VPN şlüz və müştəri rolları üçün AD CS şablonlarının dizaynı

Müəssisə CA-sı VPN-in ehtiyac duyduğu hər sertifikatı heç vaxt şlüz olmadan verə bilər. Dizayn işi hər qarşı tərəfin nəyi sübut etməli olduğunu, sonra hansı şablonun məhz bunu sübut edən etimadnamə verə biləcəyini qərar verməkdir. Mən rol cədvəli ilə başlayıram, uyğun şablonu yerində redaktə etmək əvəzinə onu kopyalayıram, subyekt mənbəyini rol üzrə təyin edirəm, nəticəni verən CA-da yayımlayıram və kimsə onu avtomatlaşdırmadan əvvəl bir sınaq müştərisini qeydiyyatdan keçirirəm. Aşağıdakı hər addım işlək CA-nın hələ də VPN-in rədd edəcəyi sertifikat hasil etdiyi yerdir.

Şablon konsolunu açmadan əvvəl rol cədvəlini yazın

İki rol, iki məqsəd. Şlüz xidmət kimliyini sübut edir, buna görə sertifikatında Server Authentication (1.3.6.1.5.5.7.3.1), rəqəmsal imza və açar şifrələməsindən ibarət açar istifadəsi, həmçinin müştərilərin qoşulduğu host adının subyekt alternativ adında olması lazımdır. Sertifikatla autentifikasiya edən müştərilərə Client Authentication (1.3.6.1.5.5.7.3.2) və şlüzün qarşı tərəf yoxlamasında gözlədiyi kimliyə uyğun kimlik lazımdır. İstifadəçi sertifikatı ilə kompüter sertifikatı bir-birini əvəz etmir, çünki onlar fərqli anbarlarda yaşayır və fərqli proseslər tərəfindən istifadə olunur.

Hər rol üçün dörd sütun yazın: görünməli olan kimlik, məqsəd, açar istehlakçısı və açarın maşından çıxa biləcəyi. Bu cədvəl sonradan hər onay qutusunu müəyyən edir və eyni zamanda rəyçiyə verdiyiniz sənəddir. Parol əsaslı müştəri autentifikasiyası ayrı budaqdır: əgər şlüz istifadəçiləri etimadnamə ilə autentifikasiya edirsə, müştəri sertifikatlarının paylanması sübut əlavə etmədən iş əlavə edir.

Ortaq şablonu redaktə etmək əvəzinə şablonu kopyalayın

Məqsədi təxminən doğru olan şablondan başlayın, məsələn şlüz üçün RAS və IAS Server və ya domenə qoşulmuş cihazlar üçün Computer, sonra onu kopyalayın və surətə nə üçün olduğunu deyən ad verin. Digər xidmətlərin artıq istifadə etdiyi şablonu genişləndirmək altı həftə sonra əlaqəsiz bir şeyi pozan dəyişiklikdir. Surətdə tətbiq siyasətlərini rol cədvəlindəki məqsədə uyğun qoyun, açar istifadəsini onunla uyğun saxlayın, şlüzlərinizin qəbul etdiyi açar alqoritmini və uzunluğunu seçin və şəxsi açarı köçürmək üçün ixrac lazım deyilsə, onu ixrac edilə bilməyən kimi işarələyin.

Etibarlılıq və yenilənmə də şablona aiddir. Qısa ömür ləğv etməyi asanlaşdırır, istismarı çətinləşdirir; uzun ömür qeydiyyat işini azaldır və sızmış açarın məruz qalma müddətini uzadır. Müdafiə edə biləcəyiniz bir rəqəm seçin və nəzərə alın ki, CA-nın öz etibarlılığı və şablonun yenilənmə dövrü nəticəni qısalda bilər.

Subyektin haradan gəldiyini qərar verin

Domen kompüteri və ya istifadəçisi üçün subyekti kataloq məlumatından qurun ki, adı sorğu göndərən yaza bilməsin. Domenə qoşulmamış şlüz və ya kimliyi AD xaricində təyin edilən cihaz üçün şablon əvəzində nəzarətli sorğu yolu lazımdır. Sorğu göndərənin təqdim etdiyi subyekt və alternativ adların aktivləşdirilməsi real qərardır: bu, hər qeydiyyatdan keçənə istənilən adı iddia etmək lisenziyası deyil və CA tərəfindəki siyasət hələ də kimin soruşa biləcəyini və hansı sübutun tələb olunduğunu deməlidir.

Windows IKEv2 burada sərtdir. Şlüz sertifikatı müştərinin konfiqurasiya etdiyi adla uyğunlaşdırılır, buna görə DNS adı müştərinin onu axtardığı yerdə, adətən subyekt alternativ adındakı dNSName girişində mövcud olmalıdır. Uyğun gəlməyən sertifikatı işlək etmək üçün ad yoxlamasını və ya məqsəd yoxlamasını söndürmək istehsalda uyğunsuzluğu tutacaq yoxlamanı aradan qaldırır.

Şablonu yayımlayın, sonra icazələri daraldın

Şablon obyektini AD DS-də yaratmaq və onu verən CA-da yayımlamaq ayrı əməliyyatlardır və fərqli konsollarda yerinə yetirilir. Surəti Sertifikat Orqanı konsolundan Sertifikat Şablonları altında yayımlayın, sonra əmr sətrindən CA-nın onu artıq təklif etdiyini yoxlayın:

certutil -CATemplates
certutil -TCAInfo

İcazələr sonra gəlir. Onu sorğu etməli olan qruplara Oxuma və Qeydiyyat verin, başqa heç nə verməyin, CA-nın öz oxuma girişini toxunulmaz saxlayın və Avtomatik qeydiyyatı yalnız avtomatik qeydiyyat nəzərdə tutulduqda və onu işlədən yerləşdirmə siyasəti ilə dəstəkləndikdə verin. Şablondakı onay qutusu tək başına heç nə qeydiyyatdan keçirmir və qeydiyyat icazəsi olmayan yayımlanmış şablon sertifikatı siyahıya alan, sonra sorğunu rədd edən portal yaradır.

Bir sınaq müştərisini real istehlakçıda qeydiyyatdan keçirin

Sertifikatı ondan istifadə edəcək kontekstdə sorğulayın, sonra fayl adına güvənmək əvəzinə geri gələnə baxın. İstifadəçi sertifikatı cari istifadəçi anbarına, kompüter sertifikatı isə yerli kompüter anbarına düşür və MMC hər ikisini göstərir, buna görə “işləyən” qeydiyyat hələ də VPN xidməti üçün görünməz ola bilər.

certlm.msc
certutil -dump vpn-gateway.cer

Dökümü subyekt, alternativ adlar, genişləndirilmiş açar istifadəsi və zəncir üzrə oxuyun. Windows olmayan şlüz üçün sorğunu domen avtomatik qeydiyyatının ona çatdığını fərz etmək əvəzinə dəstəklənən iş axını ilə təqdim edin və ixrac formatının istehlakçının uyğun şəxsi açarı ilə birlikdə idxal etdiyi format olduğunu təsdiqləyin. Nəhayət, etimadı və səlahiyyəti ayrı saxlayın: VPN hələ də hansı istifadəçilərin və ya cihazların hansı resurslara çatdığını qərar verməlidir və ləğv yalnız şlüz ləğvi ümumiyyətlə yoxlayanda girişi silir. Microsoft-un sertifikat şablonlarının idarə edilməsi üzrə təlimatı şablon konsolunu, icazələri və ayrı yayımlama addımını əhatə edir.