Windows VPN hangi makine sertifikasını sunar?

Sertifikalar yüklü, özel anahtarlar mevcut ve tünel yine de kimlik doğrulamada başarısız oluyor. Birden çok sertifika barındıran bir makine, VPN’e kimsenin amaçlamadığı bir aday sunabilir ve istemcinin ağ geçidinin hangisini kabul edeceğini bilmesinin hiçbir yolu yoktur. Diğerlerini silmek, makinedeki her hizmet için sonuçları olan bir seçim politikasıdır. Bunun yerine uygun kümeyi daraltın, ardından gerçekte hangi sertifikanın sunulduğunu doğrulayın.

Birkaç Sertifika, Biri Sunuluyor

Makine sertifikası kimlik doğrulaması kullanan yerel Windows VPN profilleri, adayları sınırlayan iki filtre sunar: bir veren filtresi ve bir genişletilmiş anahtar kullanımı filtresi. İstemcinin seçebileceği kümeyi küçültürler. Uygunsuz bir sertifikayı onarmazlar ve kalanı sunucunun kabul edeceğini garanti etmezler. Bu sınırı değişiklik kaydına yazmaya değer, çünkü bir sonraki okuyucu filtrenin gerçekte karar verdiğinden fazlasına karar verdiğini varsayacaktır.

Ele aldıkları arıza dar ve belirlidir. Yanlış yetkili kuruluştan alınmış geçerli bir sertifika ya da ağ geçidinin kabul etmediği bir amaç için düzenlenmiş olan, amaçlananın önünde seçilir ve bu, sağlıklı bir deponun yanında kimlik doğrulama hatası üretir. İki filtre bunu akıl yürütülebilecek kadar küçük bir kümeye dönüştürür ve bu sayfanın geri kalanı bunları sırayla uygular.

Profili düzenlemeden önce depoyu inceleyin

Adayları ve özelliklerini profilin gerçekte kullandığı depoda listeleyin. Burada hiçbir şey özel anahtar dışa aktarmaz ve hiçbir sertifikanın makineden çıkması gerekmez:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Kararın bağlı olduğu özellikler için çıktıyı okuyun: kullanılabilir bir özel anahtar, kabul edilebilir bir geçerlilik penceresi, amaçlanan veren ve uzantıdaki amaçlar. Bir sertifika aynı anda mevcut, doğru kaydedilmiş ve bu bağlantı için yararsız olabilir. Parmak izi sütunu daha sonra karşılaştıracağınız sütundur, bu yüzden çıktıyı saklayın.

Düzenlemeden önce profili ve kapsamını doğrulayın, çünkü LocalMachine içindeki bir makine sertifikası, bir kullanıcı EAP-TLS sertifikası ve bir uygulamanın kendi özel anahtar deposu üç ayrı bağlamdır. Yönetilen profil oradaysa tüm kullanıcılar kapsamını ve yönetici bağlamını kullanın. Benzer adlı ikinci bir profil oluşturmak, bağlantının gerçekte hangi yapılandırmayı kullandığını gizler.

Veren Filtresi Bir Nesne İster

Veren parametresi bir sertifika nesnesi bekler, görünen ad değil ve çıplak bir parmak izi dizesi de değil. Onaylanmış yetkili kuruluşun sertifikasını denetlediğiniz bir yoldan, ait olduğu depoya sağlayın:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

İstemcinin kendi yaprak sertifikasını, benzer konuya sahip başka bir yetkili kuruluşu veya yeni oluşturulmuş bir kökü yalnızca parametre türü kabul ediyor diye değiştirmeyin. İki yetkili kuruluş aynı konu dizesini paylaşabilir, ve bu yüzden nesne metinden daha önemlidir. Microsoft cmdlet başvurusu iki giriş türünü de belgeler ve onu başarısız denemeden sonra değil, ilk düzenlemeden önce okumaya değer.

Kullanım Filtresi Bir OID Dizesi İster

Genişletilmiş anahtar kullanımı parametresi OID dizeleri alır ve istemci kimlik doğrulamasının amacı 1.3.6.1.5.5.7.3.2. Bunu uygulamak adayları bu amacı taşıyan sertifikalarla sınırlar, ki istemci kimlik doğrulamalı bir dağıtımın istediği tam olarak budur:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Değer bir dizidir, bu yüzden birkaç amaca ihtiyaç duyan bir dağıtım bunları liste olarak geçirir. Filtrenin yapamadığı şey bir sertifikaya amaç eklemektir: imzalı uzantılara karşı değerlendirilen bir seçim ifadesidir ve hiçbir filtre bunları yeniden yazmaz, bu yüzden amacı eksik olan sertifikanın kayıttan yeniden geçmesi gerekir.

Kullanıcı sertifikalarının EAP yapılandırmasını makine sertifikalarının filtrelenmesinden ayrı tutun, çünkü farklı yerlerde yaşarlar ve birindeki değişiklik diğerindeki arızayı nadiren açıklar. Profilin etki alanına mı yoksa cihaz yönetimine mi ait olduğunu da kontrol edin, çünkü yerel bir düzenleme bir sonraki ilke yenilemesinde kimse makineye dokunmadan değiştirilebilir.

İstemcinin Hangi Sertifikayı Sunduğunu Kanıtlayın

Yeni bir bağlantı kurun ve amaçladığınız kimlik için istemci ve sunucu kimlik doğrulama kanıtlarını okuyun. Filtreleri birden fazla sertifika karşıladığında sonuç sabitlenmiş bir yaprak değil daha küçük bir havuzdur, bu yüzden sonraki deneme başka bir üyeyi seçebilir. O kanıtlarda görünen parmak izini not edin ve depodan kaydettiğinizle karşılaştırın.

Başarılı bir komut başarılı bir kimlik doğrulama değildir. Kaydetmeye değer sonuç, amaçlanan sertifikanın yönetilen ilke altında kimlik doğrulaması yapması ve ilgisiz her sertifikanın ona bağımlı hizmetler için erişilebilir kalmasıdır. Arıza iki filtreyi de atlatırsa, bundan sonra bakılacak yer tüm profil değil kalan adaylardır.