Ktorý strojový certifikát ponúka VPN vo Windows?

Certifikáty sú nainštalované, privátne kľúče existujú a tunel napriek tomu zlyháva pri overovaní. Počítač s viacerými certifikátmi môže VPN ponúknuť kandidáta, ktorého nikto nezamýšľal, a klient nemá ako zistiť, ktorý z nich brána prijme. Zmazanie ostatných je politika výberu s dôsledkami pre každú službu na počítači. Zúžte namiesto toho prípustnú množinu a potom potvrďte, ktorý certifikát bol skutočne ponúknutý.

Niekoľko certifikátov, jeden ponúknutý

Natívne profily VPN vo Windows s overovaním strojovým certifikátom ponúkajú dva filtre, ktoré obmedzujú kandidátov: filter vydavateľa a filter rozšíreného použitia kľúča. Zmenšujú množinu, z ktorej môže klient vyberať. Neopravujú nevhodný certifikát a nezaručujú, že server prijme to, čo zostane. Túto hranicu stojí za to uviesť v zázname o zmene, pretože ďalší čitateľ bude predpokladať, že filter rozhodol viac, než rozhodol.

Zlyhanie, ktoré riešia, je úzke a konkrétne. Platný certifikát od nesprávnej autority alebo certifikát vydaný pre účel, ktorý brána neprijíma, sa vyberie pred zamýšľaným, čo vyvolá zlyhanie overovania vedľa zdravého úložiska. Dva filtre z toho urobia množinu dosť malú na to, aby sa o nej dalo uvažovať, a zvyšok tejto stránky ich aplikuje v poradí.

Prezrite si úložisko skôr, než upravíte profil

Vypíšte kandidátov a ich vlastnosti v úložisku, ktoré profil skutočne používa. Nič tu neexportuje privátny kľúč a žiadny certifikát nemusí opustiť počítač:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Prečítajte si výstup kvôli vlastnostiam, na ktorých rozhodnutie závisí: použiteľný privátny kľúč, prijateľné obdobie platnosti, zamýšľaný vydavateľ a účely v rozšírení. Certifikát môže byť súčasne prítomný, správne zapísaný a pre toto pripojenie nepoužiteľný. Stĺpec s odtlačkom je ten, s ktorým budete neskôr porovnávať, tak si výstup uložte.

Pred úpravou potvrďte profil a jeho rozsah, pretože strojový certifikát v LocalMachine, používateľský certifikát EAP-TLS a vlastné úložisko privátnych kľúčov aplikácie sú tri rôzne kontexty. Použite rozsah všetkých používateľov a administratívny kontext, ak tam spravovaný profil žije. Vytvorenie druhého profilu s podobným názvom zakryje, ktorú konfiguráciu pripojenie skutočne používa.

Filter vydavateľa chce objekt

Parameter vydavateľa očakáva objekt certifikátu, nie zobrazovaný názov a nie holý reťazec odtlačku. Dodejte certifikát schválenej autority z cesty, ktorú ste skontrolovali, do úložiska, kam patrí:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Nenahrádzajte vlastný koncový certifikát klienta, inú autoritu s podobným subjektom ani čerstvo vygenerovaný koreň len preto, že typ parametra to prijíma. Dve autority môžu zdieľať rovnaký reťazec subjektu, a preto je objekt dôležitejší než text. Referenčná príručka k rutinám Microsoftu dokumentuje oba typy vstupu a stojí za to si ju prečítať pred prvou úpravou, nie až po neúspešnom pokuse.

Filter použitia chce reťazec OID

Parameter rozšíreného použitia kľúča prijíma reťazce OID a účelom overovania klienta je 1.3.6.1.5.5.7.3.2. Jeho použitie obmedzí kandidátov na certifikáty nesúce tento účel, čo je presne to, čo nasadenie s overovaním klienta chce:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Hodnota je pole, takže nasadenie, ktoré potrebuje niekoľko účelov, ich odovzdá ako zoznam. Filter nemôže pridať účel do certifikátu: je to výraz výberu vyhodnocovaný voči podpísaným rozšíreniam a žiadny filter ich neprepisuje, takže certifikát bez účelu musí prejsť znova zápisom.

Držte konfiguráciu EAP používateľských certifikátov oddelene od filtrovania strojových certifikátov, pretože žijú na rôznych miestach a zmena v jednom zriedka vysvetlí zlyhanie v druhom. Skontrolujte aj, či profil nevlastní doména alebo správa zariadení, pretože lokálna úprava môže byť pri ďalšej obnove pravidiel nahradená, bez toho, aby sa niekto dotkol počítača.

Dokážte, ktorý certifikát klient ponúkol

Nadviažte nové pripojenie a prečítajte si dôkazy overenia klienta a servera pre zamýšľanú identitu. Keď filtre spĺňa viac než jeden certifikát, výsledkom je menšia množina, nie pripnutý koncový certifikát, takže ďalší pokus môže vybrať iného člena. Poznamenajte si odtlačok, ktorý sa v týchto dôkazoch objaví, a porovnajte ho s tým, ktorý ste si zapísali z úložiska.

Úspešný príkaz nie je úspešné overenie. Výsledok, ktorý stojí za zapísanie, je zamýšľaný certifikát overujúci sa podľa spravovaných pravidiel, zatiaľ čo každý nesúvisiaci certifikát zostáva dostupný službám, ktoré na ňom závisia. Ak zlyhanie prežije oba filtre, ďalším miestom na skúmanie sú zostávajúci kandidáti, nie celý profil.