SSTP og IKEv2 nyttar ulike RRAS-sertifikatkontrollar

Byter du ut «VPN-sertifikatet», kan du endre feil teneste. RRAS har minst tre sertifikatkontrollar, og kvar av dei høyrer til ein annan protokoll og ei anna tilkoplingsrolle. Å namngje protokollen først gjer ei risikabel gjetting til éi enkel, reversibel bindingsendring. Alt nedanfor heng på den eine setninga.

Namngje protokollen før sertifikatet

Ein SSTP-lyttar presenterer eit TLS-sertifikat for ein klient som oppfører seg som HTTPS. Ei innkomande site-to-site-IKEv2-tilkopling annonserer ein serveridentitet og validerer peer-sertifikat mot ei klarert rot. Ei site-to-site-definisjon per grensesnitt ber sin eigen maskinidentitet.

Det er tre kontrollar med tre omfang. Å blande dei gir ei endring som ser ut til å verke på éin protokoll og ikkje har nokon effekt på den andre, noko som er verre enn ein openberr feil. Noter kva protokoll som feila, kva side som presenterte sertifikatet, og kva side som avviste det, før du rører noko.

SSTP er ei HTTPS-binding

For støtta Remote Access-distribusjonar eksponerer Set-RemoteAccess ein parameter SslCertificate som blir brukt for SSTP-tilkopling og for den HTTPS-relaterte DirectAccess-rolla.

Validerings- og distribusjonsomfanget følgjer Remote Access-konfigurasjonen, slik at éi bindingsendring kan nå meir enn éi tilkopling eller ein node. I ein lastbalansert distribusjon omfattar dette omfanget kvar node som konfigurasjonen dekkjer. Å endre ein node og teste ein klient lèt resten presentere det gamle bladsertifikatet, og det er den typen halv endring som overlever eit vedlikehaldsvindauge.

Kontroller det forventa tenestenamnet, kjeda, gyldetida, tiltenkt bruk og tilgangen til den private nøkkelen før oppdateringa. Sertifikatet må samsvare med namnet klienten vil kontrollere, og ei adapteretikett er ikkje det namnet.

Innkomande IKEv2 har sin eigen parameter

Set-VpnAuthProtocol konfigurerer innkomande site-to-site-IKEv2-autentisering, og CertificateAdvertised leverer eit sertifikat når tunnelautentiseringsmodusen brukar dei. Det er ikkje ein generell kommando for å velje eit kva som helst serversertifikat på verten.

Hald to objekt frå kvarandre: bladsertifikatet serveren presenterer som sin eigen identitet, og rota han brukar for å godta peer-sertifikat. Kva utferdar du stolar på seier ingenting om kva bladsertifikat serveren presenterer.

Identiteten til eit einskilt site-to-site-grensesnitt blir sett via Set-VpnS2SInterface. Det er ikkje automatisk SSTP-sertifikatet, sjølv når begge ligg i same lager på same maskin.

Undersøk kandidaten først

Ei målretta vising av lageret til den lokale maskina viser offentlege metadata utan å eksportere noko privat:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Den lista er eit utgangspunkt og ikkje ein eignaheitstest. Undersøk SAN-oppføringane, dei utvida nøkkelbrukane, kjeda og tilgangen til tenestekontoen til den private nøkkelen for protokollen du konfigurerer.

Eit sertifikat installert for ein urelatert skyklientidentitet er ikkje eigna berre fordi det viser seg i same lager. Synlegheit er ikkje eignaheit, og eit fingertrykk i eit skjermbilete beviser ingenting om tenestekontoen kan lese nøkkelen. Kontroller den tilgangen eksplisitt, fordi ei manglande nøkkelløyve først feilar når tenesta startar på nytt og prøver å bruke sertifikatet.

Registrer den gjeldande bindinga og stadfest at du framleis kan nå verten på ein annan måte før du endrar ho. Gjenopprettingsvegen høyrer til endringa, ikkje til hendinga som følgjer.

Fornying er ikkje aktivering

Å utstede eit sertifikat på nytt er ei anna handling enn å velje det for den køyrande tenesta. Det nye bladsertifikatet kan behalde den tiltenkte DNS-identiteten og likevel ha eit anna fingertrykk, så ingenting peikar på det før bindinga blir oppdatert. Fornying endrar objektet; aktivering endrar referansen til det. Å forveksle dei to er grunnen til at eit korrekt fornya sertifikat kan liggje ubrukt i veker.

Bruk den støtta endringa i eit passande vindauge, inkludert eventuell dokumentert omstart, og undersøk deretter sertifikatet frå ei ny tilkopling med den tiltenkte protokollen. Ein bufra klientsesjon kan framleis vise det gamle bladsertifikatet og få ei korrekt endring til å sjå øydelagd ut.

Avvikle det førre sertifikatet via den normale prosessen først etter at den kontrollen er bestått. Set-RemoteAccess-referansen dokumenterer omfanget til SSL-parameteren, inkludert effekten i lastbalanserte distribusjonar, som er delen det er verdt å lese før ei bindingsendring.