Si të revokoni një certifikatë klienti Azure Point-to-Site

Të revokosh një klient Azure Point-to-Site do të thotë të shtosh gjurmën e gishtit të tij në listën e revokuar të portës. Nuk do të thotë të fshish rrënjën e besuar. Rrënja është autoriteti lëshues për çdo certifikatë klienti që keni lëshuar ndonjëherë, prandaj heqja e saj është një veprim tjetër me ndikim shumë më të madh. Njësia e revokimit këtu është një certifikatë e vetme.

Hapi 1: Përcaktoni saktësisht se për cilën certifikatë bëhet fjalë

Filloni nga regjistri i certifikatës, jo nga një emër i shfaqur. Azure shfaq një emër miqësor që e keni shtypur vetë, dhe ai etiketë nuk duhet të përputhet me subjektin ose pajisjen për të cilën është lëshuar.

Edhe një kontroll para revokimit: zbuloni sa pajisje e paraqesin. Nëse disa laptopë janë ndërtuar nga kopje të të njëjtit PFX, revokimi i gjurmës së gishtit i bllokon të gjithë, dhe Azure nuk ka mënyrë të dallojë të humburin nga ai rezervë në sirtar.

Në klient, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter rendit atë që është instaluar për atë përdorues, dhe Cert:\LocalMachine\My gjithashtu vlen të kontrollohet sepse klienti VPN mund të zgjedhë nga cilido prej dy depove. Krahasoni gjurmën e gishtit me inventarin tuaj të regjistrimit. Një certifikatë e rinovuar ka një gjurmë gishti të ndryshme edhe kur subjekti është identik.

Nuk ju nevojitet çelësi privat i klientit ose një PFX i mbrojtur me fjalëkalim për të lexuar gjurmën e gishtit të një certifikate publike. Çdo procedurë që kërkon njërën prej tyre është kopjuar nga një detyrë tjetër.

Hapi 2: Shtojeni në listën e revokuar të portës

Në portal, hapni portën e rrjetit virtual, më pas konfigurimin Point-to-site, më pas seksionin e certifikatave të revokuara. Shtoni një emër miqësor që do ta njihni pas gjashtë muajsh dhe ngjitni gjurmën e gishtit si një varg i vetëm i vazhdueshëm pa hapësirat.

Kontrolloni cila portë është zgjedhur përpara se të ruani, sepse një abonim me disa porta është pikërisht vendi ku kjo shkon keq. Udhëzuesi i konfigurimit të certifikatave i Microsoft thotë se pasi të përfundojë përditësimi, certifikata nuk mund të përdoret më për t'u lidhur.

Konfirmoni më pas vlerën e ruajtur në vend që të besoni njoftimin e portalit: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" tregon atë që porta mban në të vërtetë.

Hapi 3: Verifikoni të dy drejtimet

Testoni refuzimin me certifikatën e revokuar, më pas testoni se një certifikatë tjetër nën të njëjtën rrënjë ende vërtetohet. Është pikërisht testi i dytë ai që njerëzit e kapërcejnë, dhe ai është testi që kap një heqje aksidentale të rrënjës ose një ndryshim politike që askush nuk e përmendi. Përdorni një pajisje ku mund të shihni cilën certifikatë po paraqitet. Një klient me disa certifikata mund të përdorë në heshtje një funksionale dhe ta bëjë revokimin tuaj të duket i prishur.

Regjistroni të dy rezultatet në biletë. Një revokim i verifikuar vetëm në drejtimin e refuzimit është gjysmë i verifikuar.

Hapi 4: Sesionet që janë tashmë të hapura

Rezultati i dokumentuar ka të bëjë me lidhjet e reja. Mos e shtrini në premtimin se çdo tunel ekzistues bie në atë sekondë kur ruhet lista. Nëse heqja e menjëhershme ka rëndësi, përdorni kontrollet që konfigurimi juaj i vendosur ofron vërtet dhe kontrolloni sesionin konkret në vend që të supozoni.

Testojeni këtë veçmas nga vërtetimi, sepse të dyja dështojnë në vende të ndryshme dhe lënë prova të ndryshme.

Kthimi pas dhe shkurtoret që duhen shmangur

Kthimi pas do të thotë të heqësh gjurmën e gishtit nga lista e revokuar dhe të presësh që i njëjti përditësim të përfundojë. Kjo është e sigurt kur keni revokuar regjistrimin e gabuar, dhe e rrezikshme kur certifikata është vërtet e kompromentuar, prandaj vendosni fillimisht në cilin rast jeni. Fshirja e rrënjës së besuar nuk është shkurtore për një laptop të humbur. Fshirja e një profili lokal VPN në një makinë nuk ndryshon atë që pranon cilado portë.

Nëse identiteti vërtetohet edhe në një portë të dytë, të dyja kanë nevojë për të njëjtin trajtim. Lista e revokuar i përket një porte, jo abonimit.