SSTP a IKEv2 používajú rôzne ovládacie prvky certifikátov RRAS

Ak nahradíte „certifikát VPN“, môžete zmeniť nesprávnu službu. RRAS udržiava aspoň tri ovládacie prvky certifikátov, z ktorých každý patrí inému protokolu a inej role pripojenia. Pomenovanie protokolu ako prvého premení riskantný odhad na jedinú vratnú zmenu prepojenia. Všetko nižšie závisí od tejto jednej vety.

Pomenujte protokol pred certifikátom

Naslúchajúca služba SSTP predkladá klientovi, ktorý sa správa ako HTTPS, certifikát TLS. Prichádzajúce pripojenie IKEv2 typu lokalita-lokalita inzeruje identitu servera a overuje certifikáty partnerov voči dôveryhodnému koreňu. Definícia typu lokalita-lokalita pre rozhranie nesie vlastnú identitu počítača.

Sú to tri ovládacie prvky s tromi rozsahmi. Ich zámena vytvorí zmenu, ktorá na jednom protokole vyzerá funkčne a na druhom nemá žiadny účinok, čo je horšie ako zjavná chyba. Predtým, než sa čohokoľvek dotknete, zapíšte, ktorý protokol zlyhal, ktorá strana certifikát predložila a ktorá ho odmietla.

SSTP je prepojenie HTTPS

Pre podporované nasadenia Remote Access sprístupňuje Set-RemoteAccess parameter SslCertificate, ktorý sa používa na konektivitu SSTP a na rolu DirectAccess súvisiacu s HTTPS.

Jeho rozsah overovania a nasadenia sa riadi konfiguráciou Remote Access, takže jedna zmena prepojenia môže zasiahnuť viac než jedno pripojenie alebo uzol. V nasadení s vyrovnávaním záťaže tento rozsah zahŕňa každý uzol, ktorý konfigurácia pokrýva. Zmena jedného uzla a otestovanie jedného klienta nechá ostatných predkladať starý koncový certifikát, a to je práve tá polovičná zmena, ktorá prežije okno údržby.

Pred aktualizáciou overte očakávaný názov služby, reťazec, platnosť, zamýšľané použitie a dostupnosť privátneho kľúča. Certifikát musí zodpovedať názvu, ktorý klient skontroluje, a označenie adaptéra týmto názvom nie je.

Prichádzajúci IKEv2 má vlastný parameter

Set-VpnAuthProtocol konfiguruje overovanie prichádzajúceho IKEv2 typu lokalita-lokalita a CertificateAdvertised dodáva certifikát, keď ho režim overovania tunela používa. Nie je to všeobecný príkaz na výber ľubovoľného serverového certifikátu na hostiteľovi.

Držte oddelené dva objekty: koncový certifikát, ktorý server predkladá ako vlastnú identitu, a koreň, ktorý používa na prijímanie certifikátov partnerov. Voľba dôveryhodného vydavateľa nič nehovorí o tom, ktorý koncový certifikát server predkladá.

Identita jednotlivého rozhrania typu lokalita-lokalita sa nastavuje cez Set-VpnS2SInterface. Nie je to automaticky certifikát SSTP, aj keď oba ležia v rovnakom úložisku na rovnakom počítači.

Najprv prezrite kandidáta

Zameraný pohľad na úložisko miestneho počítača ukazuje verejné metadáta bez exportu čohokoľvek súkromného:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Tento zoznam je východiskový bod, nie test vhodnosti. Prezrite položky SAN, rozšírené použitia kľúča, reťazec a prístup účtu služby k privátnemu kľúču pre protokol, ktorý konfigurujete.

Certifikát nainštalovaný pre nesúvisiacu identitu cloudového klienta nie je vhodný len preto, že sa objaví v rovnakom úložisku. Viditeľnosť nie je spôsobilosť a odtlačok na snímke obrazovky nič nedokazuje o tom, či účet služby môže kľúč čítať. Skontrolujte tento prístup výslovne, pretože chýbajúce oprávnenie ku kľúču zlyhá až pri reštarte služby, keď sa pokúsi certifikát použiť.

Zaznamenajte aktuálne prepojenie a pred jeho zmenou potvrďte, že sa k hostiteľovi stále dostanete inou cestou. Cesta obnovy patrí k zmene, nie k incidentu, ktorý nasleduje.

Obnovenie nie je aktivácia

Opätovné vydanie certifikátu je iná akcia než jeho výber pre bežiacu službu. Nový koncový certifikát môže zachovať zamýšľanú identitu DNS a napriek tomu niesť iný odtlačok, takže naň nič neukazuje, kým sa prepojenie neaktualizuje. Obnovenie mení objekt; aktivácia mení odkaz naň. Zámena týchto dvoch je dôvod, prečo môže správne obnovený certifikát týždne ležať nevyužitý.

Použite podporovanú zmenu vo vhodnom okne vrátane prípadného dokumentovaného reštartu a potom prezrite certifikát z nového pripojenia zamýšľaného protokolu. Uložená relácia klienta môže stále zobrazovať starý koncový certifikát a spôsobiť, že správna zmena vyzerá pokazene.

Vyraďte predchádzajúci certifikát bežným postupom až po tom, čo táto kontrola prejde. Referencia Set-RemoteAccess dokumentuje rozsah parametra SSL vrátane jeho účinku v nasadeniach s vyrovnávaním záťaže, čo je časť, ktorú sa pred zmenou prepojenia vyplatí prečítať.