Hoe u één Azure Point-to-Site-clientcertificaat intrekt

Eén Azure Point-to-Site-client intrekken betekent zijn vingerafdruk toevoegen aan de ingetrokken lijst van de gateway. Het betekent niet de vertrouwde root verwijderen. De root is de uitgever van elk clientcertificaat dat u ooit hebt verstrekt, dus het verwijderen daarvan is een andere bewerking met een veel grotere impact. De eenheid van intrekking is hier één certificaat.

Stap 1: Bepaal precies welk certificaat u bedoelt

Begin bij de certificaatrecord, niet bij een weergavenaam. Azure toont een vriendelijke naam die u zelf hebt getypt, en dat label hoeft niet overeen te komen met het subject of het apparaat waarvoor het is uitgegeven.

Nog één controle voordat u intrekt: zoek uit hoeveel apparaten het presenteren. Als meerdere laptops zijn gebouwd uit kopieën van dezelfde PFX, sluit het intrekken van de vingerafdruk ze alle uit, en Azure kan het verloren exemplaar niet onderscheiden van het reserven in de la.

Op de client Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter somt op wat voor die gebruiker is geïnstalleerd, en Cert:\LocalMachine\My is ook de moeite waard om te controleren, omdat de VPN-client uit beide archieven kan kiezen. Vergelijk de vingerafdruk met uw inschrijvingsinventaris. Een vernieuwd certificaat heeft een andere vingerafdruk, zelfs wanneer het subject identiek is.

U hebt de privésleutel van de client of een met wachtwoord beveiligde PFX niet nodig om de vingerafdruk van een openbaar certificaat te lezen. Elke procedure die een van beide eist, is uit een andere taak gekopieerd.

Stap 2: Voeg het toe aan de ingetrokken lijst van de gateway

Open in de portal de gateway van het virtuele netwerk, dan de Point-to-site-configuratie, dan de sectie met ingetrokken certificaten. Voeg een vriendelijke naam toe die u na zes maanden nog herkent, en plak de vingerafdruk als één doorlopende tekenreeks zonder de spaties.

Controleer welke gateway is geselecteerd voordat u opslaat, want een abonnement met meerdere gateways is precies de plek waar dit misgaat. De handleiding voor certificaatconfiguratie van Microsoft stelt dat het certificaat na voltooiing van de update niet meer kan worden gebruikt om verbinding te maken.

Bevestig daarna de opgeslagen waarde in plaats van de melding van de portal te vertrouwen: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" toont wat de gateway werkelijk bevat.

Stap 3: Controleer beide richtingen

Test de weigering met het ingetrokken certificaat, en test daarna dat een ander certificaat onder dezelfde root zich nog authenticeert. Die tweede test is degene die mensen overslaan, en hij is degene die een onbedoelde verwijdering van de root of een beleidswijziging die niemand noemde opvangt. Gebruik een apparaat waarop u kunt zien welk certificaat wordt gepresenteerd. Een client met meerdere certificaten kan stilletjes een werkend gebruiken en uw intrekking kapot laten lijken.

Leg beide resultaten vast in het ticket. Een intrekking die alleen in de weigeringsrichting is geverifieerd, is half geverifieerd.

Stap 4: Sessies die al actief zijn

Het gedocumenteerde resultaat betreft nieuwe verbindingen. Rek het niet op tot de belofte dat elke bestaande tunnel valt op het moment dat de lijst wordt opgeslagen. Als onmiddellijke verwijdering belangrijk is, gebruik de besturingselementen die uw uitgerolde configuratie werkelijk biedt en controleer de specifieke sessie in plaats van aan te nemen.

Test dat apart van authenticatie, omdat beide op verschillende plaatsen falen en verschillende sporen achterlaten.

Terugdraaien, en de snelkoppelingen die u moet vermijden

Terugdraaien betekent de vingerafdruk uit de ingetrokken lijst verwijderen en wachten tot dezelfde update is voltooid. Dat is veilig wanneer u de verkeerde vermelding hebt ingetrokken, en gevaarlijk wanneer het certificaat echt gecompromitteerd is, dus beslis eerst in welk geval u zit. De vertrouwde root verwijderen is geen snelkoppeling voor één verloren laptop. Een lokaal VPN-profiel op één machine verwijderen verandert niet wat een gateway accepteert.

Als de identiteit zich ook bij een tweede gateway authenticeert, hebben beide dezelfde behandeling nodig. De ingetrokken lijst hoort bij een gateway, niet bij het abonnement.