Virtuální privátní sítě (VPN) založené na protokolech SSTP (Secure Socket Tunneling Protocol) a IKEv2 (Internet Key Exchange verze 2) používají metody ověřování založené na certifikátech. Pro podporu sítí VPN založených na protokolu SSTP nebo IKEv2 je třeba na server VPN nainstalovat správně nakonfigurovaný certifikát.

Certifikát počítače, který konfigurujete na serveru RRAS, musí mít obsahovat vlastnost EKU (Enhanced Key Usage) Ověření serveru nebo Univerzální. Klient VPN používá tento certifikát počítače k ověřování serveru RRAS při otevření relace.

Umístění nainstalovaných certifikátů

Na serveru RRAS:

  • Certifikát kořenové certifikační autority pro certifikační autoritu, která vydala ověřovací certifikát serverů, nainstalujte do úložiště Místní počítač\Důvěryhodné kořenové certifikační autority.

  • Ověřovací certifikát serverů, který byl vydán certifikační autoritou, nainstalujte do úložiště Místní počítač\Osobní.

Na vzdáleném klientovi VPN:

  • Certifikát kořenové certifikační autority pro certifikační autoritu, která vydala ověřovací certifikát serverů, nainstalujte do úložiště Místní počítač\Důvěryhodné kořenové certifikační autority. Tato akce je nezbytná, aby klient považoval ověřovací certifikát serverů předkládaný serverem za důvěryhodný.

  • Pokud klient musí používat připojení VPN pomocí protokolu IKEv2 k serveru, musí být certifikát ověření klienta, vydaný certifikační autoritou, nainstalován v úložišti Místní počítač\Osobní.

Důležité informace
  • U připojení VPN pomocí protokolu SSTP musí být ve výchozím nastavení klient schopen ověřit, že certifikát nebyl odvolán. To provede tak, že zkontroluje, zda je server uvedený v certifikátu hostitelem seznamu odvolaných certifikátů (CRL). Pokud server, který je hostitelem seznamu CRL, nelze kontaktovat, ověření se nezdaří a připojení VPN se ukončí. Tomu zabráníte tak, že publikujete seznam CRL na serveru, který je přístupný v Internetu, nebo nakonfigurujete klienta tak, aby nevyžadoval kontrolu seznamu CRL. Chcete-li zakázat kontrolu seznamu CRL, vytvořte v následujícím umístění nastavení registru:
  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Sstpsvc\parameters
  • Nastavení musí být hodnota DWORD s názvem NoCertRevocationCheck. Nastavte hodnotu na 1.

Další informace

Obsah