Aling Sertipiko ng Makina ang Inaalok ng VPN sa Windows?

Nakainstala na ang mga sertipiko, naroon ang mga pribadong key, at nabibigo pa rin ang tunnel sa pagpapatunay. Ang makina na may ilang sertipiko ay maaaring magbigay sa VPN ng kandidatong walang sinuman ang nagtangka, at ang kliyente ay walang paraan para malaman kung alin ang tatanggapin ng gateway. Ang pagbura sa iba ay isang patakaran ng pagpili na may mga kahihinatnan para sa bawat serbisyo sa makina. Paliitin sa halip ang katanggap-tanggap na pangkat, pagkatapos ay kumpirmahin kung aling sertipiko ang tunay na inaalok.

Ilang Sertipiko, Isa ang Inaalok

Ang mga katutubong profile ng VPN sa Windows na may pagpapatunay ng sertipiko ng makina ay naglalantad ng dalawang filter na naglilimita sa mga kandidato: isang filter ng issuer at isang filter ng pinalawig na paggamit ng key. Binabawasan nila ang pangkat kung saan maaaring pumili ang kliyente. Hindi nila inaayos ang hindi angkop na sertipiko, at hindi nila ginagarantiyahan na tatanggapin ng server ang matitira. Ang hangganang iyon ay sulit na isulat sa talaan ng pagbabago, dahil ipagpapalagay ng susunod na mambabasa na mas marami ang pinagpasyahan ng filter kaysa sa aktwal nitong pinagpasya.

Ang kabiguan na tinutugunan nila ay makitid at tiyak. Ang wastong sertipiko mula sa maling awtoridad, o ang inisyu para sa layuning hindi tinatanggap ng gateway, ay pinipili bago ang nilayon, na nagdudulot ng kabiguan sa pagpapatunay sa tabi ng malusog na imbakan. Ginagawa ng dalawang filter na pangkat na sapat ang liit upang pag-isipan, at inilalapat ng natitirang bahagi ng pahinang ito ang mga ito nang sunud-sunod.

Suriin ang Imbakan Bago I-edit ang Profile

Ilista ang mga kandidato at ang kanilang mga katangian sa imbakan na aktwal na ginagamit ng profile. Wala namang nag-e-export ng pribadong key dito, at walang sertipikong kailangang umalis sa makina:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Basahin ang output para sa mga katangiang nakasalalay ang desisyon: isang magagamit na pribadong key, isang katanggap-tanggap na panahon ng validity, ang nilayong issuer at ang mga layunin sa extension. Ang isang sertipiko ay maaaring naroon, wastong nakarehistro at walang silbi para sa koneksiyong ito nang sabay. Ang column ng thumbprint ang siyang ihahambing mo mamaya, kaya itago ang output.

Kumpirmahin ang profile at ang saklaw nito bago mag-edit, dahil ang sertipiko ng makina sa LocalMachine, isang sertipiko ng EAP-TLS ng user at isang sariling imbakan ng pribadong key ng aplikasyon ay tatlong magkaibang konteksto. Gamitin ang saklaw ng lahat ng user at isang administratibong konteksto kapag naroon ang pinamamahalaang profile. Ang paggawa ng pangalawang profile na may katulad na pangalan ay nagtatago kung aling configuration ang aktwal na ginagamit ng koneksiyon.

Ang Filter ng Issuer ay Gusto ng Bagay

Inaasahan ng parameter ng issuer ang isang bagay na sertipiko, hindi isang display name at hindi isang hubad na string ng thumbprint. Ibigay ang sertipiko ng aprubadong awtoridad mula sa landas na sinuri mo, sa imbakan kung saan ito nararapat:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Huwag palitan ang sariling leaf certificate ng kliyente, isa pang awtoridad na may katulad na subject, o isang bagong likhang root dahil lamang tinatanggap ito ng uri ng parameter. Maaaring magbahagi ang dalawang awtoridad ng isang string ng subject, at iyon ang dahilan kung bakit mas mahalaga ang bagay kaysa sa teksto. Ang sanggunian ng cmdlet ng Microsoft ay nagdodokumento ng dalawang uri ng input, at sulit itong basahin bago ang unang pag-edit kaysa pagkatapos ng nabigong pagtatangka.

Ang Filter ng Paggamit ay Gusto ng String ng OID

Tumatanggap ng mga string ng OID ang parameter ng pinalawig na paggamit ng key, at ang layunin ng pagpapatunay ng kliyente ay 1.3.6.1.5.5.7.3.2. Ang paglalapat nito ay naglilimita sa mga kandidato sa mga sertipikong nagdadala ng layuning iyon, na siyang gustong makamit ng isang deployment na may pagpapatunay ng kliyente:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Ang halaga ay isang array, kaya ang deployment na nangangailangan ng ilang layunin ay ipinapasa ang mga ito bilang listahan. Ang hindi kayang gawin ng filter ay magdagdag ng layunin sa isang sertipiko: ito ay isang expression ng pagpili na sinusuri laban sa mga pinirmahang extension, at walang filter ang nagsusulat muli ng mga iyon, kaya ang sertipikong kulang sa layunin ay kailangang dumaan muli sa pagpapatala.

Panatilihing hiwalay ang configuration ng EAP ng mga sertipiko ng user mula sa pag-filter ng mga sertipiko ng makina, dahil nakatira sila sa magkaibang lugar at ang pagbabago sa isa ay bihirang nagpapaliwanag ng kabiguan sa isa. Suriin din kung pag-aari ng domain o ng pamamahala ng device ang profile, dahil ang lokal na pag-edit ay maaaring mapalitan sa susunod na pag-refresh ng patakaran nang walang sinumang humipo sa makina.

Patunayan Kung Aling Sertipiko ang Inalok ng Kliyente

Magtatag ng bagong koneksiyon at basahin ang ebidensiya ng pagpapatunay ng kliyente at server para sa nilayong pagkakakilanlan. Kapag higit sa isang sertipiko ang nakakatugon sa mga filter, ang resulta ay isang mas maliit na pangkat sa halip na isang nakapirmeng leaf, kaya ang susunod na pagtatangka ay maaaring pumili ng ibang miyembro. Itala ang thumbprint na lumilitaw sa ebidensiyang iyon at ihambing ito sa naitala mo mula sa imbakan.

Ang matagumpay na utos ay hindi matagumpay na pagpapatunay. Ang resulta na sulit itala ay ang nilayong sertipiko na nagpapatunay sa ilalim ng pinamamahalaang patakaran habang ang bawat hindi kaugnay na sertipiko ay nananatiling magagamit sa mga serbisyong umaasa rito. Kung ang kabiguan ay makaligtas sa dalawang filter, ang natitirang mga kandidato ang susunod na titingnan, hindi ang buong profile.