SSTP и IKEv2 используют разные элементы управления сертификатами RRAS

Замените «сертификат VPN» — и можете изменить не ту службу. RRAS хранит как минимум три элемента управления сертификатами, каждый из которых относится к своему протоколу и своей роли подключения. Если сначала назвать протокол, рискованное предположение превращается в одно обратимое изменение привязки. Всё ниже зависит от этого одного предложения.

Назовите протокол до сертификата

Прослушиватель SSTP предъявляет клиенту, который ведёт себя как HTTPS, сертификат TLS. Входящее подключение IKEv2 «сайт-сайт» объявляет удостоверение сервера и проверяет сертификаты партнёров по доверенному корню. Определение «сайт-сайт» для интерфейса несёт собственное удостоверение машины.

Это три элемента управления с тремя областями действия. Их путаница даёт изменение, которое будто работает на одном протоколе и не действует на другом, что хуже явного сбоя. Запишите, какой протокол отказал, какая сторона предъявила сертификат и какая его отклонила, прежде чем что-либо трогать.

SSTP — это привязка HTTPS

Для поддерживаемых развёртываний Remote Access Set-RemoteAccess предоставляет параметр SslCertificate, используемый для подключения SSTP и для роли DirectAccess, связанной с HTTPS.

Область его проверки и развёртывания определяется конфигурацией Remote Access, поэтому одно изменение привязки может затронуть более одного подключения или узла. В развёртывании с балансировкой нагрузки эта область включает каждый узел, который охватывает конфигурация. Изменение одного узла и проверка одного клиента оставляют остальные со старым конечным сертификатом — это именно то половинчатое изменение, которое переживает окно обслуживания.

Перед обновлением проверьте ожидаемое имя службы, цепочку, срок действия, назначение и доступность закрытого ключа. Сертификат должен соответствовать имени, которое проверит клиент, а метка адаптера не является этим именем.

У входящего IKEv2 свой параметр

Set-VpnAuthProtocol настраивает проверку подлинности входящего IKEv2 «сайт-сайт», а CertificateAdvertised предоставляет сертификат, когда режим проверки подлинности туннеля их использует. Это не общая команда выбора любого серверного сертификата на узле.

Разделяйте два объекта: конечный сертификат, который сервер предъявляет как собственное удостоверение, и корень, который он использует для приёма сертификатов партнёров. Выбор доверенного издателя ничего не говорит о том, какой конечный сертификат предъявляет сервер.

Удостоверение отдельного интерфейса «сайт-сайт» задаётся через Set-VpnS2SInterface. Это не автоматически сертификат SSTP, даже когда оба лежат в одном хранилище на одной машине.

Сначала изучите кандидата

Целенаправленный просмотр хранилища локальной машины показывает открытые метаданные, ничего не экспортируя:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Этот список — отправная точка, а не проверка пригодности. Изучите записи SAN, расширенные способы использования ключа, цепочку и доступ учётной записи службы к закрытому ключу для настраиваемого протокола.

Сертификат, установленный для постороннего удостоверения облачного клиента, не подходит только потому, что оказался в том же хранилище. Видимость не есть пригодность, а отпечаток на снимке экрана ничего не доказывает о том, может ли учётная запись службы прочитать ключ. Проверьте этот доступ явно: отсутствие разрешения на ключ проявляется только при перезапуске службы, когда она пытается использовать сертификат.

Зафиксируйте текущую привязку и подтвердите, что до узла по-прежнему можно добраться другим способом, прежде чем её менять. Путь восстановления относится к изменению, а не к последующему инциденту.

Продление — не активация

Перевыпуск сертификата — иное действие, чем его выбор для работающей службы. Новый конечный сертификат может сохранить нужное удостоверение DNS и при этом иметь другой отпечаток, поэтому ничто не указывает на него, пока привязка не обновлена. Продление меняет объект; активация меняет ссылку на него. Путаница между ними — причина, по которой правильно продлённый сертификат может неделями оставаться неиспользованным.

Примените поддерживаемое изменение в подходящее окно, включая любую документированную перезагрузку, затем изучите сертификат из нового подключения нужного протокола. Кэшированный сеанс клиента может всё ещё показывать старый конечный сертификат и делать правильное изменение похожим на поломку.

Выводите прежний сертификат из эксплуатации обычным порядком только после успешной проверки. Справочник Set-RemoteAccess описывает область действия параметра SSL, включая его влияние в развёртываниях с балансировкой нагрузки, — именно эту часть стоит прочитать перед изменением привязки.