SSTP i IKEv2 koriste različite kontrolere sertifikata RRAS

Zamenite li „VPN sertifikat”, možete promeniti pogrešnu uslugu. RRAS drži najmanje tri kontrolera sertifikata, a svaki pripada drugom protokolu i drugoj ulozi veze. Ako prvo imenujete protokol, rizična pretpostavka postaje jedna povratna promena vezivanja. Sve u nastavku zavisi od te jedne rečenice.

Imenujte protokol pre sertifikata

Slušač SSTP klijentu koji se ponaša kao HTTPS predstavlja TLS sertifikat. Dolazna veza IKEv2 između lokacija oglašava identitet servera i proverava sertifikate partnera prema pouzdanom korenu. Definicija između lokacija za interfejs nosi sopstveni identitet mašine.

To su tri kontrolera sa tri opsega. Njihovo mešanje daje promenu koja na jednom protokolu izgleda ispravno, a na drugom nema efekta, što je gore od očiglednog kvara. Zapišite koji protokol nije uspeo, koja strana je predstavila sertifikat i koja ga je odbila pre nego što bilo šta dirnete.

SSTP je vezivanje HTTPS

Za podržane implementacije Remote Access Set-RemoteAccess izlaže parametar SslCertificate koji se koristi za SSTP povezivost i za DirectAccess ulogu povezanu sa HTTPS-om.

Njegov opseg provere i implementacije sledi konfiguraciju Remote Access, pa jedna promena vezivanja može dosegnuti više od jedne veze ili čvora. U implementaciji sa raspodelom opterećenja taj opseg uključuje svaki čvor koji konfiguracija pokriva. Promena jednog čvora i testiranje jednog klijenta ostavlja ostale da predstavljaju stari lisni sertifikat, a to je upravo ona polovična promena koja preživi servisni prozor.

Pre ažuriranja proverite očekivani naziv usluge, lanac, valjanost, namensku upotrebu i dostupnost privatnog ključa. Sertifikat mora da odgovara nazivu koji će klijent proveriti, a oznaka adaptera nije taj naziv.

Dolazni IKEv2 ima sopstveni parametar

Set-VpnAuthProtocol konfiguriše proveru autentičnosti dolaznog IKEv2 između lokacija, a CertificateAdvertised isporučuje sertifikat kada ga način provere autentičnosti tunela koristi. To nije opšta naredba za izbor bilo kog serverskog sertifikata na hostu.

Držite odvojeno dva objekta: lisni sertifikat koji server predstavlja kao sopstveni identitet i koren koji koristi za prihvatanje sertifikata partnera. Izbor izdavaoca kome verujete ne govori ništa o tome koji lisni sertifikat server predstavlja.

Identitet pojedinačnog interfejsa između lokacija postavlja se putem Set-VpnS2SInterface. To nije automatski SSTP sertifikat, čak i kada oba leže u istom skladištu na istom računaru.

Najpre pregledajte kandidata

Usredsređen prikaz skladišta lokalnog računara pokazuje javne metapodatke bez izvoza bilo čega privatnog:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Taj spisak je polazište, a ne test prikladnosti. Pregledajte SAN unose, proširene upotrebe ključa, lanac i pristup računa usluge privatnom ključu za protokol koji konfigurišete.

Sertifikat instaliran za nepovezani identitet klijenta u oblaku nije prikladan samo zato što se pojavljuje u istom skladištu. Vidljivost nije prikladnost, a otisak prsta na snimku ekrana ništa ne dokazuje o tome može li račun usluge čitati ključ. Proverite taj pristup izričito, jer nedostatak dozvole za ključ otkriva se tek kada se usluga ponovo pokrene i pokuša da upotrebi sertifikat.

Zabeležite trenutno vezivanje i potvrdite da još možete doći do hosta na drugi način pre nego što ga promenite. Put oporavka pripada promeni, a ne incidentu koji sledi.

Obnova nije aktivacija

Ponovno izdavanje sertifikata radnja je različita od njegovog izbora za uslugu koja radi. Novi lisni sertifikat može zadržati namenski DNS identitet i pritom nositi drugi otisak prsta, pa ništa ne pokazuje na njega dok se vezivanje ne ažurira. Obnova menja objekat; aktivacija menja referencu na njega. Mešanje tih dvaju razlog je zašto ispravno obnovljen sertifikat može sedmicama stajati neiskorišćen.

Primenite podržanu promenu u prikladnom prozoru, uključujući svako dokumentovano ponovno pokretanje, a zatim pregledajte sertifikat iz nove veze namenskog protokola. Keširana sesija klijenta može još prikazivati stari lisni sertifikat i učiniti da ispravna promena izgleda pokvareno.

Prethodni sertifikat povucite uobičajenim postupkom tek nakon što ta provera prođe. Referenca Set-RemoteAccess dokumentuje opseg SSL parametra, uključujući njegov učinak u implementacijama sa raspodelom opterećenja, a to je deo koji vredi pročitati pre promene vezivanja.