SSTP र IKEv2 ले फरक RRAS प्रमाणपत्र नियन्त्रणहरू प्रयोग गर्छन्

यदि तपाईं «VPN प्रमाणपत्र» बदल्नुहुन्छ भने गलत सेवा बदल्न सक्नुहुन्छ। RRAS कम्तीमा तीन प्रमाणपत्र नियन्त्रणहरू राख्छ र तीमध्ये प्रत्येक फरक प्रोटोकल र फरक जडान भूमिकासँग सम्बन्धित छ। पहिले प्रोटोकलको नाम लिनु जोखिमपूर्ण अनुमानलाई एउटै फर्काउन सकिने बाइन्डिङ परिवर्तनमा बदल्छ। तलको सबै कुरा त्यही एउटा वाक्यमा निर्भर छ।

प्रमाणपत्रअघि प्रोटोकलको नाम लिनुहोस्

SSTP श्रोताले HTTPS जस्तै व्यवहार गर्ने ग्राहकलाई TLS प्रमाणपत्र प्रस्तुत गर्छ। आउने साइट-देखि-साइट IKEv2 जडानले सर्भरको पहिचान घोषणा गर्छ र साथीहरूको प्रमाणपत्र विश्वसनीय मूलसँग जाँच्छ। प्रति इन्टरफेस साइट-देखि-साइट परिभाषाले आफ्नै मेसिन पहिचान बोक्छ।

यी तीन दायरा भएका तीन नियन्त्रण हुन्। तिनीहरूलाई मिसाउँदा एउटा प्रोटोकलमा काम गरेजस्तो देखिने र अर्कोमा कुनै प्रभाव नपर्ने परिवर्तन बन्छ, जुन स्पष्ट असफलताभन्दा पनि नराम्रो हो। केही छुनुअघि कुन प्रोटोकल असफल भयो, कुन पक्षले प्रमाणपत्र प्रस्तुत गर्‍यो र कुन पक्षले अस्वीकार गर्‍यो लेख्नुहोस्।

SSTP एउटा HTTPS बाइन्डिङ हो

समर्थित Remote Access परिनियोजनहरूमा Set-RemoteAccess ले SslCertificate प्यारामिटर उपलब्ध गराउँछ जो SSTP जडान र HTTPS सँग सम्बन्धित DirectAccess भूमिकाका लागि प्रयोग हुन्छ।

यसको प्रमाणीकरण र परिनियोजन दायरा Remote Access कन्फिगरेसनलाई पछ्याउँछ, त्यसैले एउटा बाइन्डिङ परिवर्तन एकभन्दा बढी जडान वा नोडसम्म पुग्न सक्छ। लोड सन्तुलित परिनियोजनमा यो दायराले कन्फिगरेसनले समेट्ने हरेक नोड समावेश गर्छ। एउटा नोड बदल्नु र एउटा ग्राहक परीक्षण गर्नुले बाँकीलाई पुरानो पात प्रस्तुत गरिरहन छोड्छ, र यही त्यो आधा-अधुरो परिवर्तन हो जुन मर्मत विन्डोबाट बाँच्छ।

अद्यावधिकअघि अपेक्षित सेवा नाम, श्रृंखला, वैधता, अभिप्रेत प्रयोग र निजी कुञ्जीको उपलब्धता प्रमाणित गर्नुहोस्। प्रमाणपत्र ग्राहकले जाँच्ने नामसँग मिल्नुपर्छ, र एडाप्टर लेबल त्यो नाम होइन।

आउने IKEv2 को आफ्नै प्यारामिटर छ

Set-VpnAuthProtocol ले आउने साइट-देखि-साइट IKEv2 प्रमाणीकरण कन्फिगर गर्छ, र CertificateAdvertised ले सुरुङ प्रमाणीकरण मोडले तिनीहरू प्रयोग गर्दा प्रमाणपत्र उपलब्ध गराउँछ। यो होस्टमा कुनै पनि सर्भर प्रमाणपत्र छान्ने सामान्य आदेश होइन।

दुई वस्तु अलग राख्नुहोस्: सर्भरले आफ्नै पहिचानका रूपमा प्रस्तुत गर्ने पात, र साथीहरूको प्रमाणपत्र स्वीकार गर्न प्रयोग गर्ने मूल। कुन जारीकर्तालाई विश्वास गर्ने भनेर छान्नुले सर्भरले कुन पात प्रस्तुत गर्छ भन्नेबारे केही भन्दैन।

व्यक्तिगत साइट-देखि-साइट इन्टरफेसको पहिचान Set-VpnS2SInterface मार्फत सेट हुन्छ। दुवै एउटै मेसिनको एउटै भण्डारमा भए पनि यो स्वतः SSTP प्रमाणपत्र होइन।

पहिले उम्मेदवार जाँच्नुहोस्

स्थानीय मेसिनको भण्डारको केन्द्रित दृश्यले केही निजी निर्यात नगरी सार्वजनिक मेटाडाटा देखाउँछ:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

त्यो सूची सुरुवात बिन्दु हो, उपयुक्तता परीक्षण होइन। तपाईंले कन्फिगर गरिरहनुभएको प्रोटोकलका लागि SAN प्रविष्टि, विस्तारित कुञ्जी प्रयोग, श्रृंखला र सेवा खाताको निजी कुञ्जीमा पहुँच जाँच्नुहोस्।

असम्बन्धित क्लाउड ग्राहक पहिचानका लागि स्थापित प्रमाणपत्र त्यही भण्डारमा देखिन्छ भनेर मात्र उपयुक्त हुँदैन। देखिनु भनेको उपयुक्तता होइन, र स्क्रिनसटमा औंलाको छापले सेवा खाताले कुञ्जी पढ्न सक्छ कि सक्दैन भन्ने कुरामा केही प्रमाणित गर्दैन। त्यो पहुँच स्पष्ट रूपमा जाँच्नुहोस्, किनकि कुञ्जीको अनुमति नहुँदा सेवा पुनः सुरु भएर प्रमाणपत्र प्रयोग गर्न खोज्दा मात्र देखिन्छ।

हालको बाइन्डिङ अभिलेख गर्नुहोस् र परिवर्तन गर्नुअघि तपाईं अझै अर्को तरिकाले होस्टसम्म पुग्न सक्नुहुन्छ भनी पुष्टि गर्नुहोस्। रिकभरी मार्ग परिवर्तनको हिस्सा हो, त्यसपछि आउने घटनाको होइन।

नवीकरण सक्रियता होइन

प्रमाणपत्र पुनः जारी गर्नु चलिरहेको सेवाका लागि छान्नुभन्दा फरक कार्य हो। नयाँ पातले अभिप्रेत DNS पहिचान राख्न सक्छ र तैपनि फरक औंलाको छाप बोक्न सक्छ, त्यसैले बाइन्डिङ अद्यावधिक नहुँदासम्म केही पनि त्यसमा संकेत गर्दैन। नवीकरणले वस्तु बदल्छ; सक्रियताले त्यसमा गरिएको सन्दर्भ बदल्छ। यी दुईलाई मिसाउनु नै सही रूपमा नवीकृत प्रमाणपत्र हप्तासम्म अप्रयुक्त रहनुको कारण हो।

समर्थित परिवर्तन उपयुक्त विन्डोमा लागू गर्नुहोस्, जसमा कुनै पनि अभिलेखित पुनःसुरुवात समावेश छ, त्यसपछि प्रमाणपत्र अभिप्रेत प्रोटोकलको नयाँ जडानबाट जाँच्नुहोस्। क्यास गरिएको ग्राहक सत्रले अझै पुरानो पात देखाउन सक्छ र सही परिवर्तन बिग्रिएको देखिन सक्छ।

अघिल्लो प्रमाणपत्र सामान्य प्रक्रियाबाट त्यो जाँच पास भएपछि मात्र हटाउनुहोस्। Set-RemoteAccess सन्दर्भ ले SSL प्यारामिटरको दायरा, त्यसमा लोड सन्तुलित परिनियोजनमा पर्ने प्रभावसमेत अभिलेख गर्छ, र यही त्यो भाग हो जुन बाइन्डिङ परिवर्तनअघि पढ्न लायक छ।