Kva maskinsertifikat tilbyr Windows-VPN-en?

Sertifikata er installerte, dei private nøklane er til stades, og tunnelen feilar framleis på autentiseringa. Ei maskin med fleire sertifikat kan gje VPN-en ein kandidat ingen hadde tenkt på, og klienten har ingen måte å vita kva gatewayen ville godta. Å sletta dei andre er ein utvalspolitikk med konsekvensar for kvar teneste på maskina. Snevre heller inn det gyldige settet, og stadfest deretter kva sertifikat som faktisk vart tilbode.

Fleire sertifikat, eitt tilbode

Innebygde Windows VPN-profil med maskinsertifikatautentisering eksponerer to filter som avgrensar kandidatane: eit utgivarfilter og eit filter for utvida nøkkelbruk. Dei reduserer settet klienten kan velja frå. Dei reparerer ikkje eit ueigna sertifikat, og dei garanterer ikkje at tenaren godtek det som blir att. Den grensa er verd å føra inn i endringsloggen, fordi neste lesar vil anta at filteret avgjorde meir enn det gjorde.

Feilen dei tek tak i, er smal og konkret. Eit gyldig sertifikat frå feil styresmakt, eller eitt utferda for eit føremål gatewayen ikkje godtek, blir valt framom det tiltenkte, noko som gjev ein autentiseringsfeil ved sida av eit sunt lager. To filter gjer det om til eit sett som er lite nok til å resonnera om, og resten av denne sida brukar dei i rekkjefølgje.

Undersøk lageret før du redigerer profilen

List kandidatane og eigenskapane deira i lageret profilen faktisk brukar. Ingenting her eksporterer ein privat nøkkel, og ingen sertifikat treng å forlata maskina:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Les utdataa for eigenskapane avgjerda er avhengig av: ein brukbar privat nøkkel, eit akseptabelt gyldigheitsvindauge, den tiltenkte utgivaren og føremåla i utvidinga. Eit sertifikat kan vera til stades, rett registrert og ubrukeleg for denne tilkoplinga samstundes. Fingeravtrykkskolonnen er den du seinare samanliknar med, så ta vare på utdataa.

Stadfest profilen og omfanget hans før du redigerer, fordi eit maskinsertifikat i LocalMachine, eit brukar-EAP-TLS-sertifikat og eit eige lager for private nøklar i ein applikasjon er tre ulike kontekstar. Bruk omfanget for alle brukarar og ein administrativ kontekst når den styrte profilen ligg der. Å oppretta ein annan profil med liknande namn skjuler kva konfigurasjon tilkoplinga faktisk brukar.

Utgivarfilteret vil ha eit objekt

Utgivarparameteren ventar eit sertifikatobjekt, ikkje eit visingsnamn og ikkje ein bar fingeravtrykksstreng. Oppgje sertifikatet til den godkjende styresmakta frå ein stig du har gått gjennom, i lageret der det høyrer heime:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ikkje erstatt klienten sitt eige bladsertifikat, ei anna styresmakt med liknande subjekt eller ei nygenerert rot berre fordi parametertypen godtek det. To styresmakter kan dela ein subjektstreng, og difor veg objektet tyngre enn teksten. Microsofts cmdlet-referanse dokumenterer begge inndatatypane, og det er verd å lesa han før den første redigeringa i staden for etter det mislukka forsøket.

Bruksfilteret vil ha ein OID-streng

Parameteren for utvida nøkkelbruk tek OID-strengar, og føremålet med klientautentisering er 1.3.6.1.5.5.7.3.2. Nytta slik avgrensar det kandidatane til sertifikat som ber dette føremålet, som er nettopp det ein utrulling med klientautentisering vil ha:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Verdien er ein matrise, så ein utrulling som treng fleire føremål sender dei som ei liste. Det filteret ikkje kan, er å leggja eit føremål til eit sertifikat: det er eit uttrykk for utval som blir vurdert mot signerte utvidingar, og ingen filter skriv dei om, så eit sertifikat som manglar føremålet, må gjennom registreringa igjen.

Hald EAP-konfigurasjonen for brukarsertifikat skild frå filtreringa av maskinsertifikat, fordi dei lever på ulike stader og ei endring i det eine forklarer sjeldan ein feil i det andre. Sjekk òg om domenet eller einingadministrasjonen eig profilen, fordi ei lokal endring kan bli erstatta ved neste policyoppdatering utan at nokon rører maskina.

Prov kva sertifikat klienten tilbaud

Etabler ei ny tilkopling og les autentiseringsprova til klienten og tenaren for identiteten du meinte. Når meir enn eitt sertifikat oppfyller filtra, er resultatet eit mindre utval i staden for eit festa blad, så neste forsøk kan velja eit anna medlem. Noter fingeravtrykket som viser seg i prova, og samanlikn det med det du registrerte frå lageret.

Ein vellukka kommando er ikkje ei vellukka autentisering. Resultatet det er verd å registrera, er at det tiltenkte sertifikatet autentiserer under den styrte policyen, medan kvart uvedkomande sertifikat held fram med å vera tilgjengeleg for tenestene som er avhengige av det. Overlever feilen begge filtra, er dei attverande kandidatane neste stad å sjå, ikkje heile profilen.