SSTP và IKEv2 dùng các kiểm soát chứng chỉ RRAS khác nhau

Nếu bạn thay thế «chứng chỉ VPN», bạn có thể thay đổi nhầm dịch vụ. RRAS giữ ít nhất ba kiểm soát chứng chỉ, mỗi kiểm soát thuộc một giao thức và một vai trò kết nối khác nhau. Đặt tên giao thức trước biến một phỏng đoán rủi ro thành một thay đổi liên kết duy nhất, có thể đảo ngược. Mọi thứ bên dưới phụ thuộc vào câu duy nhất đó.

Đặt tên giao thức trước chứng chỉ

Một trình lắng nghe SSTP trình bày chứng chỉ TLS cho một máy khách hoạt động như HTTPS. Một kết nối IKEv2 site-to-site đến quảng bá danh tính máy chủ và xác thực chứng chỉ của đối tác dựa trên một gốc tin cậy. Một định nghĩa site-to-site cho mỗi giao diện mang danh tính máy của riêng nó.

Đó là ba kiểm soát với ba phạm vi. Nhầm lẫn chúng tạo ra một thay đổi có vẻ hoạt động trên một giao thức và không có tác dụng trên giao thức kia, điều này còn tệ hơn một lỗi rõ ràng. Hãy ghi lại giao thức nào đã thất bại, bên nào đã trình bày chứng chỉ và bên nào đã từ chối nó trước khi bạn chạm vào bất cứ thứ gì.

SSTP là một liên kết HTTPS

Đối với các triển khai Remote Access được hỗ trợ, Set-RemoteAccess cung cấp tham số SslCertificate được dùng cho kết nối SSTP và cho vai trò DirectAccess liên quan đến HTTPS.

Phạm vi xác thực và triển khai của nó tuân theo cấu hình Remote Access, vì vậy một thay đổi liên kết có thể đến nhiều hơn một kết nối hoặc nút. Trong một triển khai cân bằng tải, phạm vi đó bao gồm mọi nút mà cấu hình bao phủ. Thay đổi một nút và kiểm tra một máy khách để phần còn lại tiếp tục trình bày chứng chỉ lá cũ, và đây chính là kiểu thay đổi nửa vời tồn tại qua một cửa sổ bảo trì.

Trước khi cập nhật, hãy xác minh tên dịch vụ dự kiến, chuỗi, hiệu lực, mục đích sử dụng và khả năng có khóa riêng. Chứng chỉ phải khớp với tên mà máy khách sẽ kiểm tra, và nhãn bộ điều hợp không phải tên đó.

IKEv2 đến có tham số riêng

Set-VpnAuthProtocol cấu hình xác thực IKEv2 site-to-site đến, và CertificateAdvertised cung cấp chứng chỉ khi chế độ xác thực đường hầm sử dụng chúng. Đây không phải là lệnh chung để chọn bất kỳ chứng chỉ máy chủ nào trên máy chủ lưu trữ.

Hãy tách biệt hai đối tượng: chứng chỉ lá mà máy chủ trình bày như danh tính của chính nó, và gốc mà nó dùng để chấp nhận chứng chỉ của đối tác. Việc bạn chọn tin cậy nhà phát hành nào không nói lên điều gì về chứng chỉ lá mà máy chủ trình bày.

Danh tính của một giao diện site-to-site riêng lẻ được đặt qua Set-VpnS2SInterface. Nó không tự động là chứng chỉ SSTP, ngay cả khi cả hai nằm trong cùng một kho trên cùng một máy.

Kiểm tra ứng viên trước

Một khung nhìn tập trung vào kho của máy cục bộ hiển thị siêu dữ liệu công khai mà không xuất bất cứ thứ gì riêng tư:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

Danh sách đó là điểm khởi đầu chứ không phải bài kiểm tra mức độ phù hợp. Hãy kiểm tra các mục SAN, mục đích sử dụng khóa mở rộng, chuỗi và quyền truy cập của tài khoản dịch vụ vào khóa riêng cho giao thức bạn đang cấu hình.

Một chứng chỉ được cài cho một danh tính máy khách đám mây không liên quan không phù hợp chỉ vì nó xuất hiện trong cùng một kho. Khả năng hiển thị không phải là tính phù hợp, và dấu vân tay trong ảnh chụp màn hình không chứng minh được gì về việc tài khoản dịch vụ có đọc được khóa hay không. Hãy kiểm tra quyền truy cập đó một cách rõ ràng, vì thiếu quyền đối với khóa chỉ lộ ra khi dịch vụ khởi động lại và cố dùng chứng chỉ.

Ghi lại liên kết hiện tại và xác nhận rằng bạn vẫn có thể tiếp cận máy chủ lưu trữ bằng cách khác trước khi thay đổi nó. Đường khôi phục thuộc về thay đổi, không thuộc về sự cố xảy ra sau đó.

Gia hạn không phải kích hoạt

Phát hành lại chứng chỉ là một hành động khác với việc chọn nó cho dịch vụ đang chạy. Chứng chỉ lá mới có thể giữ nguyên danh tính DNS dự kiến mà vẫn mang dấu vân tay khác, nên không có gì trỏ tới nó cho đến khi liên kết được cập nhật. Gia hạn thay đổi đối tượng; kích hoạt thay đổi tham chiếu tới nó. Nhầm lẫn hai điều này là lý do một chứng chỉ được gia hạn đúng vẫn có thể nằm không dùng trong nhiều tuần.

Áp dụng thay đổi được hỗ trợ trong một cửa sổ phù hợp, bao gồm mọi lần khởi động lại được ghi lại, rồi kiểm tra chứng chỉ từ một kết nối mới của giao thức dự kiến. Một phiên máy khách được lưu đệm có thể vẫn hiển thị chứng chỉ lá cũ và khiến một thay đổi đúng trông như bị hỏng.

Chỉ ngừng sử dụng chứng chỉ trước đó theo quy trình thông thường sau khi kiểm tra đó đạt. Tham chiếu Set-RemoteAccess ghi lại phạm vi của tham số SSL, bao gồm tác dụng của nó trong các triển khai cân bằng tải, và đây là phần đáng đọc trước khi thay đổi liên kết.