Windows VPN کون سا مشین سرٹیفکیٹ پیش کرتا ہے؟

سرٹیفکیٹ نصب ہیں، نجی کلیدیں موجود ہیں، اور ٹنل اب بھی تصدیق میں ناکام ہوتا ہے۔ کئی سرٹیفکیٹ رکھنے والی مشین VPN کو ایسا امیدوار دے سکتی ہے جس کا کسی نے قصد نہیں کیا تھا، اور کلائنٹ کے پاس یہ جاننے کا کوئی طریقہ نہیں کہ گیٹ وے کس کو قبول کرے گا۔ باقیوں کو حذف کرنا ایک انتخاب کی پالیسی ہے جس کے اثرات مشین کی ہر سروس پر پڑتے ہیں۔ اس کے بجائے اہل مجموعہ محدود کریں، پھر تصدیق کریں کہ واقعی کون سا سرٹیفکیٹ پیش کیا گیا۔

کئی سرٹیفکیٹ، ایک پیش شدہ

مشین سرٹیفکیٹ کی تصدیق والے مقامی Windows VPN پروفائلز دو فلٹر پیش کرتے ہیں جو امیدواروں کو محدود کرتے ہیں: جاری کنندہ فلٹر اور توسیع شدہ کلید استعمال کا فلٹر۔ یہ اس مجموعہ کو کم کرتے ہیں جس میں سے کلائنٹ منتخب کر سکتا ہے۔ یہ نامناسب سرٹیفکیٹ درست نہیں کرتے، اور یہ ضمانت نہیں دیتے کہ سرور باقی بچنے والے کو قبول کرے گا۔ یہ حد تبدیلی کے ریکارڈ میں لکھنے کے قابل ہے، کیونکہ اگلا قاری فرض کرے گا کہ فلٹر نے اس سے زیادہ فیصلہ کیا جو اس نے کیا۔

یہ جس ناکامی کو حل کرتے ہیں وہ تنگ اور مخصوص ہے۔ غلط اتھارٹی کا درست سرٹیفکیٹ، یا وہ جو ایسے مقصد کے لیے جاری ہوا ہو جسے گیٹ وے قبول نہیں کرتا، مطلوبہ سے پہلے منتخب ہو جاتا ہے، جس سے صحت مند اسٹور کے ساتھ تصدیق کی ناکامی پیدا ہوتی ہے۔ دو فلٹر اسے غور کرنے کے قابل چھوٹے مجموعے میں بدل دیتے ہیں، اور اس صفحے کا بقیہ حصہ انہیں ترتیب سے لاگو کرتا ہے۔

پروفائل میں ترمیم سے پہلے اسٹور کا جائزہ لیں

امیدواروں اور ان کی خصوصیات کو اس اسٹور میں درج کریں جو پروفائل واقعی استعمال کرتا ہے۔ یہاں کوئی چیز نجی کلید برآمد نہیں کرتی، اور کسی سرٹیفکیٹ کو مشین چھوڑنے کی ضرورت نہیں:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

ان خصوصیات کے لیے آؤٹ پٹ پڑھیں جن پر فیصلہ منحصر ہے: قابل استعمال نجی کلید، قابل قبول مدتِ اعتبار، مطلوبہ جاری کنندہ اور ایکسٹینشن میں موجود مقاصد۔ ایک سرٹیفکیٹ بیک وقت موجود، درست طریقے سے رجسٹرڈ اور اس کنکشن کے لیے بیکار ہو سکتا ہے۔ فنگر پرنٹ کالم وہی ہے جس سے آپ بعد میں موازنہ کریں گے، اس لیے آؤٹ پٹ رکھیں۔

ترمیم سے پہلے پروفائل اور اس کے دائرہ کار کی تصدیق کریں، کیونکہ LocalMachine میں موجود مشین سرٹیفکیٹ، صارف کا EAP-TLS سرٹیفکیٹ اور ایپلیکیشن کا اپنا نجی کلید اسٹور تین مختلف سیاق ہیں۔ جب منظم پروفائل وہیں ہو تو تمام صارفین کا دائرہ کار اور انتظامی سیاق استعمال کریں۔ ملتے جلتے نام کے ساتھ دوسرا پروفائل بنانا یہ چھپا دیتا ہے کہ کنکشن واقعی کون سی ترتیب استعمال کرتا ہے۔

جاری کنندہ فلٹر کو آبجیکٹ چاہیے

جاری کنندہ پیرامیٹر سرٹیفکیٹ آبجیکٹ کی توقع کرتا ہے، نہ ظاہری نام اور نہ خالی فنگر پرنٹ سٹرنگ۔ منظور شدہ اتھارٹی کا سرٹیفکیٹ اس راستے سے دیں جس کا آپ نے جائزہ لیا، اس اسٹور میں جہاں وہ رہتا ہے:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

کلائنٹ کا اپنا لیف سرٹیفکیٹ، ملتے جلتے موضوع والی دوسری اتھارٹی، یا نیا بنایا گیا روٹ صرف اس لیے نہ بدلیں کہ پیرامیٹر کی قسم اسے قبول کرتی ہے۔ دو اتھارٹیاں ایک ہی موضوع سٹرنگ بانٹ سکتی ہیں، اور اسی لیے آبجیکٹ متن سے زیادہ اہم ہے۔ Microsoft cmdlet حوالہ دونوں ان پٹ اقسام کی دستاویز کرتا ہے، اور پہلی ترمیم سے پہلے اسے پڑھنا مناسب ہے، ناکام کوشش کے بعد نہیں۔

استعمال فلٹر کو OID سٹرنگ چاہیے

توسیع شدہ کلید استعمال کا پیرامیٹر OID سٹرنگیں لیتا ہے، اور کلائنٹ تصدیق کا مقصد ہے 1.3.6.1.5.5.7.3.2۔ اسے لاگو کرنے سے امیدوار اس مقصد والے سرٹیفکیٹ تک محدود ہو جاتے ہیں، جو کلائنٹ تصدیق والی تعیناتی چاہتی ہے:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

قدر ایک آرے ہے، اس لیے کئی مقاصد کی ضرورت والی تعیناتی انہیں فہرست کے طور پر دیتی ہے۔ فلٹر جو نہیں کر سکتا وہ سرٹیفکیٹ میں مقصد شامل کرنا ہے: یہ انتخاب کا اظہار ہے جس کا اندازہ دستخط شدہ ایکسٹینشنز کے خلاف ہوتا ہے، اور کوئی فلٹر انہیں دوبارہ نہیں لکھتا، اس لیے جس سرٹیفکیٹ میں مقصد نہ ہو اسے دوبارہ رجسٹریشن سے گزرنا ہوگا۔

صارف سرٹیفکیٹ کی EAP ترتیب کو مشین سرٹیفکیٹ کی فلٹرنگ سے الگ رکھیں، کیونکہ وہ مختلف جگہوں پر رہتے ہیں اور ایک میں تبدیلی دوسرے کی ناکامی کو کم ہی بیان کرتی ہے۔ یہ بھی دیکھیں کہ پروفائل ڈومین کی ملکیت ہے یا ڈیوائس مینجمنٹ کی، کیونکہ مقامی ترمیم اگلی پالیسی تازہ کاری میں کسی کے مشین کو چھوئے بغیر بدلی جا سکتی ہے۔

ثابت کریں کہ کلائنٹ نے کون سا سرٹیفکیٹ پیش کیا

نیا کنکشن قائم کریں اور مطلوبہ شناخت کے لیے کلائنٹ اور سرور تصدیق کے شواہد پڑھیں۔ جب ایک سے زیادہ سرٹیفکیٹ فلٹر پورے کرتے ہیں، نتیجہ پن شدہ لیف کے بجائے چھوٹا پول ہوتا ہے، اس لیے اگلی کوشش دوسرا رکن منتخب کر سکتی ہے۔ ان شواہد میں نظر آنے والا فنگر پرنٹ نوٹ کریں اور اسٹور سے درج کیے گئے سے موازنہ کریں۔

کامیاب کمانڈ کامیاب تصدیق نہیں ہے۔ درج کرنے کے قابل نتیجہ یہ ہے کہ مطلوبہ سرٹیفکیٹ منظم پالیسی کے تحت تصدیق کر رہا ہے جبکہ ہر غیر متعلق سرٹیفکیٹ اس پر منحصر خدمات کے لیے دستیاب رہتا ہے۔ اگر ناکامی دونوں فلٹروں کے بعد بھی برقرار رہے، تو اگلی نظر کی جگہ پورا پروفائل نہیں بلکہ باقی امیدوار ہیں۔