Cách thu hồi một chứng chỉ máy khách Azure Point-to-Site

Thu hồi một máy khách Azure Point-to-Site nghĩa là thêm dấu vân tay của nó vào danh sách thu hồi của cổng. Điều đó không có nghĩa là xóa chứng chỉ gốc tin cậy. Gốc là nhà phát hành của mọi chứng chỉ máy khách bạn từng cấp, nên xóa nó là một thao tác khác với phạm vi ảnh hưởng lớn hơn nhiều. Đơn vị thu hồi ở đây là một chứng chỉ duy nhất.

Bước 1: Xác định chính xác chứng chỉ bạn muốn nói đến

Bắt đầu từ bản ghi chứng chỉ, không phải từ tên hiển thị. Azure hiển thị một tên thân thiện do chính bạn nhập, và nhãn đó không nhất thiết phải khớp với chủ thể hay thiết bị mà chứng chỉ được cấp cho.

Một kiểm tra nữa trước khi thu hồi: tìm hiểu xem có bao nhiêu thiết bị trình bày nó. Nếu nhiều máy tính xách tay được tạo từ bản sao của cùng một PFX, việc thu hồi dấu vân tay sẽ khóa tất cả chúng, và Azure không có cách nào phân biệt chiếc bị mất với chiếc dự phòng trong ngăn kéo.

Trên máy khách, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter liệt kê những gì đã cài đặt cho người dùng đó, và Cert:\LocalMachine\My cũng đáng kiểm tra vì máy khách VPN có thể chọn từ một trong hai kho. So sánh dấu vân tay với danh mục đăng ký của bạn. Một chứng chỉ gia hạn có dấu vân tay khác ngay cả khi chủ thể giống hệt.

Bạn không cần khóa riêng của máy khách hay PFX được bảo vệ bằng mật khẩu để đọc dấu vân tay của chứng chỉ công khai. Bất kỳ quy trình nào yêu cầu một trong hai đều được sao chép từ một nhiệm vụ khác.

Bước 2: Thêm nó vào danh sách thu hồi của cổng

Trong cổng thông tin, mở cổng mạng ảo, rồi cấu hình Point-to-site, rồi phần chứng chỉ đã thu hồi. Thêm một tên thân thiện mà bạn sẽ nhận ra sau sáu tháng và dán dấu vân tay thành một chuỗi liên tục duy nhất không có dấu cách.

Kiểm tra cổng nào đang được chọn trước khi lưu, vì đăng ký có nhiều cổng chính là nơi việc này sai. Hướng dẫn cấu hình chứng chỉ của Microsoft nêu rằng sau khi bản cập nhật hoàn tất, chứng chỉ không còn được dùng để kết nối nữa.

Sau đó xác nhận giá trị đã lưu thay vì tin vào thông báo của cổng thông tin: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" hiển thị những gì cổng thực sự lưu giữ.

Bước 3: Xác minh cả hai hướng

Kiểm tra việc từ chối với chứng chỉ đã thu hồi, rồi kiểm tra rằng một chứng chỉ khác dưới cùng gốc vẫn xác thực. Chính bài kiểm tra thứ hai đó là thứ mọi người bỏ qua, và nó là thứ bắt được việc xóa gốc vô tình hoặc thay đổi chính sách mà không ai đề cập. Dùng một thiết bị mà bạn có thể thấy chứng chỉ nào đang được trình bày. Một máy khách giữ nhiều chứng chỉ có thể âm thầm dùng một chứng chỉ hoạt động và khiến việc thu hồi của bạn trông như hỏng.

Ghi cả hai kết quả vào phiếu. Một lần thu hồi chỉ được xác minh theo hướng từ chối là mới xác minh một nửa.

Bước 4: Các phiên đã mở

Kết quả được ghi nhận liên quan đến các kết nối mới. Đừng kéo nó thành lời hứa rằng mọi đường hầm hiện có sẽ rớt ngay giây phút danh sách được lưu. Nếu việc xóa ngay lập tức quan trọng, hãy dùng các điều khiển mà cấu hình đã triển khai của bạn thực sự cung cấp và kiểm tra phiên cụ thể thay vì giả định.

Kiểm tra điều đó tách biệt với xác thực, vì cả hai thất bại ở những nơi khác nhau và để lại bằng chứng khác nhau.

Khôi phục và những lối tắt cần tránh

Khôi phục nghĩa là xóa dấu vân tay khỏi danh sách thu hồi và chờ bản cập nhật tương tự hoàn tất. Điều đó an toàn khi bạn thu hồi sai mục và nguy hiểm khi chứng chỉ thực sự bị xâm phạm, nên hãy quyết định trước bạn đang ở trường hợp nào. Xóa chứng chỉ gốc tin cậy không phải lối tắt cho một máy tính xách tay bị mất. Xóa một hồ sơ VPN cục bộ trên một máy không thay đổi điều mà bất kỳ cổng nào chấp nhận.

Nếu danh tính cũng xác thực trên cổng thứ hai, cả hai đều cần cách xử lý như nhau. Danh sách thu hồi thuộc về một cổng, không thuộc về đăng ký.