Dylunio templedi AD CS ar gyfer rolau porth VPN a chleientiaid

Gall CA menter gyhoeddi pob tystysgrif y mae VPN ei hangen heb fod yn y porth ei hun erioed. Gwaith y dylunio yw penderfynu beth y mae'n rhaid i bob cyfoed ei brofi, ac yna pa dempled all gyhoeddi tystlythyr sy'n profi hynny'n union. Rwy'n dechrau gyda thabl rolau, yn dyblygu templed addas yn hytrach nag olygu un yn ei le, yn trwsio ffynhonnell y pwnc fesul rôl, yn cyhoeddi'r canlyniad ar y CA sy'n cyhoeddi, ac yn cofrestru un peilot cyn i unrhyw un ei awtomeiddio. Mae pob cam isod yn fan lle mae CA sy'n gweithio yn dal i gynhyrchu tystysgrif y bydd y VPN yn ei gwrthod.

Ysgrifennwch y tabl rolau cyn agor consol y templedi

Dau rôl, dau bwrpas. Mae'r porth yn profi hunaniaeth gwasanaeth, felly mae ei dystysgrif angen Server Authentication (1.3.6.1.5.5.7.3.1), defnydd allwedd o lofnod digidol ac amgryptio allwedd, a'r enw gwesteiwr y mae cleientiaid yn deialu arno mewn enw amgen y pwnc. Mae cleientiaid sy'n dilysu â thystysgrifau angen Client Authentication (1.3.6.1.5.5.7.3.2) a hunaniaeth sy'n cyfateb i'r hyn y mae'r porth yn ei ddisgwyl yn ei wiriad cyfoed. Nid yw tystysgrif defnyddiwr a thystysgrif cyfrifiadur yn gyfnewidiol, oherwydd maent yn byw mewn storfeydd gwahanol ac yn cael eu defnyddio gan brosesau gwahanol.

Nodwch bedair colofn ar gyfer pob rôl: yr hunaniaeth sy'n rhaid iddi ymddangos, y pwrpas, defnyddiwr yr allwedd, a a all yr allwedd adael y peiriant. Mae'r tabl hwnnw'n penderfynu pob blwch gwirio yn nes ymlaen, a dyna hefyd yr hyn rydych yn ei roi i adolygydd. Mae dilysu cleientiaid â chyfrinair yn gangen ar wahân: os yw'r porth yn dilysu defnyddwyr â chredlynnau, mae dosbarthu tystysgrifau cleient yn ychwanegu gwaith heb ychwanegu prawf.

Dyblygwch dempled yn hytrach nag olygu un a rennir

Dechreuwch o dempled â phwrpas tua'r iawn, megis RAS and IAS Server ar gyfer y porth neu Computer ar gyfer dyfeisiau sydd wedi'u huno â'r parth, yna ei ddyblygu a rhoi i'r copi enw sy'n dweud at beth y mae. Ehangu templed y mae gwasanaethau eraill yn ei ddefnyddio eisoes yw'r newid sy'n torri rhywbeth heb gysylltiad chwe wythnos yn ddiweddarach. Ar y copi, gosodwch y polisïau cymhwyso i'r pwrpas o'r tabl rolau, cadwch y defnydd allwedd yn gyson ag ef, dewiswch yr algorithm a'r hyd allwedd y mae eich pyrth yn eu derbyn, a marciwch yr allwedd breifat fel un na ellir ei hallforio oni bai bod angen ei hallforio ar gyfer ei symud.

Mae dilysrwydd ac adnewyddu yn perthyn i'r templed hefyd. Mae oes fer yn haws ei dirymu ac yn anoddach ei gweithredu; mae un hir yn lleihau gwaith cofrestru ac yn ymestyn amlygiad allwedd sydd wedi gollwng. Dewiswch rif y gallwch ei amddiffyn, a nodwch y gall dilysrwydd y CA ei hun a chyfnod adnewyddu'r templed fyrhau'r canlyniad.

Penderfynwch o ble y daw'r pwnc

Ar gyfer cyfrifiadur neu ddefnyddiwr parth, adeiladwch y pwnc o wybodaeth y cyfeiriadur fel na all y ceisydd deipio'r enw. Ar gyfer porth nad yw wedi'i huno â pharth, neu ddyfais y mae ei hunaniaeth yn cael ei neilltuo y tu allan i AD, mae angen llwybr cais rheoledig ar y templed yn lle hynny. Mae galluogi pwnc ac enwau amgen a ddarperir gan y ceisydd yn benderfyniad go iawn: nid yw'n drwydded i bob cofrestrydd hawlio unrhyw enw, ac mae'n rhaid i'r polisi ar ochr y CA ddweud o hyd pwy all ofyn a pha dystiolaeth sy'n ofynnol.

Mae Windows IKEv2 yn llym yma. Mae tystysgrif y porth yn cael ei chyfateb i'r enw a ffurfweddwyd gan y cleient, felly rhaid i'r enw DNS fod yn bresennol lle mae'r cleient yn chwilio amdano, fel arfer cofnod dNSName yn enw amgen y pwnc. Mae diffodd gwirio enw neu wirio pwrpas i wneud tystysgrif nad yw'n cyfateb yn gweithio yn tynnu'r gwiriad a fyddai wedi dal y camgymhariad mewn cynhyrchu.

Cyhoeddwch y templed, yna culhewch y caniatâd

Mae creu gwrthrych y templed yn AD DS a'i gyhoeddi ar y CA sy'n cyhoeddi yn weithrediadau ar wahân, a wneir gan gonsolau gwahanol. Cyhoeddwch y copi o gonsol Certification Authority o dan Certificate Templates, yna gwiriwch o'r llinell orchymyn fod y CA bellach yn ei gynnig:

certutil -CATemplates
certutil -TCAInfo

Daw caniatâd nesaf. Rhodwch Read ac Enroll i'r grwpiau a ddylai ei ofyn a dim mwy, cadwch fynediad darllen y CA ei hun yn gyfan, a rhowch Autoenroll dim ond lle mae cofrestru awtomatig yn fwriadol ac wedi'i gefnogi gan y polisi defnyddio sy'n ei wneud yn gweithio. Nid yw blwch gwirio mewn templed yn cofrestru unrhyw beth ar ei ben ei hun, ac mae templed cyhoeddedig heb ganiatâd cofrestru yn cynhyrchu porth sy'n rhestru'r dystysgrif ac yna'n gwrthod y cais.

Cofrestrwch un peilot yn y defnyddiwr go iawn

Gofynnwch am y dystysgrif yn y cyd-destun a fydd yn ei defnyddio, yna archwiliwch yr hyn a ddaeth yn ôl yn hytrach na choelio enw'r ffeil. Mae tystysgrif defnyddiwr yn glanio yn storfa'r defnyddiwr cyfredol ac un cyfrifiadur yn storfa'r cyfrifiadur lleol, ac mae MMC yn dangos y ddau, a dyna pam y gall cofrestriad a “weithiodd” fod yn anweledig i wasanaeth y VPN o hyd.

certlm.msc
certutil -dump vpn-gateway.cer

Darllenwch y dump am y pwnc, yr enwau amgen, y defnydd allwedd estynedig a'r gadwyn. Ar gyfer porth nad yw'n Windows, cyflwynwch y cais drwy'r llif gwaith a gefnogir yn hytrach na thybio bod cofrestru awtomatig y parth yn cyrraedd yno, a chadarnhewch fod y fformat a allforiwyd yn un y mae'r defnyddiwr yn ei fewnforio gyda'i allwedd breifat gyfatebol. Yn olaf, cadwch ymddiriedaeth ac awdurdodi ar wahân: mae'n rhaid i'r VPN benderfynu o hyd pa ddefnyddwyr neu ddyfeisiau sy'n cyrraedd pa adnoddau, ac mae dirymu yn tynnu mynediad dim ond os yw'r porth yn gwirio dirymu o gwbl. Mae canllaw Microsoft ar reoli templedi tystysgrifau yn ymdrin â chonsol y templedi, caniatâd a'r cam cyhoeddi ar wahân.