Windows VPN कुन मेसिन प्रमाणपत्र प्रस्तुत गर्छ?

प्रमाणपत्रहरू स्थापित छन्, निजी कुञ्जीहरू उपस्थित छन्, र सुरुङ अझै प्रमाणीकरणमा असफल हुन्छ। धेरै प्रमाणपत्र भएको मेसिनले VPN लाई कसैले नचाहेको उम्मेदवार दिन सक्छ, र गेटवेले कुन स्वीकार्छ भन्ने थाहा पाउने कुनै उपाय क्लाइन्टसँग छैन। अरूलाई मेटाउनु एउटा छनोट नीति हो जसको परिणाम मेसिनको हरेक सेवामा पर्छ। यसको सट्टा योग्य समूह साँघुरो गर्नुहोस्, त्यसपछि वास्तवमा कुन प्रमाणपत्र प्रस्तुत भयो त्यसको पुष्टि गर्नुहोस्।

धेरै प्रमाणपत्र, एउटा प्रस्तुत

मेसिन-प्रमाणपत्र प्रमाणीकरण भएका मूल Windows VPN प्रोफाइलहरूले उम्मेदवारहरूलाई सीमित गर्ने दुई फिल्टर दिन्छन्: जारीकर्ता फिल्टर र विस्तारित-कुञ्जी-प्रयोग फिल्टर। तिनीहरूले क्लाइन्टले छान्न सक्ने समूह घटाउँछन्। तिनीहरूले अयोग्य प्रमाणपत्र सुधार गर्दैनन्, र बाँकी रहेको सर्भरले स्वीकार्छ भन्ने ग्यारेन्टी दिँदैनन्। यो सीमा परिवर्तन-अभिलेखमा लेख्न योग्य छ, किनकि अर्को पाठकले फिल्टरले वास्तवमा गरेभन्दा बढी निर्णय गर्‍यो भनी मान्नेछ।

तिनीहरूले सम्बोधन गर्ने असफलता साँघुरो र विशिष्ट छ। गलत निकायको वैध प्रमाणपत्र, वा गेटवेले स्वीकार नगर्ने उद्देश्यका लागि जारी गरिएको प्रमाणपत्र, इच्छितभन्दा अघि छानिन्छ, जसले स्वस्थ भण्डारको छेउमा प्रमाणीकरण असफलता उत्पन्न गर्छ। दुई फिल्टरले यसलाई विचार गर्न पर्याप्त सानो समूहमा बदल्छ, र यो पृष्ठको बाँकी भागले तिनीहरूलाई क्रममा लागू गर्छ।

प्रोफाइल सम्पादन गर्नु अघि भण्डार जाँच्नुहोस्

प्रोफाइलले वास्तवमा प्रयोग गर्ने भण्डारमा उम्मेदवार र तिनका गुणहरू सूचीबद्ध गर्नुहोस्। यहाँ केहीले पनि निजी कुञ्जी निर्यात गर्दैन, र कुनै प्रमाणपत्रले मेसिन छोड्नु पर्दैन:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

निर्णय निर्भर गुणहरूका लागि आउटपुट पढ्नुहोस्: प्रयोगयोग्य निजी कुञ्जी, स्वीकार्य वैधता अवधि, इच्छित जारीकर्ता र विस्तारमा भएका उद्देश्यहरू। प्रमाणपत्र एकै समयमा उपस्थित, ठीकसँग दर्ता भएको र यो जडानका लागि बेकार हुन सक्छ। औंलाछाप स्तम्भ त्यही हो जससँग तपाईं पछि तुलना गर्नुहुनेछ, त्यसैले आउटपुट राख्नुहोस्।

सम्पादन गर्नु अघि प्रोफाइल र यसको दायराको पुष्टि गर्नुहोस्, किनकि LocalMachine मा रहेको मेसिन प्रमाणपत्र, प्रयोगकर्ताको EAP-TLS प्रमाणपत्र र एप्लिकेसनको आफ्नै निजी कुञ्जी भण्डार तीन फरक सन्दर्भ हुन्। व्यवस्थापित प्रोफाइल त्यहीँ भएको बेला सबै-प्रयोगकर्ता दायरा र प्रशासनिक सन्दर्भ प्रयोग गर्नुहोस्। मिल्दो नामको दोस्रो प्रोफाइल बनाउनुले जडानले वास्तवमा कुन कन्फिगरेसन प्रयोग गर्छ भन्ने लुकाउँछ।

जारीकर्ता फिल्टरलाई वस्तु चाहिन्छ

जारीकर्ता प्यारामिटरले प्रमाणपत्र वस्तुको अपेक्षा गर्छ, देखाइने नामको होइन र खाली औंलाछाप स्ट्रिङको पनि होइन। स्वीकृत निकायको प्रमाणपत्र तपाईंले जाँचेको बाटोबाट, त्यो जुन भण्डारमा रहन्छ त्यहाँ दिनुहोस्:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

क्लाइन्टको आफ्नै पात प्रमाणपत्र, मिल्दो विषय भएको अर्को निकाय, वा भर्खरै बनाइएको मूल प्रमाणपत्रलाई प्यारामिटरको प्रकारले स्वीकार गर्छ भनेर मात्र नबदल्नुहोस्। दुई निकायले एउटै विषय स्ट्रिङ साझा गर्न सक्छन्, र त्यसैले पाठभन्दा वस्तु बढी महत्त्वपूर्ण छ। Microsoft cmdlet सन्दर्भ ले दुवै इनपुट प्रकारको दस्तावेजीकरण गर्छ, र असफल प्रयासपछि होइन, पहिलो सम्पादनभन्दा अघि यो पढ्नु उपयुक्त हुन्छ।

प्रयोग फिल्टरलाई OID स्ट्रिङ चाहिन्छ

विस्तारित-कुञ्जी-प्रयोग प्यारामिटरले OID स्ट्रिङ लिन्छ, र क्लाइन्ट प्रमाणीकरणको उद्देश्य हो 1.3.6.1.5.5.7.3.2। यसलाई लागू गर्दा उम्मेदवारहरू त्यो उद्देश्य बोक्ने प्रमाणपत्रमा सीमित हुन्छन्, जुन क्लाइन्ट-प्रमाणीकरण परिनियोजनले चाहेको कुरा नै हो:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

मान एउटा एरे हो, त्यसैले धेरै उद्देश्य चाहिने परिनियोजनले तिनीहरूलाई सूचीका रूपमा पठाउँछ। फिल्टरले गर्न नसक्ने कुरा प्रमाणपत्रमा उद्देश्य थप्नु हो: यो हस्ताक्षरित एक्सटेन्सनविरुद्ध मूल्याङ्कन गरिने छनोट अभिव्यक्ति हो, र कुनै फिल्टरले तिनलाई पुनर्लेखन गर्दैन, त्यसैले उद्देश्य नभएको प्रमाणपत्रले फेरि दर्ताबाट जानुपर्छ।

प्रयोगकर्ता-प्रमाणपत्र EAP कन्फिगरेसनलाई मेसिन-प्रमाणपत्र फिल्टरिङबाट अलग राख्नुहोस्, किनकि ती फरक ठाउँमा रहन्छन् र एउटामा भएको परिवर्तनले अर्कोमा भएको असफलता विरलै व्याख्या गर्छ। प्रोफाइल डोमेनको हो कि उपकरण व्यवस्थापनको भनेर पनि जाँच्नुहोस्, किनकि स्थानीय सम्पादन अर्को नीति ताजा हुँदा कसैले मेसिन छोए बिनै परिवर्तन हुन सक्छ।

क्लाइन्टले कुन प्रमाणपत्र प्रस्तुत गर्‍यो साबित गर्नुहोस्

नयाँ जडान स्थापना गर्नुहोस् र इच्छित पहिचानका लागि क्लाइन्ट र सर्भर प्रमाणीकरणका प्रमाण पढ्नुहोस्। जब एकभन्दा बढी प्रमाणपत्रले फिल्टर पूरा गर्छन्, परिणाम पिन गरिएको पात होइन तर सानो पूल हुन्छ, त्यसैले अर्को प्रयासले अर्को सदस्य छान्न सक्छ। ती प्रमाणमा देखिने औंलाछाप नोट गर्नुहोस् र भण्डारबाट अभिलेख गरेकोसँग तुलना गर्नुहोस्।

सफल आदेश सफल प्रमाणीकरण होइन। अभिलेख गर्न योग्य परिणाम यो हो कि इच्छित प्रमाणपत्र व्यवस्थापित नीतिअन्तर्गत प्रमाणीकरण गर्दैछ जबकि हरेक असम्बन्धित प्रमाणपत्र त्यसमा निर्भर सेवाहरूका लागि उपलब्ध रहन्छ। यदि असफलता दुवै फिल्टरपछि पनि टिक्यो भने अर्को हेर्ने ठाउँ पूरै प्रोफाइल होइन, बाँकी उम्मेदवारहरू हुन्।