SSTP og IKEv2 bruker forskjellige RRAS-sertifikatkontroller

Bytter du ut «VPN-sertifikatet», kan du endre feil tjeneste. RRAS har minst tre sertifikatkontroller, og hver av dem tilhører en annen protokoll og en annen tilkoblingsrolle. Å navngi protokollen først gjør en risikabel gjetning til én enkelt, reversibel bindingendring. Alt nedenfor avhenger av den ene setningen.

Navngi protokollen før sertifikatet

En SSTP-lytter presenterer et TLS-sertifikat for en klient som oppfører seg som HTTPS. En innkommende site-to-site-IKEv2-tilkobling annonserer en serveridentitet og validerer peer-sertifikater mot en klarert rot. En site-to-site-definisjon per grensesnitt bærer sin egen maskinidentitet.

Det er tre kontroller med tre omfang. Å forveksle dem gir en endring som ser ut til å virke på én protokoll og ikke har noen effekt på den andre, noe som er verre enn en åpenbar feil. Noter hvilken protokoll som feilet, hvilken side som presenterte sertifikatet, og hvilken side som avviste det, før du rører noe.

SSTP er en HTTPS-binding

For støttede Remote Access-distribusjoner eksponerer Set-RemoteAccess en parameter SslCertificate som brukes for SSTP-tilkobling og for den HTTPS-relaterte DirectAccess-rollen.

Validerings- og distribusjonsomfanget følger Remote Access-konfigurasjonen, slik at én bindingendring kan nå mer enn én tilkobling eller node. I en lastbalansert distribusjon omfatter dette omfanget hver node som konfigurasjonen dekker. Å endre én node og teste én klient lar resten presentere det gamle bladsertifikatet, og det er den typen halv endring som overlever et vedlikeholdsvindu.

Kontroller det forventede tjenestenavnet, kjeden, gyldigheten, tiltenkt bruk og tilgjengeligheten til den private nøkkelen før oppdateringen. Sertifikatet må samsvare med navnet klienten vil kontrollere, og en adapteretikett er ikke det navnet.

Innkommende IKEv2 har sin egen parameter

Set-VpnAuthProtocol konfigurerer innkommende site-to-site-IKEv2-autentisering, og CertificateAdvertised leverer et sertifikat når tunnelautentiseringsmodusen bruker dem. Det er ikke en generell kommando for å velge et hvilket som helst serversertifikat på verten.

Hold to objekter fra hverandre: bladsertifikatet serveren presenterer som sin egen identitet, og roten den bruker for å godta peer-sertifikater. Hvilken utsteder du stoler på sier ingenting om hvilket bladsertifikat serveren presenterer.

Identiteten til et enkelt site-to-site-grensesnitt settes via Set-VpnS2SInterface. Det er ikke automatisk SSTP-sertifikatet, selv når begge ligger i samme lager på samme maskin.

Undersøk kandidaten først

En målrettet visning av den lokale maskinens lager viser offentlige metadata uten å eksportere noe privat:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Den listen er et utgangspunkt og ikke en egnethetstest. Undersøk SAN-oppføringene, de utvidede nøkkelbrukene, kjeden og tjenestekontoens tilgang til den private nøkkelen for protokollen du konfigurerer.

Et sertifikat installert for en urelatert skyklientidentitet er ikke egnet bare fordi det vises i samme lager. Synlighet er ikke egnethet, og et fingeravtrykk i et skjermbilde beviser ingenting om hvorvidt tjenestekontoen kan lese nøkkelen. Kontroller den tilgangen eksplisitt, fordi en manglende nøkkeltillatelse først feiler når tjenesten starter på nytt og prøver å bruke sertifikatet.

Registrer den gjeldende bindingen og bekreft at du fortsatt kan nå verten på en annen måte før du endrer den. Gjenopprettingsveien hører til endringen, ikke til hendelsen som følger.

Fornyelse er ikke aktivering

Å utstede et sertifikat på nytt er en annen handling enn å velge det for den kjørende tjenesten. Det nye bladsertifikatet kan beholde den tiltenkte DNS-identiteten og likevel ha et annet fingeravtrykk, så ingenting peker på det før bindingen oppdateres. Fornyelse endrer objektet; aktivering endrer referansen til det. Å forveksle de to er grunnen til at et korrekt fornyet sertifikat kan ligge ubrukt i uker.

Bruk den støttede endringen i et passende vindu, inkludert eventuell dokumentert omstart, og undersøk deretter sertifikatet fra en ny tilkobling med den tiltenkte protokollen. En bufret klientsesjon kan fortsatt vise det gamle bladsertifikatet og få en korrekt endring til å se ødelagt ut.

Avvikle det forrige sertifikatet via den normale prosessen først etter at den kontrollen er bestått. Set-RemoteAccess-referansen dokumenterer omfanget til SSL-parameteren, inkludert effekten i lastbalanserte distribusjoner, som er delen det er verdt å lese før en bindingendring.