Як відкликати один клієнтський сертифікат Azure Point-to-Site

Відкликати одного клієнта Azure Point-to-Site означає додати його відбиток до списку відкликаних на шлюзі. Це не означає видалити довірений кореневий сертифікат. Кореневий сертифікат є видавцем кожного клієнтського сертифіката, який ви колись видавали, тому його видалення — інша операція з набагато більшим впливом. Одиниця відкликання тут — один сертифікат.

Крок 1: Визначте, який саме сертифікат мається на увазі

Починайте із запису сертифіката, а не з відображуваного імені. Azure показує дружню назву, яку ви ввели самі, і ця мітка не обов'язково має збігатися із суб'єктом або пристроєм, для якого сертифікат видано.

Ще одна перевірка перед відкликанням: з'ясуйте, скільки пристроїв його подають. Якщо кілька ноутбуків створено з копій одного PFX, відкликання відбитка заблокує їх усі, і Azure не може відрізнити втрачений від запасного в шухляді.

На клієнті Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter перелічує те, що встановлено для цього користувача, а Cert:\LocalMachine\My теж варто перевірити, бо клієнт VPN може вибирати з будь-якого з двох сховищ. Порівняйте відбиток з вашою інвентаризацією реєстрації. Оновлений сертифікат має інший відбиток, навіть коли суб'єкт ідентичний.

Вам не потрібні закритий ключ клієнта або PFX, захищений паролем, щоб прочитати відбиток відкритого сертифіката. Будь-яка процедура, що вимагає одне з цього, копійована з іншого завдання.

Крок 2: Додайте його до списку відкликаних на шлюзі

У порталі відкрийте шлюз віртуальної мережі, потім конфігурацію Point-to-site, потім розділ відкликаних сертифікатів. Додайте дружню назву, яку впізнаєте через пів року, і вставте відбиток одним безперервним рядком без пробілів.

Перевірте, який шлюз вибрано, перш ніж зберігати, бо підписка з кількома шлюзами — це саме те місце, де це йде не так. посібник Microsoft з налаштування сертифікатів зазначає, що після завершення оновлення сертифікат більше не можна використовувати для підключення.

Потім підтвердьте збережене значення, а не довіряйте повідомленню порталу: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" показує, що шлюз насправді зберігає.

Крок 3: Перевірте обидва напрямки

Перевірте відмову з відкликаним сертифікатом, потім перевірте, що інший сертифікат під тим самим коренем усе ще автентифікується. Саме цей другий тест люди пропускають, і саме він ловить випадкове видалення кореня або зміну політики, про яку ніхто не згадав. Використовуйте пристрій, на якому видно, який сертифікат подається. Клієнт із кількома сертифікатами може тихо використати робочий і зробити ваш відклик схожим на зламаний.

Запишіть обидва результати в заявку. Відкликання, перевірене лише в напрямку відмови, перевірене наполовину.

Крок 4: Сеанси, які вже встановлені

Документований результат стосується нових підключень. Не розтягуйте його до обіцянки, що кожен наявний тунель обірветься тієї ж секунди, коли список буде збережено. Якщо негайне видалення важливе, використовуйте засоби керування, які справді пропонує ваша розгорнута конфігурація, і перевіряйте конкретний сеанс, а не припускайте.

Перевіряйте це окремо від автентифікації, бо обидва зазнають невдачі в різних місцях і залишають різні сліди.

Відкат і скорочення, яких варто уникати

Відкат означає видалити відбиток зі списку відкликаних і чекати завершення того самого оновлення. Це безпечно, коли ви відкликали неправильний запис, і небезпечно, коли сертифікат справді скомпрометований, тому спершу вирішіть, який це випадок. Видалення довіреного кореня — не скорочення для одного втраченого ноутбука. Видалення локального профілю VPN на одній машині не змінює того, що приймає будь-який шлюз.

Якщо ідентичність також автентифікується на другому шлюзі, обом потрібне однакове ставлення. Список відкликаних належить шлюзу, а не підписці.