Návrh šablon AD CS pro role brány VPN a klientů

Podniková CA může vydat každý certifikát, který VPN potřebuje, aniž by kdy byla bránou. Návrhová práce spočívá v rozhodnutí, co musí každá strana prokázat, a poté, která šablona může vydat pověření, jež prokazuje právě to. Začínám tabulkou rolí, duplikuji vhodnou šablonu místo úpravy existující na místě, zafixuji zdroj subjektu pro každou roli, publikuji výsledek na vydávající CA a zapíšu jednoho pilotního klienta, než to někdo zautomatizuje. Každý krok níže je místo, kde funkční CA stále vytváří certifikát, který VPN odmítne.

Napište tabulku rolí, než otevřete konzolu šablon

Dvě role, dva účely. Brána prokazuje identitu služby, takže její certifikát potřebuje Server Authentication (1.3.6.1.5.5.7.3.1), použití klíče pro digitální podpis a šifrování klíče a název hostitele, na který se klienti připojují, v alternativním názvu subjektu. Klienti, kteří se ověřují certifikáty, potřebují Client Authentication (1.3.6.1.5.5.7.3.2) a identitu, která odpovídá tomu, co brána očekává při kontrole protistrany. Uživatelský a počítačový certifikát nejsou zaměnitelné, protože žijí v různých úložištích a používají je různé procesy.

Zapište čtyři sloupce pro každou roli: identitu, která se musí objevit, účel, spotřebitele klíče a zda klíč smí opustit stroj. Tato tabulka později rozhoduje o každém zaškrtávacím poli a je také tím, co předáte recenzentovi. Ověřování klientů heslem je samostatná větev: pokud brána ověřuje uživatele pomocí přihlašovacích údajů, distribuce klientských certifikátů přidává práci, aniž by přidala důkaz.

Duplikujte šablonu místo úpravy sdílené

Začněte šablonou s přibližně správným účelem, například RAS and IAS Server pro bránu nebo Computer pro zařízení připojená k doméně, pak ji duplikujte a kopii dejte název, který říká, k čemu je. Rozšiřování šablony, kterou už používají jiné služby, je změna, která o šest týdnů později rozbije něco nesouvisejícího. Na kopii nastavte zásady aplikace podle účelu z tabulky rolí, udržte použití klíče s ním konzistentní, zvolte algoritmus a délku klíče, které vaše brány přijímají, a označte soukromý klíč jako neexportovatelný, pokud ho zařízení nemusí exportovat kvůli přesunu.

Platnost a obnova patří také šabloně. Krátká životnost se snáze odvolává a hůř provozuje; dlouhá snižuje práci se zápisem a prodlužuje expozici uniklého klíče. Zvolte číslo, které dokážete obhájit, a všimněte si, že vlastní platnost CA a období obnovy šablony mohou výsledek zkrátit.

Rozhodněte, odkud subjekt pochází

U počítače nebo uživatele v doméně sestavte subjekt z informací adresáře, aby jméno nemohl napsat žadatel. U brány, která není připojena k doméně, nebo u zařízení, jehož identita se přiděluje mimo AD, šablona místo toho potřebuje řízenou cestu žádosti. Povolení subjektu a alternativních názvů dodaných žadatelem je skutečné rozhodnutí: není to licence, aby každý zapsaný nárokoval libovolné jméno, a zásada na straně CA stále musí říkat, kdo smí žádat a jaký důkaz je potřeba.

Windows IKEv2 je zde přísný. Certifikát brány se porovnává s názvem, který klient nakonfiguroval, takže název DNS musí být přítomen tam, kde ho klient hledá, obvykle jako položka dNSName v alternativním názvu subjektu. Vypnutí kontroly názvu nebo účelu, aby neodpovídající certifikát fungoval, odstraňuje kontrolu, která by nesoulad v produkci zachytila.

Publikujte šablonu a poté zužte oprávnění

Vytvoření objektu šablony v AD DS a její publikování na vydávající CA jsou oddělené operace prováděné v různých konzolách. Publikujte kopii z konzoly Certification Authority v části Certificate Templates a poté z příkazového řádku ověřte, že ji CA nyní nabízí:

certutil -CATemplates
certutil -TCAInfo

Oprávnění přicházejí na řadu. Udělte Read a Enroll skupinám, které ji mají žádat, a nic víc, zachovejte vlastní přístup CA pro čtení a Autoenroll udělte jen tam, kde je automatický zápis zamýšlen a podložen zásadou nasazení, která ho činí funkčním. Zaškrtávací políčko v šabloně samo nic nezapíše a publikovaná šablona bez oprávnění k zápisu vytvoří portál, který certifikát vypíše a poté žádost odmítne.

Zapište jednoho pilota ve skutečném spotřebiteli

Vyžádejte certifikát v kontextu, který ho bude používat, a poté prohlédněte, co se vrátilo, místo abyste věřili názvu souboru. Uživatelský certifikát skončí v úložišti aktuálního uživatele a počítačový v úložišti místního počítače a MMC zobrazuje oba, proto může být zápis, který „fungoval“, pro službu VPN stále neviditelný.

certlm.msc
certutil -dump vpn-gateway.cer

Přečtěte si výpis kvůli subjektu, alternativním názvům, rozšířenému použití klíče a řetězci. U brány, která není Windows, podejte žádost podporovaným pracovním postupem, místo abyste předpokládali, že se k ní automatický zápis domény dostane, a potvrďte, že exportovaný formát je ten, který spotřebitel importuje spolu se svým odpovídajícím soukromým klíčem. Nakonec držte důvěru a autorizaci odděleně: VPN stále musí rozhodnout, kteří uživatelé nebo zařízení dosáhnou na které prostředky, a odvolání odebere přístup jen tehdy, pokud brána odvolání vůbec kontroluje. Průvodce Microsoftu pro správu šablon certifikátů pokrývá konzolu šablon, oprávnění a samostatný krok publikování.