Windows VPN ਕਿਹੜਾ ਮਸ਼ੀਨ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰਦਾ ਹੈ?

ਸਰਟੀਫਿਕੇਟ ਸਥਾਪਿਤ ਹਨ, ਨਿੱਜੀ ਚਾਬੀਆਂ ਮੌਜੂਦ ਹਨ, ਅਤੇ ਟਨਲ ਅਜੇ ਵੀ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿੱਚ ਅਸਫਲ ਹੁੰਦਾ ਹੈ। ਕਈ ਸਰਟੀਫਿਕੇਟ ਰੱਖਣ ਵਾਲੀ ਮਸ਼ੀਨ VPN ਨੂੰ ਅਜਿਹਾ ਉਮੀਦਵਾਰ ਦੇ ਸਕਦੀ ਹੈ ਜਿਸਦੀ ਕਿਸੇ ਨੇ ਯੋਜਨਾ ਨਹੀਂ ਕੀਤੀ ਸੀ, ਅਤੇ ਕਲਾਇੰਟ ਕੋਲ ਇਹ ਜਾਣਨ ਦਾ ਕੋਈ ਤਰੀਕਾ ਨਹੀਂ ਕਿ ਗੇਟਵੇ ਕਿਹੜਾ ਸਵੀਕਾਰ ਕਰੇਗਾ। ਬਾਕੀ ਹਟਾਉਣਾ ਇੱਕ ਚੋਣ ਨੀਤੀ ਹੈ ਜਿਸਦੇ ਨਤੀਜੇ ਮਸ਼ੀਨ ਦੀ ਹਰ ਸੇਵਾ ਉੱਤੇ ਪੈਂਦੇ ਹਨ। ਇਸਦੀ ਥਾਂ ਯੋਗ ਸਮੂਹ ਸੀਮਿਤ ਕਰੋ, ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਸੀ।

ਕਈ ਸਰਟੀਫਿਕੇਟ, ਇੱਕ ਪੇਸ਼

ਮਸ਼ੀਨ-ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣਿਕਤਾ ਵਾਲੇ ਮੂਲ Windows VPN ਪ੍ਰੋਫਾਈਲ ਦੋ ਫਿਲਟਰ ਦਿੰਦੇ ਹਨ ਜੋ ਉਮੀਦਵਾਰਾਂ ਨੂੰ ਸੀਮਿਤ ਕਰਦੇ ਹਨ: ਜਾਰੀਕਰਤਾ ਫਿਲਟਰ ਅਤੇ ਵਿਸਤ੍ਰਿਤ-ਚਾਬੀ-ਵਰਤੋਂ ਫਿਲਟਰ। ਉਹ ਉਹ ਸਮੂਹ ਘਟਾਉਂਦੇ ਹਨ ਜਿਸ ਵਿੱਚੋਂ ਕਲਾਇੰਟ ਚੁਣ ਸਕਦਾ ਹੈ। ਉਹ ਅਣਉਚਿਤ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਠੀਕ ਨਹੀਂ ਕਰਦੇ, ਅਤੇ ਇਸਦੀ ਗਾਰੰਟੀ ਨਹੀਂ ਦਿੰਦੇ ਕਿ ਸਰਵਰ ਬਾਕੀ ਬਚੇ ਨੂੰ ਸਵੀਕਾਰ ਕਰੇਗਾ। ਇਹ ਸੀਮਾ ਤਬਦੀਲੀ-ਰਿਕਾਰਡ ਵਿੱਚ ਲਿਖਣ ਯੋਗ ਹੈ, ਕਿਉਂਕਿ ਅਗਲਾ ਪਾਠਕ ਮੰਨ ਲਵੇਗਾ ਕਿ ਫਿਲਟਰ ਨੇ ਅਸਲ ਵਿੱਚ ਕੀਤੇ ਨਾਲੋਂ ਵੱਧ ਫੈਸਲਾ ਲਿਆ।

ਉਹ ਜਿਸ ਅਸਫਲਤਾ ਨੂੰ ਸੰਬੋਧਿਤ ਕਰਦੇ ਹਨ ਉਹ ਤੰਗ ਅਤੇ ਖਾਸ ਹੈ। ਗਲਤ ਅਥਾਰਟੀ ਦਾ ਵੈਧ ਸਰਟੀਫਿਕੇਟ, ਜਾਂ ਉਸ ਮਕਸਦ ਲਈ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਜਿਸਨੂੰ ਗੇਟਵੇ ਸਵੀਕਾਰ ਨਹੀਂ ਕਰਦਾ, ਇੱਛਤ ਤੋਂ ਪਹਿਲਾਂ ਚੁਣਿਆ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਸਿਹਤਮੰਦ ਸਟੋਰ ਦੇ ਕੋਲ ਪ੍ਰਮਾਣਿਕਤਾ ਅਸਫਲਤਾ ਪੈਦਾ ਹੁੰਦੀ ਹੈ। ਦੋ ਫਿਲਟਰ ਇਸਨੂੰ ਵਿਚਾਰਨ ਲਈ ਕਾਫ਼ੀ ਛੋਟੇ ਸਮੂਹ ਵਿੱਚ ਬਦਲ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਇਸ ਪੰਨੇ ਦਾ ਬਾਕੀ ਹਿੱਸਾ ਉਹਨਾਂ ਨੂੰ ਕ੍ਰਮ ਵਿੱਚ ਲਾਗੂ ਕਰਦਾ ਹੈ।

ਪ੍ਰੋਫਾਈਲ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਸਟੋਰ ਦੀ ਜਾਂਚ ਕਰੋ

ਉਮੀਦਵਾਰ ਅਤੇ ਉਹਨਾਂ ਦੇ ਗੁਣ ਉਸ ਸਟੋਰ ਵਿੱਚ ਸੂਚੀਬੱਧ ਕਰੋ ਜੋ ਪ੍ਰੋਫਾਈਲ ਅਸਲ ਵਿੱਚ ਵਰਤਦਾ ਹੈ। ਇੱਥੇ ਕੁਝ ਵੀ ਨਿੱਜੀ ਚਾਬੀ ਨਿਰਯਾਤ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਕਿਸੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਮਸ਼ੀਨ ਛੱਡਣ ਦੀ ਲੋੜ ਨਹੀਂ:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

ਉਹਨਾਂ ਗੁਣਾਂ ਲਈ ਆਉਟਪੁੱਟ ਪੜ੍ਹੋ ਜਿਨ੍ਹਾਂ ਉੱਤੇ ਫੈਸਲਾ ਨਿਰਭਰ ਕਰਦਾ ਹੈ: ਵਰਤੋਂਯੋਗ ਨਿੱਜੀ ਚਾਬੀ, ਸਵੀਕਾਰਯੋਗ ਵੈਧਤਾ ਅਵਧੀ, ਇੱਛਤ ਜਾਰੀਕਰਤਾ ਅਤੇ ਐਕਸਟੈਂਸ਼ਨ ਵਿੱਚਲੇ ਮਕਸਦ। ਸਰਟੀਫਿਕੇਟ ਇੱਕੋ ਸਮੇਂ ਮੌਜੂਦ, ਸਹੀ ਢੰਗ ਨਾਲ ਦਰਜ ਅਤੇ ਇਸ ਕਨੈਕਸ਼ਨ ਲਈ ਬੇਕਾਰ ਹੋ ਸਕਦਾ ਹੈ। ਥੰਬਪ੍ਰਿੰਟ ਕਾਲਮ ਉਹੀ ਹੈ ਜਿਸ ਨਾਲ ਤੁਸੀਂ ਬਾਅਦ ਵਿੱਚ ਤੁਲਨਾ ਕਰੋਗੇ, ਇਸ ਲਈ ਆਉਟਪੁੱਟ ਰੱਖੋ।

ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰੋਫਾਈਲ ਅਤੇ ਇਸਦੇ ਦਾਇਰੇ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ, ਕਿਉਂਕਿ LocalMachine ਵਿੱਚਲਾ ਮਸ਼ੀਨ ਸਰਟੀਫਿਕੇਟ, ਵਰਤੋਂਕਾਰ ਦਾ EAP-TLS ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਆਪਣਾ ਨਿੱਜੀ ਚਾਬੀ ਸਟੋਰ ਤਿੰਨ ਵੱਖਰੇ ਸੰਦਰਭ ਹਨ। ਜਦੋਂ ਪ੍ਰਬੰਧਿਤ ਪ੍ਰੋਫਾਈਲ ਉੱਥੇ ਹੋਵੇ ਤਾਂ ਸਾਰੇ-ਵਰਤੋਂਕਾਰ ਦਾਇਰਾ ਅਤੇ ਪ੍ਰਸ਼ਾਸਕੀ ਸੰਦਰਭ ਵਰਤੋ। ਮਿਲਦੇ ਨਾਮ ਵਾਲਾ ਦੂਜਾ ਪ੍ਰੋਫਾਈਲ ਬਣਾਉਣਾ ਇਹ ਲੁਕਾਉਂਦਾ ਹੈ ਕਿ ਕਨੈਕਸ਼ਨ ਅਸਲ ਵਿੱਚ ਕਿਹੜੀ ਸੰਰਚਨਾ ਵਰਤਦਾ ਹੈ।

ਜਾਰੀਕਰਤਾ ਫਿਲਟਰ ਨੂੰ ਆਬਜੈਕਟ ਚਾਹੀਦਾ ਹੈ

ਜਾਰੀਕਰਤਾ ਪੈਰਾਮੀਟਰ ਸਰਟੀਫਿਕੇਟ ਆਬਜੈਕਟ ਦੀ ਉਮੀਦ ਕਰਦਾ ਹੈ, ਦਿਖਾਉਣ ਵਾਲੇ ਨਾਮ ਦੀ ਨਹੀਂ ਅਤੇ ਖਾਲੀ ਥੰਬਪ੍ਰਿੰਟ ਸਟਰਿੰਗ ਦੀ ਵੀ ਨਹੀਂ। ਮਨਜ਼ੂਰ ਅਥਾਰਟੀ ਦਾ ਸਰਟੀਫਿਕੇਟ ਤੁਸੀਂ ਜਾਂਚੇ ਹੋਏ ਰਾਹ ਤੋਂ, ਉਸ ਸਟੋਰ ਵਿੱਚ ਦਿਓ ਜਿੱਥੇ ਇਹ ਰਹਿੰਦਾ ਹੈ:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

ਕਲਾਇੰਟ ਦਾ ਆਪਣਾ ਲੀਫ਼ ਸਰਟੀਫਿਕੇਟ, ਮਿਲਦੇ ਵਿਸ਼ੇ ਵਾਲੀ ਦੂਜੀ ਅਥਾਰਟੀ, ਜਾਂ ਨਵਾਂ ਬਣਾਇਆ ਰੂਟ ਸਿਰਫ਼ ਇਸ ਲਈ ਨਾ ਬਦਲੋ ਕਿ ਪੈਰਾਮੀਟਰ ਦੀ ਕਿਸਮ ਇਸਨੂੰ ਸਵੀਕਾਰ ਕਰਦੀ ਹੈ। ਦੋ ਅਥਾਰਟੀਆਂ ਇੱਕੋ ਵਿਸ਼ਾ ਸਟਰਿੰਗ ਸਾਂਝੀ ਕਰ ਸਕਦੀਆਂ ਹਨ, ਅਤੇ ਇਸੇ ਲਈ ਟੈਕਸਟ ਨਾਲੋਂ ਆਬਜੈਕਟ ਵੱਧ ਮਹੱਤਵਪੂਰਨ ਹੈ। Microsoft cmdlet ਸੰਦਰਭ ਦੋਵੇਂ ਇਨਪੁੱਟ ਕਿਸਮਾਂ ਦਾ ਦਸਤਾਵੇਜ਼ੀਕਰਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਅਸਫਲ ਕੋਸ਼ਿਸ਼ ਤੋਂ ਬਾਅਦ ਨਹੀਂ, ਪਹਿਲੀ ਸੋਧ ਤੋਂ ਪਹਿਲਾਂ ਇਸਨੂੰ ਪੜ੍ਹਨਾ ਯੋਗ ਹੈ।

ਵਰਤੋਂ ਫਿਲਟਰ ਨੂੰ OID ਸਟਰਿੰਗ ਚਾਹੀਦੀ ਹੈ

ਵਿਸਤ੍ਰਿਤ-ਚਾਬੀ-ਵਰਤੋਂ ਪੈਰਾਮੀਟਰ OID ਸਟਰਿੰਗ ਲੈਂਦਾ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਮਕਸਦ ਹੈ 1.3.6.1.5.5.7.3.2। ਇਸਨੂੰ ਲਾਗੂ ਕਰਨ ਨਾਲ ਉਮੀਦਵਾਰ ਉਹਨਾਂ ਸਰਟੀਫਿਕੇਟਾਂ ਤੱਕ ਸੀਮਿਤ ਹੋ ਜਾਂਦੇ ਹਨ ਜੋ ਇਹ ਮਕਸਦ ਰੱਖਦੇ ਹਨ, ਜੋ ਕਲਾਇੰਟ-ਪ੍ਰਮਾਣਿਕਤਾ ਤੈਨਾਤੀ ਚਾਹੁੰਦੀ ਹੈ:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

ਮੁੱਲ ਇੱਕ ਐਰੇ ਹੈ, ਇਸ ਲਈ ਕਈ ਮਕਸਦਾਂ ਦੀ ਲੋੜ ਵਾਲੀ ਤੈਨਾਤੀ ਉਹਨਾਂ ਨੂੰ ਸੂਚੀ ਵਜੋਂ ਭੇਜਦੀ ਹੈ। ਫਿਲਟਰ ਜੋ ਨਹੀਂ ਕਰ ਸਕਦਾ ਉਹ ਹੈ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਮਕਸਦ ਜੋੜਨਾ: ਇਹ ਇੱਕ ਚੋਣ ਸਮੀਕਰਨ ਹੈ ਜੋ ਦਸਤਖ਼ਤ ਕੀਤੇ ਐਕਸਟੈਂਸ਼ਨਾਂ ਦੇ ਵਿਰੁੱਧ ਮੁਲਾਂਕਣ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਫਿਲਟਰ ਉਹਨਾਂ ਨੂੰ ਦੁਬਾਰਾ ਨਹੀਂ ਲਿਖਦਾ, ਇਸ ਲਈ ਮਕਸਦ ਤੋਂ ਬਿਨਾਂ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਦੁਬਾਰਾ ਦਰਜੀ ਵਿੱਚੋਂ ਲੰਘਣਾ ਪਵੇਗਾ।

ਵਰਤੋਂਕਾਰ-ਸਰਟੀਫਿਕੇਟ EAP ਸੰਰਚਨਾ ਨੂੰ ਮਸ਼ੀਨ-ਸਰਟੀਫਿਕੇਟ ਫਿਲਟਰਿੰਗ ਤੋਂ ਵੱਖ ਰੱਖੋ, ਕਿਉਂਕਿ ਉਹ ਵੱਖਰੀਆਂ ਥਾਵਾਂ ਉੱਤੇ ਰਹਿੰਦੇ ਹਨ ਅਤੇ ਇੱਕ ਵਿੱਚ ਤਬਦੀਲੀ ਦੂਜੇ ਵਿੱਚ ਅਸਫਲਤਾ ਨੂੰ ਘੱਟ ਹੀ ਸਮਝਾਉਂਦੀ ਹੈ। ਇਹ ਵੀ ਜਾਂਚੋ ਕਿ ਪ੍ਰੋਫਾਈਲ ਡੋਮੇਨ ਦਾ ਹੈ ਜਾਂ ਡਿਵਾਈਸ ਪ੍ਰਬੰਧਨ ਦਾ, ਕਿਉਂਕਿ ਸਥਾਨਕ ਸੋਧ ਅਗਲੀ ਨੀਤੀ ਤਾਜ਼ਗੀ ਵਿੱਚ ਕਿਸੇ ਦੇ ਮਸ਼ੀਨ ਨੂੰ ਛੂਹੇ ਬਿਨਾਂ ਬਦਲੀ ਜਾ ਸਕਦੀ ਹੈ।

ਸਾਬਤ ਕਰੋ ਕਿ ਕਲਾਇੰਟ ਨੇ ਕਿਹੜਾ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕੀਤਾ

ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਸਥਾਪਿਤ ਕਰੋ ਅਤੇ ਇੱਛਤ ਪਛਾਣ ਲਈ ਕਲਾਇੰਟ ਅਤੇ ਸਰਵਰ ਪ੍ਰਮਾਣਿਕਤਾ ਦੇ ਸਬੂਤ ਪੜ੍ਹੋ। ਜਦੋਂ ਇੱਕ ਤੋਂ ਵੱਧ ਸਰਟੀਫਿਕੇਟ ਫਿਲਟਰ ਪੂਰੇ ਕਰਦੇ ਹਨ, ਨਤੀਜਾ ਪਿੰਨ ਕੀਤਾ ਲੀਫ਼ ਨਹੀਂ ਸਗੋਂ ਛੋਟਾ ਪੂਲ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਅਗਲੀ ਕੋਸ਼ਿਸ਼ ਦੂਜਾ ਮੈਂਬਰ ਚੁਣ ਸਕਦੀ ਹੈ। ਉਹਨਾਂ ਸਬੂਤਾਂ ਵਿੱਚ ਦਿਖਣ ਵਾਲਾ ਥੰਬਪ੍ਰਿੰਟ ਨੋਟ ਕਰੋ ਅਤੇ ਸਟੋਰ ਤੋਂ ਦਰਜ ਕੀਤੇ ਨਾਲ ਤੁਲਨਾ ਕਰੋ।

ਸਫਲ ਕਮਾਂਡ ਸਫਲ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਹੈ। ਦਰਜ ਕਰਨ ਯੋਗ ਨਤੀਜਾ ਇਹ ਹੈ ਕਿ ਇੱਛਤ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਬੰਧਿਤ ਨੀਤੀ ਅਧੀਨ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰ ਰਿਹਾ ਹੈ ਜਦੋਂ ਕਿ ਹਰ ਅਸੰਬੰਧਿਤ ਸਰਟੀਫਿਕੇਟ ਇਸ ਉੱਤੇ ਨਿਰਭਰ ਸੇਵਾਵਾਂ ਲਈ ਉਪਲਬਧ ਰਹਿੰਦਾ ਹੈ। ਜੇ ਅਸਫਲਤਾ ਦੋਵੇਂ ਫਿਲਟਰਾਂ ਤੋਂ ਬਾਅਦ ਵੀ ਬਚੀ ਰਹਿੰਦੀ ਹੈ, ਤਾਂ ਅਗਲੀ ਵੇਖਣ ਦੀ ਥਾਂ ਪੂਰਾ ਪ੍ਰੋਫਾਈਲ ਨਹੀਂ ਸਗੋਂ ਬਾਕੀ ਉਮੀਦਵਾਰ ਹਨ।