SSTP ve IKEv2 farklı RRAS sertifika denetimleri kullanır

«VPN sertifikasını» değiştirirseniz yanlış hizmeti değiştirebilirsiniz. RRAS en az üç sertifika denetimi tutar ve her biri farklı bir protokole ve farklı bir bağlantı rolüne aittir. Protokolü önce adlandırmak, riskli bir tahmini tek ve geri alınabilir bir bağlama değişikliğine dönüştürür. Aşağıdaki her şey bu tek cümleye bağlıdır.

Protokolü sertifikadan önce adlandırın

Bir SSTP dinleyicisi, HTTPS gibi davranan bir istemciye TLS sertifikası sunar. Gelen siteden siteye IKEv2 bağlantısı bir sunucu kimliği duyurur ve eş sertifikalarını güvenilen bir köke göre doğrular. Arabirim başına siteden siteye tanım kendi makine kimliğini taşır.

Bunlar üç kapsama sahip üç denetimdir. Bunları karıştırmak, bir protokolde çalışıyor gibi görünen ve diğerinde hiçbir etkisi olmayan bir değişiklik üretir; bu, belirgin bir hatadan daha kötüdür. Bir şeye dokunmadan önce hangi protokolün başarısız olduğunu, hangi tarafın sertifikayı sunduğunu ve hangi tarafın reddettiğini yazın.

SSTP bir HTTPS bağlamasıdır

Desteklenen Remote Access dağıtımlarında Set-RemoteAccess, SSTP bağlantısı ve HTTPS ile ilgili DirectAccess rolü için kullanılan bir SslCertificate parametresi sunar.

Doğrulama ve dağıtım kapsamı Remote Access yapılandırmasını izler, bu nedenle tek bir bağlama değişikliği birden fazla bağlantıya veya düğüme ulaşabilir. Yük dengeli bir dağıtımda bu kapsam, yapılandırmanın kapsadığı her düğümü içerir. Bir düğümü değiştirip bir istemciyi test etmek, geri kalanın eski yaprağı sunmasına yol açar; bu da bir bakım penceresini atlatan türden yarım bir değişikliktir.

Güncellemeden önce beklenen hizmet adını, zinciri, geçerliliği, amaçlanan kullanımı ve özel anahtarın kullanılabilirliğini doğrulayın. Sertifika, istemcinin denetleyeceği adla eşleşmelidir ve bir bağdaştırıcı etiketi bu ad değildir.

Gelen IKEv2'nin kendi parametresi vardır

Set-VpnAuthProtocol gelen siteden siteye IKEv2 kimlik doğrulamasını yapılandırır ve CertificateAdvertised, tünel kimlik doğrulama modu bunları kullandığında bir sertifika sağlar. Bu, ana bilgisayardaki herhangi bir sunucu sertifikasını seçmek için genel bir komut değildir.

İki nesneyi ayrı tutun: sunucunun kendi kimliği olarak sunduğu yaprak ve eş sertifikalarını kabul etmek için kullandığı kök. Hangi verene güvendiğinizi seçmek, sunucunun hangi yaprağı sunduğu hakkında hiçbir şey söylemez.

Tek bir siteden siteye arabirimin kimliği Set-VpnS2SInterface aracılığıyla ayarlanır. Her ikisi de aynı makinedeki aynı depoda olsa bile otomatik olarak SSTP sertifikası değildir.

Önce adayı inceleyin

Yerel makine deposunun odaklı bir görünümü, özel hiçbir şeyi dışa aktarmadan genel üst verileri gösterir:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Bu liste bir başlangıç noktasıdır, uygunluk testi değildir. Yapılandırdığınız protokol için SAN girdilerini, genişletilmiş anahtar kullanımlarını, zinciri ve hizmet hesabının özel anahtara erişimini inceleyin.

İlgisiz bir bulut istemci kimliği için yüklenen bir sertifika, yalnızca aynı depoda göründüğü için uygun değildir. Görünürlük uygunluk değildir ve bir ekran görüntüsündeki parmak izi, hizmet hesabının anahtarı okuyup okuyamadığı konusunda hiçbir şey kanıtlamaz. Bu erişimi açıkça denetleyin, çünkü eksik bir anahtar izni yalnızca hizmet yeniden başlatılıp sertifikayı kullanmaya çalıştığında ortaya çıkar.

Geçerli bağlamayı kaydedin ve değiştirmeden önce ana bilgisayara başka bir yoldan hâlâ ulaşabildiğinizi doğrulayın. Kurtarma yolu değişikliğe aittir, ardından gelen olaya değil.

Yenileme etkinleştirme değildir

Bir sertifikayı yeniden düzenlemek, onu çalışan hizmet için seçmekten farklı bir eylemdir. Yeni yaprak amaçlanan DNS kimliğini koruyabilir ve yine de farklı bir parmak izi taşıyabilir, bu nedenle bağlama güncellenene kadar hiçbir şey ona işaret etmez. Yenileme nesneyi değiştirir; etkinleştirme ona olan başvuruyu değiştirir. İkisini karıştırmak, doğru yenilenmiş bir sertifikanın haftalarca kullanılmadan kalabilmesinin nedenidir.

Desteklenen değişikliği uygun bir pencerede, belgelenmiş herhangi bir yeniden başlatma dâhil uygulayın, ardından sertifikayı amaçlanan protokolün yeni bir bağlantısından inceleyin. Önbelleğe alınmış bir istemci oturumu hâlâ eski yaprağı gösterebilir ve doğru bir değişikliği bozuk gibi gösterebilir.

Önceki sertifikayı yalnızca bu denetim geçtikten sonra normal süreçle devreden çıkarın. Set-RemoteAccess başvurusu, SSL parametresinin kapsamını, yük dengeli dağıtımlardaki etkisi dâhil belgeler; bu da bir bağlama değişikliğinden önce okumaya değer kısımdır.