Le VPN Windows Server 2022 n'accepte plus les anciens certificats.

Question

Le VPN Windows Server 2022 n'accepte plus les anciens certificats.

Paul Martin 120

Pfff, je suis à bout ! J’avais un serveur VPN qui fonctionnait parfaitement sur un contrôleur de domaine Windows Server 2012 jusqu’à 2019. Tout fonctionnait correctement avec les certificats pour l’accès distant via le client VPN standard de Windows. Mais après la mise à niveau de ce même serveur vers la version 2022, tout allait bien pendant un certain temps… et maintenant, il refuse soudainement d’accepter les certificats que j’utilisais. Le patron me met la pression, et honnêtement, je n’ai aucune idée de ce qui a changé lors de la mise à niveau. Quelqu’un saurait-il pourquoi les certificats cessent de fonctionner sur un VPN sous Server 2022, ou comment résoudre ce problème sans avoir à en générer de nouveaux pour tous les utilisateurs ?

0 commentaires

Réponse acceptée par l’auteur de la question

0 réponses supplémentaires

Votre réponse

Answer 1

Bonjour,

Sur Windows Server 2022, la raison la plus courante pour laquelle les certificats VPN existants cessent soudainement de fonctionner est liée à des paramètres par défaut plus stricts dans la gestion de Schannel et d’IPsec par rapport à 2012/2019. Server 2022 impose des versions modernes de TLS et des algorithmes de signature/hachage plus robustes, de sorte que les certificats plus anciens utilisant SHA‑1 ou une longueur de clé insuffisante (RSA 1024 bits) sont rejetés. De plus, si votre VPN repose sur NPS/RRAS, l’association du certificat peut avoir été rompue après des mises à jour cumulatives qui ont renforcé la validation des certificats.

Vous devez d’abord confirmer que le certificat est toujours valide dans certlm.msc sous Personnel → Certificats et vérifier qu’il s’enchaîne vers une autorité racine de confiance avec l’EKU approprié (Authentification serveur). Ensuite, assurez‑vous que RRAS est lié au bon certificat en exécutant netsh ras show registeredcertificates et, si nécessaire, réassociez‑le avec netsh ras set registeredcertificates. Si le certificat est en SHA‑1 ou en RSA faible, vous devrez le réémettre en SHA‑256 avec un minimum de 2048 bits, mais il n’est pas nécessaire de régénérer pour tous les utilisateurs — uniquement le certificat serveur utilisé par RRAS. Les certificats clients restent valides tant que l’AC émettrice est approuvée.

Si vous confirmez que le certificat respecte les exigences modernes et que l’association est correcte mais qu’il échoue toujours, consultez l’Observateur d’événements → Journaux système pour les erreurs Schannel (ID d’événement 36871/36874), ce qui confirmera un problème de correspondance d’algorithme. Dans ce cas, la seule solution prise en charge est de réémettre le certificat VPN serveur avec une cryptographie moderne.

Harry.