Настройка входа по сертификату

Сертификат представляет собой отдельные, независимые от пароля учётной записи учётные данные. Если в будущем вы захотите отозвать доступ с одного устройства, не меняя пароль учётной записи везде, сертификат это позволит. Кроме того, его нельзя угадать или подобрать перебором, как слабый пароль.

Файл сертификата сам защищён паролем, чтобы им нельзя было воспользоваться, если он попадёт в чужие руки. Этот пароль генерируется случайным образом специально для этого скачивания и показывается один раз. Он намеренно отличается от пароля учётной записи, чтобы они оставались независимыми.

Почти всегда это значит, что файлы открыли двойным щелчком, а не импортировали через PowerShell. При двойном щелчке сертификаты попадают в хранилище «Текущий пользователь», а VPN-подключению Windows они нужны в хранилище «Локальный компьютер». Чтобы исправить это, снова выполните две команды Import из шага 3 выше в PowerShell (от имени администратора).

Сейчас этот VPN туннелирует только трафик IPv4. Если ваше интернет-подключение также поддерживает IPv6, сайты, проверяющие адрес по IPv6, могут обходить туннель. Пока не появится поддержка туннелирования IPv6, отключите IPv6 на сетевом адаптере: выполните Get-NetAdapter | Disable-NetAdapterBinding -ComponentID ms_tcpip6 в PowerShell от имени администратора.

В целях безопасности сертификаты выдаются с ограниченным сроком действия. Если срок вашего истёк, вернитесь на страницу VPN в панели управления и скачайте новый: это займёт минуту и не требует обращения в поддержку.

Это значит, что в профиле VPN в поле «Сертификат ЦС IPSec» выбран сертификат ЦС PrivyNet. Это поле служит для проверки собственного сертификата VPN-сервера, а не клиентского ЦС: в нём должно быть «(не проверять)», а «Сертификат сервера IPSec» нужно оставить «(получен от сервера)». Если выбрать там наш клиентский ЦС, Android отклонит сертификат сервера в тот момент, когда уже кажется, что подключение вот-вот установится. Если вы много раз меняли настройки существующего профиля, после этого удалите его и создайте новый: отредактированные профили могут вести себя непоследовательно, даже когда настройки выглядят правильными.

Это лишь означает, что профиль не подписан коммерческим центром сертификации. Для VPN на собственном сервере это нормально и на работу не влияет. Вы можете установить профиль и подключаться как обычно.

Пока нет: вход по сертификату сейчас проверен на Windows, Android и iOS. На других платформах пока используйте вход по паролю (см. основное руководство по настройке VPN).