Como revogar um certificado de cliente Azure Point-to-Site

Revogar um cliente Azure Point-to-Site significa adicionar sua impressão digital à lista de revogados do gateway. Não significa excluir a raiz confiável. A raiz é a autoridade emissora de todo certificado de cliente que você já entregou, então removê-la é outra operação com um impacto muito maior. A unidade de revogação aqui é um único certificado.

Passo 1: Fixe o certificado a que se refere

Comece pelo registro do certificado, não por um nome de exibição. O Azure mostra um nome amigável que você mesmo digitou, e esse rótulo não precisa corresponder ao assunto nem ao dispositivo para o qual foi emitido.

Mais uma verificação antes de revogar: descubra quantos dispositivos o apresentam. Se vários notebooks foram criados a partir de cópias do mesmo PFX, revogar a impressão digital bloqueia todos eles, e o Azure não tem como distinguir o perdido do reserva na gaveta.

No cliente, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter lista o que está instalado para esse usuário, e Cert:\LocalMachine\My também vale verificar porque o cliente VPN pode escolher em qualquer dos dois repositórios. Compare a impressão digital com seu inventário de inscrição. Um certificado renovado tem uma impressão digital diferente mesmo quando o assunto é idêntico.

Você não precisa da chave privada do cliente nem de um PFX protegido por senha para ler a impressão digital de um certificado público. Qualquer procedimento que exija um dos dois foi copiado de outra tarefa.

Passo 2: Adicione-o à lista de revogados do gateway

No portal, abra o gateway de rede virtual, depois a configuração Point-to-site, depois a seção de certificados revogados. Adicione um nome amigável que você reconheça daqui a seis meses e cole a impressão digital como uma única cadeia contínua sem os espaços.

Verifique qual gateway está selecionado antes de salvar, porque uma assinatura com vários gateways é exatamente onde isso dá errado. O guia de configuração de certificados da Microsoft afirma que, depois que a atualização termina, o certificado não pode mais ser usado para conectar.

Confirme depois o valor armazenado em vez de confiar no aviso do portal: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" mostra o que o gateway realmente guarda.

Passo 3: Verifique as duas direções

Teste a negação com o certificado revogado e depois teste que outro certificado sob a mesma raiz ainda se autentica. É esse segundo teste que as pessoas pulam, e é ele que pega uma remoção acidental da raiz ou uma mudança de política que ninguém mencionou. Use um dispositivo em que você possa ver qual certificado está sendo apresentado. Um cliente com vários certificados pode usar silenciosamente um que funciona e fazer sua revogação parecer quebrada.

Registre os dois resultados no ticket. Uma revogação verificada apenas na direção da negação está meio verificada.

Passo 4: Sessões que já estão abertas

O resultado documentado diz respeito a novas conexões. Não o estique para a promessa de que todo túnel existente cai no segundo em que a lista é salva. Se a remoção imediata importa, use os controles que a configuração implantada realmente oferece e verifique a sessão específica em vez de presumir.

Teste isso separadamente da autenticação, porque as duas falham em lugares diferentes e deixam evidências diferentes.

Reversão e os atalhos a evitar

Reverter significa remover a impressão digital da lista de revogados e esperar que a mesma atualização termine. Isso é seguro quando você revogou a entrada errada e perigoso quando o certificado está realmente comprometido, então decida primeiro em qual caso está. Excluir a raiz confiável não é atalho para um notebook perdido. Excluir um perfil VPN local em uma máquina não muda o que qualquer gateway aceita.

Se a identidade também se autentica em um segundo gateway, ambos precisam do mesmo tratamento. A lista de revogados pertence a um gateway, não à assinatura.