Како опозвати један клијентски сертификат Azure Point-to-Site

Опозвати једног клијента Azure Point-to-Site значи додати његов отисак на листу опозваних на пролазу. То не значи брисање поузданог корена. Корен је издавалац сваког клијентског сертификата који сте икада издали, па је његово уклањање друга операција са много већим утицајем. Јединица опозива овде је један сертификат.

Корак 1: Утврдите тачно који сертификат мислите

Почните од записа сертификата, а не од приказаног имена. Azure приказује пријатељско име које сте сами унели, и та ознака не мора да се поклапа са субјектом или уређајем за који је издат.

Још једна провера пре опозива: сазнајте колико уређаја га представља. Ако је неколико лаптопова направљено од копија истог PFX, опозив отиска их све закључава, а Azure не може да разликује изгубљени од резервног у фиоци.

На клијенту Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter наводи шта је инсталирано за тог корисника, а Cert:\LocalMachine\My такође вреди проверити јер VPN клијент може да бира из било ког од два складишта. Упоредите отисак са својим инвентаром регистрације. Обновљени сертификат има другачији отисак чак и када је субјекат идентичан.

Нису вам потребни приватни кључ клијента или PFX заштићен лозинком да бисте прочитали отисак јавног сертификата. Свака процедура која захтева једно од тога је копирана из другог задатка.

Корак 2: Додајте га на листу опозваних на пролазу

У порталу отворите пролаз виртуелне мреже, затим конфигурацију Point-to-site, затим одељак опозваних сертификата. Додајте пријатељско име које ћете препознати за шест месеци и залепите отисак као један непрекинут низ без размака.

Проверите који је пролаз изабран пре него што сачувате, јер је претплата са неколико пролаза управо место где ово крене наопако. Microsoft-ов водич за конфигурацију сертификата наводи да се након завршетка ажурирања сертификат више не може користити за повезивање.

Затим потврдите сачувану вредност уместо да верујете обавештењу портала: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" приказује шта пролаз заиста чува.

Корак 3: Проверите оба смера

Тестирајте одбијање са опозваним сертификатом, затим тестирајте да се други сертификат под истим кореном још увек аутентификује. Управо тај други тест људи прескачу, и управо он хвата случајно уклањање корена или промену политике коју нико није споменуо. Користите уређај на коме можете да видите који се сертификат представља. Клијент са неколико сертификата може тихо да употреби исправан и учини да ваш опозив изгледа покварено.

Забележите оба резултата у тикету. Опозив проверен само у смеру одбијања је половично проверен.

Корак 4: Сесије које су већ успостављене

Документовани исход се односи на нове везе. Немојте га протезати до обећања да ће сваки постојећи тунел пасти у секунди када се листа сачува. Ако је тренутно уклањање важно, користите контроле које ваша распоређена конфигурација заиста нуди и проверите конкретну сесију уместо да претпостављате.

Тестирајте то одвојено од аутентификације, јер обоје не успева на различитим местима и оставља различите трагове.

Враћање и пречице које треба избегавати

Враћање значи уклањање отиска са листе опозваних и чекање да исти ажурирање заврши. То је безбедно када сте опозвали погрешан унос, а опасно када је сертификат заиста компромитован, зато прво одлучите у ком сте случају. Брисање поузданог корена није пречица за један изгубљени лаптоп. Брисање локалног VPN профила на једној машини не мења шта било који пролаз прихвата.

Ако се идентитет аутентификује и на другом пролазу, оба захтевају исти третман. Листа опозваних припада пролазу, не претплати.