieraq, u ma jiggarantixxux li s-server jaċċetta dak li jibqa’. Dak il-limitu jistħoqqlu jiddaħħal fir-reġistru tal-bidliet, għax il-qarrej li jmiss se jassumi li l-filtru ddeċieda aktar milli ddeċieda.

Il-falliment li jindirizzaw huwa dejjaq u speċifiku. Ċertifikat valid mill-awtorità ħażina, jew wieħed maħruġ għal skop li l-gateway ma jaċċettax, jintgħażel qabel dak beħsiebu, u dan jipproduċi falliment fl-awtentikazzjoni ħdejn maħżen b’saħħtu. Żewġ filtri jibdlu dan f’sett żgħir biżżejjed biex wieħed jirraġuna dwaru, u l-bqija ta’ din il-paġna japplikahom fl-ordni.

Iċċekkja l-Maħżen qabel ma Tedita l-Profil

Elenka l-kandidati u l-proprjetajiet tagħhom fil-maħżen li l-profil attwalment juża. Xejn hawn ma jesporta ċavetta privata, u l-ebda ċertifikat m’għandu joħroġ mill-magna:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Aqra l-output għall-proprjetajiet li minnhom tiddependi d-deċiżjoni: ċavetta privata użabbli, tieqa ta’ validità aċċettabbli, l-emittent beħsiebu u l-iskopijiet fl-estensjoni. Ċertifikat jista’ jkun preżenti, reġistrat b’mod korrett u inutli għal din il-konnessjoni fl-istess ħin. Il-kolonna tal-impronta hija dik li se tqabbel magħha aktar tard, għalhekk żomm l-output.

Ikkonferma l-profil u l-ambitu tiegħu qabel ma tedita, għax ċertifikat tal-magna f’LocalMachine, ċertifikat EAP-TLS tal-utent u maħżen privat taċ-ċwievet ta’ applikazzjoni huma tliet kuntesti differenti. Uża l-ambitu tal-utenti kollha u kuntest amministrattiv meta l-profil ġestit jinsab hemmhekk. Il-ħolqien ta’ tieni profil b’isem simili jaħbi liema konfigurazzjoni l-konnessjoni attwalment tuża.

Il-Filtru tal-Emittent irid Oġġett

Il-parametru tal-emittent jistenna oġġett taċ-ċertifikat, mhux isem ta’ wiri u mhux sensiela għarwiena tal-impronta. Ipprovdi ċ-ċertifikat tal-awtorità approvata minn mogħdija li rrevedejt, fil-maħżen li fih jappartjeni:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Tibdilx iċ-ċertifikat tal-werqa tal-klijent innifsu, awtorità oħra b’suġġett simili, jew għerq li għadu kemm inħoloq biss għax it-tip tal-parametru jaċċettah. Żewġ awtoritajiet jistgħu jaqsmu sensiela ta’ suġġett, u għalhekk l-oġġett jgħodd aktar mit-test. Il-referenza tal-cmdlet tal-Microsoft tiddokumenta ż-żewġ tipi ta’ input, u jistħoqqlha tinqara qabel l-ewwel editjar minflok wara l-attentat fallut.

Il-Filtru tal-Użu irid Sensiela OID

Il-parametru tal-użu estiż taċ-ċavetta jieħu sensiliet OID, u l-iskop tal-awtentikazzjoni tal-klijent huwa 1.3.6.1.5.5.7.3.2. L-applikazzjoni tiegħu tirrestrinġi l-kandidati għaċ-ċertifikati li jġorru dak l-iskop, li huwa eżattament dak li trid implimentazzjoni b’awtentikazzjoni tal-klijent:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Il-valur huwa firxa, għalhekk implimentazzjoni li teħtieġ diversi skopijiet tgħaddihom bħala lista. Dak li l-filtru ma jistax jagħmel huwa li jżid skop ma’ ċertifikat: hija espressjoni ta’ għażla evalwata kontra estensjonijiet iffirmati, u l-ebda filtru ma jerġa’ jikteb dawk, għalhekk ċertifikat li jonqsu l-iskop irid jerġa’ jgħaddi mir-reġistrazzjoni.

Żomm il-konfigurazzjoni EAP taċ-ċertifikati tal-utent separata mill-iffiltrar taċ-ċertifikati tal-magna, għax jgħixu f’postijiet differenti u bidla f’wieħed rari tispjega falliment fl-ieħor. Iċċekkja wkoll jekk id-dominju jew il-ġestjoni tal-apparati hijiex sid il-profil, għax editjar lokali jista’ jiġi sostitwit fl-aġġornament tal-politika li jmiss mingħajr ma ħadd jmiss il-magna.

Ipprova Liema Ċertifikat Offra l-Klijent

Stabbilixxi konnessjoni ġdida u aqra l-evidenza tal-awtentikazzjoni tal-klijent u tas-server għall-identità li kellek f’moħħok. Meta aktar minn ċertifikat wieħed jissodisfa l-filtri, ir-riżultat huwa ġabra iżgħar aktar milli werqa mwaħħla, għalhekk l-attentat li jmiss jista’ jagħżel membru differenti. Innota l-impronta li tidher f’dik l-evidenza u qabbilha ma’ dik li rreġistrajt mill-maħżen.

Kmand li jirnexxi mhuwiex awtentikazzjoni li tirnexxi. Ir-riżultat li jistħoqqlu jiġi rreġistrat huwa li ċ-ċertifikat beħsiebu jawtentika taħt il-politika ġestita filwaqt li kull ċertifikat mhux relatat jibqa’ disponibbli għas-servizzi li jiddependu minnu. Jekk il-falliment jibqa’ wara ż-żewġ filtri, il-kandidati li jifdal huma l-post li jmiss li wieħed iħares lejh, mhux il-profil kollu.