Jak unieważnić jeden certyfikat klienta Azure Point-to-Site

Unieważnienie jednego klienta Azure Point-to-Site oznacza dodanie jego odcisku palca do listy unieważnionych na bramie. Nie oznacza usunięcia zaufanego głównego certyfikatu. Główny certyfikat jest wystawcą każdego certyfikatu klienta, jaki kiedykolwiek wydałeś, więc jego usunięcie to inna operacja o znacznie większym zasięgu. Jednostką unieważnienia jest tutaj pojedynczy certyfikat.

Krok 1: Ustal dokładnie, o który certyfikat chodzi

Zacznij od rekordu certyfikatu, a nie od nazwy wyświetlanej. Azure pokazuje przyjazną nazwę, którą wpisałeś samodzielnie, a ta etykieta nie musi odpowiadać podmiotowi ani urządzeniu, dla którego certyfikat wydano.

Jeszcze jedna kontrola przed unieważnieniem: sprawdź, ile urządzeń go przedstawia. Jeśli kilka laptopów zbudowano z kopii tego samego PFX, unieważnienie odcisku zablokuje wszystkie, a Azure nie potrafi odróżnić zgubionego od zapasowego w szufladzie.

Na kliencie Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter wyświetla, co jest zainstalowane dla tego użytkownika, a Cert:\LocalMachine\My również warto sprawdzić, ponieważ klient VPN może wybierać z dowolnego z dwóch magazynów. Porównaj odcisk palca z twoim spisem rejestracji. Odnowiony certyfikat ma inny odcisk palca, nawet gdy podmiot jest identyczny.

Nie potrzebujesz prywatnego klucza klienta ani PFX chronionego hasłem, aby odczytać odcisk palca certyfikatu publicznego. Każda procedura, która wymaga jednego z nich, została skopiowana z innego zadania.

Krok 2: Dodaj go do listy unieważnionych na bramie

W portalu otwórz bramę sieci wirtualnej, następnie konfigurację Point-to-site, a następnie sekcję unieważnionych certyfikatów. Dodaj przyjazną nazwę, którą rozpoznasz po sześciu miesiącach, i wklej odcisk palca jako jeden ciągły ciąg bez spacji.

Sprawdź, która brama jest wybrana przed zapisaniem, ponieważ subskrypcja z kilkoma bramami to dokładnie miejsce, w którym to się psuje. przewodnik konfiguracji certyfikatów Microsoftu stwierdza, że po zakończeniu aktualizacji certyfikatu nie można już używać do łączenia.

Potem potwierdź zapisaną wartość, zamiast ufać powiadomieniu portalu: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" pokazuje, co brama faktycznie przechowuje.

Krok 3: Sprawdź oba kierunki

Przetestuj odmowę z unieważnionym certyfikatem, a następnie sprawdź, że inny certyfikat pod tym samym głównym nadal się uwierzytelnia. Właśnie ten drugi test ludzie pomijają i właśnie on wychwytuje przypadkowe usunięcie głównego albo zmianę zasad, o której nikt nie wspomniał. Użyj urządzenia, na którym widać, który certyfikat jest przedstawiany. Klient z kilkoma certyfikatami może po cichu użyć działającego i sprawić, że twoje unieważnienie będzie wyglądać na zepsute.

Zapisz oba wyniki w zgłoszeniu. Unieważnienie sprawdzone tylko w kierunku odmowy jest sprawdzone połowicznie.

Krok 4: Sesje, które już trwają

Udokumentowany wynik dotyczy nowych połączeń. Nie rozciągaj go do obietnicy, że każdy istniejący tunel padnie w sekundzie zapisania listy. Jeśli natychmiastowe usunięcie ma znaczenie, użyj mechanizmów, które twoja wdrożona konfiguracja naprawdę oferuje, i sprawdź konkretną sesję, zamiast zakładać.

Przetestuj to osobno od uwierzytelniania, ponieważ oba zawodzą w różnych miejscach i zostawiają różne ślady.

Wycofanie i skróty, których należy unikać

Wycofanie oznacza usunięcie odcisku palca z listy unieważnionych i czekanie na zakończenie tej samej aktualizacji. Jest to bezpieczne, gdy unieważniłeś niewłaściwy wpis, i niebezpieczne, gdy certyfikat jest naprawdę naruszony, więc najpierw zdecyduj, w którym przypadku jesteś. Usunięcie zaufanego głównego certyfikatu nie jest skrótem dla jednego zagubionego laptopa. Usunięcie lokalnego profilu VPN na jednej maszynie nie zmienia tego, co akceptuje jakakolwiek brama.

Jeśli tożsamość uwierzytelnia się także na drugiej bramie, obie wymagają takiego samego traktowania. Lista unieważnionych należy do bramy, a nie do subskrypcji.