О миграции корневого сертификата шлюза и обновлении профилей VPN P2S

Azure периодически поворачивает корневые сертификаты, используемые VPN-шлюзами для VPN-подключений типа "точка — сеть" (P2S). Миграция корневых сертификатов (также называемая сменой корневого сертификата) — это запланированный процесс перехода VPN-шлюза из старого корневого сертификата в новый. Microsoft предоставляет предварительное уведомление перед каждой миграцией.

Во время миграции VPN-шлюз обновляет сертификат сервера до сертификата, подписанного новым корневым сертификатом. На шлюзе на переходный период установлены как старый, так и новый сертификаты. На дату окончания срока миграции старый сертификат удаляется, и только новый сертификат действителен для клиентских подключений.

Чтобы обеспечить подключение, необходимо создать и распространить обновленные профили VPN-клиента P2S, чтобы клиенты имели новые сведения о корневом сертификате. После истечения срока миграции клиенты с профилями, содержащими только старые сведения о сертификате, не могут подключаться.

В следующих разделах часто задаваемых вопросов вы узнаете, затронуты ли вы, какие действия следует предпринять, и где найти инструкции по обновлению профилей VPN-клиента P2S.

Вопросы и ответы

Общая информация

Нужно ли перенести корневой сертификат шлюза или происходит ли это автоматически?

Microsoft переносит корневой сертификат шлюза на серверную часть. Однако необходимо создать обновленный профиль VPN-клиента и распространить его пользователям до истечения срока миграции для поддержания подключения после миграции.

Нужно ли обновить профиль VPN-клиента, даже если для VPN-подключения P2S не используется проверка подлинности сертификата?

Yes. Сертификат шлюза используется для проверки подлинности независимо от метода проверки подлинности, настроенного для VPN-подключения P2S.

Почему нужно обновить профиль VPN-клиента?

Обновленный профиль содержит сведения о корневом сертификате, необходимые для установления доверия с шлюзом после миграции. Без него vpn-подключение P2S завершается сбоем после миграции шлюза на новый сертификат. Процесс обновления профиля VPN-клиента совпадает с тем, который используется для любых изменений конфигурации шлюза, влияющих на VPN P2S, таких как добавление метода проверки подлинности или изменение типов туннелей. В этом случае изменение заключается в корневом сертификате шлюза, который является критически важным компонентом проверки подлинности для всех VPN-подключений P2S.

Изменяет ли миграция сертификатов конфигурацию VPN-шлюза?

Нет. Тип туннеля, метод проверки подлинности, пул адресов и конфигурация маршрутизации остаются неизменными. Необходимо обновить только профиль клиента.

Будут ли конечные пользователи столкнуться с нарушением подключения?

Если у конечных пользователей нет нового профиля, он не сможет подключиться после переноса сертификата шлюза.

Почему у VPN-шлюза есть старые и новые корневые сертификаты?

Во время миграции сертификатов шлюза Azure VPN Gateway временно поддерживает старые и новые корневые сертификаты. Этот период перехода позволяет администраторам загружать и распространять обновленные профили VPN-клиента P2S для пользователей и устройств. После истечения срока миграции в конце января 2027 г. действительны только новый сертификат.

Предварительные требования и разрешения

Как узнать, нужно ли принять меры?

Вы получаете уведомление от Microsoft, определяющего шлюз как затронутый. Если вы получите это уведомление, выполните действия, описанные в разделе "Как обновить VPN-клиенты типа "точка — сеть".

Кто может скачать обновленный профиль VPN-клиента?

Любой пользователь с разрешениями Azure RBAC для доступа к шлюзу виртуальной сети или Виртуальная глобальная сеть ресурсу и скачиванию конфигураций VPN-клиента может создавать и скачивать обновленный профиль.

Создание и установка обновленного профиля

Как создать новый профиль VPN-клиента?

Пошаговые инструкции см. в руководстве по обновлению VPN-клиентов типа "точка — сеть".

Что содержит скачанный ZIP-файл?

ZIP-файл содержит обновленные файлы профиля клиента для всех поддерживаемых типов VPN-клиентов. Извлеките его в локальный каталог для доступа к файлам конфигурации.

Нужно ли создать отдельный профиль для каждого типа VPN-клиента?

Нет. Одна загрузка создает профили для всех поддерживаемых типов клиентов. Однако необходимо создать новый профиль для каждого затронутого шлюза.

Как установить обновленный профиль?

Инструкции по установке см. в разделе "Как обновить VPN-клиенты типа "точка — сеть".

Что делать, если профиль подключения для этого шлюза уже существует на моем клиентском устройстве?

Новый профиль не перезаписывает существующий профиль автоматически. Выполните действия по установке, описанные в разделе "Распространение и установка обновленного профиля ", чтобы добавить новую конфигурацию клиенту.

Распространение и развертывание

Кто отвечает за распространение обновленного профиля?

Администратор VPN или ИТ-отдел, ответственный за шлюз, распределяет обновленный профиль всем конечным пользователям, которые подключаются через VPN P2S.

Нужно ли обновлять всех пользователей или только некоторые?

Все конечные пользователи, которые подключаются через затронутый шлюз с помощью VPN P2S, должны установить обновленный профиль.

У меня много пользователей. Как мне провести развертывание?

Для организаций с большим количеством пользователей VPN P2S рекомендуется:

• Создайте новый профиль как можно раньше.
• Используйте существующие средства управления конечными точками для отправки обновленного профиля на управляемые устройства.
• Заранее сообщите об изменении пользователям с четкими инструкциями.
• Протестируйте новый профиль на небольшой группе перед широким развертыванием.
• Отслеживайте попытки подключения по старому профилю на шлюзе после миграции.

Мои пользователи управляют собственной конфигурацией VPN-клиента. Что мне делать?

Для децентрализованных организаций, где конечные пользователи самостоятельно управляют своими профилями VPN:

• Отправьте всем пользователям VPN P2S прямое сообщение с объяснением необходимых действий.
• Предоставьте новый файл профиля или чёткие инструкции по его скачиванию.
• Установите крайний срок перед миграцией.

Подключение и устранение неполадок

Как проверить работу обновленного профиля?

После установки обновленного профиля установите VPN-подключение P2S и проверьте сквозное подключение к ресурсам Azure.

Сбой подключения после установки обновленного профиля. Что мне делать?

Попробуйте сделать следующее.

1. Убедитесь, что вы скачали профиль после получения уведомления о том, что обновленный профиль доступен.
2. Убедитесь, что вы использовали правильный файл профиля и импортировали все корневые сертификаты, необходимые для вашего типа клиента.
3. Устранение неполадок с помощью документации по устранению неполадок Azure VPN Gateway.
4. Если проблемы сохраняются, создайте запрос поддержка Azure.

Мое VPN-подключение сломалось до получения уведомления об обновлении. Что произошло?

В некоторых случаях программное обеспечение vpn-клиента или операционная система могут не доверять предыдущему корневому сертификату, прежде чем обновленный профиль доступен для вашего типа шлюза.

Чтобы восстановить подключение, установите предыдущий корневой сертификат на клиентском устройстве. Затем ознакомьтесь с документацией по устранению неполадок и ожидайте уведомления от Microsoft с обновлёнными инструкциями для профиля. Если вам нужна помощь, обратитесь к служба поддержки Майкрософт.

Billing

Есть ли какие-либо затраты, связанные с этим изменением?

Нет. Нет изменений в ценах, связанных с созданием или установкой нового профиля VPN-клиента.

Дальнейшие действия

Обновление профилей VPN-клиента P2S