Konfiguracja logowania certyfikatem

Certyfikat to osobne, niezależne od hasła do konta poświadczenie. Jeśli w przyszłości zechcą Państwo odebrać dostęp jednemu urządzeniu bez zmiany hasła do konta wszędzie indziej, certyfikat to umożliwi. Co więcej, certyfikatu nie da się odgadnąć ani złamać metodą brute force, jak słabego hasła.

Plik certyfikatu jest chroniony własnym hasłem, więc nie da się go użyć, jeśli trafi w niepowołane ręce. Hasło to jest generowane losowo tylko dla danego pobrania i wyświetlane jednorazowo. Celowo nie jest to hasło do konta, aby oba pozostały od siebie niezależne.

Niemal zawsze oznacza to, że pliki zostały kliknięte dwukrotnie zamiast zaimportowane przez PowerShell. Dwukrotne kliknięcie importuje certyfikaty do magazynu „Bieżący użytkownik”, a połączenie VPN w Windows wymaga ich w magazynie „Komputer lokalny”. Aby to naprawić, należy ponownie uruchomić w PowerShell (jako administrator) oba polecenia importu z kroku 3 powyżej.

Ten VPN obecnie tuneluje wyłącznie ruch IPv4. Jeśli łącze internetowe obsługuje także IPv6, strony sprawdzające lokalizację przez IPv6 mogą omijać tunel. Do czasu dodania obsługi tunelowania IPv6 należy wyłączyć IPv6 na karcie sieciowej: w PowerShell uruchomionym jako administrator wykonać polecenie Get-NetAdapter | Disable-NetAdapterBinding -ComponentID ms_tcpip6.

Ze względów bezpieczeństwa certyfikaty mają ograniczony okres ważności. Jeśli certyfikat wygasł, wystarczy wrócić na stronę VPN w panelu i pobrać nowy: zajmuje to minutę i nie wymaga kontaktu z pomocą techniczną.

Oznacza to, że w profilu VPN pole „Certyfikat CA IPSec” jest ustawione na certyfikat CA PrivyNet. To pole służy do weryfikacji własnego certyfikatu serwera VPN, a nie CA klienta: powinno być ustawione na „(nie weryfikuj)”, a certyfikat serwera IPSec pozostawiony jako „(otrzymany z serwera)”. Wybranie tam naszego CA klienta sprawia, że Android odrzuca certyfikat serwera tuż po tym, jak połączenie wydaje się nawiązywać. Jeśli ustawienia istniejącego profilu były wielokrotnie zmieniane, warto go potem usunąć i utworzyć nowy: edytowane profile mogą działać niekonsekwentnie, nawet gdy ustawienia wyglądają poprawnie.

Oznacza to jedynie, że profil nie jest podpisany przez komercyjny urząd certyfikacji, co jest normalne w przypadku własnego VPN i nie wpływa na jego działanie. Profil można normalnie zainstalować i połączyć się.

Jeszcze nie. Logowanie certyfikatem jest obecnie sprawdzone w systemach Windows, Android i iOS. Na pozostałych platformach należy na razie korzystać z logowania hasłem (zob. główny przewodnik po konfiguracji VPN).