SSTP и IKEv2 користе различите контролере сертификата RRAS

Замените ли „VPN сертификат”, можете променити погрешну услугу. RRAS држи најмање три контролера сертификата, а сваки припада другом протоколу и другој улози везе. Ако прво именујете протокол, ризична претпоставка постаје једна повратна промена повезивања. Све у наставку зависи од те једне реченице.

Именујте протокол пре сертификата

Слушач SSTP клијенту који се понаша као HTTPS представља TLS сертификат. Долазећа веза IKEv2 између локација оглашава идентитет сервера и проверава сертификате партнера према поузданом корену. Дефиниција између локација за интерфејс носи сопствени идентитет машине.

То су три контролера са три опсега. Њихово мешање даје промену која на једном протоколу изгледа исправно, а на другом нема ефекта, што је горе од очигледног квара. Запишите који протокол није успео, која страна је представила сертификат и која га је одбила пре него што било шта дирнете.

SSTP је повезивање HTTPS

За подржане имплементације Remote Access Set-RemoteAccess излаже параметар SslCertificate који се користи за SSTP повезивост и за DirectAccess улогу повезану са HTTPS-ом.

Његов опсег провере и имплементације следи конфигурацију Remote Access, па једна промена повезивања може достићи више од једне везе или чвора. У имплементацији са расподелом оптерећења тај опсег укључује сваки чвор који конфигурација покрива. Промена једног чвора и тестирање једног клијента оставља остале да представљају стари лисни сертификат, а то је управо она половична промена која преживи сервисни прозор.

Пре ажурирања проверите очекивани назив услуге, ланац, ваљаност, наменску употребу и доступност приватног кључа. Сертификат мора да одговара називу који ће клијент проверити, а ознака адаптера није тај назив.

Долазни IKEv2 има сопствени параметар

Set-VpnAuthProtocol конфигурише проверу аутентичности долазног IKEv2 између локација, а CertificateAdvertised испоручује сертификат када га режим провере аутентичности тунела користи. То није општа наредба за избор било ког серверског сертификата на хосту.

Држите одвојено два објекта: лисни сертификат који сервер представља као сопствени идентитет и корен који користи за прихватање сертификата партнера. Избор издаваоца коме верујете не говори ништа о томе који лисни сертификат сервер представља.

Идентитет појединачног интерфејса између локација поставља се путем Set-VpnS2SInterface. То није аутоматски SSTP сертификат, чак и када оба леже у истом складишту на истом рачунару.

Најпре прегледајте кандидата

Усредсређен приказ складишта локалног рачунара показује јавне метаподатке без извоза било чега приватног:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Тај списак је полазиште, а не тест прикладности. Прегледајте SAN уносе, проширене употребе кључа, ланац и приступ рачуна услуге приватном кључу за протокол који конфигуришете.

Сертификат инсталиран за неповезани идентитет клијента у облаку није прикладан само зато што се појављује у истом складишту. Видљивост није прикладност, а отисак прста на снимку екрана ништа не доказује о томе може ли рачун услуге читати кључ. Проверите тај приступ изричито, јер недостатак дозволе за кључ открива се тек када се услуга поново покрене и покуша да употреби сертификат.

Забележите тренутно повезивање и потврдите да још можете доћи до хоста на други начин пре него што га промените. Пут опоравка припада промени, а не инциденту који следи.

Обнова није активација

Поновно издавање сертификата радња је различита од његовог избора за услугу која ради. Нови лисни сертификат може задржати наменски DNS идентитет и притом носити други отисак прста, па ништа не показује на њега док се повезивање не ажурира. Обнова мења објекат; активација мења референцу на њега. Мешање тих двају разлог је зашто исправно обновљен сертификат може недељама стајати неискоришћен.

Примените подржану промену у прикладном прозору, укључујући свако документовано поновно покретање, а затим прегледајте сертификат из нове везе наменског протокола. Предмеморисана сесија клијента може још приказивати стари лисни сертификат и учинити да исправна промена изгледа покварено.

Претходни сертификат повуците уобичајеним поступком тек након што та провера прође. Референца Set-RemoteAccess документује опсег SSL параметра, укључујући његов учинак у имплементацијама са расподелом оптерећења, а то је део који вреди прочитати пре промене повезивања.