SSTP اور IKEv2 مختلف RRAS سرٹیفکیٹ کنٹرولز استعمال کرتے ہیں

اگر «VPN سرٹیفکیٹ» بدل دیں تو ممکن ہے غلط سروس تبدیل کر دیں۔ RRAS کم از کم تین سرٹیفکیٹ کنٹرول رکھتا ہے اور ان میں سے ہر ایک مختلف پروٹوکول اور مختلف کنکشن کردار سے تعلق رکھتا ہے۔ پہلے پروٹوکول کا نام لینا خطرناک اندازے کو ایک ہی قابلِ واپسی بائنڈنگ تبدیلی میں بدل دیتا ہے۔ نیچے سب کچھ اسی ایک جملے پر منحصر ہے۔

سرٹیفکیٹ سے پہلے پروٹوکول کا نام لیں

SSTP سننے والا HTTPS جیسا برتاؤ کرنے والے کلائنٹ کو TLS سرٹیفکیٹ پیش کرتا ہے۔ آنے والا سائٹ سے سائٹ IKEv2 کنکشن سرور کی شناخت کا اعلان کرتا ہے اور ساتھیوں کے سرٹیفکیٹ قابلِ اعتماد جڑ کے خلاف جانچتا ہے۔ فی انٹرفیس سائٹ سے سائٹ تعریف اپنی الگ مشین شناخت رکھتی ہے۔

یہ تین دائرہ کاروں والے تین کنٹرول ہیں۔ انہیں آپس میں ملانا ایسی تبدیلی پیدا کرتا ہے جو ایک پروٹوکول پر کام کرتی دکھتی ہے اور دوسرے پر کوئی اثر نہیں رکھتی، جو کسی واضح ناکامی سے بھی بدتر ہے۔ کسی چیز کو چھونے سے پہلے لکھ لیں کہ کون سا پروٹوکول ناکام ہوا، کس جانب نے سرٹیفکیٹ پیش کیا اور کس جانب نے اسے مسترد کیا۔

SSTP ایک HTTPS بائنڈنگ ہے

معاون Remote Access تعیناتیوں میں Set-RemoteAccess وہ SslCertificate پیرامیٹر فراہم کرتا ہے جو SSTP کنیکٹیویٹی اور HTTPS سے متعلق DirectAccess کردار کے لیے استعمال ہوتا ہے۔

اس کی توثیق اور تعیناتی کا دائرہ Remote Access کنفیگریشن کی پیروی کرتا ہے، اس لیے ایک بائنڈنگ تبدیلی ایک سے زیادہ کنکشن یا نوڈ تک پہنچ سکتی ہے۔ لوڈ بیلنس شدہ تعیناتی میں یہ دائرہ ہر اس نوڈ کو شامل کرتا ہے جسے کنفیگریشن ڈھانپتی ہے۔ ایک نوڈ بدلنا اور ایک کلائنٹ جانچنا باقی سب کو پرانا پتا پیش کرنے پر چھوڑ دیتا ہے، اور یہی وہ آدھی تبدیلی ہے جو دیکھ بھال کی ونڈو سے بچ جاتی ہے۔

اپ ڈیٹ سے پہلے متوقع سروس نام، زنجیر، مدتِ اعتبار، مطلوبہ استعمال اور نجی کلید کی دستیابی کی تصدیق کریں۔ سرٹیفکیٹ کو اس نام سے مطابقت رکھنی چاہیے جو کلائنٹ جانچے گا، اور اڈاپٹر کا لیبل وہ نام نہیں ہے۔

آنے والے IKEv2 کا اپنا پیرامیٹر ہے

Set-VpnAuthProtocol آنے والی سائٹ سے سائٹ IKEv2 تصدیق کو کنفیگر کرتا ہے، اور CertificateAdvertised سرٹیفکیٹ فراہم کرتا ہے جب ٹنل تصدیق کا موڈ انہیں استعمال کرتا ہے۔ یہ میزبان پر کوئی بھی سرور سرٹیفکیٹ منتخب کرنے کا عام حکم نہیں ہے۔

دو اشیاء کو الگ رکھیں: وہ پتا جو سرور اپنی شناخت کے طور پر پیش کرتا ہے، اور وہ جڑ جو وہ ساتھیوں کے سرٹیفکیٹ قبول کرنے کے لیے استعمال کرتا ہے۔ یہ چننا کہ آپ کس جاری کنندہ پر بھروسا کرتے ہیں، اس بارے میں کچھ نہیں کہتا کہ سرور کون سا پتا پیش کرتا ہے۔

کسی انفرادی سائٹ سے سائٹ انٹرفیس کی شناخت Set-VpnS2SInterface کے ذریعے مقرر ہوتی ہے۔ یہ خودکار طور پر SSTP سرٹیفکیٹ نہیں ہے، چاہے دونوں ایک ہی مشین پر ایک ہی اسٹور میں ہوں۔

پہلے امیدوار کا معائنہ کریں

مقامی مشین کے اسٹور کا مرکوز منظر عوامی میٹاڈیٹا دکھاتا ہے بغیر کوئی نجی چیز برآمد کیے:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

یہ فہرست نقطہ آغاز ہے، اہلیت کا امتحان نہیں۔ اس پروٹوکول کے لیے SAN اندراجات، توسیع شدہ کلید کے استعمالات، زنجیر اور سروس اکاؤنٹ کی نجی کلید تک رسائی کا معائنہ کریں جسے آپ کنفیگر کر رہے ہیں۔

غیر متعلقہ کلاؤڈ کلائنٹ شناخت کے لیے نصب سرٹیفکیٹ صرف اس لیے موزوں نہیں کہ وہ اسی اسٹور میں نظر آتا ہے۔ نظر آنا اہلیت نہیں، اور اسکرین شاٹ میں موجود فنگر پرنٹ اس بارے میں کچھ ثابت نہیں کرتا کہ سروس اکاؤنٹ کلید پڑھ سکتا ہے یا نہیں۔ اس رسائی کی واضح طور پر جانچ کریں، کیونکہ کلید کی اجازت کی کمی صرف اس وقت ظاہر ہوتی ہے جب سروس دوبارہ شروع ہو اور سرٹیفکیٹ استعمال کرنے کی کوشش کرے۔

موجودہ بائنڈنگ درج کریں اور اسے بدلنے سے پہلے تصدیق کریں کہ آپ میزبان تک کسی اور طریقے سے اب بھی پہنچ سکتے ہیں۔ بحالی کا راستہ تبدیلی کا حصہ ہے، نہ کہ اس کے بعد آنے والے واقعے کا۔

تجدید، فعال سازی نہیں

سرٹیفکیٹ دوبارہ جاری کرنا چلتی سروس کے لیے اسے منتخب کرنے سے مختلف عمل ہے۔ نیا پتا مطلوبہ DNS شناخت برقرار رکھ سکتا ہے اور پھر بھی مختلف فنگر پرنٹ رکھ سکتا ہے، اس لیے بائنڈنگ اپ ڈیٹ ہونے تک کوئی چیز اس کی طرف اشارہ نہیں کرتی۔ تجدید شے کو بدلتی ہے؛ فعال سازی اس کی طرف حوالہ بدلتی ہے۔ ان دونوں کو ملانا ہی وجہ ہے کہ درست طریقے سے تجدید شدہ سرٹیفکیٹ ہفتوں تک غیر استعمال شدہ پڑا رہ سکتا ہے۔

معاون تبدیلی کو مناسب ونڈو میں لاگو کریں، بشمول کسی بھی دستاویزی ری اسٹارٹ، پھر مطلوبہ پروٹوکول کے تازہ کنکشن سے سرٹیفکیٹ کا معائنہ کریں۔ کیش شدہ کلائنٹ سیشن اب بھی پرانا پتا دکھا سکتا ہے اور درست تبدیلی کو خراب دکھا سکتا ہے۔

پچھلا سرٹیفکیٹ صرف اس جانچ کے گزرنے کے بعد معمول کے عمل سے ریٹائر کریں۔ Set-RemoteAccess حوالہ SSL پیرامیٹر کا دائرہ کار دستاویز کرتا ہے، بشمول لوڈ بیلنس شدہ تعیناتیوں میں اس کا اثر، اور یہی وہ حصہ ہے جو بائنڈنگ تبدیلی سے پہلے پڑھنے کے قابل ہے۔