Kateri certifikat stroja ponuja VPN v Windows?

Certifikati so nameščeni, zasebni ključi so prisotni, tunel pa še vedno ne opravi preverjanja pristnosti. Stroj z več certifikati lahko VPN ponudi kandidata, ki ga nihče ni predvidel, in odjemalec ne more vedeti, katerega bi prehod sprejel. Brisanje ostalih je politika izbire s posledicami za vsako storitev na stroju. Namesto tega zožite dovoljeni nabor, nato pa potrdite, kateri certifikat je bil dejansko ponujen.

Več certifikatov, eden ponujen

Izvorni profili VPN v Windows s preverjanjem pristnosti s certifikatom stroja ponujajo dva filtra, ki omejujeta kandidate: filter izdajatelja in filter razširjene uporabe ključa. Zmanjšata nabor, iz katerega lahko odjemalec izbira. Ne popravita neustreznega certifikata in ne zagotavljata, da bo strežnik sprejel, kar ostane. To mejo velja zapisati v dnevnik sprememb, ker bo naslednji bralec predpostavil, da je filter odločil več, kot je odločil.

Napaka, ki jo rešujeta, je ozka in konkretna. Veljaven certifikat napačnega organa ali izdan za namen, ki ga prehod ne sprejema, je izbran pred predvidenim, kar povzroči napako preverjanja pristnosti ob zdravem shrambi. Dva filtra to spremenita v nabor, ki je dovolj majhen za razmislek, preostanek te strani pa ju uporabi po vrsti.

Preglejte shrambo, preden uredite profil

Naštejte kandidate in njihove lastnosti v shrambi, ki jo profil dejansko uporablja. Nič tu ne izvozi zasebnega ključa in noben certifikat ne sme zapustiti stroja:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Preberite izhod za lastnosti, od katerih je odvisna odločitev: uporaben zasebni ključ, sprejemljivo obdobje veljavnosti, predvideni izdajatelj in nameni v razširitvi. Certifikat je lahko hkrati prisoten, pravilno vpisan in neuporaben za to povezavo. Stolpec s prstnim odtisom je tisti, s katerim boste pozneje primerjali, zato shranite izhod.

Pred urejanjem potrdite profil in njegov obseg, ker je certifikat stroja v LocalMachine, uporabniški certifikat EAP-TLS in lastna shramba zasebnih ključev aplikacije so trije različni konteksti. Uporabite obseg vseh uporabnikov in skrbniški kontekst, ko je upravljani profil tam. Ustvarjanje drugega profila s podobnim imenom prikrije, katero konfiguracijo povezava dejansko uporablja.

Filter izdajatelja želi objekt

Parameter izdajatelja pričakuje objekt certifikata, ne prikaznega imena in ne golega niza prstnega odtisa. Zagotovite certifikat odobrenega organa s poti, ki ste jo pregledali, v shrambo, kamor spada:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Ne zamenjujte odjemalčevega lastnega končnega certifikata, drugega organa s podobnim subjektom ali na novo ustvarjenega korena samo zato, ker vrsta parametra to sprejema. Dva organa si lahko delita isti niz subjekta, in zato objekt šteje več kot besedilo. Referenca ukazov cmdlet podjetja Microsoft dokumentira oba tipa vnosa in vredno jo je prebrati pred prvim urejanjem, ne pa po neuspelem poskusu.

Filter uporabe želi niz OID

Parameter razširjene uporabe ključa sprejema nize OID, namen preverjanja pristnosti odjemalca pa je 1.3.6.1.5.5.7.3.2. Z njegovo uporabo so kandidati omejeni na certifikate s tem namenom, kar je natanko to, kar želi uvedba s preverjanjem pristnosti odjemalca:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Vrednost je matrika, zato uvedba, ki potrebuje več namenov, te posreduje kot seznam. Filter ne more dodati namena certifikatu: je izraz izbire, ovrednoten glede na podpisane razširitve, in noben filter jih ne prepiše, zato mora certifikat brez namena znova skozi vpis.

Konfiguracijo EAP uporabniških certifikatov imejte ločeno od filtriranja certifikatov stroja, ker živita na različnih mestih in sprememba pri enem le redko pojasni napako pri drugem. Preverite tudi, ali je profil v lasti domene ali upravljanja naprav, ker je lahko lokalno urejanje nadomeščeno ob naslednjem osvežitvi pravilnika, ne da bi se kdo dotaknil stroja.

Dokažite, kateri certifikat je ponudil odjemalec

Vzpostavite novo povezavo in preberite dokaze preverjanja pristnosti odjemalca in strežnika za predvideno identiteto. Ko filtre izpolnjuje več kot en certifikat, je rezultat manjši nabor, ne pa pripet končni certifikat, zato lahko naslednji poskus izbere drugega člana. Zabeležite prstni odtis, ki se pojavi v teh dokazih, in ga primerjajte s tistim, ki ste ga zapisali iz shrambe.

Uspešen ukaz ni uspešno preverjanje pristnosti. Rezultat, ki ga velja zapisati, je predvideni certifikat, ki se preverja pod upravljanim pravilnikom, medtem ko vsak nepovezan certifikat ostane na voljo storitvam, ki so od njega odvisne. Če napaka preživi oba filtra, so naslednje mesto za pregled preostali kandidati, ne celoten profil.