Windows VPN ఏ యంత్ర ధృవపత్రాన్ని అందిస్తుంది?

ధృవపత్రాలు ఇన్‌స్టాల్ చేయబడ్డాయి, ప్రైవేట్ కీలు ఉన్నాయి, అయినా సొరంగం ప్రామాణీకరణలో విఫలమవుతూనే ఉంది. అనేక ధృవపత్రాలు ఉన్న యంత్రం ఎవరూ ఉద్దేశించని అభ్యర్థిని VPN కి ఇవ్వగలదు, మరియు గేట్‌వే ఏది అంగీకరిస్తుందో తెలుసుకోవడానికి క్లయింట్‌కు మార్గం లేదు. మిగిలినవి తొలగించడం యంత్రంపై ప్రతి సేవను ప్రభావితం చేసే ఎంపిక విధానం. బదులుగా అర్హత కలిగిన సమూహాన్ని తగ్గించి, ఆ తర్వాత వాస్తవంగా ఏ ధృవపత్రం అందించబడిందో నిర్ధారించండి.

అనేక ధృవపత్రాలు, ఒకటి అందించబడింది

యంత్ర ధృవపత్ర ప్రామాణీకరణతో Windows యొక్క స్థానిక VPN ప్రొఫైళ్లు అభ్యర్థులను పరిమితం చేసే రెండు ఫిల్టర్లను అందిస్తాయి: జారీదారు ఫిల్టర్ మరియు విస్తరిత కీ వినియోగ ఫిల్టర్. అవి క్లయింట్ ఎంచుకోగల సమూహాన్ని చిన్నగా చేస్తాయి. అవి సరికాని ధృవపత్రాన్ని బాగుచేయవు, మరియు మిగిలినది సర్వర్ అంగీకరిస్తుందని హామీ ఇవ్వవు. ఆ హద్దును మార్పు నమోదులో రాయడం విలువైనది, ఎందుకంటే తదుపరి పాఠకుడు ఫిల్టర్ వాస్తవంగా నిర్ణయించిన దానికంటే ఎక్కువ నిర్ణయించిందని భావిస్తాడు.

అవి పరిష్కరించే వైఫల్యం సన్నని మరియు నిర్దిష్టమైనది. తప్పు అధికారి నుండి చెల్లుబాటు అయ్యే ధృవపత్రం, లేదా గేట్‌వే అంగీకరించని ఉద్దేశ్యం కోసం జారీ చేయబడినది, ఉద్దేశించిన దానికంటే ముందు ఎంపిక చేయబడుతుంది, ఇది ఆరోగ్యకరమైన నిల్వ పక్కన ప్రామాణీకరణ వైఫల్యాన్ని కలిగిస్తుంది. రెండు ఫిల్టర్లు దాన్ని ఆలోచించడానికి సరిపోయే చిన్న సమూహంగా మారుస్తాయి, ఈ పేజీలో మిగిలిన భాగం వాటిని క్రమంగా వర్తిస్తుంది.

ప్రొఫైల్ సవరించే ముందు నిల్వను పరిశీలించండి

ప్రొఫైల్ వాస్తవంగా ఉపయోగించే నిల్వలో అభ్యర్థులను మరియు వాటి లక్షణాలను జాబితా చేయండి. ఇక్కడ ఏదీ ప్రైవేట్ కీని ఎగుమతి చేయదు, ఏ ధృవపత్రం యంత్రాన్ని విడిచిపెట్టాల్సిన అవసరం లేదు:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

నిర్ణయం ఆధారపడే లక్షణాల కోసం అవుట్‌పుట్ చదవండి: ఉపయోగించగల ప్రైవేట్ కీ, ఆమోదయోగ్యమైన చెల్లుబాటు కాలం, ఉద్దేశించిన జారీదారు మరియు పొడిగింపులోని ఉద్దేశ్యాలు. ఒక ధృవపత్రం ఒకే సమయంలో ఉండవచ్చు, సరిగ్గా నమోదు కావచ్చు, ఈ కనెక్షన్‌కు పనికిరాకుండా ఉండవచ్చు. వేలిముద్ర నిలువు తర్వాత మీరు పోల్చబోయేది, కాబట్టి అవుట్‌పుట్‌ను ఉంచుకోండి.

సవరించే ముందు ప్రొఫైల్ మరియు దాని పరిధిని నిర్ధారించండి, ఎందుకంటే LocalMachine లోని యంత్ర ధృవపత్రం, వినియోగదారు EAP-TLS ధృవపత్రం మరియు అనువర్తనం స్వంత ప్రైవేట్ కీ నిల్వ మూడు వేర్వేరు సందర్భాలు. నిర్వహిత ప్రొఫైల్ అక్కడే ఉన్నప్పుడు అందరు వినియోగదారుల పరిధిని మరియు పరిపాలనా సందర్భాన్ని ఉపయోగించండి. సమానమైన పేరుతో రెండవ ప్రొఫైల్ సృష్టించడం కనెక్షన్ వాస్తవంగా ఏ కాన్ఫిగరేషన్ ఉపయోగిస్తుందో దాచుతుంది.

జారీదారు ఫిల్టర్‌కు వస్తువు కావాలి

జారీదారు పరామితి ధృవపత్ర వస్తువును ఆశిస్తుంది, ప్రదర్శన పేరును కాదు మరియు బేరీ వేలిముద్ర స్ట్రింగ్‌ను కూడా కాదు. ఆమోదించిన అధికారి ధృవపత్రాన్ని మీరు పరిశీలించిన మార్గం నుండి, అది చెందాల్సిన నిల్వలో అందించండి:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

పరామితి రకం అంగీకరిస్తుంది అనే కారణంతోనే క్లయింట్ స్వంత ఆకు ధృవపత్రాన్ని, సమాన విషయం ఉన్న మరో అధికారిని, లేదా కొత్తగా సృష్టించిన మూలాన్ని భర్తీ చేయవద్దు. రెండు అధికారులు ఒకే విషయ స్ట్రింగ్‌ను పంచుకోవచ్చు, అందుకే వచనం కంటే వస్తువు ముఖ్యం. Microsoft cmdlet సూచిక రెండు ఇన్‌పుట్ రకాలను నమోదు చేస్తుంది, విఫలమైన ప్రయత్నం తర్వాత కాదు, మొదటి సవరణకు ముందు దాన్ని చదవడం విలువైనది.

వినియోగ ఫిల్టర్‌కు OID స్ట్రింగ్ కావాలి

విస్తరిత కీ వినియోగ పరామితి OID స్ట్రింగ్‌లను తీసుకుంటుంది, క్లయింట్ ప్రామాణీకరణ ఉద్దేశ్యం 1.3.6.1.5.5.7.3.2. దాన్ని వర్తించడం అభ్యర్థులను ఆ ఉద్దేశ్యాన్ని కలిగి ఉన్న ధృవపత్రాలకు పరిమితం చేస్తుంది, క్లయింట్ ప్రామాణీకరణ అమరిక కోరుకునేది అదే:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

విలువ ఒక శ్రేణి, కాబట్టి అనేక ఉద్దేశ్యాలు అవసరమయ్యే అమరిక వాటిని జాబితాగా పంపుతుంది. ఫిల్టర్ చేయలేనిది ధృవపత్రానికి ఉద్దేశ్యాన్ని జోడించడం: ఇది సంతకం చేసిన పొడిగింపులపై మూల్యాంకనం అయ్యే ఎంపిక వ్యక్తీకరణ, ఏ ఫిల్టర్ వాటిని తిరిగి రాయదు, కాబట్టి ఉద్దేశ్యం లేని ధృవపత్రం తిరిగి నమోదు ద్వారా వెళ్లాలి.

వినియోగదారు ధృవపత్రాల EAP కాన్ఫిగరేషన్‌ను యంత్ర ధృవపత్ర ఫిల్టరింగ్ నుండి వేరుగా ఉంచండి, ఎందుకంటే అవి వేర్వేరు ప్రదేశాలలో ఉంటాయి మరియు ఒకదానిలో మార్పు మరొకదానిలోని వైఫల్యాన్ని అరుదుగా వివరిస్తుంది. ప్రొఫైల్ డొమైన్‌కు లేదా పరికర నిర్వహణకు చెందినదా అని కూడా తనిఖీ చేయండి, ఎందుకంటే స్థానిక సవరణ తదుపరి విధాన రిఫ్రెష్‌లో ఎవరూ యంత్రాన్ని తాకకుండానే భర్తీ కావచ్చు.

క్లయింట్ ఏ ధృవపత్రాన్ని అందించిందో నిరూపించండి

కొత్త కనెక్షన్ ఏర్పాటు చేసి, ఉద్దేశించిన గుర్తింపు కోసం క్లయింట్ మరియు సర్వర్ ప్రామాణీకరణ సాక్ష్యాలను చదవండి. ఫిల్టర్లను ఒకటి కంటే ఎక్కువ ధృవపత్రాలు నెరవేర్చినప్పుడు, ఫలితం పిన్ చేసిన ఆకు కాదు, చిన్న సమూహం, కాబట్టి తదుపరి ప్రయత్నం మరో సభ్యుడిని ఎంచుకోవచ్చు. ఆ సాక్ష్యాలలో కనిపించే వేలిముద్రను గుర్తించి, నిల్వ నుండి నమోదు చేసిన దానితో పోల్చండి.

విజయవంతమైన ఆదేశం విజయవంతమైన ప్రామాణీకరణ కాదు. నమోదు చేయదగిన ఫలితం ఏమిటంటే, ఉద్దేశించిన ధృవపత్రం నిర్వహిత విధానం కింద ప్రామాణీకరిస్తోంది, అదే సమయంలో సంబంధం లేని ప్రతి ధృవపత్రం దానిపై ఆధారపడే సేవలకు అందుబాటులో ఉంటుంది. రెండు ఫిల్టర్ల తర్వాత కూడా వైఫల్యం కొనసాగితే, తదుపరి చూడాల్సిన ప్రదేశం మొత్తం ప్రొఫైల్ కాదు, మిగిలిన అభ్యర్థులు.