Koji sertifikat mašine nudi VPN u Windowsu?

Sertifikati su instalirani, privatni ključevi postoje, a tunel i dalje ne prolazi autentifikaciju. Mašina sa više sertifikata može VPN-u ponuditi kandidata kog niko nije nameravao, a klijent ne može da zna koji bi gejtvej prihvatio. Brisanje ostalih je politika izbora sa posledicama za svaku uslugu na mašini. Umesto toga suzite prihvatljiv skup, pa potvrdite koji je sertifikat zaista ponuđen.

Više sertifikata, jedan ponuđen

Izvorni Windows VPN profili sa autentifikacijom sertifikatom mašine nude dva filtera koja ograničavaju kandidate: filter izdavaoca i filter proširene upotrebe ključa. Oni smanjuju skup iz kog klijent može da bira. Ne popravljaju neodgovarajući sertifikat i ne garantuju da će server prihvatiti ono što ostane. Tu granicu vredi zapisati u evidenciju promena, jer će sledeći čitalac pretpostaviti da je filter odlučio više nego što jeste.

Smetnja koju rešavaju je uska i konkretna. Važeći sertifikat pogrešnog tela, ili onaj izdat za svrhu koju gejtvej ne prihvata, bira se pre nameravanog, što daje neuspelu autentifikaciju pored zdravog skladišta. Dva filtera od toga prave skup dovoljno mali za zaključivanje, a ostatak ove stranice ih primenjuje redom.

Pregledajte skladište pre uređivanja profila

Navedite kandidate i njihova svojstva u skladištu koje profil stvarno koristi. Ovde ništa ne izvozi privatni ključ i nijedan sertifikat ne mora da napusti mašinu:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Pročitajte izlaz za svojstva od kojih odluka zavisi: upotrebljiv privatni ključ, prihvatljiv period važenja, nameravani izdavalac i svrhe u proširenju. Sertifikat može istovremeno biti prisutan, ispravno upisan i beskoristan za ovu vezu. Kolona sa otiskom je ono sa čim ćete kasnije porediti, zato sačuvajte izlaz.

Potvrdite profil i njegov obuhvat pre uređivanja, jer sertifikat mašine u LocalMachine, korisnički EAP-TLS sertifikat i sopstveno skladište privatnih ključeva aplikacije tri su različita konteksta. Koristite obuhvat svih korisnika i administrativni kontekst kada upravljani profil tamo živi. Stvaranje drugog profila sa sličnim imenom prikriva koju konfiguraciju veza stvarno koristi.

Filter izdavaoca želi objekat

Parametar izdavaoca očekuje objekat sertifikata, ne prikazno ime i ne goli niz otiska. Dostavite sertifikat odobrenog tela sa putanje koju ste pregledali, u skladište kojem pripada:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ne zamenjujte klijentov sopstveni krajnji sertifikat, drugo telo sa sličnim subjektom ni sveže generisani koren samo zato što tip parametra to prihvata. Dva tela mogu da dele isti niz subjekta, i zato je objekat važniji od teksta. Microsoftova referenca za cmdletove dokumentuje oba tipa unosa, i vredi je pročitati pre prve izmene, a ne posle neuspelog pokušaja.

Filter upotrebe želi OID niz

Parametar proširene upotrebe ključa prima OID nizove, a svrha autentifikacije klijenta je 1.3.6.1.5.5.7.3.2. Njegova primena ograničava kandidate na sertifikate koji nose tu svrhu, što je upravo ono što raspoređivanje sa autentifikacijom klijenta želi:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Vrednost je niz, pa raspoređivanje kojem treba više svrha predaje ih kao listu. Ono što filter ne može jeste da doda svrhu sertifikatu: to je izraz izbora koji se procenjuje prema potpisanim proširenjima, i nijedan filter ih ne prepisuje, pa sertifikat kojem svrha nedostaje mora ponovo kroz upis.

Držite EAP konfiguraciju korisničkih sertifikata odvojeno od filtriranja sertifikata mašine, jer žive na različitim mestima i promena na jednom retko objašnjava smetnju na drugom. Proverite i da li profilom upravlja domen ili upravljanje uređajima, jer lokalna izmena može biti zamenjena pri sledećem osvežavanju pravila bez ikakvog dodira sa mašinom.

Dokažite koji je sertifikat klijent ponudio

Uspostavite novu vezu i pročitajte dokaze autentifikacije klijenta i servera za identitet koji ste nameravali. Kada filtere zadovoljava više od jednog sertifikata, rezultat je manji skup, a ne prikovani krajnji sertifikat, pa sledeći pokušaj može da izabere drugog člana. Zabeležite otisak koji se pojavi u tim dokazima i uporedite ga sa onim koji ste zapisali iz skladišta.

Uspešna komanda nije uspešna autentifikacija. Rezultat koji vredi zapisati jeste da se nameravani sertifikat autentifikuje pod upravljanim pravilima, dok svaki nepovezani sertifikat ostaje dostupan uslugama koje od njega zavise. Ako smetnja preživi oba filtera, sledeće mesto za pregled su preostali kandidati, a ne ceo profil.