Slik tilbakekaller du ett Azure Point-to-Site-klientcertifikat

Å tilbakekalle én Azure Point-to-Site-klient betyr å legge fingeravtrykket dens til gatewayens tilbakekalte liste. Det betyr ikke å slette den klarerte roten. Roten er utstederen for hvert klientcertifikat du noen gang har delt ut, så å fjerne den er en annen operasjon med langt større rekkevidde. Enheten for tilbakekalling her er ett enkelt sertifikat.

Trinn 1: Fastslå nøyaktig hvilket sertifikat du mener

Start fra sertifikatposten, ikke fra et visningsnavn. Azure viser et vennlig navn du skrev selv, og den etiketten trenger ikke samsvare med subjektet eller enheten det ble utstedt til.

Én sjekk til før du tilbakekaller: finn ut hvor mange enheter som presenterer det. Hvis flere bærbare maskiner er bygget fra kopier av samme PFX, låser tilbakekallingen av fingeravtrykket alle sammen, og Azure kan ikke skille den tapte fra reservedelen i skuffen.

På klienten Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter viser hva som er installert for den brukeren, og Cert:\LocalMachine\My er også verdt å sjekke fordi VPN-klienten kan velge fra hvilket som helst av de to lagrene. Sammenlign fingeravtrykket med registreringsinventaret ditt. Et fornyet sertifikat har et annet fingeravtrykk selv når subjektet er identisk.

Du trenger ikke klientens private nøkkel eller en passordbeskyttet PFX for å lese fingeravtrykket til et offentlig sertifikat. Enhver prosedyre som krever en av dem, er kopiert fra en annen oppgave.

Trinn 2: Legg det til i gatewayens tilbakekalte liste

I portalen, åpne gatewayen for virtuelt nettverk, deretter Point-to-site-konfigurasjonen, deretter delen for tilbakekalte sertifikater. Legg til et vennlig navn du vil kjenne igjen om seks måneder, og lim inn fingeravtrykket som én sammenhengende streng uten mellomrommene.

Sjekk hvilken gateway som er valgt før du lagrer, fordi et abonnement med flere gatewayer er nettopp stedet der dette går galt. Microsofts veiledning for sertifikatkonfigurasjon oppgir at når oppdateringen er fullført, kan sertifikatet ikke lenger brukes til å koble til.

Bekreft deretter den lagrede verdien i stedet for å stole på portalens varsel: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" viser hva gatewayen faktisk inneholder.

Trinn 3: Verifiser begge retninger

Test avvisningen med det tilbakekalte sertifikatet, og test deretter at et annet sertifikat under samme rot fortsatt autentiseres. Den andre testen er den folk hopper over, og den er den som fanger en utilsiktet fjerning av roten eller en policyendring ingen nevnte. Bruk en enhet der du kan se hvilket sertifikat som presenteres. En klient med flere sertifikater kan stille bruke et som virker og få tilbakekallingen din til å se ødelagt ut.

Noter begge resultatene i saken. En tilbakekalling som bare er verifisert i avvisningsretningen, er halvveis verifisert.

Trinn 4: Økter som allerede er oppe

Det dokumenterte utfallet gjelder nye tilkoblinger. Ikke strekk det til et løfte om at hver eksisterende tunnel faller i det sekundet listen lagres. Hvis umiddelbar fjerning er viktig, bruk kontrollene den utrullede konfigurasjonen din faktisk tilbyr, og sjekk den konkrete økten i stedet for å anta.

Test det separat fra autentisering, fordi de to feiler på forskjellige steder og etterlater forskjellige spor.

Tilbakerulling, og snarveiene du bør unngå

Tilbakerulling betyr å fjerne fingeravtrykket fra den tilbakekalte listen og vente på at den samme oppdateringen blir ferdig. Det er trygt når du tilbakekalte feil oppføring, og farlig når sertifikatet virkelig er kompromittert, så avgjør først hvilket tilfelle du er i. Å slette den klarerte roten er ikke en snarvei for én tapt bærbar maskin. Å slette en lokal VPN-profil på én maskin endrer ikke hva noen gateway godtar.

Hvis identiteten også autentiseres mot en andre gateway, trenger begge samme behandling. Den tilbakekalte listen tilhører en gateway, ikke abonnementet.