Как отозвать один клиентский сертификат Azure Point-to-Site

Отозвать одного клиента Azure Point-to-Site — значит добавить его отпечаток в список отозванных на шлюзе. Это не означает удалить доверенный корневой сертификат. Корневой сертификат — это издатель каждого клиентского сертификата, который вы когда-либо выдавали, поэтому его удаление — другая операция с гораздо большим радиусом действия. Единицей отзыва здесь является один сертификат.

Шаг 1: Определите, какой именно сертификат имеется в виду

Начинайте с записи сертификата, а не с отображаемого имени. Azure показывает дружественное имя, которое вы ввели сами, и эта метка не обязана совпадать с субъектом или устройством, для которого сертификат выпущен.

Ещё одна проверка перед отзывом: выясните, сколько устройств его предъявляют. Если несколько ноутбуков были созданы из копий одного и того же PFX, отзыв отпечатка заблокирует их все, и Azure не может отличить потерянный от запасного в ящике.

На клиенте Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter перечисляет то, что установлено для этого пользователя, а Cert:\LocalMachine\My тоже стоит проверить, потому что клиент VPN может выбрать из любого из двух хранилищ. Сравните отпечаток с вашей инвентаризацией регистрации. У обновлённого сертификата другой отпечаток, даже когда субъект идентичен.

Вам не нужны закрытый ключ клиента или PFX, защищённый паролем, чтобы прочитать отпечаток открытого сертификата. Любая процедура, требующая одно из этого, скопирована из другой задачи.

Шаг 2: Добавьте его в список отозванных на шлюзе

В портале откройте шлюз виртуальной сети, затем конфигурацию Point-to-site, затем раздел отозванных сертификатов. Добавьте дружественное имя, которое вы узнаете через полгода, и вставьте отпечаток одной непрерывной строкой без пробелов.

Проверьте, какой шлюз выбран, прежде чем сохранять, потому что подписка с несколькими шлюзами — это именно то место, где это идёт не так. руководство Microsoft по настройке сертификатов указывает, что после завершения обновления сертификат больше нельзя использовать для подключения.

Затем подтвердите сохранённое значение, а не доверяйте уведомлению портала: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" показывает, что шлюз на самом деле хранит.

Шаг 3: Проверьте оба направления

Проверьте отказ с отозванным сертификатом, затем проверьте, что другой сертификат под тем же корнем всё ещё проходит проверку подлинности. Именно этот второй тест люди пропускают, и именно он ловит случайное удаление корня или изменение политики, о котором никто не упоминал. Используйте устройство, на котором видно, какой сертификат предъявляется. Клиент с несколькими сертификатами может тихо использовать работающий и заставить ваш отзыв выглядеть сломанным.

Запишите оба результата в заявку. Отзыв, проверенный только в направлении отказа, проверен наполовину.

Шаг 4: Сеансы, которые уже установлены

Документированный результат касается новых подключений. Не растягивайте его до обещания, что каждый существующий туннель оборвётся в ту же секунду, когда список будет сохранён. Если немедленное удаление важно, используйте средства управления, которые действительно предлагает ваша развёрнутая конфигурация, и проверяйте конкретный сеанс, а не предполагайте.

Проверяйте это отдельно от аутентификации, потому что обе терпят неудачу в разных местах и оставляют разные следы.

Откат и сокращения, которых стоит избегать

Откат означает удалить отпечаток из списка отозванных и ждать завершения того же обновления. Это безопасно, когда вы отозвали неверную запись, и опасно, когда сертификат действительно скомпрометирован, поэтому сначала решите, какой это случай. Удаление доверенного корня — не сокращение для одного потерянного ноутбука. Удаление локального профиля VPN на одной машине не меняет того, что принимает любой шлюз.

Если удостоверение также аутентифицируется на втором шлюзе, обоим нужно одинаковое обращение. Список отозванных принадлежит шлюзу, а не подписке.