วิธีเพิกถอนใบรับรองไคลเอนต์ Azure Point-to-Site หนึ่งใบ

การเพิกถอนไคลเอนต์ Azure Point-to-Site หนึ่งรายหมายถึงการเพิ่มลายนิ้วมือของไคลเอนต์นั้นในรายการเพิกถอนของเกตเวย์ ไม่ได้หมายถึงการลบรากที่เชื่อถือได้ รากคือผู้ออกใบรับรองไคลเอนต์ทุกใบที่คุณเคยออกให้ ดังนั้นการลบรากจึงเป็นการดำเนินการอื่นที่มีผลกระทบกว้างกว่ามาก หน่วยของการเพิกถอนในที่นี้คือใบรับรองเพียงใบเดียว

ขั้นตอนที่ 1: ระบุใบรับรองที่ต้องการให้ชัดเจน

เริ่มจากบันทึกใบรับรอง ไม่ใช่ชื่อที่แสดง Azure แสดงชื่อที่เป็นมิตรซึ่งคุณพิมพ์เอง และป้ายชื่อนั้นไม่จำเป็นต้องตรงกับชื่อเรื่องหรืออุปกรณ์ที่ออกใบรับรองให้

ตรวจอีกครั้งก่อนเพิกถอน: ค้นหาว่ามีกี่อุปกรณ์ที่นำใบรับรองนี้ไปใช้ หากแล็ปท็อปหลายเครื่องสร้างจากสำเนาของ PFX เดียวกัน การเพิกถอนลายนิ้วมือจะล็อกอุปกรณ์เหล่านั้นทั้งหมด และ Azure ไม่มีวิธีแยกเครื่องที่หายไปออกจากเครื่องสำรองในลิ้นชัก

บนไคลเอนต์ Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter จะแสดงรายการสิ่งที่ติดตั้งไว้สำหรับผู้ใช้นั้น และ Cert:\LocalMachine\My ก็ควรตรวจด้วยเพราะ ไคลเอนต์ VPN อาจเลือกจากที่เก็บใดที่หนึ่งในสองที่ เปรียบเทียบลายนิ้วมือกับทะเบียนการลงทะเบียนของคุณ ใบรับรองที่ต่ออายุแล้วมีลายนิ้วมือต่างกันแม้ชื่อเรื่องจะเหมือนกัน

คุณไม่จำเป็นต้องมีคีย์ส่วนตัวของไคลเอนต์หรือ PFX ที่ป้องกันด้วยรหัสผ่านเพื่ออ่านลายนิ้วมือของใบรับรองสาธารณะ ขั้นตอนใดที่เรียกร้องอย่างใดอย่างหนึ่งถูกคัดลอกมาจากงานอื่น

ขั้นตอนที่ 2: เพิ่มใบรับรองในรายการเพิกถอนของเกตเวย์

ในพอร์ทัล เปิดเกตเวย์เครือข่ายเสมือน จากนั้นการกำหนดค่า Point-to-site จากนั้นส่วนใบรับรองที่เพิกถอน เพิ่มชื่อที่เป็นมิตรซึ่งคุณจะจำได้ในอีกหกเดือน แล้ววางลายนิ้วมือเป็นสตริงต่อเนื่องเดียวโดยไม่มีช่องว่าง

ตรวจสอบว่าเลือกเกตเวย์ใดก่อนบันทึก เพราะการสมัครใช้งานที่มีหลายเกตเวย์คือจุดที่เรื่องนี้ผิดพลาดพอดี คู่มือการกำหนดค่าใบรับรอง ของ Microsoft ระบุว่าเมื่อการอัปเดตเสร็จสิ้น จะไม่สามารถใช้ใบรับรองเพื่อเชื่อมต่อได้อีก

ยืนยันค่าที่จัดเก็บในภายหลังแทนการเชื่อถือการแจ้งเตือนของพอร์ทัล: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" จะแสดงสิ่งที่เกตเวย์เก็บไว้จริง

ขั้นตอนที่ 3: ตรวจสอบทั้งสองทิศทาง

ทดสอบการปฏิเสธด้วยใบรับรองที่เพิกถอนแล้ว จากนั้นทดสอบว่าใบรับรองอื่นภายใต้รากเดียวกันยังผ่านการรับรองความถูกต้อง คนมักข้ามการทดสอบที่สองนี้ และนี่คือสิ่งที่จับการลบรากโดยไม่ตั้งใจหรือการเปลี่ยนแปลงนโยบายที่ไม่มีใครกล่าวถึง ใช้อุปกรณ์ที่คุณเห็นได้ว่าใบรับรองใดกำลังถูกนำเสนอ ไคลเอนต์ที่มีใบรับรองหลายใบอาจใช้ใบที่ใช้งานได้อย่างเงียบ ๆ และทำให้การเพิกถอนของคุณดูเหมือนเสีย

บันทึกผลลัพธ์ทั้งสองในตั๋ว การเพิกถอนที่ตรวจสอบเฉพาะทิศทางปฏิเสธถือว่าตรวจสอบครึ่งเดียว

ขั้นตอนที่ 4: เซสชันที่เปิดอยู่แล้ว

ผลลัพธ์ที่บันทึกไว้เกี่ยวกับการเชื่อมต่อใหม่ อย่าขยายเป็นคำสัญญาว่าอุโมงค์ที่มีอยู่ทุกอุโมงค์จะหลุดในวินาทีที่บันทึกรายการ หากการลบทันทีมีความสำคัญ ให้ใช้ตัวควบคุมที่การกำหนดค่าที่ปรับใช้ของคุณมีให้จริง และตรวจสอบเซสชันเฉพาะแทนการสันนิษฐาน

ทดสอบเรื่องนี้แยกจากการรับรองความถูกต้อง เพราะทั้งสองล้มเหลวในตำแหน่งที่ต่างกันและทิ้งหลักฐานต่างกัน

การย้อนกลับ และทางลัดที่ควรหลีกเลี่ยง

การย้อนกลับหมายถึงการลบลายนิ้วมือออกจากรายการเพิกถอนและรอให้การอัปเดตเดียวกันเสร็จสิ้น วิธีนี้ปลอดภัยเมื่อคุณเพิกถอนรายการผิด และอันตรายเมื่อใบรับรองถูกบุกรุกจริง ดังนั้นตัดสินก่อนว่าคุณอยู่ในกรณีใด การลบรากที่เชื่อถือได้ไม่ใช่ทางลัดสำหรับแล็ปท็อปที่หายไปหนึ่งเครื่อง การลบโปรไฟล์ VPN ภายในเครื่องบนเครื่องเดียวไม่ได้เปลี่ยนสิ่งที่เกตเวย์ใดยอมรับ

หากข้อมูลระบุตัวตนยังรับรองความถูกต้องที่เกตเวย์ที่สองด้วย ทั้งสองต้องได้รับการดูแลแบบเดียวกัน รายการเพิกถอนเป็นของเกตเวย์ ไม่ใช่ของการสมัครใช้งาน