Bir Azure Point-to-Site istemci sertifikası nasıl iptal edilir

Bir Azure Point-to-Site istemcisini iptal etmek, parmak izini ağ geçidinin iptal edilenler listesine eklemek demektir. Güvenilen kökü silmek demek değildir. Kök, bugüne kadar verdiğiniz her istemci sertifikasının veren kuruluşudur, bu nedenle onu kaldırmak çok daha büyük etkiye sahip başka bir işlemdir. Buradaki iptal birimi tek bir sertifikadır.

Adım 1: Hangi sertifikayı kastettiğinizi netleştirin

Görünen adla değil, sertifika kaydıyla başlayın. Azure kendi yazdığınız dostane bir ad gösterir ve bu etiketin konuyla veya sertifikanın verildiği cihazla eşleşmesi gerekmez.

İptal etmeden önce bir kontrol daha: kaç cihazın bunu sunduğunu öğrenin. Birden fazla dizüstü aynı PFX'in kopyalarından oluşturulduysa, parmak izini iptal etmek hepsini kilitler ve Azure kaybolanı çekmecedeki yedekten ayıramaz.

İstemcide Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter o kullanıcı için neyin yüklü olduğunu listeler ve Cert:\LocalMachine\My da kontrol edilmeye değer çünkü VPN istemcisi iki depodan herhangi birini seçebilir. Parmak izini kayıt envanterinizle karşılaştırın. Yenilenen sertifikanın konusu aynı olsa bile parmak izi farklıdır.

Genel bir sertifikanın parmak izini okumak için istemcinin özel anahtarına veya parola korumalı bir PFX'e ihtiyacınız yoktur. Bunlardan birini talep eden her prosedür başka bir görevden kopyalanmıştır.

Adım 2: Ağ geçidinin iptal edilenler listesine ekleyin

Portalda sanal ağ geçidini, ardından Point-to-site yapılandırmasını, ardından iptal edilen sertifikalar bölümünü açın. Altı ay sonra tanıyacağınız dostane bir ad ekleyin ve parmak izini boşluklar kaldırılmış tek bir kesintisiz dize olarak yapıştırın.

Kaydetmeden önce hangi ağ geçidinin seçili olduğunu kontrol edin, çünkü birden fazla ağ geçidi olan abonelik tam da bunun ters gittiği yerdir. Microsoft sertifika yapılandırma kılavuzu güncelleme tamamlandıktan sonra sertifikanın artık bağlanmak için kullanılamayacağını belirtir.

Ardından portal bildirimine güvenmek yerine kaydedilen değeri doğrulayın: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" ağ geçidinin gerçekte ne tuttuğunu gösterir.

Adım 3: Her iki yönü doğrulayın

İptal edilen sertifikayla reddi test edin, ardından aynı kök altındaki başka bir sertifikanın hâlâ kimlik doğruladığını test edin. İnsanların atladığı tam da bu ikinci testtir ve kökün kazara kaldırılmasını ya da kimsenin bahsetmediği bir ilke değişikliğini yakalayan da odur. Hangi sertifikanın sunulduğunu görebildiğiniz bir cihaz kullanın. Birden fazla sertifika taşıyan bir istemci sessizce çalışan birini kullanıp iptalinizi bozuk gösterebilir.

Her iki sonucu da bilete kaydedin. Yalnızca ret yönünde doğrulanan bir iptal yarı yarıya doğrulanmıştır.

Adım 4: Zaten açık oturumlar

Belgelenen sonuç yeni bağlantılarla ilgilidir. Listeyi kaydedildiği saniyede her mevcut tünelin düşeceği vaadine kadar genişletmeyin. Anında kaldırma önemliyse, dağıtılmış yapılandırmanızın gerçekten sunduğu denetimleri kullanın ve varsaymak yerine belirli oturumu denetleyin.

Bunu kimlik doğrulamadan ayrı test edin, çünkü ikisi farklı yerlerde başarısız olur ve farklı kanıtlar bırakır.

Geri alma ve kaçınılması gereken kısayollar

Geri alma, parmak izini iptal edilenler listesinden kaldırmak ve aynı güncellemenin bitmesini beklemek demektir. Yanlış girişi iptal ettiğinizde bu güvenlidir, sertifika gerçekten ele geçirildiğinde ise tehlikelidir, bu yüzden önce hangi durumda olduğunuza karar verin. Güvenilen kökü silmek kaybolan tek bir dizüstü için kısayol değildir. Tek bir makinedeki yerel VPN profilini silmek herhangi bir ağ geçidinin ne kabul ettiğini değiştirmez.

Kimlik ikinci bir ağ geçidinde de kimlik doğrularsa, ikisi de aynı muameleye ihtiyaç duyar. İptal edilenler listesi aboneliğe değil, bir ağ geçidine aittir.