Распрацоўка шаблонаў AD CS для роляў шлюза VPN і кліентаў

Карпаратыўны CA можа выдаць кожны сертыфікат, які патрэбны VPN, ніколі не быўшы шлюзам. Праца дызайну — вырашыць, што менавіта павінен даказаць кожны бок, а затым які шаблон можа выдаць пасведчанне, што даказвае менавіта гэта. Я пачынаю з табліцы роляў, капірую прыдатны шаблон замест рэдагавання існуючага на месцы, фіксую крыніцу суб'екта для кожнай ролі, публікую вынік на CA, што выдае, і запісваю аднаго пілотнага кліента, перш чым хтосьці гэта аўтаматызуе. Кожны крок ніжэй — гэта месца, дзе працоўны CA ўсё яшчэ стварае сертыфікат, які VPN адхіліць.

Напішыце табліцу роляў перад адкрыццём кансолі шаблонаў

Дзве ролі, два прызначэнні. Шлюз даказвае ідэнтычнасць сэрвісу, таму яго сертыфікату патрэбны Server Authentication (1.3.6.1.5.5.7.3.1), выкарыстанне ключа для лічбавага подпісу і шыфравання ключа, а таксама імя хоста, да якога падключаюцца кліенты, у альтэрнатыўным імені суб'екта. Кліентам, якія аўтэнтыфікуюцца сертыфікатамі, патрэбны Client Authentication (1.3.6.1.5.5.7.3.2) і ідэнтычнасць, што адпавядае чаканаму шлюзам у яго праверцы партнёра. Сертыфікат карыстальніка і сертыфікат камп'ютара не ўзаемазаменныя, бо яны знаходзяцца ў розных сховішчах і выкарыстоўваюцца рознымі працэсамі.

Запішыце чатыры слупкі для кожнай ролі: ідэнтычнасць, якая павінна з'явіцца, прызначэнне, спажывец ключа і ці можа ключ пакінуць машыну. Гэтая табліца вызначае кожны сцяжок пазней, і менавіта яе вы перадаяце рэцэнзенту. Аўтэнтыфікацыя кліентаў па паролі — асобная галіна: калі шлюз аўтэнтыфікуе карыстальнікаў па ўліковых даных, раздача кліенцкіх сертыфікатаў дадае працу, не дадаючы доказу.

Капіруйце шаблон, а не рэдагуйце агульны

Пачніце з шаблона з прыкладна правільным прызначэннем, напрыклад RAS and IAS Server для шлюза або Computer для далучаных да дамена прылад, затым скапіруйце яго і дайце копіі імя, якое кажа, для чаго яна. Пашырэнне шаблона, які ўжо выкарыстоўваюць іншыя службы, — гэта змена, якая праз шэсць тыдняў зламае нешта незвязанае. У копіі задайце палітыкі прымянення па прызначэнні з табліцы роляў, трымайце выкарыстанне ключа ўзгодненым з ім, выберыце алгарытм і даўжыню ключа, якія прымаюць вашыя шлюзы, і пазначце прыватны ключ як неэкспартуемы, калі толькі прыладзе не трэба экспартаваць яго для пераносу.

Тэрмін дзеяння і абнаўленне таксама належаць шаблону. Кароткі тэрмін лягчэй адклікаць і цяжэй эксплутаваць; доўгі змяншае працу па рэгістрацыі і падаўжае ўздзеянне ўцечанага ключа. Выберыце лік, які вы можаце абараніць, і ўлічыце, што ўласны тэрмін дзеяння CA і перыяд абнаўлення шаблона могуць скараціць вынік.

Вызначце, адкуль бярэцца суб'ект

Для камп'ютара або карыстальніка ў дамене будайце суб'ект з інфармацыі каталога, каб запытчык не мог надрукаваць імя. Для шлюза, не далучанага да дамена, або прылады, ідэнтычнасць якой прызначаецца па-за AD, шаблону патрэбны замест гэтага кантраляваны шлях запыту. Уключэнне суб'екта і альтэрнатыўных імёнаў, якія падае запытчык, — гэта сапраўднае рашэнне: гэта не ліцэнзія для кожнага зарэгістраванага заяўляць любое імя, і палітыка на баку CA ўсё яшчэ павінна казаць, хто можа прасіць і якія доказы патрэбны.

Windows IKEv2 тут строгі. Сертыфікат шлюза супастаўляецца з імем, якое наладзіў кліент, таму імя DNS павінна прысутнічаць там, дзе кліент яго шукае, звычайна як запіс dNSName у альтэрнатыўным імені суб'екта. Адключэнне праверкі імені ці прызначэння, каб прымусіць працаваць неадпаведны сертыфікат, выдаляе праверку, якая злавіла б неадпаведнасць у вытворчасці.

Апублікуйце шаблон, затым звузьце дазволы

Стварэнне аб'екта шаблона ў AD DS і яго публікацыя на CA, што выдае, — асобныя аперацыі, якія выконваюцца ў розных кансолях. Апублікуйце копію з кансолі Certification Authority у раздзеле Certificate Templates, затым праверце з каманднага радка, што CA цяпер прапануе яе:

certutil -CATemplates
certutil -TCAInfo

Дазволы ідуць далей. Дайце Read і Enroll групам, якія павінны запытваць яе, і нічога больш, захавайце ўласны доступ CA на чытанне і давайце Autoenroll толькі там, дзе аўтаматычная рэгістрацыя прадугледжана і падмацавана палітыкай разгортвання, якая робіць яе працаздольнай. Сцяжок у шаблоне сам нічога не рэгіструе, а апублікаваны шаблон без дазволу на рэгістрацыю стварае партал, які паказвае сертыфікат у спісе, а затым адхіляе запыт.

Зарэгіструйце аднаго пілота ў рэальным спажыўцы

Запытайце сертыфікат у тым кантэксце, які будзе яго выкарыстоўваць, затым агледзьце тое, што вярнулася, замест таго каб давяраць імені файла. Сертыфікат карыстальніка трапляе ў сховішча бягучага карыстальніка, а сертыфікат камп'ютара — у сховішча лакальнага камп'ютара, і MMC паказвае абодва, таму рэгістрацыя, якая “спрацавала”, можа застацца нябачнай для службы VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Чытайце дамп наконт суб'екта, альтэрнатыўных імёнаў, пашыранага выкарыстання ключа і ланцужка. Для шлюза не на Windows падайце запыт праз падтрымліваемы працэс, а не здагадвайцеся, што аўтаматычная рэгістрацыя дамена да яго даходзіць, і пацвердзіце, што экспартаваны фармат — той, які спажывец імпартуе разам са сваім адпаведным прыватным ключом. Нарэшце, трымайце давер і аўтарызацыю асобна: VPN усё яшчэ павінен вырашаць, якія карыстальнікі або прылады датычацца якіх рэсурсаў, а адкліканне забірае доступ толькі тады, калі шлюз наогул правярае адкліканне. Кіраўніцтва Microsoft па кіраванні шаблонамі сертыфікатаў ахоплівае кансоль шаблонаў, дазволы і асобны крок публікацыі.