MEADMINIT infrastructureСвязаться+7 (968) 903-69-68
Меню

Кейс

Истёкший сертификат RD Gateway: «VPN сломался», а это был TLS

В понедельник удалёнка не поднималась. Все чинили маршрутизатор. Сертификату на RD Gateway было 14 дней как просрочен, предупреждения в почте падали в спам.

Обсудить задачу Позвонить
  • Бухгалтерия на аутсорсе, 30 удалённых сотрудников, Москва
  • Срок: Инцидент 4 часа, затем регламент на 2 дня
  • Стек: RD Gateway, IIS, Let's Encrypt/коммерческий TLS, NPS

Исходное состояние

Что было на площадке

Симптом пользователей: «не пускает, красный щит». На MikroTik всё зелёное, канал живой. RD Gateway отвечал TCP 443, handshake падал по expired.

Сертификат выпускали вручную раз в год «когда вспомнят». Письмо от CA лежало в спаме общей почты info@. Календаря в мониторинге не было.

Рамки

Ограничения и задача

  • Сотрудники уже в разъездах, нужен доступ сегодня, не «завтра подумаем про ACME».
  • NPS и CAP/RAP политики никто не документировал — риск сломать вместе с сертификатом.
  • На шлюзе крутился ещё внутренний IIS с другим CN — путаница в привязках.

Работы

Что сделали

  1. Выпустили новый сертификат, поставили в корректный store, привязали именно к RD Gateway, не «ко всему IIS подряд». Проверили цепочку с внешнего хоста.
  2. Сохранили старый конфиг NPS, не «оптимизируя» политики в инциденте.
  3. В Zabbix добавили проверку срока TLS на 443 с порогами 30/14/7 дней и эскалацией не в спам, а в рабочий чат.
  4. Описали процедуру отзыва доступа: увольнение = disable в AD + проверка CAP.
  5. Отдельным шагом — план ухода с ручного выпуска на автоматизацию там, где политика компании позволяет.

Факт

Результат

  • Удалёнка жива в тот же день. Повторных тикетов «щит» не было.
  • Срок сертификатов виден за месяц, не в понедельник утром.
  • Появилась схема: что слушает 443, какой CN, где ключ, кто отвечает.

Практика

Выводы

  • Просроченный TLS выглядит как «сеть сломалась». Начинайте с handshake, не с reboot роутера.
  • Напоминание в Outlook — не мониторинг.
  • В инциденте не рефакторят NPS. Сначала сервис, потом красота.

Стек

Технологии в этом кейсе

  • RD Gateway
  • TLS
  • IIS
  • NPS
  • Zabbix

Практика

Материалы по теме

Отраслевые решения · 8 мин

ИТ-чек-лист бухгалтерии: устойчивость 1С, данных и рабочих мест

Практический чек-лист для бухгалтерии и ИТ: доступы, 1С, резервные копии, отчётные периоды, обновления, рабочие места и восстановление без смешения технических и юридических обязательств.

Читать статью

Перелинковка

Связанные услуги

Соседние направления, которые обычно закрывают зависимости и усиливают результат выбранной услуги.

Услуга

Мониторинг серверов

Настраиваем наблюдаемость для доступности, ресурсов, сервисов и резервного копирования, исключая поток бесполезных тревог.

Подробнее

Услуга

Настройка VPN

Организуем защищённый доступ сотрудников и связь площадок с ограничением маршрутов и документированной выдачей доступа.

Подробнее
Весь каталог услуг →

Консультация

Разбрать похожую ситуацию

Опишите инфраструктуру и ожидаемый результат. Уточним вводные и предложим следующий практический шаг.

Связаться с MEADMIN +7 (968) 903-69-68