Cheti kipi cha mashine kinachotolewa na VPN ya Windows?

Vyeti vimewekwa, funguo za faragha zipo, na handaki bado linashindwa uthibitishaji. Mashine iliyo na vyeti kadhaa inaweza kuipa VPN mteule ambaye hakuna aliyekusudia, na mteja hana njia ya kujua lango litakubali kipi. Kufuta vingine ni sera ya uteuzi yenye athari kwa kila huduma kwenye mashine. Badala yake punguza seti inayostahiki, kisha thibitisha ni cheti kipi kilitolewa kwa kweli.

Vyeti kadhaa, kimoja kimetolewa

Wasifu asilia wa VPN ya Windows wenye uthibitishaji wa cheti cha mashine hutoa vichujio viwili vinavyoweka mipaka kwa wateule: kichujio cha mtoaji na kichujio cha matumizi ya ufunguo uliopanuliwa. Hupunguza seti ambayo mteja anaweza kuchagua kutoka humo. Hazirekebishi cheti kisichofaa, na hazihakikishi kuwa seva itakubali kinachobaki. Mpaka huo unastahili kuandikwa katika kumbukumbu ya mabadiliko, kwa sababu msomaji anayefuata atadhani kichujio kiliamua zaidi kuliko kilivyoamua.

Hitilafu wanayoshughulikia ni nyembamba na mahususi. Cheti halali kutoka mamlaka isiyo sahihi, au kilichotolewa kwa madhumuni ambayo lango halikubali, huchaguliwa kabla ya kile kilichokusudiwa, jambo linalozalisha kushindwa kwa uthibitishaji kando ya hifadhi nzuri. Vichujio viwili hufanya hilo kuwa seti ndogo vya kutosha kufikiri juu yake, na sehemu iliyobaki ya ukurasa huu inavitumia kwa mpangilio.

Kagua hifadhi kabla ya kuhariri wasifu

Orodhesha wateule na sifa zao katika hifadhi ambayo wasifu hutumia kwa kweli. Hakuna kinachosafirisha ufunguo wa faragha hapa, na hakuna cheti kinachopaswa kuondoka kwenye mashine:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Soma matokeo kwa sifa ambazo uamuzi unategemea: ufunguo wa faragha unaoweza kutumika, kipindi cha uhalali kinachokubalika, mtoaji aliyekusudiwa na madhumuni yaliyo kwenye kiendelezi. Cheti kinaweza kuwepo, kuwa kimesajiliwa ipasavyo na kisifae kwa muunganisho huu kwa wakati mmoja. Safu ya alama ya kidole ndiyo utakayolinganisha nayo baadaye, kwa hiyo hifadhi matokeo.

Thibitisha wasifu na upeo wake kabla ya kuhariri, kwa sababu cheti cha mashine katika LocalMachine, cheti cha EAP-TLS cha mtumiaji na hifadhi ya funguo za faragha ya programu ni miktadha mitatu tofauti. Tumia upeo wa watumiaji wote na muktadha wa kiutawala wakati wasifu unaosimamiwa upo hapo. Kuunda wasifu wa pili wenye jina linalofanana huficha usanidi ambao muunganisho hutumia kwa kweli.

Kichujio cha mtoaji kinataka kitu

Kigezo cha mtoaji kinatarajia kitu cha cheti, si jina la kuonyesha na si mfuatano mtupu wa alama ya kidole. Toa cheti cha mamlaka iliyoidhinishwa kutoka kwenye njia uliyoikagua, katika hifadhi inakostahili:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Usibadilishe cheti cha jani cha mteja mwenyewe, mamlaka nyingine yenye somo linalofanana, au mzizi mpya uliozalishwa kwa sababu tu aina ya kigezo inaikubali. Mamlaka mawili yanaweza kushiriki mfuatano mmoja wa somo, na ndiyo sababu kitu ni muhimu zaidi kuliko maandishi. Marejeo ya cmdlet ya Microsoft yanaeleza aina zote mbili za ingizo, na yanastahili kusomwa kabla ya uhariri wa kwanza badala ya baada ya jaribio lililoshindwa.

Kichujio cha matumizi kinataka mfuatano wa OID

Kigezo cha matumizi ya ufunguo uliopanuliwa huchukua mifuatano ya OID, na madhumuni ya uthibitishaji wa mteja ni 1.3.6.1.5.5.7.3.2. Kuitumia kunawapa wateule kikomo cha vyeti vinavyobeba madhumuni hayo, ambayo ndiyo hasa inayotakiwa na usambazaji wenye uthibitishaji wa mteja:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Thamani ni safu, kwa hiyo usambazaji unaohitaji madhumuni kadhaa huyapitisha kama orodha. Kichujio hakiwezi kuongeza madhumuni kwenye cheti: ni usemi wa uteuzi unaotathminiwa dhidi ya viendelezi vilivyosainiwa, na hakuna kichujio kinachoandika upya hivyo, kwa hiyo cheti kinachokosa madhumuni lazima kipitie usajili tena.

Tenganisha usanidi wa EAP wa vyeti vya watumiaji na uchujaji wa vyeti vya mashine, kwa sababu vinaishi sehemu tofauti na mabadiliko katika kimoja mara chache hueleza kushindwa katika kingine. Pia angalia kama kikoa au usimamizi wa vifaa unamiliki wasifu, kwa sababu uhariri wa ndani unaweza kubadilishwa katika uboreshaji ujao wa sera bila mtu yeyote kugusa mashine.

Thibitisha ni cheti kipi mteja alikitoa

Anzisha muunganisho mpya na usome ushahidi wa uthibitishaji wa mteja na seva kwa utambulisho uliokusudia. Wakati zaidi ya cheti kimoja kinakidhi vichujio, matokeo ni kundi dogo badala ya jani lililobandikwa, kwa hiyo jaribio lijalo linaweza kuchagua mwanachama mwingine. Andika alama ya kidole inayoonekana katika ushahidi huo na uilinganishe na ile uliyoandika kutoka hifadhini.

Amri iliyofanikiwa si uthibitishaji uliofanikiwa. Matokeo yanayostahili kuandikwa ni kwamba cheti kilichokusudiwa kinajithibitisha chini ya sera inayosimamiwa wakati kila cheti kisichohusiana kinabaki kupatikana kwa huduma zinazokitegemea. Ikiwa hitilafu itaendelea baada ya vichujio vyote viwili, mahali pa kuangalia panafuata ni wateule waliosalia na si wasifu wote.