Korleis tilbakekalle eitt Azure Point-to-Site-klientcertifikat

Å tilbakekalle éin Azure Point-to-Site-klient tyder å leggja fingeravtrykket hans til den tilbakekalla lista til gatewayen. Det tyder ikkje å sletta den klarerte rota. Rota er utferdaren for kvart klientcertifikat du nokosinne har utferda, så å fjerna henne er ein annan operasjon med langt større verknad. Eininga for tilbakekalling her er eitt einskilt sertifikat.

Steg 1: Fastslå nøyaktig kva sertifikat du meiner

Start frå sertifikatposten, ikkje frå eit visingsnamn. Azure viser eit venleg namn du skreiv sjølv, og den etiketten treng ikkje samsvara med subjektet eller eininga det vart utferda til.

Éin sjekk til før du tilbakekallar: finn ut kor mange einingar som presenterer det. Om fleire berbare maskiner er bygde frå kopiar av same PFX, låser tilbakekallinga av fingeravtrykket alle saman, og Azure kan ikkje skilja den tapte frå reservedelen i skuffa.

På klienten Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter viser kva som er installert for den brukaren, og Cert:\LocalMachine\My er også verdt å sjekka fordi VPN-klienten kan velja frå kva som helst av dei to lagera. Samanlikn fingeravtrykket med registreringsinventaret ditt. Eit fornya sertifikat har eit anna fingeravtrykk sjølv når subjektet er identisk.

Du treng ikkje den private nøkkelen til klienten eller ein passordbeskytta PFX for å lesa fingeravtrykket til eit offentleg sertifikat. Kvar prosedyre som krev ein av dei, er kopiert frå ei anna oppgåve.

Steg 2: Legg det til i den tilbakekalla lista til gatewayen

I portalen, opne gatewayen for virtuelt nettverk, deretter Point-to-site-konfigurasjonen, deretter delen for tilbakekalla sertifikat. Legg til eit venleg namn du vil kjenna att om seks månader, og lim inn fingeravtrykket som éin samanhengande streng utan mellomromma.

Sjekk kva gateway som er vald før du lagrar, fordi eit abonnement med fleire gatewayar er nettopp staden der dette går gale. Microsofts rettleiding for sertifikatkonfigurasjon oppgir at når oppdateringa er fullført, kan sertifikatet ikkje lenger brukast til å kopla til.

Stadfest deretter den lagra verdien i staden for å stola på varselet frå portalen: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" viser kva gatewayen faktisk inneheld.

Steg 3: Stadfest begge retningar

Test avvisinga med det tilbakekalla sertifikatet, og test deretter at eit anna sertifikat under same rot framleis autentiserer. Den andre testen er den folk hoppar over, og han er den som fangar ei utilsikta fjerning av rota eller ei policyendring ingen nemnde. Bruk ei eining der du kan sjå kva sertifikat som vert presentert. Ein klient med fleire sertifikat kan stille bruka eit som verkar og få tilbakekallinga di til å sjå øydelagd ut.

Noter båe resultata i saka. Ei tilbakekalling som berre er stadfesta i avvisingsretninga, er halvvegs stadfesta.

Steg 4: Økter som allereie er opne

Det dokumenterte utfallet gjeld nye tilkoplingar. Ikkje strekk det til eit løfte om at kvar eksisterande tunnel fell i det sekundet lista vert lagra. Om umiddelbar fjerning er viktig, bruk kontrollane den utrulla konfigurasjonen din faktisk tilbyr, og sjekk den konkrete økta i staden for å gå ut frå noko.

Test det separat frå autentisering, fordi dei to feilar på ulike stader og etterlet ulike spor.

Tilbakerulling, og snarvegane du bør unngå

Tilbakerulling tyder å fjerna fingeravtrykket frå den tilbakekalla lista og venta på at den same oppdateringa vert ferdig. Det er trygt når du tilbakekalla feil oppføring, og farleg når sertifikatet verkeleg er kompromittert, så avgjer først kva tilfelle du er i. Å sletta den klarerte rota er ikkje ein snarveg for éin tapt berbar maskin. Å sletta ein lokal VPN-profil på éin maskin endrar ikkje kva nokon gateway godtek.

Om identiteten også autentiserer mot ein andre gateway, treng båe same behandling. Den tilbakekalla lista høyrer til ein gateway, ikkje abonnementet.