Kako opozvati jedan klijentski certifikat Azure Point-to-Site

Opozvati jednog klijenta Azure Point-to-Site znači dodati njegov otisak na listu opozvanih na mrežnom prolazu. To ne znači brisanje pouzdanog korijena. Korijen je izdavalac svakog klijentskog certifikata koji ste ikada izdali, pa je njegovo uklanjanje druga operacija s mnogo većim obuhvatom. Jedinica opoziva ovdje je jedan certifikat.

Korak 1: Utvrdite tačno koji certifikat mislite

Pođite od zapisa certifikata, a ne od prikazanog imena. Azure prikazuje prijateljsko ime koje ste sami unijeli, a ta oznaka ne mora odgovarati subjektu ni uređaju za koji je izdan.

Još jedna provjera prije opoziva: saznajte koliko uređaja ga predstavlja. Ako je nekoliko laptopa napravljeno od kopija istog PFX-a, opoziv otiska zaključava sve njih, a Azure ne može razlikovati izgubljeni od rezervnog u ladici.

Na klijentu Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter navodi šta je instalirano za tog korisnika, a Cert:\LocalMachine\My također vrijedi provjeriti jer VPN klijent može birati iz bilo kojeg od dva spremišta. Uporedite otisak sa svojim inventarom upisa. Obnovljeni certifikat ima drugačiji otisak čak i kada je subjekt identičan.

Ne trebate privatni ključ klijenta ni PFX zaštićen lozinkom da biste pročitali otisak javnog certifikata. Svaki postupak koji traži jedno od toga prepisan je iz drugog zadatka.

Korak 2: Dodajte ga na listu opozvanih na prolazu

U portalu otvorite prolaz virtualne mreže, zatim konfiguraciju Point-to-site, zatim odjeljak opozvanih certifikata. Dodajte prijateljsko ime koje ćete prepoznati za šest mjeseci i zalijepite otisak kao jedan neprekinut niz bez razmaka.

Provjerite koji je prolaz odabran prije nego što sačuvate, jer je pretplata s nekoliko prolaza upravo mjesto gdje ovo krene po zlu. Microsoftov vodič za konfiguraciju certifikata navodi da se nakon završetka ažuriranja certifikat više ne može koristiti za povezivanje.

Nakon toga potvrdite sačuvanu vrijednost umjesto da vjerujete obavještenju portala: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" ispisuje šta prolaz zapravo drži.

Korak 3: Provjerite oba smjera

Testirajte odbijanje s opozvanim certifikatom, a zatim testirajte da se drugi certifikat pod istim korijenom još uvijek autentifikuje. Taj drugi test ljudi preskaču i upravo on hvata slučajno uklanjanje korijena ili promjenu pravila koju niko nije spomenuo. Koristite uređaj na kojem možete vidjeti koji se certifikat predstavlja. Klijent s nekoliko certifikata može tiho upotrijebiti ispravan i učiniti da vaš opoziv izgleda pokvareno.

Zabilježite oba rezultata u tiket. Opoziv provjeren samo u smjeru odbijanja napola je provjeren.

Korak 4: Sesije koje su već uspostavljene

Dokumentovani ishod odnosi se na nove veze. Nemojte ga pretvarati u obećanje da će svaki postojeći tunel pasti u sekundi kada se lista sačuva. Ako je trenutno uklanjanje važno, koristite kontrole koje vaša raspoređena konfiguracija zaista nudi i provjerite konkretnu sesiju umjesto da pretpostavljate.

Testirajte to odvojeno od autentifikacije, jer dvije stvari padaju na različitim mjestima i ostavljaju različite tragove.

Vraćanje i prečice koje treba izbjegavati

Vraćanje znači uklanjanje otiska s liste opozvanih i čekanje da isti postupak ažuriranja završi. To je sigurno kada ste opozvali pogrešan unos, a opasno kada je certifikat zaista kompromitovan, pa prvo odlučite u kojem ste slučaju. Brisanje pouzdanog korijena nije prečica za jedan izgubljeni laptop. Brisanje lokalnog VPN profila na jednom računaru ne mijenja šta bilo koji prolaz prihvata.

Ako se identitet autentifikuje i na drugom prolazu, oba trebaju isti tretman. Lista opozvanih pripada prolazu, ne pretplati.