SSTP na IKEv2 hutumia vidhibiti tofauti vya cheti vya RRAS

Ukibadilisha «cheti cha VPN», unaweza kubadilisha huduma isiyo sahihi. RRAS huweka angalau vidhibiti vitatu vya cheti, kila kimoja ni cha itifaki tofauti na jukumu tofauti la muunganisho. Kutaja itifaki kwanza hubadilisha dhana hatarishi kuwa badiliko moja la kiunganishi linaloweza kurudishwa. Kila kitu hapa chini kinategemea sentensi moja hiyo.

Taja itifaki kabla ya cheti

Kiskilizaji cha SSTP huwasilisha cheti cha TLS kwa mteja anayefanya kama HTTPS. Muunganisho wa IKEv2 wa tovuti-hadi-tovuti unaoingia hutangaza utambulisho wa seva na kuthibitisha vyeti vya wenza dhidi ya mzizi unaoaminiwa. Ufafanuzi wa tovuti-hadi-tovuti kwa kila kiolesura hubeba utambulisho wake wa mashine.

Hivi ni vidhibiti vitatu vyenye wigo mitatu. Kuvichanganya huzalisha badiliko linaloonekana kufanya kazi kwenye itifaki moja na lisilo na athari kwenye nyingine, jambo ambalo ni baya kuliko kushindwa dhahiri. Andika ni itifaki gani ilishindwa, upande gani uliwasilisha cheti, na upande gani ulikikataa kabla ya kugusa chochote.

SSTP ni kiunganishi cha HTTPS

Katika usambazaji wa Remote Access unaotumika, Set-RemoteAccess hufichua kigezo SslCertificate kinachotumika kwa muunganisho wa SSTP na kwa jukumu la DirectAccess linalohusiana na HTTPS.

Wigo wake wa uthibitishaji na usambazaji hufuata usanidi wa Remote Access, kwa hiyo badiliko moja la kiunganishi linaweza kufikia zaidi ya muunganisho au nodi moja. Katika usambazaji wenye kusawazisha mzigo, wigo huo unajumuisha kila nodi inayofunikwa na usanidi. Kubadilisha nodi moja na kujaribu mteja mmoja huwaacha wengine wakiwasilisha jani la zamani, na hii ndiyo aina ya badiliko la nusu linaloendelea kupitia dirisha la matengenezo.

Kabla ya kusasisha, thibitisha jina la huduma linalotarajiwa, mnyororo, uhalali, matumizi yaliyokusudiwa na upatikanaji wa ufunguo wa faragha. Cheti lazima kilingane na jina ambalo mteja atakagua, na lebo ya adapta si jina hilo.

IKEv2 inayoingia ina kigezo chake

Set-VpnAuthProtocol husanidi uthibitishaji wa IKEv2 wa tovuti-hadi-tovuti unaoingia, na CertificateAdvertised hutoa cheti wakati hali ya uthibitishaji ya handaki inavitumia. Hii si amri ya jumla ya kuchagua cheti chochote cha seva kwenye mwenyeji.

Tenganisha vitu viwili: jani ambalo seva huliwasilisha kama utambulisho wake, na mzizi unaotumia kukubali vyeti vya wenza. Kuchagua ni mtoaji gani unamwamini hakusemi chochote kuhusu jani gani seva inawasilisha.

Utambulisho wa kiolesura kimoja cha tovuti-hadi-tovuti huwekwa kupitia Set-VpnS2SInterface. Si cheti cha SSTP kiotomatiki, hata wakati vyote viwili viko katika hifadhi moja kwenye mashine moja.

Kagua mgombea kwanza

Mwonekano ulioelekezwa wa hifadhi ya mashine ya ndani huonyesha metadata ya umma bila kusafirisha kitu chochote cha faragha:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Orodha hiyo ni mahali pa kuanzia, si jaribio la ufaafu. Kagua maingizo ya SAN, matumizi yaliyopanuliwa ya ufunguo, mnyororo na ufikiaji wa akaunti ya huduma kwa ufunguo wa faragha kwa itifaki unayoisanidi.

Cheti kilichosakinishwa kwa utambulisho usiohusiana wa mteja wa wingu hakifai kwa sababu tu kinaonekana katika hifadhi moja. Kuonekana si ufaafu, na alama ya kidole kwenye picha ya skrini haithibitishi chochote kuhusu kama akaunti ya huduma inaweza kusoma ufunguo. Kagua ufikiaji huo waziwazi, kwa sababu ruhusa ya ufunguo inayokosekana hushindwa tu wakati huduma inaanza upya na kujaribu kutumia cheti.

Andika kiunganishi cha sasa na uthibitishe kwamba bado unaweza kufikia mwenyeji kwa njia nyingine kabla ya kukibadilisha. Njia ya urejeshaji ni sehemu ya badiliko, si sehemu ya tukio linalofuata.

Uhuishaji si uanzishaji

Kutoa cheti upya ni kitendo tofauti na kuchagua cheti kwa huduma inayoendesha. Jana jipya linaweza kudumisha utambulisho wa DNS uliokusudiwa na bado kubeba alama tofauti ya kidole, kwa hiyo hakuna kinachoelekeza kwacho hadi kiunganishi kisasishwe. Uhuishaji hubadilisha kitu; uanzishaji hubadilisha rejeleo kwacho. Kuchanganya hivi viwili ndiyo sababu cheti kilichohuishwa kwa usahihi kinaweza kukaa bila kutumika kwa wiki.

Tumia badiliko linalotumika katika dirisha linalofaa, ikiwa ni pamoja na uanzishaji upya wowote ulioandikwa, kisha kagua cheti kutoka muunganisho mpya wa itifaki iliyokusudiwa. Kipindi cha mteja kilichohifadhiwa kwenye akiba kinaweza bado kuonyesha jani la zamani na kufanya badiliko sahihi lionekane limevunjika.

Ondoa cheti cha awali kwa mchakato wa kawaida tu baada ya ukaguzi huo kupita. Rejeleo la Set-RemoteAccess huandika wigo wa kigezo cha SSL, ikiwa ni pamoja na athari yake katika usambazaji wenye kusawazisha mzigo, na hii ndiyo sehemu inayofaa kusomwa kabla ya badiliko la kiunganishi.