Paano bawiin ang isang sertipiko ng kliyente ng Azure Point-to-Site

Ang pagbawi ng isang kliyente ng Azure Point-to-Site ay nangangahulugang pagdaragdag ng fingerprint nito sa listahan ng binawi ng gateway. Hindi ito nangangahulugang pagbubura ng pinagkakatiwalaang root. Ang root ang nag-isyu ng bawat sertipiko ng kliyente na ibinigay mo, kaya ang pag-alis nito ay ibang operasyon na may mas malaking epekto. Ang yunit ng pagbawi dito ay isang sertipiko.

Hakbang 1: Tukuyin kung aling sertipiko ang tinutukoy

Magsimula sa rekord ng sertipiko, hindi sa display name. Nagpapakita ang Azure ng palakaibigang pangalan na ikaw mismo ang nag-type, at ang label na iyon ay hindi kailangang tumugma sa subject o sa device na pinag-isyusan.

Isa pang pagsusuri bago magbawi: alamin kung ilang device ang nagpapakita nito. Kung maraming laptop ang ginawa mula sa mga kopya ng parehong PFX, ang pagbawi sa fingerprint ay naglo-lock sa lahat ng iyon, at walang paraan ang Azure na makilala ang nawala sa reserba sa drawer.

Sa kliyente, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter ay naglilista ng nakainstall para sa user na iyon, at Cert:\LocalMachine\My ay sulit ding suriin dahil maaaring pumili ang kliyente ng VPN mula sa alinman sa dalawang tindahan. Ihambing ang fingerprint sa iyong imbentaryo ng enrollment. Ang na-renew na sertipiko ay may ibang fingerprint kahit pareho ang subject.

Hindi mo kailangan ang private key ng kliyente o PFX na protektado ng password para basahin ang fingerprint ng pampublikong sertipiko. Anumang pamamaraan na nangangailangan ng isa sa mga iyon ay kinopya mula sa ibang gawain.

Hakbang 2: Idagdag ito sa listahan ng binawi ng gateway

Sa portal, buksan ang gateway ng virtual network, pagkatapos ang configuration ng Point-to-site, pagkatapos ang seksyon ng mga binawing sertipiko. Magdagdag ng palakaibigang pangalan na makikilala mo pagkalipas ng anim na buwan at i-paste ang fingerprint bilang isang tuloy-tuloy na string na walang mga puwang.

Suriin kung aling gateway ang napili bago i-save, dahil ang subscription na may maraming gateway ay eksaktong lugar kung saan ito nagkakamali. gabay sa configuration ng sertipiko ng Microsoft ay nagsasaad na kapag nakumpleto ang update, hindi na magagamit ang sertipiko upang kumonekta.

Kumpirmahin pagkatapos ang naka-store na halaga sa halip na magtiwala sa abiso ng portal: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" ay nagpapakita ng aktwal na hawak ng gateway.

Hakbang 3: Beripikahin ang dalawang direksyon

Subukan ang pagtanggi gamit ang binawing sertipiko, pagkatapos subukan na ang ibang sertipiko sa ilalim ng parehong root ay nagpapatunay pa rin. Iyon ang ikalawang pagsubok na nilalaktawan ng mga tao, at iyon ang nakahuli sa aksidenteng pag-alis ng root o pagbabago ng patakaran na walang sinumang binanggit. Gumamit ng device kung saan makikita mo kung aling sertipiko ang ipinapakita. Ang kliyenteng may maraming sertipiko ay maaaring tahimik na gumamit ng gumagana at gawing parang sira ang iyong pagbawi.

Itala ang dalawang resulta sa ticket. Ang pagbawing beripikado lamang sa direksyon ng pagtanggi ay kalahating beripikado.

Hakbang 4: Mga sesyon na nakabukas na

Ang dokumentadong resulta ay tungkol sa mga bagong koneksyon. Huwag itong ituon hanggang sa pangakong babagsak ang bawat umiiral na tunnel sa sandaling i-save ang listahan. Kung mahalaga ang agad na pag-alis, gamitin ang mga kontrol na aktwal na inaalok ng iyong naka-deploy na configuration at suriin ang partikular na sesyon sa halip na ipagpalagay.

Subukan ito nang hiwalay sa authentication, dahil nabigo ang dalawa sa magkaibang lugar at nag-iiwan ng magkaibang ebidensya.

Pag-rollback, at ang mga shortcut na dapat iwasan

Ang pag-rollback ay nangangahulugang alisin ang fingerprint sa listahan ng binawi at hintayin na matapos ang parehong update. Ligtas iyon kapag mali ang binawi mong entry, at mapanganib kapag tunay na nakompromiso ang sertipiko, kaya magpasya muna kung aling kaso ka. Ang pagbura ng pinagkakatiwalaang root ay hindi shortcut para sa isang nawawalang laptop. Ang pagbura ng lokal na profile ng VPN sa isang makina ay hindi nagbabago kung ano ang tinatanggap ng anumang gateway.

Kung ang pagkakakilanlan ay nagpapatunay din sa ikalawang gateway, kailangan ng pareho ang parehong pagtrato. Ang listahan ng binawi ay pag-aari ng isang gateway, hindi ng subscription.