Design af AD CS-skabeloner til VPN-gateway- og klientroller

En virksomheds-CA kan udstede hvert certifikat, en VPN har brug for, uden nogensinde selv at være gatewayen. Designarbejdet er at beslutte, hvad hver part skal bevise, og derefter hvilken skabelon der kan udstede en legitimation, som beviser netop det. Jeg starter med en roletabel, kopierer en passende skabelon i stedet for at redigere en på stedet, fastlåser emnets kilde pr. rolle, udgiver resultatet på den udstedende CA og tilmelder én pilot, før nogen automatiserer det. Hvert trin nedenfor er et sted, hvor en fungerende CA stadig producerer et certifikat, som VPN'et vil afvise.

Skriv roletabellen, før du åbner skabelonkonsollen

To roller, to formål. Gatewayen beviser en tjenesteidentitet, så dens certifikat kræver Server Authentication (1.3.6.1.5.5.7.3.1), en nøgleanvendelse med digital signatur og nøglekryptering samt det værtsnavn, klienterne ringer til, i et alternativt emnenavn. Klienter, der godkender med certifikater, kræver Client Authentication (1.3.6.1.5.5.7.3.2) og en identitet, der matcher det, gatewayen forventer i sin modpartskontrol. Et brugercertifikat og et computercertifikat kan ikke udskiftes, fordi de ligger i forskellige lagre og bruges af forskellige processer.

Skriv fire kolonner for hver rolle: den identitet, der skal fremgå, formålet, nøglens forbruger og om nøglen må forlade maskinen. Den tabel afgør hver afkrydsningsboks senere, og den er også det, du giver en anmelder. Adgangskodebaseret klientgodkendelse er en separat gren: hvis gatewayen godkender brugere med legitimationsoplysninger, tilføjer distribution af klientcertifikater arbejde uden at tilføje et bevis.

Kopier en skabelon i stedet for at redigere en delt

Start fra en skabelon med nogenlunde det rigtige formål, såsom RAS and IAS Server til gatewayen eller Computer til domænetilsluttede enheder, og kopier den derefter og giv kopien et navn, der siger, hvad den er til. At udvide en skabelon, som andre tjenester allerede bruger, er den ændring, der ødelægger noget irrelevant seks uger senere. På kopien sætter du applikationspolitikkerne til formålet fra roletabellen, holder nøgleanvendelsen i overensstemmelse med det, vælger den nøglealgoritme og -længde, dine gateways accepterer, og markerer den private nøgle som ikke-eksporterbar, medmindre en applikation har brug for at eksportere den for at flytte den.

Gyldighed og fornyelse hører også til skabelonen. En kort levetid er lettere at tilbagekalde og sværere at drive; en lang reducerer tilmeldingsarbejdet og forlænger eksponeringen af en lækket nøgle. Vælg et tal, du kan forsvare, og bemærk, at CA'ens egen gyldighed og skabelonens fornyelsesperiode kan forkorte resultatet.

Beslut, hvor emnet kommer fra

For en domænecomputer eller -bruger skal du bygge emnet ud fra katalogoplysninger, så navnet ikke kan skrives af ansøgeren. For en gateway, der ikke er domænetilsluttet, eller en enhed, hvis identitet tildeles uden for AD, har skabelonen i stedet brug for en kontrolleret anmodningsvej. At aktivere ansøgerleveret emne og alternative navne er en rigtig beslutning: det er ikke en licens for enhver tilmeldt til at kræve et vilkårligt navn, og politikken på CA-siden skal stadig sige, hvem der må spørge, og hvilket bevis der kræves.

Windows IKEv2 er streng her. Et gatewaycertifikat matches mod det navn, klienten har konfigureret, så DNS-navnet skal være til stede, hvor klienten leder efter det, normalt en dNSName-post i det alternative emnenavn. At slå navnekontrol eller formålskontrol fra for at få et ikke-matchende certifikat til at virke fjerner den kontrol, der ville have fanget uoverensstemmelsen i produktion.

Udgiv skabelonen, og indsnævr derefter tilladelserne

At oprette skabelonobjektet i AD DS og at udgive det på den udstedende CA er separate handlinger, der udføres i forskellige konsoller. Udgiv kopien fra Certification Authority-konsollen under Certificate Templates, og bekræft derefter fra kommandolinjen, at CA'en nu tilbyder den:

certutil -CATemplates
certutil -TCAInfo

Tilladelser kommer derefter. Giv Read og Enroll til de grupper, der skal anmode om den, og intet mere, hold CA'ens egen læseadgang intakt, og giv kun Autoenroll, hvor automatisk tilmelding er tilsigtet og understøttet af den udrulningspolitik, der får den til at virke. En afkrydsningsboks i en skabelon tilmelder ikke noget af sig selv, og en udgivet skabelon uden tilmeldingstilladelse giver en portal, der viser certifikatet og derefter afviser anmodningen.

Tilmeld én pilot i den rigtige forbruger

Anmod om certifikatet i den sammenhæng, der skal bruge det, og undersøg derefter, hvad der kom tilbage, i stedet for at stole på filnavnet. Et brugercertifikat lander i lageret for den aktuelle bruger og et computercertifikat i lageret for den lokale computer, og MMC viser begge, og derfor kan en tilmelding, der “virkede”, stadig være usynlig for VPN-tjenesten.

certlm.msc
certutil -dump vpn-gateway.cer

Læs dumpet for emnet, de alternative navne, den udvidede nøgleanvendelse og kæden. For en gateway, der ikke er Windows, skal du indsende anmodningen via den understøttede arbejdsgang i stedet for at antage, at domænets automatiske tilmelding når den, og bekræfte, at det eksporterede format er et, forbrugeren importerer sammen med sin matchende private nøgle. Endelig skal du holde tillid og autorisation adskilt: VPN'et skal stadig beslutte, hvilke brugere eller enheder der når hvilke ressourcer, og tilbagekaldelse fjerner kun adgang, hvis gatewayen overhovedet kontrollerer tilbagekaldelse. Microsofts vejledning til håndtering af certifikatskabeloner dækker skabelonkonsollen, tilladelser og det separate udgivelsestrin.