SSTP i IKEv2 używają różnych mechanizmów certyfikatów RRAS

Zastąp „certyfikat VPN”, a możesz zmienić niewłaściwą usługę. RRAS utrzymuje co najmniej trzy mechanizmy certyfikatów, z których każdy należy do innego protokołu i innej roli połączenia. Nazwanie protokołu jako pierwszego zamienia ryzykowne domysły w jedną odwracalną zmianę powiązania. Wszystko poniżej zależy od tego jednego zdania.

Nazwij protokół przed certyfikatem

Odbiornik SSTP prezentuje certyfikat TLS klientowi, który zachowuje się jak HTTPS. Przychodzące połączenie IKEv2 typu lokacja-lokacja ogłasza tożsamość serwera i weryfikuje certyfikaty partnerów wobec zaufanego katalogu głównego. Definicja lokacja-lokacja dla interfejsu niesie własną tożsamość maszyny.

To trzy mechanizmy o trzech zakresach. Pomylenie ich daje zmianę, która wydaje się działać na jednym protokole i nie ma żadnego wpływu na drugi, co jest gorsze niż oczywista awaria. Zapisz, który protokół zawiódł, która strona przedstawiła certyfikat i która go odrzuciła, zanim cokolwiek zmienisz.

SSTP to powiązanie HTTPS

W obsługiwanych wdrożeniach Remote Access Set-RemoteAccess udostępnia parametr SslCertificate używany do łączności SSTP i do roli DirectAccess związanej z HTTPS.

Jego zakres weryfikacji i wdrożenia wynika z konfiguracji Remote Access, więc jedna zmiana powiązania może objąć więcej niż jedno połączenie lub węzeł. We wdrożeniu z równoważeniem obciążenia zakres ten obejmuje każdy węzeł objęty konfiguracją. Zmiana jednego węzła i przetestowanie jednego klienta pozostawia pozostałe ze starym certyfikatem liścia, a to właśnie ta połowiczna zmiana, która przetrwa okno konserwacyjne.

Przed aktualizacją sprawdź oczekiwaną nazwę usługi, łańcuch, ważność, zamierzone użycie i dostępność klucza prywatnego. Certyfikat musi pasować do nazwy, którą sprawdzi klient, a etykieta adaptera nie jest tą nazwą.

Przychodzący IKEv2 ma własny parametr

Set-VpnAuthProtocol konfiguruje uwierzytelnianie przychodzącego IKEv2 typu lokacja-lokacja, a CertificateAdvertised dostarcza certyfikat, gdy tryb uwierzytelniania tunelu ich używa. To nie jest ogólne polecenie wyboru dowolnego certyfikatu serwera na hoście.

Rozdziel dwa obiekty: certyfikat liścia, który serwer przedstawia jako własną tożsamość, oraz katalog główny używany do akceptowania certyfikatów partnerów. Wybór zaufanego wystawcy nic nie mówi o tym, który certyfikat liścia przedstawia serwer.

Tożsamość pojedynczego interfejsu lokacja-lokacja ustawia się przez Set-VpnS2SInterface. Nie jest to automatycznie certyfikat SSTP, nawet gdy oba leżą w tym samym magazynie na tej samej maszynie.

Najpierw sprawdź kandydata

Skupiony widok magazynu maszyny lokalnej pokazuje publiczne metadane bez eksportowania czegokolwiek prywatnego:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Ta lista jest punktem wyjścia, a nie testem przydatności. Sprawdź wpisy SAN, rozszerzone użycie klucza, łańcuch oraz dostęp konta usługi do klucza prywatnego dla konfigurowanego protokołu.

Certyfikat zainstalowany dla niepowiązanej tożsamości klienta chmury nie jest odpowiedni tylko dlatego, że pojawia się w tym samym magazynie. Widoczność to nie kwalifikowalność, a odcisk palca na zrzucie ekranu niczego nie dowodzi w kwestii tego, czy konto usługi może odczytać klucz. Sprawdź ten dostęp jawnie, ponieważ brak uprawnienia do klucza ujawnia się dopiero, gdy usługa uruchomi się ponownie i spróbuje użyć certyfikatu.

Zapisz bieżące powiązanie i potwierdź, że nadal możesz dotrzeć do hosta w inny sposób, zanim je zmienisz. Ścieżka odzyskiwania należy do zmiany, a nie do incydentu, który nastąpi.

Odnowienie to nie aktywacja

Ponowne wydanie certyfikatu to inna czynność niż wybranie go dla działającej usługi. Nowy certyfikat liścia może zachować zamierzoną tożsamość DNS, a mimo to mieć inny odcisk palca, więc nic na niego nie wskazuje, dopóki powiązanie nie zostanie zaktualizowane. Odnowienie zmienia obiekt; aktywacja zmienia odwołanie do niego. Mylenie tych dwóch jest powodem, dla którego poprawnie odnowiony certyfikat może leżeć nieużywany przez tygodnie.

Zastosuj obsługiwaną zmianę w odpowiednim oknie, wraz z udokumentowanym ponownym uruchomieniem, a następnie sprawdź certyfikat z nowego połączenia wybranego protokołu. Sesja klienta z pamięci podręcznej może nadal pokazywać stary certyfikat liścia i sprawiać, że poprawna zmiana wygląda na zepsutą.

Wycofaj poprzedni certyfikat w zwykłym procesie dopiero po pomyślnym przejściu tego sprawdzenia. Dokumentacja Set-RemoteAccess opisuje zakres parametru SSL, w tym jego wpływ we wdrożeniach z równoważeniem obciążenia, a to właśnie ta część jest warta przeczytania przed zmianą powiązania.