Који сертификат машине нуди VPN у Windows-у?

Сертификати су инсталирани, приватни кључеви постоје, а тунел и даље не пролази аутентификацију. Машина са више сертификата може VPN-у понудити кандидата ког нико није намеравао, а клијент не може да зна који би гејтвеј прихватио. Брисање осталих је политика избора са последицама за сваку услугу на машини. Уместо тога сузите прихватљив скуп, па потврдите који је сертификат заиста понуђен.

Више сертификата, један понуђен

Изворни Windows VPN профили са аутентификацијом сертификатом машине нуде два филтера која ограничавају кандидате: филтер издаваоца и филтер проширене употребе кључа. Они смањују скуп из ког клијент може да бира. Не поправљају неодговарајући сертификат и не гарантују да ће сервер прихватити оно што остане. Ту границу вреди записати у евиденцију промена, јер ће следећи читалац претпоставити да је филтер одлучио више него што јесте.

Сметња коју решавају је уска и конкретна. Важећи сертификат погрешног тела, или онај издат за сврху коју гејтвеј не прихвата, бира се пре намераваног, што даје неуспелу аутентификацију поред здравог складишта. Два филтера од тога праве скуп довољно мали за закључивање, а остатак ове странице их примењује редом.

Прегледајте складиште пре уређивања профила

Наведите кандидате и њихова својства у складишту које профил стварно користи. Овде ништа не извози приватни кључ и ниједан сертификат не мора да напусти машину:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Прочитајте излаз за својства од којих одлука зависи: употребљив приватни кључ, прихватљив период важења, намеравани издавалац и сврхе у проширењу. Сертификат може истовремено бити присутан, исправно уписан и бескористан за ову везу. Колона са отиском је оно са чим ћете касније поредити, зато сачувајте излаз.

Потврдите профил и његов обухват пре уређивања, јер сертификат машине у LocalMachine, кориснички EAP-TLS сертификат и сопствено складиште приватних кључева апликације три су различита контекста. Користите обухват свих корисника и административни контекст када управљани профил тамо живи. Стварање другог профила са сличним именом прикрива коју конфигурацију веза стварно користи.

Филтер издаваоца жели објекат

Параметар издаваоца очекује објекат сертификата, не приказно име и не голи низ отиска. Доставите сертификат одобреног тела са путање коју сте прегледали, у складиште којем припада:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Не замењујте клијентов сопствени крајњи сертификат, друго тело са сличним субјектом ни свеже генерисан корен само зато што тип параметра то прихвата. Два тела могу да деле исти низ субјекта, и зато је објекат важнији од текста. Microsoft-ова референца за cmdlet-ове документује оба типа уноса, и вреди је прочитати пре прве измене, а не после неуспелог покушаја.

Филтер употребе жели OID низ

Параметар проширене употребе кључа прима OID низове, а сврха аутентификације клијента је 1.3.6.1.5.5.7.3.2. Његова примена ограничава кандидате на сертификате који носе ту сврху, што је управо оно што распоређивање са аутентификацијом клијента жели:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Вредност је низ, па распоређивање коме треба више сврха предаје их као листу. Оно што филтер не може јесте да дода сврху сертификату: то је израз избора који се процењује према потписаним проширењима, и ниједан филтер их не преписује, па сертификат коме сврха недостаје мора поново кроз упис.

Држите EAP конфигурацију корисничких сертификата одвојено од филтрирања сертификата машине, јер живе на различитим местима и промена на једном ретко објашњава сметњу на другом. Проверите и да ли профилом управља домен или управљање уређајима, јер локална измена може бити замењена при следећем освежавању правила без икаквог додира са машином.

Докажите који је сертификат клијент понудио

Успоставите нову везу и прочитајте доказе аутентификације клијента и сервера за идентитет који сте намеравали. Када филтере задовољава више од једног сертификата, резултат је мањи скуп, а не приковани крајњи сертификат, па следећи покушај може да изабере другог члана. Забележите отисак који се појави у тим доказима и упоредите га са оним који сте записали из складишта.

Успешна команда није успешна аутентификација. Резултат који вреди записати јесте да се намеравани сертификат аутентификује под управљаним правилима, док сваки неповезани сертификат остаје доступан услугама које од њега зависе. Ако сметња преживи оба филтера, следеће место за преглед су преостали кандидати, а не цео профил.