Cum să revocați un certificat de client Azure Point-to-Site

A revoca un client Azure Point-to-Site înseamnă a adăuga amprenta lui în lista de revocate a gateway-ului. Nu înseamnă a șterge rădăcina de încredere. Rădăcina este autoritatea emitentă pentru fiecare certificat de client pe care l-ați emis vreodată, deci eliminarea ei este o altă operațiune cu un impact mult mai mare. Unitatea de revocare aici este un singur certificat.

Pasul 1: Stabiliți exact care certificat

Începeți de la înregistrarea certificatului, nu de la un nume afișat. Azure afișează un nume amical pe care l-ați tastat dumneavoastră, iar acea etichetă nu trebuie să corespundă subiectului sau dispozitivului pentru care a fost emis.

Încă o verificare înainte de revocare: aflați câte dispozitive îl prezintă. Dacă mai multe laptopuri au fost create din copii ale aceluiași PFX, revocarea amprentei le blochează pe toate, iar Azure nu poate distinge laptopul pierdut de cel de rezervă din sertar.

Pe client, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter listează ce este instalat pentru acel utilizator, iar Cert:\LocalMachine\My merită verificat și el, pentru că clientul VPN poate alege din oricare dintre cele două depozite. Comparați amprenta cu inventarul dumneavoastră de înregistrare. Un certificat reînnoit are o amprentă diferită chiar dacă subiectul este identic.

Nu aveți nevoie de cheia privată a clientului sau de un PFX protejat cu parolă pentru a citi amprenta unui certificat public. Orice procedură care cere una dintre ele a fost copiată dintr-o altă sarcină.

Pasul 2: Adăugați-l în lista de revocate a gateway-ului

În portal, deschideți gateway-ul de rețea virtuală, apoi configurația Point-to-site, apoi secțiunea de certificate revocate. Adăugați un nume amical pe care îl veți recunoaște peste șase luni și lipiți amprenta ca un singur șir continuu, fără spații.

Verificați ce gateway este selectat înainte de a salva, pentru că un abonament cu mai multe gateway-uri este exact locul unde acest lucru merge prost. Ghidul Microsoft de configurare a certificatelor afirmă că, după finalizarea actualizării, certificatul nu mai poate fi folosit pentru conectare.

Confirmați apoi valoarea salvată, în loc să vă bazați pe notificarea portalului: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" arată ce ține de fapt gateway-ul.

Pasul 3: Verificați ambele direcții

Testați refuzul cu certificatul revocat, apoi testați că un alt certificat sub aceeași rădăcină se autentifică în continuare. Acesta este al doilea test pe care oamenii îl sar și el este cel care prinde o eliminare accidentală a rădăcinii sau o schimbare de politică pe care nimeni nu a menționat-o. Folosiți un dispozitiv pe care puteți vedea ce certificat este prezentat. Un client cu mai multe certificate poate folosi în liniște unul funcțional și poate face revocarea să pară defectă.

Înregistrați ambele rezultate în tichet. O revocare verificată doar în direcția refuzului este verificată pe jumătate.

Pasul 4: Sesiuni care sunt deja active

Rezultatul documentat privește conexiunile noi. Nu-l extindeți la promisiunea că fiecare tunel existent cade în secunda în care lista este salvată. Dacă eliminarea imediată contează, folosiți controalele pe care configurația implementată le oferă cu adevărat și verificați sesiunea specifică în loc să presupuneți.

Testați asta separat de autentificare, pentru că cele două eșuează în locuri diferite și lasă dovezi diferite.

Revenirea și scurtăturile de evitat

Revenirea înseamnă să scoateți amprenta din lista de revocate și să așteptați ca aceeași actualizare să se termine. Acest lucru este sigur când ați revocat înregistrarea greșită și periculos când certificatul este într-adevăr compromis, deci decideți mai întâi în ce caz sunteți. Ștergerea rădăcinii de încredere nu este o scurtătură pentru un laptop pierdut. Ștergerea unui profil VPN local pe o singură mașină nu schimbă ce acceptă orice gateway.

Dacă identitatea se autentifică și pe un al doilea gateway, ambele au nevoie de același tratament. Lista de revocate aparține unui gateway, nu abonamentului.