设备标签不是 VPN 凭据：需要分开的三件事

主机名、序列号和隐藏的标记文件都只能给笔记本贴标签，其中任何一项都不能证明出示它的笔记本就是已批准的设备。准入依赖三项彼此独立的声明：资产是组织登记的那一台，客户端持有为它签发的凭据，并且该凭据按策略要求受到保护。把三者合并成一次检查，正是复制文件与被克隆的密钥得以蒙混过关的原因。

被合并成一项的三项声明

资产台账记录描述资产及其归属。注册流程把合适的凭据与这条记录绑定。连接时，VPN 验证其所配置方式所要求的证明。在注册表单里填入序列号，不应自动获得该设备的授权，因为表单只能证明某人知道序列号。把三个步骤分开，每一步都可以单独测试。

标记文件在某一方面比序列号更糟：复制它轻而易举，而每一份副本看起来同样可信。

看清设备实际出示的是什么

在假定凭据是设备专属之前，先看客户端实际存储的凭据。

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

列表显示存在哪些计算机证书，以及是否附带私钥，这正是公开文件与可用凭据之间的差别。存储转储会给出提供程序名称，而软件提供程序与平台加密提供程序的区别，是判断密钥存放在何处的第一条线索。没有私钥的证书什么都认证不了，而把私钥导出到另一台机器会让凭据变得可携带，无论其使用者字段写着什么。记录指纹和提供程序，而不是显示名称。

硬件保护需要证据

证书是公开信息，因此有意义的问题是私钥存放在哪里，以及那种保护是否经过证明。TPM 密钥证明描述的是请求方向证书颁发机构证明某个密钥由可信 TPM 保护，这比在请求里写一个硬件供应商名称更有力。它也是一套自带信任假设的架构，并非 VPN 客户端默认就会开启的功能。确认签发方接受什么、网关对最终凭据强制什么，因为存储、证明和准入策略是三个组成部分。

由硬件支撑的密钥仍然说明不了补丁级别、当前分配或会话如何使用。这些需要各自的控制措施。

把更换与移除落到实处

规划设备丢失、维修、重新分配或更换时该怎么做。更换主板或清空密钥存储通常需要受支持的重新注册，而不是复制旧密钥材料去冒充原机器。把资产、凭据标识、归属、注册决定和访问角色一起记录下来，下一位管理员才能看清什么属于什么。移除网关真正接受的授权，因为改动台账状态并不能证明现有凭据或会话如何。

然后测试边界：已批准的设备能连接，仅有一份复制的标签则不能，已退役的身份会停止工作。名为 approved 的文件在可信流程赋予其含义之前，始终只是一个标签。