SSTP і IKEv2 використовують різні елементи керування сертифікатами RRAS

Якщо замінити «сертифікат VPN», можна змінити не ту службу. RRAS тримає щонайменше три елементи керування сертифікатами, і кожен з них належить іншому протоколу та іншій ролі з'єднання. Якщо спершу назвати протокол, ризиковане припущення перетворюється на одну зворотну зміну прив'язки. Усе нижче залежить від цього одного речення.

Назвіть протокол до сертифіката

Прослуховувач SSTP пред'являє клієнту, який поводиться як HTTPS, сертифікат TLS. Вхідне з'єднання IKEv2 «сайт-сайт» оголошує ідентичність сервера і перевіряє сертифікати партнерів за довіреним коренем. Визначення «сайт-сайт» для інтерфейсу несе власну ідентичність машини.

Це три елементи керування з трьома областями дії. Їх плутанина дає зміну, яка ніби працює на одному протоколі й не діє на іншому, що гірше за очевидний збій. Запишіть, який протокол відмовив, яка сторона пред'явила сертифікат і яка сторона його відхилила, перш ніж щось чіпати.

SSTP — це прив'язка HTTPS

Для підтримуваних розгортань Remote Access Set-RemoteAccess надає параметр SslCertificate, який використовується для підключення SSTP і для ролі DirectAccess, пов'язаної з HTTPS.

Область його перевірки та розгортання визначається конфігурацією Remote Access, тому одна зміна прив'язки може зачепити більше ніж одне підключення або вузол. У розгортанні з балансуванням навантаження ця область включає кожен вузол, який охоплює конфігурація. Зміна одного вузла й перевірка одного клієнта залишають інших зі старим кінцевим сертифікатом, і це саме та половинчаста зміна, яка переживає вікно обслуговування.

Перед оновленням перевірте очікуване ім'я служби, ланцюг, термін дії, призначення та доступність закритого ключа. Сертифікат має відповідати імені, яке перевірить клієнт, а мітка адаптера не є цим іменем.

У вхідного IKEv2 власний параметр

Set-VpnAuthProtocol налаштовує перевірку справжності вхідного IKEv2 «сайт-сайт», а CertificateAdvertised надає сертифікат, коли режим перевірки справжності тунелю їх використовує. Це не загальна команда вибору будь-якого серверного сертифіката на вузлі.

Тримайте окремо два об'єкти: кінцевий сертифікат, який сервер пред'являє як власну ідентичність, і корінь, який він використовує для приймання сертифікатів партнерів. Вибір довіреного видавця нічого не каже про те, який кінцевий сертифікат пред'являє сервер.

Ідентичність окремого інтерфейсу «сайт-сайт» задається через Set-VpnS2SInterface. Це не автоматично сертифікат SSTP, навіть коли обидва лежать в одному сховищі на одній машині.

Спершу вивчіть кандидата

Цілеспрямований перегляд сховища локальної машини показує відкриті метадані, нічого не експортуючи:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Цей список — відправна точка, а не перевірка придатності. Вивчіть записи SAN, розширені способи використання ключа, ланцюг і доступ облікового запису служби до закритого ключа для протоколу, який ви налаштовуєте.

Сертифікат, установлений для сторонньої ідентичності хмарного клієнта, не підходить лише тому, що опинився в тому самому сховищі. Видимість — не придатність, а відбиток на знімку екрана нічого не доводить щодо того, чи може обліковий запис служби прочитати ключ. Перевірте цей доступ явно, бо відсутність дозволу на ключ проявляється лише під час перезапуску служби, коли вона намагається використати сертифікат.

Зафіксуйте поточну прив'язку й підтвердьте, що до вузла все ще можна дістатися іншим шляхом, перш ніж її змінювати. Шлях відновлення належить до зміни, а не до наступного інциденту.

Подовження — не активація

Перевипуск сертифіката — інша дія, ніж його вибір для працюючої служби. Новий кінцевий сертифікат може зберегти потрібну ідентичність DNS і при цьому мати інший відбиток, тож ніщо не вказує на нього, доки прив'язку не оновлено. Подовження змінює об'єкт; активація змінює посилання на нього. Плутанина між ними — причина того, що правильно подовжений сертифікат може тижнями лежати невикористаним.

Застосуйте підтримувану зміну у відповідне вікно, включно з будь-яким задокументованим перезапуском, а потім вивчіть сертифікат із нового підключення потрібного протоколу. Кешований сеанс клієнта може все ще показувати старий кінцевий сертифікат і робити правильну зміну схожою на поломку.

Виводьте попередній сертифікат з експлуатації звичайним порядком лише після успішної перевірки. Довідник Set-RemoteAccess описує область дії параметра SSL, зокрема його вплив у розгортаннях з балансуванням навантаження, — саме цю частину варто прочитати перед зміною прив'язки.