SSTP iyo IKEv2 waxay isticmaalaan kontaroolo shahaado RRAS oo kala duwan

Haddii aad beddesho «shahaadada VPN», waxaa laga yaabaa inaad beddesho adeegga khaldan. RRAS waxay haysaa ugu yaraan saddex kontaroolo shahaado, mid kastaa waxay ka tirsan tahay borotokool iyo door isku xirnaan oo kala duwan. Magacaabista borotokoolka marka hore waxay u beddeshaa mala-awaal khatar ah hal isbeddel xidhitaan oo la beddeli karo. Wax kasta oo hoos ku qoran waxay ku xiran yihiin hal jumlad.

Magacaab borotokoolka ka hor shahaadada

Dhageystaha SSTP wuxuu u soo bandhigaa shahaado TLS macmiil u dhaqma sida HTTPS. Isku xirka IKEv2 goob-ilaa-goob ee soo galaya wuxuu ku dhawaaqaa aqoonsiga server-ka wuxuuna xaqiijiyaa shahaadooyinka dhigayaasha iyadoo la barbardhigayo xidid la aamini karo. Qeexidda goob-ilaa-goob ee interface kastaa waxay qaadanaysaa aqoonsigeeda mishiin.

Kuwani waa saddex kontaroolo oo leh saddex baaxadood. Isku qasiddooda waxay soo saartaa isbeddel u muuqda inuu ka shaqeeyo hal borotokool oo aan wax saameyn ah ku lahayn kan kale, taas oo ka xun guuldarro cad. Qor borotokoolka guuldaraystay, dhinaca soo bandhigay shahaadada iyo dhinaca diiday ka hor intaadan taaban wax.

SSTP waa xidhitaan HTTPS

Daabacaadda Remote Access ee la taageeray, Set-RemoteAccess wuxuu soo bandhigaa parameter SslCertificate oo loo isticmaalo isku xirka SSTP iyo doorka DirectAccess ee la xiriira HTTPS.

Baaxadda xaqiijinta iyo daabacaaddiisu waxay raacdaa qaabeynta Remote Access, sidaas darteed hal isbeddel xidhitaan wuxuu gaari karaa in ka badan hal isku xir ama nood. Daabacaad leh isku dheellitirnaan culeys, baaxaddaas waxay ka mid tahay nood kasta oo qaabeyntu daboolto. Beddelka hal nood iyo tijaabinta hal macmiil waxay ka tagtaa inta kale inay soo bandhigaan caleenta hore, taasina waa isbeddelka badh-badh ah ee ka badbaada daaqadda dayactirka.

Ka hor cusboonaysiinta, xaqiiji magaca adeegga la filayo, silsiladda, ansaxnimada, isticmaalka loogu talagalay iyo helitaanka fure gaar ah. Shahaadadu waa inay la socoto magaca macmiilku hubin doono, calaamadda adapter-kana ma aha magacaas.

IKEv2 soo galaya wuxuu leeyahay parameter u gaar ah

Set-VpnAuthProtocol wuxuu qaabeeyaa xaqiijinta IKEv2 goob-ilaa-goob ee soo galaya, CertificateAdvertised wuxuuna bixiyaa shahaado marka habka xaqiijinta tunnel-ka uu isticmaalo. Kani ma aha amar guud oo lagu doorto shahaado server kasta oo ku yaal host-ka.

Kala sooc laba shay: caleenta server-ku u soo bandhigo aqoonsigiisa, iyo xididka uu isticmaalo inuu aqbalo shahaadooyinka dhigayaasha. Doorashada soo-saareha aad aaminsan tahay waxba kama sheegto caleenta server-ku soo bandhigayo.

Aqoonsiga hal interface goob-ilaa-goob waxaa lagu dhigaa Set-VpnS2SInterface. Si otomaatig ah ma aha shahaadada SSTP, xitaa marka labaduba ay ku jiraan isla kayd isla mishiin.

Marka hore baadh musharraxa

Muuqaal diiradda saaran kaydka mishiinka maxalliga ah wuxuu muujiyaa xog-meta dadweyne isagoon wax gaar ah dhoofin:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Liiskaas waa barta bilowga, ma aha imtixaan ku habboonaan. Baadh gelitaanka SAN, isticmaalka fure ee la fidiyay, silsiladda iyo gelitaanka akoonka adeegga ee furaha gaarka ah ee borotokoolka aad qaabeynayso.

Shahaado loo rakibay aqoonsiga macmiil daruuro oo aan xiriir la lahayn kuma habboona sababtoo ah waxay ka muuqataa isla kaydka oo keliya. Muuqashada ma aha ku habboonaan, iyo faraha saaridda shaashadda waxba kama caddaynayso in akoonka adeeggu akhrin karo furaha. Baadh gelitaankaas si cad, sababtoo ah oggolaanshaha furaha oo maqan wuxuu muuqdaa oo keliya marka adeeggu dib u bilaabmo oo uu isku dayo inuu isticmaalo shahaadada.

Diiwaangeli xidhitaanka hadda jira oo xaqiiji inaad weli si kale u gaari karto host-ka ka hor intaadan beddelin. Jidka soo kabashada waa qayb ka mid ah isbeddelka, ma aha qayb ka mid ah dhacdada xigta.

Cusboonaysiintu ma aha firfircoonayn

Dib u soo saarista shahaado waa fal ka duwan doorashadeeda adeegga socda. Caleenta cusub waxay hayn kartaa aqoonsiga DNS ee loogu talagalay oo weli qaadan kartaa faraha saarid ka duwan, sidaas darteed waxba ma tilmaamayaan xaggeeda ilaa xidhitaanka la cusboonaysiiyo. Cusboonaysiintu waxay beddeshaa shayga; firfircoonayntu waxay beddeshaa tixraaca xaggeeda. Labadan isku qasiddooda waa sababta shahaado si sax ah loo cusboonaysiiyay ay u sii jiri karto bilo iyadoo aan la isticmaalin.

Ku dhaqan geli isbeddelka la taageeray daaqad ku habboon, oo ay ku jirto dib u bilaabid kasta oo la diiwaangeliyay, kadib baadh shahaadada isku xir cusub oo borotokoolka loogu talagalay. Fadhiga macmiilka ee kaydsan wuxuu weli muujin karaa caleenta hore oo uu isbeddelka saxda ah u muuqdo mid jaban.

Ka saar shahaadadii hore iyadoo la raacayo habka caadiga ah oo keliya ka dib marka baadhistu gudubto. Tixraaca Set-RemoteAccess wuxuu diiwaangelinayaa baaxadda parameter-ka SSL, oo ay ku jirto saameyntiisa daabacaadda isku dheellitirnaan culeyska, taasna waa qaybta ay mudan tahay in la akhriyo ka hor isbeddelka xidhitaanka.