SSTP dhe IKEv2 përdorin kontrolle të ndryshme certifikatash RRAS

Nëse zëvendësoni «certifikatën VPN», mund të ndryshoni shërbimin e gabuar. RRAS mban të paktën tre kontrolle certifikatash, secili i përket një protokolli dhe një roli lidhjeje të ndryshëm. Emërtimi i protokollit së pari e kthen një hamendësim të rrezikshëm në një ndryshim të vetëm lidhjeje të kthyeshëm. Gjithçka më poshtë varet nga ai një fjali.

Emërtoni protokollin para certifikatës

Një dëgjues SSTP paraqet një certifikatë TLS për një klient që sillet si HTTPS. Një lidhje IKEv2 hyrëse site-to-site shpall një identitet serveri dhe vërteton certifikatat e partnerëve kundrejt një rrënje të besuar. Një përkufizim site-to-site për çdo ndërfaqe mbart identitetin e vet të makinës.

Këto janë tre kontrolle me tre shtrirje. Përzierja e tyre prodhon një ndryshim që duket se funksionon në një protokoll dhe nuk ka asnjë efekt në tjetrin, gjë që është më e keqe se një dështim i dukshëm. Shkruani cili protokoll dështoi, cila anë paraqiti certifikatën dhe cila anë e refuzoi para se të prekni asgjë.

SSTP është një lidhje HTTPS

Për vendosjet e mbështetura të Remote Access, Set-RemoteAccess ekspozon një parametër SslCertificate që përdoret për lidhshmërinë SSTP dhe për rolin DirectAccess që lidhet me HTTPS.

Shtrirja e vërtetimit dhe vendosjes ndjek konfigurimin e Remote Access, kështu që një ndryshim lidhjeje mund të arrijë më shumë se një lidhje ose nyje. Në një vendosje me balancim ngarkese, kjo shtrirje përfshin çdo nyje që mbulon konfigurimi. Ndryshimi i një nyje dhe testimi i një klienti i lë të tjerët të paraqesin fletën e vjetër, dhe ky është lloji i ndryshimit gjysmak që mbijeton një dritare mirëmbajtjeje.

Para përditësimit, verifikoni emrin e pritur të shërbimit, zinxhirin, vlefshmërinë, përdorimin e synuar dhe disponueshmërinë e çelësit privat. Certifikata duhet të përputhet me emrin që do të kontrollojë klienti, dhe etiketa e përshtatësit nuk është ai emër.

IKEv2 hyrëse ka parametrin e vet

Set-VpnAuthProtocol konfiguron vërtetimin e IKEv2 hyrëse site-to-site, dhe CertificateAdvertised furnizon një certifikatë kur mënyra e vërtetimit të tunelit i përdor ato. Ky nuk është një urdhër i përgjithshëm për të zgjedhur çdo certifikatë serveri në host.

Mbani të ndara dy objekte: fletën që serveri paraqet si identitetin e vet, dhe rrënjën që përdor për të pranuar certifikatat e partnerëve. Zgjedhja e lëshuesit të cilit i besoni nuk thotë asgjë për fletën që paraqet serveri.

Identiteti i një ndërfaqeje të vetme site-to-site vendoset përmes Set-VpnS2SInterface. Nuk është automatikisht certifikata SSTP, edhe kur të dyja ndodhen në të njëjtin depo në të njëjtën makinë.

Inspektoni së pari kandidatin

Një pamje e fokusuar e depos së makinës lokale shfaq metadata publike pa eksportuar asgjë private:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Ai listim është pikënisje dhe jo test përshtatshmërie. Inspektoni hyrjet SAN, përdorimet e zgjeruara të çelësit, zinxhirin dhe aksesin e llogarisë së shërbimit në çelësin privat për protokollin që konfiguroni.

Një certifikatë e instaluar për një identitet klienti cloud të palidhur nuk është e përshtatshme vetëm sepse shfaqet në të njëjtin depo. Dukshmëria nuk është përshtatshmëri, dhe një gjurmë gishti në një pamje ekrani nuk provon asgjë për faktin nëse llogaria e shërbimit mund ta lexojë çelësin. Kontrolloni atë akses në mënyrë të qartë, sepse mungesa e lejes për çelësin shfaqet vetëm kur shërbimi ristartohet dhe përpiqet të përdorë certifikatën.

Regjistroni lidhjen aktuale dhe konfirmoni se ende mund ta arrini hostin në një mënyrë tjetër para se ta ndryshoni. Rruga e rikuperimit është pjesë e ndryshimit, jo e incidentit që vjen pas.

Rinovimi nuk është aktivizim

Rilëshimi i një certifikate është një veprim i ndryshëm nga zgjedhja e saj për shërbimin që punon. Fleta e re mund të mbajë identitetin e synuar DNS dhe gjithsesi të mbajë një gjurmë gishti të ndryshme, kështu që asgjë nuk tregon drejt saj derisa lidhja të përditësohet. Rinovimi ndryshon objektin; aktivizimi ndryshon referencën drejt tij. Përzierja e këtyre të dyjave është arsyeja pse një certifikatë e rinovuar saktë mund të qëndrojë e papërdorur për javë.

Zbatoni ndryshimin e mbështetur në një dritare të përshtatshme, duke përfshirë çdo ristartim të dokumentuar, pastaj inspektoni certifikatën nga një lidhje e re e protokollit të synuar. Një sesion klienti i ruajtur në cache mund të shfaqë ende fletën e vjetër dhe ta bëjë një ndryshim të saktë të duket i prishur.

Tërhiqni certifikatën e mëparshme përmes procesit normal vetëm pasi ai kontroll të kalojë. Referenca Set-RemoteAccess dokumenton shtrirjen e parametrit SSL, duke përfshirë efektin e tij në vendosjet me balancim ngarkese, dhe kjo është pjesa që ia vlen të lexohet para një ndryshimi lidhjeje.