SSTP e IKEv2 usam controles de certificado RRAS diferentes

Substitua «o certificado VPN» e poderá alterar o serviço errado. O RRAS mantém pelo menos três controles de certificado, cada um pertencente a um protocolo e a uma função de conexão diferentes. Nomear primeiro o protocolo transforma um palpite arriscado numa única alteração de vínculo reversível. Tudo o que se segue depende dessa única frase.

Nomeie o protocolo antes do certificado

Um listener SSTP apresenta um certificado TLS a um cliente que se comporta como HTTPS. Uma ligação IKEv2 site-to-site de entrada anuncia uma identidade de servidor e valida os certificados dos pares contra uma raiz fidedigna. Uma definição site-to-site por interface transporta uma identidade de máquina própria.

São três controles com três âmbitos. Confundi-los produz uma alteração que parece funcionar num protocolo e não tem efeito no outro, o que é pior do que uma falha óbvia. Registe qual protocolo falhou, que lado apresentou o certificado e que lado o rejeitou antes de tocar em qualquer coisa.

SSTP é um vínculo HTTPS

Para implementações de Remote Access suportadas, Set-RemoteAccess expõe um parâmetro SslCertificate utilizado para a conectividade SSTP e para a função DirectAccess relacionada com HTTPS.

O seu âmbito de validação e implementação segue a configuração de Remote Access, pelo que uma alteração de vínculo pode atingir mais do que uma ligação ou nó. Numa implementação com balanceamento de carga, esse âmbito inclui todos os nós abrangidos pela configuração. Alterar um nó e testar um cliente deixa os restantes a apresentar o certificado folha antigo, que é o tipo de meia-alteração que sobrevive a uma janela de manutenção.

Verifique o nome do serviço esperado, a cadeia, a validade, a utilização prevista e a disponibilidade da chave privada antes da atualização. O certificado tem de corresponder ao nome que o cliente vai verificar, e uma etiqueta de adaptador não é esse nome.

O IKEv2 de entrada tem o seu próprio parâmetro

Set-VpnAuthProtocol configura a autenticação IKEv2 site-to-site de entrada, e CertificateAdvertised fornece um certificado quando o modo de autenticação do túnel os utiliza. Não é um comando geral para escolher qualquer certificado de servidor no anfitrião.

Mantenha dois objetos separados: o certificado folha que o servidor apresenta como identidade própria e a raiz que utiliza para aceitar certificados dos pares. Escolher em que emissor confia não diz nada sobre que certificado folha o servidor apresenta.

A identidade de uma interface site-to-site individual é definida através de Set-VpnS2SInterface. Não é automaticamente o certificado SSTP, mesmo quando ambos estão no mesmo arquivo da mesma máquina.

Inspecione primeiro o candidato

Uma vista focada do arquivo da máquina local mostra metadados públicos sem exportar nada de privado:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Essa listagem é um ponto de partida e não um teste de adequação. Inspecione as entradas SAN, as utilizações estendidas da chave, a cadeia e o acesso da conta de serviço à chave privada para o protocolo que está a configurar.

Um certificado instalado para uma identidade de cliente cloud sem relação não é adequado só porque aparece no mesmo arquivo. Visibilidade não é elegibilidade, e uma impressão digital numa captura de ecrã não prova nada sobre se a conta de serviço consegue ler a chave. Verifique esse acesso explicitamente, porque uma permissão de chave em falta só falha quando o serviço reinicia e tenta usar o certificado.

Registe o vínculo atual e confirme que ainda consegue chegar ao anfitrião de outra forma antes de o alterar. O caminho de recuperação faz parte da alteração, não do incidente que se segue.

Renovar não é ativar

Reemitir um certificado é uma ação diferente de o selecionar para o serviço em execução. O novo certificado folha pode manter a identidade DNS prevista e ainda assim transportar uma impressão digital diferente, pelo que nada aponta para ele até o vínculo ser atualizado. A renovação altera o objeto; a ativação altera a referência a ele. Confundir as duas é a razão pela qual um certificado corretamente renovado pode ficar sem uso durante semanas.

Aplique a alteração suportada numa janela adequada, incluindo qualquer reinício documentado, e depois inspecione o certificado a partir de uma nova ligação do protocolo previsto. Uma sessão de cliente em cache pode continuar a mostrar o certificado folha antigo e fazer uma alteração correta parecer avariada.

Retire o certificado anterior através do processo normal apenas depois de essa verificação passar. A referência de Set-RemoteAccess documenta o âmbito do parâmetro SSL, incluindo o seu efeito em implementações com balanceamento de carga, que é a parte que vale a pena ler antes de uma alteração de vínculo.