SSTP in IKEv2 uporabljata različne krmilnike potrdil RRAS

Če zamenjate »potrdilo VPN«, lahko spremenite napačno storitev. RRAS hrani vsaj tri krmilnike potrdil, od katerih vsak pripada drugemu protokolu in drugi vlogi povezave. Če najprej poimenujete protokol, se tvegana ugibanja spremenijo v eno samo povratno spremembo vezave. Vse spodaj je odvisno od tega enega stavka.

Poimenujte protokol pred potrdilom

Poslušalec SSTP odjemalcu, ki se obnaša kot HTTPS, predstavi potrdilo TLS. Dohodna povezava IKEv2 med lokacijama razglaša identiteto strežnika in preverja potrdila partnerjev glede na zaupanja vredni koren. Opredelitev med lokacijama za vmesnik nosi lastno identiteto stroja.

To so trije krmilniki s tremi obsegi. Njihova zamenjava ustvari spremembo, ki na enem protokolu deluje, na drugem pa nima učinka, kar je slabše od očitne napake. Preden se česar koli dotaknete, zapišite, kateri protokol je odpovedal, katera stran je predstavila potrdilo in katera ga je zavrnila.

SSTP je vezava HTTPS

V podprtih uvajanjih Remote Access Set-RemoteAccess izpostavi parameter SslCertificate, ki se uporablja za povezljivost SSTP in za vlogo DirectAccess, povezano s HTTPS.

Njegov obseg preverjanja in uvajanja sledi konfiguraciji Remote Access, zato lahko ena sprememba vezave doseže več kot eno povezavo ali vozlišče. V uvajanju z uravnavanjem obremenitve ta obseg vključuje vsako vozlišče, ki ga konfiguracija pokriva. Če spremenite eno vozlišče in preizkusite enega odjemalca, ostali še naprej predstavljajo staro končno potrdilo, in to je tista polovična sprememba, ki preživi vzdrževalno okno.

Pred posodobitvijo preverite pričakovano ime storitve, verigo, veljavnost, predvideno uporabo in razpoložljivost zasebnega ključa. Potrdilo se mora ujemati z imenom, ki ga bo preveril odjemalec, in oznaka vmesnika ni to ime.

Dohodni IKEv2 ima svoj parameter

Set-VpnAuthProtocol konfigurira preverjanje pristnosti dohodnega IKEv2 med lokacijama, CertificateAdvertised pa zagotovi potrdilo, kadar ga način preverjanja pristnosti tunela uporablja. To ni splošni ukaz za izbiro katerega koli strežniškega potrdila v gostitelju.

Ločujte dva predmeta: končno potrdilo, ki ga strežnik predstavi kot lastno identiteto, in koren, ki ga uporablja za sprejemanje potrdil partnerjev. Izbira zaupanja vrednega izdajatelja ne pove ničesar o tem, katero končno potrdilo predstavi strežnik.

Identiteta posameznega vmesnika med lokacijama se nastavi prek Set-VpnS2SInterface. Ni samodejno potrdilo SSTP, tudi kadar oba ležita v isti shrambi na istem računalniku.

Najprej preglejte kandidata

Usmerjen pogled v shrambo lokalnega računalnika prikaže javne metapodatke, ne da bi izvozil kar koli zasebnega:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Ta seznam je izhodišče in ne preizkus ustreznosti. Preglejte vnose SAN, razširjene uporabe ključa, verigo in dostop računa storitve do zasebnega ključa za protokol, ki ga konfigurirate.

Potrdilo, nameščeno za nepovezano identiteto oblaka, ni primerno zgolj zato, ker se pojavi v isti shrambi. Vidnost ni ustreznost, in prstni odtis na posnetku zaslona ne dokaže ničesar o tem, ali lahko račun storitve prebere ključ. Ta dostop preverite izrecno, ker se manjkajoče dovoljenje za ključ pokaže šele, ko se storitev znova zažene in poskusi uporabiti potrdilo.

Zabeležite trenutno vezavo in pred njeno spremembo potrdite, da lahko do gostitelja še vedno pridete drugače. Pot obnovitve spada k spremembi, ne k incidentu, ki sledi.

Podaljšanje ni aktivacija

Ponovna izdaja potrdila je drugačno dejanje od njegove izbire za delujočo storitev. Novo končno potrdilo lahko obdrži predvideno identiteto DNS in kljub temu nosi drug prstni odtis, zato nič ne kaže nanj, dokler se vezava ne posodobi. Podaljšanje spremeni predmet; aktivacija spremeni sklic nanj. Zamenjava teh dveh je razlog, da lahko pravilno podaljšano potrdilo tedne leži neuporabljeno.

Podprto spremembo uporabite v ustreznem oknu, vključno z morebitnim dokumentiranim ponovnim zagonom, nato pa preglejte potrdilo iz nove povezave predvidenega protokola. Predpomnjena seja odjemalca lahko še vedno prikazuje staro končno potrdilo in naredi pravilno spremembo videti pokvarjeno.

Prejšnje potrdilo umaknite po običajnem postopku šele, ko ta preizkus uspe. Referenca Set-RemoteAccess dokumentira obseg parametra SSL, vključno z njegovim učinkom v uvajanjih z uravnavanjem obremenitve, in to je del, ki ga je pred spremembo vezave vredno prebrati.