AD CS-Vorlagen für VPN-Gateway- und Clientrollen entwerfen

Eine Unternehmens-CA kann jedes Zertifikat ausstellen, das ein VPN braucht, ohne je selbst das Gateway zu sein. Die Entwurfsarbeit besteht darin zu entscheiden, was jeder Peer nachweisen muss, und dann, welche Vorlage eine Bescheinigung ausstellen kann, die genau das nachweist. Ich beginne mit einer Rollentabelle, dupliziere eine passende Vorlage, statt eine vorhandene an Ort und Stelle zu bearbeiten, lege die Quellen des Antragstellers je Rolle fest, veröffentliche das Ergebnis auf der ausstellenden CA und registriere einen Piloten, bevor irgendjemand das automatisiert. Jeder Schritt unten ist eine Stelle, an der eine funktionierende CA noch ein Zertifikat erzeugt, das das VPN ablehnen wird.

Schreiben Sie die Rollentabelle, bevor Sie die Vorlagenkonsole öffnen

Zwei Rollen, zwei Zwecke. Das Gateway weist eine Dienstidentität nach, daher braucht sein Zertifikat Server Authentication (1.3.6.1.5.5.7.3.1), eine Schlüsselverwendung für digitale Signatur und Schlüsselverschlüsselung sowie den Hostnamen, den die Clients anwählen, in einem alternativen Antragstellernamen. Clients, die sich mit Zertifikaten authentifizieren, brauchen Client Authentication (1.3.6.1.5.5.7.3.2) und eine Identität, die zu dem passt, was das Gateway in seiner Peer-Prüfung erwartet. Ein Benutzerzertifikat und ein Computerzertifikat sind nicht austauschbar, weil sie in verschiedenen Speichern liegen und von verschiedenen Prozessen verwendet werden.

Notieren Sie vier Spalten je Rolle: die Identität, die erscheinen muss, den Zweck, den Schlüsselnutzer und ob der Schlüssel die Maschine verlassen darf. Diese Tabelle entscheidet später jedes Kontrollkästchen, und sie ist auch das, was Sie einem Prüfer geben. Passwortbasierte Client-Authentifizierung ist ein eigener Zweig: Wenn das Gateway Benutzer per Anmeldedaten authentifiziert, bedeutet die Verteilung von Clientzertifikaten Arbeit ohne zusätzlichen Nachweis.

Duplizieren Sie eine Vorlage, statt eine gemeinsame zu bearbeiten

Beginnen Sie mit einer Vorlage mit ungefähr dem richtigen Zweck, etwa RAS and IAS Server für das Gateway oder Computer für domänenbeitretende Geräte, duplizieren Sie sie dann und geben Sie der Kopie einen Namen, der sagt, wofür sie ist. Eine Vorlage zu erweitern, die andere Dienste bereits nutzen, ist die Änderung, die sechs Wochen später etwas Unbeteiligtes kaputt macht. Setzen Sie in der Kopie die Anwendungsrichtlinien auf den Zweck aus der Rollentabelle, halten Sie die Schlüsselverwendung damit konsistent, wählen Sie Algorithmus und Länge des Schlüssels, die Ihre Gateways akzeptieren, und markieren Sie den privaten Schlüssel als nicht exportierbar, es sei denn, ein Gerät muss ihn zum Umzug exportieren.

Gültigkeit und Erneuerung gehören ebenfalls zur Vorlage. Eine kurze Lebensdauer ist leichter zu widerrufen und schwerer zu betreiben; eine lange reduziert den Registrierungsaufwand und verlängert die Exposition eines geleakten Schlüssels. Wählen Sie eine Zahl, die Sie verteidigen können, und beachten Sie, dass die Gültigkeit der CA selbst und die Erneuerungsfrist der Vorlage das Ergebnis verkürzen können.

Entscheiden Sie, woher der Antragsteller kommt

Für einen Domänencomputer oder -benutzer bauen Sie den Antragsteller aus Verzeichnisinformationen, damit der Name nicht vom Antragsteller getippt werden kann. Für ein Gateway, das nicht domänenbeitretend ist, oder ein Gerät, dessen Identität außerhalb von AD vergeben wird, braucht die Vorlage stattdessen einen kontrollierten Anforderungsweg. Vom Antragsteller gelieferte Antragsteller- und alternative Namen zu aktivieren ist eine echte Entscheidung: Es ist keine Lizenz für jeden Registrierten, irgendeinen Namen zu behaupten, und die Richtlinie auf CA-Seite muss weiterhin sagen, wer fragen darf und welcher Nachweis nötig ist.

Windows IKEv2 ist hier streng. Ein Gateway-Zertifikat wird mit dem Namen abgeglichen, den der Client konfiguriert hat, also muss der DNS-Name dort vorhanden sein, wo der Client ihn sucht, üblicherweise als dNSName-Eintrag im alternativen Antragstellernamen. Namensprüfung oder Zweckprüfung abzuschalten, damit ein nicht passendes Zertifikat funktioniert, entfernt die Prüfung, die die Abweichung in der Produktion gefangen hätte.

Veröffentlichen Sie die Vorlage und grenzen Sie dann die Berechtigungen ein

Das Vorlagenobjekt in AD DS zu erstellen und es auf der ausstellenden CA zu veröffentlichen sind getrennte Vorgänge in verschiedenen Konsolen. Veröffentlichen Sie die Kopie in der Zertifizierungsstellen-Konsole unter Zertifikatvorlagen und prüfen Sie dann über die Befehlszeile, dass die CA sie jetzt anbietet:

certutil -CATemplates
certutil -TCAInfo

Als Nächstes kommen die Berechtigungen. Geben Sie Lesen und Registrieren an die Gruppen, die sie anfordern sollen, und nichts weiter, lassen Sie den Lesezugriff der CA selbst intakt und erteilen Sie Automatische Registrierung nur dort, wo sie beabsichtigt und durch die Bereitstellungsrichtlinie gedeckt ist, die sie funktionieren lässt. Ein Kontrollkästchen in einer Vorlage registriert nichts von selbst, und eine veröffentlichte Vorlage ohne Registrierungsberechtigung erzeugt ein Portal, das das Zertifikat auflistet und dann die Anforderung ablehnt.

Registrieren Sie einen Piloten beim echten Verbraucher

Fordern Sie das Zertifikat in dem Kontext an, der es nutzen wird, und prüfen Sie dann, was zurückkam, statt dem Dateinamen zu vertrauen. Ein Benutzerzertifikat landet im Speicher des aktuellen Benutzers und ein Computerzertifikat im Speicher des lokalen Computers, und MMC zeigt beide, weshalb eine Registrierung, die „funktioniert“ hat, für den VPN-Dienst unsichtbar bleiben kann.

certlm.msc
certutil -dump vpn-gateway.cer

Lesen Sie den Dump auf Antragsteller, alternative Namen, erweiterte Schlüsselverwendung und Kette. Reichen Sie für ein Gateway ohne Windows die Anforderung über den unterstützten Arbeitsablauf ein, statt anzunehmen, dass die automatische Domänenregistrierung es erreicht, und bestätigen Sie, dass das exportierte Format eines ist, das der Verbraucher zusammen mit seinem passenden privaten Schlüssel importiert. Schließlich sind Vertrauen und Autorisierung getrennt zu halten: Das VPN muss weiterhin entscheiden, welche Benutzer oder Geräte welche Ressourcen erreichen, und Widerruf entzieht Zugriff nur, wenn das Gateway den Widerruf überhaupt prüft. Die Microsoft-Anleitung zur Verwaltung von Zertifikatvorlagen deckt die Vorlagenkonsole, Berechtigungen und den separaten Veröffentlichungsschritt ab.