Ako odvolať jeden klientsky certifikát Azure Point-to-Site

Odvolať jedného klienta Azure Point-to-Site znamená pridať jeho odtlačok do zoznamu odvolaných na bráne. Neznamená to vymazať dôveryhodný koreň. Koreň je vydavateľom každého klientskeho certifikátu, ktorý ste kedy vydali, takže jeho odstránenie je iná operácia s oveľa väčším dosahom. Jednotkou odvolania je tu jediný certifikát.

Krok 1: Určite presne, ktorý certifikát máte na mysli

Začnite pri zázname certifikátu, nie pri zobrazovanom názve. Azure zobrazuje priateľský názov, ktorý ste zadali sami, a tento štítok nemusí zodpovedať subjektu ani zariadeniu, pre ktoré bol vydaný.

Ešte jedna kontrola pred odvolaním: zistite, koľko zariadení ho predkladá. Ak bolo niekoľko notebookov vytvorených z kópií rovnakého PFX, odvolanie odtlačku ich všetky uzamkne a Azure nedokáže rozlíšiť stratený od náhradného v šuplíku.

Na klientovi Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter vypíše, čo je pre daného používateľa nainštalované, a Cert:\LocalMachine\My tiež stojí za kontrolu, pretože klient VPN môže vyberať z ktoréhokoľvek z dvoch úložísk. Porovnajte odtlačok so svojím inventárom registrácií. Obnovený certifikát má iný odtlačok, aj keď je subjekt totožný.

Na prečítanie odtlačku verejného certifikátu nepotrebujete súkromný kľúč klienta ani PFX chránený heslom. Akýkoľvek postup, ktorý vyžaduje jeden z nich, bol skopírovaný z inej úlohy.

Krok 2: Pridajte ho do zoznamu odvolaných na bráne

V portáli otvorte bránu virtuálnej siete, potom konfiguráciu Point-to-site a potom sekciu odvolaných certifikátov. Pridajte priateľský názov, ktorý spoznáte po šiestich mesiacoch, a vložte odtlačok ako jeden súvislý reťazec bez medzier.

Pred uložením skontrolujte, ktorá brána je vybraná, pretože predplatné s viacerými bránami je presne miesto, kde sa to pokazí. Príručka konfigurácie certifikátov od Microsoftu uvádza, že po dokončení aktualizácie sa certifikát už nedá použiť na pripojenie.

Potom overte uloženú hodnotu, namiesto aby ste sa spoliehali na oznámenie portálu: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" zobrazuje, čo brána skutočne uchováva.

Krok 3: Overte oba smery

Otestujte odmietnutie s odvolaným certifikátom, potom otestujte, že iný certifikát pod rovnakým koreňom sa stále autentifikuje. Práve tento druhý test ľudia vynechávajú a práve on zachytí náhodné odstránenie koreňa alebo zmenu politiky, o ktorej nikto nehovoril. Použite zariadenie, na ktorom vidíte, ktorý certifikát sa predkladá. Klient s niekoľkými certifikátmi môže ticho použiť funkčný a vaše odvolanie nechať vyzerať pokazene.

Zapíšte oba výsledky do tiketu. Odvolanie overené len v smere odmietnutia je overené spolovice.

Krok 4: Relácie, ktoré už bežia

Dokumentovaný výsledok sa týka nových pripojení. Neťahajte ho do sľubu, že každý existujúci tunel spadne v tej sekunde, keď sa zoznam uloží. Ak záleží na okamžitom odstránení, použite ovládacie prvky, ktoré vaša nasadená konfigurácia naozaj ponúka, a skontrolujte konkrétnu reláciu namiesto predpokladania.

Otestujte to oddelene od autentifikácie, pretože obe zlyhávajú na rôznych miestach a zanechávajú rôzne dôkazy.

Vrátenie a skratky, ktorým sa vyhnúť

Vrátenie znamená odstrániť odtlačok zo zoznamu odvolaných a počkať, kým sa dokončí rovnaká aktualizácia. To je bezpečné, keď ste odvolali nesprávny záznam, a nebezpečné, keď je certifikát skutočne kompromitovaný, preto najprv rozhodnite, v ktorom prípade ste. Vymazanie dôveryhodného koreňa nie je skratkou pre jeden stratený notebook. Vymazanie lokálneho profilu VPN na jednom počítači nemení, čo ktorákoľvek brána prijíma.

Ak sa identita autentifikuje aj na druhej bráne, obe potrebujú rovnaké zaobchádzanie. Zoznam odvolaných patrí bráne, nie predplatnému.