Kako preklicati eno odjemalčevo potrdilo Azure Point-to-Site

Preklicati enega odjemalca Azure Point-to-Site pomeni dodati njegov prstni odtis na seznam preklicanih na prehodu. To ne pomeni izbrisati zaupanja vredno korenino. Korenina je izdajatelj vsakega odjemalčevega potrdila, ki ste ga kdaj izdali, zato je njeno odstranitev druga operacija z veliko večjim učinkom. Enota preklica je tu eno samo potrdilo.

Korak 1: Natančno določite, katero potrdilo imate v mislih

Začnite pri zapisu potrdila, ne pri prikazanem imenu. Azure prikaže prijazno ime, ki ste ga vnesli sami, in ta oznaka se ni dolžna ujemati s subjektom ali napravo, za katero je bilo izdano.

Še en pregled pred preklicem: ugotovite, koliko naprav ga predloži. Če je bilo več prenosnikov zgrajenih iz kopij istega PFX, preklic prstnega odtisa zaklene vse, in Azure ne more ločiti izgubljenega od rezervnega v predalu.

Na odjemalcu Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter našteje, kaj je nameščeno za tega uporabnika, in Cert:\LocalMachine\My je prav tako vredno preveriti, ker odjemalec VPN lahko izbere iz katere koli od dveh shramb. Primerjajte prstni odtis s svojim popisom registracij. Obnovljeno potrdilo ima drugačen prstni odtis, tudi ko je subjekt enak.

Za branje prstnega odtisa javnega potrdila ne potrebujete zasebnega ključa odjemalca ali PFX, zaščitenega z geslom. Vsak postopek, ki zahteva eno od tega, je kopiran iz druge naloge.

Korak 2: Dodajte ga na seznam preklicanih na prehodu

V portalu odprite prehod navideznega omrežja, nato konfiguracijo Point-to-site, nato razdelek preklicanih potrdil. Dodajte prijazno ime, ki ga boste prepoznali čez šest mesecev, in prilepite prstni odtis kot eno neprekinjeno nizko brez presledkov.

Pred shranjevanjem preverite, kateri prehod je izbran, ker je naročnina z več prehodi prav tisto mesto, kjer gre to narobe. Microsoftov vodnik za konfiguracijo potrdil navaja, da potrdila po dokončanju posodobitve ni več mogoče uporabiti za povezovanje.

Nato potrdite shranjeno vrednost, namesto da zaupate obvestilu portala: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" prikazuje, kaj prehod dejansko hrani.

Korak 3: Preverite obe smeri

Preizkusite zavrnitev s preklicanim potrdilom, nato preizkusite, da se drugo potrdilo pod isto korenino še vedno overi. Prav ta drugi preizkus ljudje preskočijo in prav on ujame naključno odstranitev korenine ali spremembo pravil, ki je nihče ni omenil. Uporabite napravo, na kateri lahko vidite, katero potrdilo se predstavlja. Odjemalec z več potrdili lahko tiho uporabi delujočega in naredi vaš preklic videti pokvarjen.

Zabeležite oba rezultata v zahtevo. Preklic, preverjen samo v smeri zavrnitve, je na pol preverjen.

Korak 4: Seje, ki so že odprte

Dokumentirani izid se nanaša na nove povezave. Ne raztezajte ga v obljubo, da bo vsak obstoječi tunel padel v tisti sekundi, ko bo seznam shranjen. Če je takojšnja odstranitev pomembna, uporabite kontrolnike, ki jih vaša nameščena konfiguracija resnično ponuja, in preverite določeno sejo, namesto da predpostavljate.

Preizkusite to ločeno od preverjanja pristnosti, ker oba odpovedujeta na različnih mestih in puščata različne sledi.

Razveljavitev in bližnjice, ki se jim je treba izogniti

Razveljavitev pomeni odstraniti prstni odtis s seznama preklicanih in počakati, da se ista posodobitev konča. To je varno, ko ste preklicali napačen vnos, in nevarno, ko je potrdilo resnično kompromitirano, zato najprej odločite, v katerem primeru ste. Izbris zaupanja vredne korenine ni bližnjica za en izgubljen prenosnik. Izbris lokalnega profila VPN na enem računalniku ne spremeni, kaj sprejme kateri koli prehod.

Če se identiteta overi tudi na drugem prehodu, oba potrebujeta enako obravnavo. Seznam preklicanih pripada prehodu, ne naročnini.