تصميم قوالب AD CS لأدوار بوابة VPN والعملاء

يمكن لسلطة شهادات مؤسسية أن تصدر كل شهادة يحتاجها VPN دون أن تكون هي البوابة أبدًا. عمل التصميم هو تحديد ما يجب أن يثبته كل نظير، ثم أي قالب يستطيع إصدار اعتماد يثبت ذلك بالضبط. أبدأ بجدول أدوار، وأنسخ قالبًا مناسبًا بدل تحرير قالب قائم في مكانه، وأثبّت مصدر الاسم المميز لكل دور، وأنشر النتيجة على CA المصدرة، وأسجّل عميلاً تجريبيًا واحدًا قبل أن يؤتمت ذلك أحد. كل خطوة أدناه موضع ما تزال فيه CA عاملة تُنتج شهادة سيرفضها VPN.

اكتب جدول الأدوار قبل فتح وحدة تحكم القوالب

دوران وغرضان. تثبت البوابة هوية خدمة، لذا تحتاج شهادتها إلى مصادقة الخادم (1.3.6.1.5.5.7.3.1)، واستخدام مفتاح للتوقيع الرقمي وتشفير المفتاح، واسم المضيف الذي يتصل به العملاء داخل الاسم البديل للموضوع. أما العملاء الذين يصادقون بالشهادات فيحتاجون إلى مصادقة العميل (1.3.6.1.5.5.7.3.2) وإلى هوية تطابق ما تتوقعه البوابة في فحص النظير. شهادة المستخدم وشهادة الحاسوب غير قابلتين للتبادل، لأنهما تعيشان في مخزنين مختلفين ويستخدمهما عمليتان مختلفتان.

اكتب أربعة أعمدة لكل دور: الهوية التي يجب أن تظهر، والغرض، ومستهلك المفتاح، وما إذا كان المفتاح قد يغادر الجهاز. هذا الجدول يحدد كل مربع اختيار لاحقًا، وهو أيضًا ما تسلّمه إلى مراجع. مصادقة العملاء بكلمة مرور فرع منفصل: إذا كانت البوابة تصادق المستخدمين ببيانات اعتماد، فإن توزيع شهادات العملاء يضيف عملاً دون أن يضيف إثباتًا.

انسخ قالبًا بدل تحرير قالب مشترك

ابدأ من قالب غرضه قريب من الصحيح، مثل خادم RAS وIAS للبوابة أو حاسوب للأجهزة المنضمة إلى النطاق، ثم انسخه وأعط النسخة اسمًا يقول الغرض منها. توسيع قالب تستخدمه خدمات أخرى بالفعل هو التغيير الذي يكسر شيئًا غير مرتبط بعد ستة أسابيع. على النسخة، اضبط نهج التطبيق على الغرض من جدول الأدوار، وأبقِ استخدام المفتاح متسقًا معه، واختر خوارزمية المفتاح وطوله اللذين تقبلهما بواباتك، وحدّد المفتاح الخاص كغير قابل للتصدير إلا إذا كان جهاز ما يحتاج إلى تصديره لنقله.

الصلاحية والتجديد ينتميان إلى القالب أيضًا. عمر قصير أسهل في الإبطال وأصعب في التشغيل؛ وعمر طويل يقلل عمل التسجيل ويطيل تعرض مفتاح مسرّب. اختر رقمًا يمكنك الدفاع عنه، ولاحظ أن صلاحية CA نفسها وفترة تجديد القالب يمكن أن تقصّر النتيجة.

حدّد من أين يأتي الاسم المميز

لحاسوب أو مستخدم في النطاق، ابنِ الاسم المميز من معلومات الدليل كي لا يستطيع مقدّم الطلب كتابة الاسم. أما البوابة غير المنضمة إلى النطاق، أو الجهاز الذي تُسنَد هويته خارج AD، فيحتاج القالب إلى مسار طلب مُتحكَّم فيه بدلًا من ذلك. تمكين الاسم المميز والأسماء البديلة المقدَّمة من مقدّم الطلب قرار حقيقي: ليس ترخيصًا لكل مسجَّل كي يدّعي أي اسم، وما زال على نهج جهة CA أن يقول من يجوز له الطلب وما الدليل المطلوب.

Windows IKEv2 صارم هنا. تُطابَق شهادة البوابة مع الاسم الذي ضبطه العميل، لذا يجب أن يكون اسم DNS موجودًا حيث يبحث عنه العميل، وعادة ما يكون ذلك مدخل dNSName في الاسم البديل للموضوع. إيقاف فحص الاسم أو فحص الغرض لجعل شهادة غير مطابقة تعمل يزيل الفحص الذي كان سيكشف عدم التطابق في الإنتاج.

انشر القالب ثم ضيّق الأذونات

إنشاء كائن القالب في AD DS ونشره على CA المصدرة عمليتان منفصلتان تنفذهما وحدتا تحكم مختلفتان. انشر النسخة من وحدة تحكم سلطة الشهادات تحت قوالب الشهادات، ثم تحقق من سطر الأوامر من أن CA تقدمه الآن:

certutil -CATemplates
certutil -TCAInfo

الأذونات تأتي بعد ذلك. امنح القراءة والتسجيل للمجموعات التي ينبغي أن تطلبه ولا شيء أكثر، وأبقِ وصول القراءة الخاص بـ CA سليمًا، وامنح التسجيل التلقائي فقط حيث يكون التسجيل التلقائي مقصودًا ومدعومًا بنهج النشر الذي يجعله يعمل. مربع اختيار في القالب لا يسجّل شيئًا بمفرده، وقالب منشور بلا إذن تسجيل ينتج بوابة تسرد الشهادة ثم ترفض الطلب.

سجّل عميلاً تجريبيًا واحدًا في المستهلك الحقيقي

اطلب الشهادة في السياق الذي سيستخدمها، ثم افحص ما عاد بدل الوثوق باسم الملف. شهادة المستخدم تستقر في مخزن المستخدم الحالي وشهادة الحاسوب في مخزن الحاسوب المحلي، ويعرض MMC كليهما، ولهذا قد يبقى تسجيل “نجح” غير مرئي لخدمة VPN.

certlm.msc
certutil -dump vpn-gateway.cer

اقرأ التفريغ بحثًا عن الاسم المميز والأسماء البديلة واستخدام المفتاح المعزز والسلسلة. لبوابة لا تعمل بنظام Windows، قدّم الطلب عبر سير العمل المدعوم بدل افتراض أن التسجيل التلقائي للنطاق يصل إليها، وتأكد من أن الصيغة المصدَّرة هي صيغة يستوردها المستهلك مع مفتاحه الخاص المطابق. وأخيرًا، أبقِ الثقة والتفويض منفصلين: ما زال على VPN أن يقرر أي المستخدمين أو الأجهزة يصلون إلى أي الموارد، والإبطال لا يزيل الوصول إلا إذا كانت البوابة تفحص الإبطال أصلًا. يغطي دليل Microsoft لإدارة قوالب الشهادات وحدة تحكم القوالب والأذونات وخطوة النشر المنفصلة.