Windows VPN qaysi mashina sertifikatini taklif qiladi?

Sertifikatlar o‘rnatilgan, shaxsiy kalitlar mavjud va tunnel baribir autentifikatsiyada muvaffaqiyatsizlikka uchraydi. Bir nechta sertifikatga ega mashina VPN ga hech kim ko‘zda tutmagan nomzodni taqdim etishi mumkin va mijoza shlyuz qaysi birini qabul qilishini bilishning hech qanday yo‘li yo‘q. Qolganlarini o‘chirish mashinadagi har bir xizmat uchun oqibatlari bo‘lgan tanlov siyosatidir. Buning o‘rniga munosib to‘plamni toraytiring, so‘ngra aslida qaysi sertifikat taqdim etilganini tasdiqlang.

Bir nechta sertifikat, bittasi taklif etilgan

Mashina sertifikati bilan autentifikatsiyalanadigan Windows ning mahalliy VPN profillari nomzodlarni cheklovchi ikkita filtrni taqdim etadi: beruvchi filtri va kengaytirilgan kalit ishlatish filtri. Ular mijoza tanlashi mumkin bo‘lgan to‘plamni kichraytiradi. Ular noo‘rin sertifikatni tuzatmaydi va qolganini server qabul qilishiga kafolat bermaydi. Bu chegara o‘zgarishlar jurnaliga yozishga arziydi, chunki keyingi o‘quvchi filtr aslida qaror qilganidan ko‘proq qaror qilgan deb o‘ylaydi.

Ular hal qiladigan nosozlik tor va aniqdir. Noto‘g‘ri organ tomonidan berilgan amaldagi sertifikat yoki shlyuz qabul qilmaydigan maqsad uchun berilgan sertifikat ko‘zda tutilganidan oldin tanlanadi, bu esa sog‘lom ombor yonida autentifikatsiya nosozligini keltirib chiqaradi. Ikki filtr buni mulohaza yuritish uchun yetarlicha kichik to‘plamga aylantiradi va bu sahifaning qolgan qismi ularni tartib bilan qo‘llaydi.

Profilni tahrirlashdan oldin omborni tekshiring

Nomzodlarni va ularning xossalarini profil aslida ishlatadigan omborda ro‘yxatlang. Bu yerda hech narsa shaxsiy kalitni eksport qilmaydi va hech bir sertifikat mashinadan chiqishi shart emas:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Qaror bog‘liq bo‘lgan xossalar uchun chiqishni o‘qing: ishlatsa bo‘ladigan shaxsiy kalit, maqbul amal qilish muddati, ko‘zda tutilgan beruvchi va kengaytmadagi maqsadlar. Sertifikat bir vaqtning o‘zida mavjud, to‘g‘ri ro‘yxatga olingan va bu ulanish uchun foydasiz bo‘lishi mumkin. Barmoq izi ustuni keyinroq solishtiradigan ustundir, shuning uchun chiqishni saqlang.

Tahrirlashdan oldin profilni va uning qamrovini tasdiqlang, chunki LocalMachine ichidagi mashina sertifikati, foydalanuvchining EAP-TLS sertifikati va ilovaning o‘z shaxsiy kalit ombori uch xil kontekstdir. Boshqariladigan profil o‘sha yerda bo‘lsa, barcha foydalanuvchilar qamrovidan va ma’muriy kontekstdan foydalaning. O‘xshash nomli ikkinchi profil yaratish ulanish aslida qaysi konfiguratsiyadan foydalanishini yashiradi.

Beruvchi filtri obyekt talab qiladi

Beruvchi parametri sertifikat obyektini kutadi, ko‘rsatiladigan nomni emas va yalang‘och barmoq izi satrini ham emas. Tasdiqlangan organ sertifikatini siz tekshirgan yo‘ldan, u tegishli bo‘lgan omborga taqdim eting:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Mijozning o‘z barg sertifikatini, o‘xshash subyektli boshqa organni yoki yangi yaratilgan ildizni faqat parametr turi qabul qilgani uchun almashtirmang. Ikki organ bir xil subyekt satrini baham ko‘rishi mumkin, va shuning uchun obyekt matndan muhimroqdir. Microsoft cmdlet ma’lumotnomasi ikkala kiritish turini hujjatlashtiradi va uni birinchi tahrirdan oldin o‘qishga arziydi, muvaffaqiyatsiz urinishdan keyin emas.

Ishlatish filtri OID satrini talab qiladi

Kengaytirilgan kalit ishlatish parametri OID satrlarini oladi va mijoz autentifikatsiyasining maqsadi 1.3.6.1.5.5.7.3.2. Uni qo‘llash nomzodlarni shu maqsadni olib yuruvchi sertifikatlar bilan cheklaydi, bu esa mijoz autentifikatsiyali joylashtirish xohlagan narsadir:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Qiymat massiv, shuning uchun bir nechta maqsad kerak bo‘lgan joylashtirish ularni ro‘yxat sifatida beradi. Filtr qila olmaydigan narsa sertifikatga maqsad qo‘shishdir: bu imzolangan kengaytmalarga nisbatan baholanadigan tanlov ifodasidir va hech bir filtr ularni qayta yozmaydi, shuning uchun maqsadi yetishmayotgan sertifikat ro‘yxatga olishdan yana o‘tishi kerak.

Foydalanuvchi sertifikatlarining EAP konfiguratsiyasini mashina sertifikatlari filtrlashdan alohida saqlang, chunki ular turli joylarda yashaydi va biridagi o‘zgarish ikkinchisidagi nosozlikni kamdan-kam tushuntiradi. Shuningdek profil domenga yoki qurilmalar boshqaruviga tegishlimi, shuni tekshiring, chunki mahalliy tahrir keyingi siyosat yangilanishida hech kim mashinaga tegmasdan almashtirilishi mumkin.

Mijoz qaysi sertifikatni taqdim etganini isbotlang

Yangi ulanish o‘rnating va ko‘zda tutilgan shaxs uchun mijoz va server autentifikatsiya dalillarini o‘qing. Filtrlarni birdan ortiq sertifikat qanoatlantirsa, natija qadab qo‘yilgan barg emas, kichikroq to‘plam bo‘ladi, shuning uchun keyingi urinish boshqa a’zoni tanlashi mumkin. O‘sha dalillarda ko‘rinadigan barmoq izini yozib oling va ombordan yozib olganingiz bilan solishtiring.

Muvaffaqiyatli buyruq muvaffaqiyatli autentifikatsiya emas. Yozishga arziydigan natija — ko‘zda tutilgan sertifikat boshqariladigan siyosat ostida autentifikatsiyadan o‘tishi, har bir aloqasiz sertifikat esa unga bog‘liq xizmatlar uchun ochiq qolishi. Agar nosozlik ikkala filtrlardan keyin ham saqlanib qolsa, keyingi qaraladigan joy butun profil emas, qolgan nomzodlardir.