Ontwerp AD CS-sjablone vir VPN-gidsdiens- en kliëntrolle

'n Ondernemings-CA kan elke sertifikaat uitgee wat 'n VPN nodig het sonder om ooit self die gidsdiens te wees. Die ontwerpwerk is om te besluit wat elke eweknie moet bewys, en dan watter sjabloon 'n geloofsbrief kan uitgee wat presies dit bewys. Ek begin met 'n roltabel, dupliseer 'n geskikte sjabloon eerder as om een in plek te redigeer, stel die bron van die onderwerp per rol vas, publiseer die resultaat op die uitreikende CA, en skryf een loods in voordat enigiemand dit outomatiseer. Elke stap hieronder is 'n plek waar 'n werkende CA steeds 'n sertifikaat lewer wat die VPN sal verwerp.

Skryf die roltabel voordat jy die sjabloonkonsert oopmaak

Twee rolle, twee doele. Die gidsdiens bewys 'n diensidentiteit, so sy sertifikaat benodig Bediener-verifikasie (1.3.6.1.5.5.7.3.1), 'n sleutelgebruik van digitale handtekening en sleutelversleuteling, en die gasheernaam wat kliënte skakel in 'n alternatiewe onderwerpnaam. Kliënte wat met sertifikate verifieer, benodig Kliënt-verifikasie (1.3.6.1.5.5.7.3.2) en 'n identiteit wat pas by wat die gidsdiens in sy eweknie-kontrole verwag. 'n Gebruikersertifikaat en 'n rekenaarsertifikaat is nie uitruilbaar nie, want hulle woon in verskillende store en word deur verskillende prosesse gebruik.

Skryf vier kolomme vir elke rol neer: die identiteit wat moet verskyn, die doel, die sleutelverbruiker, en of die sleutel die masjien mag verlaat. Daardie tabel bepaal later elke merkie, en dit is ook wat jy aan 'n keurder gee. Wagwoordgebaseerde kliëntverifikasie is 'n aparte tak: as die gidsdiens gebruikers deur geloofsbriewe verifieer, voeg die verspreiding van kliëntsertifikate werk by sonder om 'n bewys by te voeg.

Dupliseer 'n sjabloon eerder as om 'n gedeelde een te redigeer

Begin van 'n sjabloon met ongeveer die regte doel, soos RAS en IAS-bediener vir die gidsdiens of Rekenaar vir domein-aangeslote toestelle, dupliseer dit dan en gee die kopie 'n naam wat sê waarvoor dit is. Om 'n sjabloon te verbreed wat ander dienste al gebruik, is die verandering wat ses weke later iets onverwants breek. Stel op die kopie die toepassingsbeleide na die doel uit die roltabel, hou die sleutelgebruik daarmee konsekwent, kies die sleutelalgoritme en lengte wat jou gidstelsels aanvaar, en merk die private sleutel as nie-uitvoerbaar tensy 'n toestel dit moet uitvoer om dit te skuif.

Geldigheid en hernuwing hoort ook by die sjabloon. 'n Kort lewensduur is makliker om te herroep en moeiliker om te bedryf; 'n lang een verminder inskrywingswerk en verleng die blootstelling van 'n gelekte sleutel. Kies 'n getal wat jy kan verdedig, en let daarop dat die CA se eie geldigheid en die sjabloon se hernuwingsperiode die resultaat kan verkort.

Bepaal waar die onderwerp vandaan kom

Vir 'n domeinrekenaar of -gebruiker, bou die onderwerp uit gidsinligting sodat die naam nie deur die aanvraer getik kan word nie. Vir 'n gidsdiens wat nie domein-aangeslote is nie, of 'n toestel wie se identiteit buite AD toegewys word, het die sjabloon eerder 'n beheerde aanvraagpad nodig. Om 'n onderwerp en alternatiewe name wat die aanvraer verskaf, te aktiveer, is 'n werklike besluit: dit is nie 'n lisensie vir elke inskrywer om enige naam te eis nie, en die beleid aan die CA-kant moet steeds sê wie mag vra en watter bewys nodig is.

Windows IKEv2 is hier streng. 'n Gidsdiens-sertifikaat word teen die naam wat die kliënt opgestel het, gepas, so die DNS-naam moet teenwoordig wees waar die kliënt daarvoor soek, gewoonlik 'n dNSName-inskrywing in die alternatiewe onderwerpnaam. Om naamkontrole of doelkontrole af te skakel om 'n nie-passende sertifikaat te laat werk, verwyder die kontrole wat die wanpassing in produksie sou gevang het.

Publiseer die sjabloon en beperk dan toestemmings

Om die sjabloon-objek in AD DS te skep en om dit op die uitreikende CA te publiseer, is aparte bewerkings wat deur verskillende konsoles gedoen word. Publiseer die kopie vanuit die Sertifiseringsowerheid-konsert onder Sertifikaatsjablone, en verifieer dan vanaf die opdragreël dat die CA dit nou aanbied:

certutil -CATemplates
certutil -TCAInfo

Toestemmings kom volgende. Gee Lees en Inskryf aan die groepe wat dit moet aanvra en niks meer nie, hou die CA se eie leestoegang ongeskonde, en gee Outo-inskryf net waar outomatiese inskrywing bedoel is en gerugsteun word deur die ontplooiingsbeleid wat dit laat werk. 'n Sjabloon-merkie skryf nie op sigself iets in nie, en 'n gepubliseerde sjabloon sonder inskrywingstoestemming lewer 'n portaal wat die sertifikaat lys en dan die aanvraag weier.

Skryf een loods in by die werklike verbruiker

Vra die sertifikaat aan in die konteks wat dit gaan gebruik, en ondersoek dan wat teruggekom het eerder as om die lêernaam te vertrou. 'n Gebruikersertifikaat beland in die stoor van die huidige gebruiker en 'n rekenaarsertifikaat in die stoor van die plaaslike rekenaar, en MMC wys albei, daarom kan 'n inskrywing wat “gewerk” het steeds onsigbaar wees vir die VPN-diens.

certlm.msc
certutil -dump vpn-gateway.cer

Lees die dump vir die onderwerp, die alternatiewe name, die uitgebreide sleutelgebruik en die ketting. Vir 'n gidsdiens wat nie Windows is nie, dien die aanvraag in deur die ondersteunde werkvloei eerder as om te aanvaar dat domein-outo-inskrywing dit bereik, en bevestig dat die uitgevoerde formaat een is wat die verbruiker saam met sy passende private sleutel invoer. Laat laastens vertroue en magtiging apart: die VPN moet steeds besluit watter gebruikers of toestelle watter hulpbronne bereik, en herroeping verwyder net toegang as die gidsdiens herroeping hoegenaamd kontroleer. Die Microsoft-gids vir die bestuur van sertifikaatsjablone dek die sjabloonkonsert, toestemmings en die aparte publikasiestap.