Cili certifikat makine ofron VPN-i i Windows?

Certifikatat janë instaluar, çelësat privatë janë të pranishëm dhe tuneli vazhdon të dështojë në autentikim. Një makinë me disa certifikata mund t’i japë VPN-së një kandidat që askush nuk e kishte menduar, dhe klienti nuk ka asnjë mënyrë të dijë cilin do të pranonte porta. Fshirja e të tjerëve është politikë përzgjedhjeje me pasoja për çdo shërbim në makinë. Në vend të kësaj, kufizoni grupin e pranueshëm dhe më pas konfirmoni cili certifikat u ofrua në të vërtetë.

Disa certifikata, një i ofruar

Profilet origjinale të VPN-së në Windows me autentikim me certifikatë makine ofrojnë dy filtra që i kufizojnë kandidatët: një filtër lëshuesi dhe një filtër të përdorimit të zgjeruar të çelësit. Ata e zvogëlojnë grupin nga i cili klienti mund të zgjedhë. Nuk riparojnë një certifikatë të papërshtatshme dhe nuk garantojnë që serveri pranon atë që mbetet. Kjo kufi ia vlen të shënohet në regjistrin e ndryshimeve, sepse lexuesi tjetër do të supozojë se filtri vendosi më shumë sesa vendosi.

Dështimi që trajtojnë është i ngushtë dhe specifik. Një certifikatë e vlefshme nga autoriteti i gabuar, ose e lëshuar për një qëllim që porta nuk e pranon, zgjidhet përpara asaj të synuar, gjë që prodhon një dështim autentikimi pranë një depoje të shëndoshë. Dy filtra e kthejnë atë në një grup mjaft të vogël për të arsyetuar, dhe pjesa tjetër e kësaj faqe i zbaton sipas radhës.

Inspektoni depon përpara se të redaktoni profilin

Renditni kandidatët dhe vetitë e tyre në depon që profili përdor në të vërtetë. Asgjë këtu nuk eksporton një çelës privat, dhe asnjë certifikatë nuk duhet të largohet nga makina:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Lexoni daljen për vetitë nga të cilat varet vendimi: një çelës privat i përdorshëm, një dritare vlefshmërie e pranueshme, lëshuesi i synuar dhe qëllimet në zgjerim. Një certifikatë mund të jetë e pranishme, e regjistruar saktë dhe e padobishme për këtë lidhje në të njëjtën kohë. Kolona e gjurmës së gishtit është ajo me të cilën do të krahasoni më vonë, ndaj ruani daljen.

Konfirmoni profilin dhe shtrirjen e tij përpara redaktimit, sepse një certifikatë makine në LocalMachine, një certifikatë EAP-TLS përdoruesi dhe një depo e vetë aplikacionit për çelësat privatë janë tre kontekste të ndryshme. Përdorni shtrirjen e të gjithë përdoruesve dhe një kontekst administrativ kur profili i menaxhuar ndodhet atje. Krijimi i një profili të dytë me emër të ngjashëm fsheh se cilën konfigurim përdor në të vërtetë lidhja.

Filtri i lëshuesit dëshiron një objekt

Parametri i lëshuesit pret një objekt certifikate, jo një emër të shfaqur dhe jo një varg të zhveshur gjurme gishti. Jepni certifikatën e autoritetit të miratuar nga një shteg që e keni shqyrtuar, në depon ku i takon:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Mos zëvendësoni certifikatën fletë të vetë klientit, një autoritet tjetër me subjekt të ngjashëm ose një rrënjë të sapogjeneruar vetëm sepse lloji i parametrit e pranon. Dy autoritete mund të ndajnë të njëjtin varg subjekti, dhe prandaj objekti ka më shumë rëndësi se teksti. Referenca e cmdlet-eve të Microsoft dokumenton të dy llojet e hyrjes, dhe ia vlen të lexohet përpara redaktimit të parë dhe jo pas përpjekjes së dështuar.

Filtri i përdorimit dëshiron një varg OID

Parametri i përdorimit të zgjeruar të çelësit pranon vargje OID, dhe qëllimi i autentikimit të klientit është 1.3.6.1.5.5.7.3.2. Zbatimi i tij i kufizon kandidatët te certifikatat që mbajnë atë qëllim, gjë që është pikërisht ajo që kërkon një vendosje me autentikim klienti:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Vlera është një varg, prandaj një vendosje që ka nevojë për disa qëllime i kalon ato si listë. Ajo që filtri nuk mund të bëjë është të shtojë një qëllim në një certifikatë: është shprehje përzgjedhjeje e vlerësuar ndaj zgjerimeve të nënshkruara, dhe asnjë filtër nuk i rishkruan ato, prandaj certifikata që i mungon qëllimi duhet të kalojë përsëri nëpër regjistrim.

Mbajeni konfigurimin EAP të certifikatave të përdoruesve të ndarë nga filtrimi i certifikatave të makinës, sepse ato jetojnë në vende të ndryshme dhe një ndryshim në njërën rrallë shpjegon një dështim në tjetrën. Kontrolloni gjithashtu nëse domeni ose menaxhimi i pajisjeve zotëron profilin, sepse një redaktim lokal mund të zëvendësohet në rifreskimin e ardhshëm të politikave pa prekur askush makinën.

Provoni cilin certifikatë ofroi klienti

Vendosni një lidhje të re dhe lexoni provat e autentikimit të klientit dhe serverit për identitetin që synonit. Kur më shumë se një certifikatë plotëson filtrat, rezultati është një grup më i vogël e jo një fletë e fiksuar, prandaj përpjekja tjetër mund të zgjedhë një anëtar tjetër. Shënoni gjurmën e gishtit që shfaqet në ato prova dhe krahasojeni me atë që regjistruat nga depoja.

Një komandë e suksesshme nuk është autentikim i suksesshëm. Rezultati që ia vlen të regjistrohet është certifikata e synuar që autentikohet sipas politikës së menaxhuar, ndërsa çdo certifikatë e palidhur mbetet e disponueshme për shërbimet që varen prej saj. Nëse dështimi i mbijeton të dy filtrave, vendi tjetër për të parë janë kandidatët e mbetur dhe jo profili në tërësi.