SSTP va IKEv2 turli RRAS sertifikat boshqaruvlaridan foydalanadi

«VPN sertifikatini» almashtirsangiz, noto'g'ri xizmatni o'zgartirishingiz mumkin. RRAS kamida uchta sertifikat boshqaruvini saqlaydi va ularning har biri boshqa protokolga va boshqa ulanish roliga tegishli. Avval protokolni nomlash xavfli taxminni bitta qaytariladigan bog'lanish o'zgarishiga aylantiradi. Quyidagi hamma narsa shu bitta gapga bog'liq.

Protokolni sertifikatdan oldin nomlang

SSTP tinglovchisi HTTPS kabi xatti-harakat qiladigan mijozga TLS sertifikatini taqdim etadi. Kiruvchi sayt-sayt IKEv2 ulanishi server identifikatorini e'lon qiladi va hamkor sertifikatlarini ishonchli ildizga qarshi tekshiradi. Har bir interfeys uchun sayt-sayt ta'rifi o'z mashina identifikatorini olib yuradi.

Bular uch qamrovli uchta boshqaruvdir. Ularni aralashtirish bir protokolda ishlayotgandek ko'rinadigan, ikkinchisiga esa hech qanday ta'sir ko'rsatmaydigan o'zgarish keltiradi, bu esa aniq nosozlikdan ham yomonroq. Biror narsaga tegishdan oldin qaysi protokol ishlamaganini, qaysi tomon sertifikatni taqdim etganini va qaysi tomon uni rad etganini yozib oling.

SSTP — HTTPS bog'lanishi

Qo'llab-quvvatlanadigan Remote Access joylashtirishlarida Set-RemoteAccess SSTP ulanishi va HTTPS bilan bog'liq DirectAccess roli uchun ishlatiladigan SslCertificate parametrini taqdim etadi.

Uning tekshirish va joylashtirish qamrovi Remote Access konfiguratsiyasiga mos keladi, shuning uchun bitta bog'lanish o'zgarishi bir nechta ulanish yoki tugunga yetishi mumkin. Yukni muvozanatlashgan joylashtirishda bu qamrov konfiguratsiya qamrab olgan har bir tugunni o'z ichiga oladi. Bitta tugunni o'zgartirib, bitta mijozni sinab ko'rish qolganlarining eski varaqni taqdim etishiga olib keladi va bu texnik xizmat oynasidan omon o'tadigan yarim o'zgarishdir.

Yangilashdan oldin kutilayotgan xizmat nomini, zanjirni, amal qilish muddatini, mo'ljallangan foydalanishni va shaxsiy kalitning mavjudligini tekshiring. Sertifikat mijoz tekshiradigan nomga mos kelishi kerak va adapter yorlig'i bu nom emas.

Kiruvchi IKEv2ning o'z parametri bor

Set-VpnAuthProtocol kiruvchi sayt-sayt IKEv2 autentifikatsiyasini sozlaydi va CertificateAdvertised tunnel autentifikatsiya rejimi ulardan foydalanganda sertifikat beradi. Bu hostdagi istalgan server sertifikatini tanlash uchun umumiy buyruq emas.

Ikki ob'ektni alohida saqlang: server o'z identifikatori sifatida taqdim etadigan varaq va u hamkor sertifikatlarini qabul qilish uchun ishlatadigan ildiz. Qaysi beruvchiga ishonishni tanlash server qaysi varaqni taqdim etishi haqida hech narsa demaydi.

Alohida sayt-sayt interfeysining identifikatori Set-VpnS2SInterface orqali o'rnatiladi. Ikkalasi ham bir mashinadagi bir omborda bo'lsa ham, bu avtomatik ravishda SSTP sertifikati emas.

Avval nomzodni ko'rib chiqing

Mahalliy mashina omborining maqsadli ko'rinishi hech qanday shaxsiy narsani eksport qilmasdan ommaviy metama'lumotlarni ko'rsatadi:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Bu ro'yxat boshlang'ich nuqta, muvofiqlik testi emas. Sozlayotgan protokolingiz uchun SAN yozuvlarini, kengaytirilgan kalit foydalanishlarini, zanjirni va xizmat hisobining shaxsiy kalitga kirishini ko'rib chiqing.

Aloqasiz bulut mijozi identifikatori uchun o'rnatilgan sertifikat faqat bir omborda ko'ringani uchun mos emas. Ko'rinuvchanlik moslik emas va ekran tasviridagi barmoq izi xizmat hisobi kalitni o'qiy olishi haqida hech narsani isbotlamaydi. Bu kirishni aniq tekshiring, chunki kalit ruxsatining yo'qligi faqat xizmat qayta ishga tushganda va sertifikatdan foydalanishga harakat qilganda namoyon bo'ladi.

Joriy bog'lanishni yozib oling va uni o'zgartirishdan oldin hostga hali ham boshqa yo'l bilan kira olishingizni tasdiqlang. Tiklash yo'li o'zgarishga tegishli, keyingi hodisaga emas.

Yangilash faollashtirish emas

Sertifikatni qayta chiqarish uni ishlab turgan xizmat uchun tanlashdan boshqa harakatdir. Yangi varaq mo'ljallangan DNS identifikatorini saqlab qolishi va baribir boshqa barmoq izini olib yurishi mumkin, shuning uchun bog'lanish yangilanmaguncha hech narsa unga ishora qilmaydi. Yangilash ob'ektni o'zgartiradi; faollashtirish unga havolani o'zgartiradi. Ikkalasini aralashtirish to'g'ri yangilangan sertifikatning haftalar davomida foydalanilmasdan qolishining sababidir.

Qo'llab-quvvatlanadigan o'zgarishni mos oynada, hujjatlashtirilgan qayta ishga tushirishni ham qo'shgan holda qo'llang, so'ng sertifikatni mo'ljallangan protokolning yangi ulanishidan ko'rib chiqing. Keshlangan mijoz sessiyasi hali ham eski varaqni ko'rsatishi va to'g'ri o'zgarishni buzilgandek ko'rsatishi mumkin.

Oldingi sertifikatni faqat shu tekshiruv o'tgandan keyin odatiy jarayon orqali foydalanishdan chiqaring. Set-RemoteAccess havolasi SSL parametrining qamrovini, shu jumladan yukni muvozanatlashgan joylashtirishlardagi ta'sirini hujjatlashtiradi va bu bog'lanish o'zgarishidan oldin o'qishga arziydigan qismdir.