Σχεδιασμός προτύπων AD CS για ρόλους πύλης VPN και πελατών

Μια εταιρική CA μπορεί να εκδώσει κάθε πιστοποιητικό που χρειάζεται ένα VPN χωρίς να είναι ποτέ η ίδια η πύλη. Η δουλειά σχεδιασμού είναι να αποφασίσετε τι πρέπει να αποδείξει κάθε ομόλογο και έπειτα ποιο πρότυπο μπορεί να εκδώσει διαπιστευτήριο που αποδεικνύει ακριβώς αυτό. Ξεκινώ με έναν πίνακα ρόλων, αντιγράφω ένα κατάλληλο πρότυπο αντί να επεξεργάζομαι ένα στη θέση του, καθορίζω την πηγή του υποκειμένου ανά ρόλο, δημοσιεύω το αποτέλεσμα στην CA που εκδίδει και καταχωρίζω έναν πιλότο πριν το αυτοματοποιήσει κανείς. Κάθε βήμα παρακάτω είναι ένα σημείο όπου μια λειτουργική CA παράγει ακόμη πιστοποιητικό που το VPN θα απορρίψει.

Γράψτε τον πίνακα ρόλων πριν ανοίξετε την κονσόλα προτύπων

Δύο ρόλοι, δύο σκοποί. Η πύλη αποδεικνύει ταυτότητα υπηρεσίας, άρα το πιστοποιητικό της χρειάζεται Server Authentication (1.3.6.1.5.5.7.3.1), χρήση κλειδιού για ψηφιακή υπογραφή και κρυπτογράφηση κλειδιού, και το όνομα κεντρικού υπολογιστή στον οποίο καλούν οι πελάτες μέσα σε εναλλακτικό όνομα υποκειμένου. Οι πελάτες που επαληθεύονται με πιστοποιητικά χρειάζονται Client Authentication (1.3.6.1.5.5.7.3.2) και ταυτότητα που ταιριάζει με αυτό που περιμένει η πύλη στον έλεγχο ομολόγου. Το πιστοποιητικό χρήστη και το πιστοποιητικό υπολογιστή δεν είναι ανταλλάξιμα, γιατί ζουν σε διαφορετικούς χώρους αποθήκευσης και τα χρησιμοποιούν διαφορετικές διεργασίες.

Σημειώστε τέσσερις στήλες για κάθε ρόλο: την ταυτότητα που πρέπει να εμφανιστεί, τον σκοπό, τον καταναλωτή του κλειδιού και αν το κλειδί μπορεί να φύγει από το μηχάνημα. Αυτός ο πίνακας αποφασίζει αργότερα κάθε πλαίσιο ελέγχου και είναι επίσης αυτό που δίνετε σε έναν κριτικό. Η επαλήθευση πελατών με κωδικό πρόσβασης είναι ξεχωριστός κλάδος: αν η πύλη επαληθεύει χρήστες με διαπιστευτήρια, η διανομή πιστοποιητικών πελάτη προσθέτει δουλειά χωρίς να προσθέτει απόδειξη.

Αντιγράψτε ένα πρότυπο αντί να επεξεργαστείτε ένα κοινόχρηστο

Ξεκινήστε από ένα πρότυπο με περίπου τον σωστό σκοπό, όπως RAS and IAS Server για την πύλη ή Computer για συσκευές ενωμένες σε τομέα, έπειτα αντιγράψτε το και δώστε στο αντίγραφο όνομα που λέει για τι είναι. Η διεύρυνση ενός προτύπου που άλλες υπηρεσίες ήδη χρησιμοποιούν είναι η αλλαγή που χαλάει κάτι άσχετο έξι εβδομάδες αργότερα. Στο αντίγραφο, ορίστε τις πολιτικές εφαρμογής στον σκοπό από τον πίνακα ρόλων, κρατήστε τη χρήση κλειδιού συνεπή με αυτόν, επιλέξτε τον αλγόριθμο και το μήκος κλειδιού που δέχονται οι πύλες σας και σημειώστε το ιδιωτικό κλειδί ως μη εξαγώγιμο εκτός αν μια συσκευή χρειάζεται να το εξαγάγει για να το μετακινήσει.

Η ισχύς και η ανανέωση ανήκουν επίσης στο πρότυπο. Μια σύντομη διάρκεια ζωής είναι ευκολότερη στην ανάκληση και δυσκολότερη στη λειτουργία· μια μεγάλη μειώνει την εργασία καταχώρισης και επιμηκύνει την έκθεση ενός κλειδιού που διέρρευσε. Διαλέξτε έναν αριθμό που μπορείτε να υπερασπιστείτε και σημειώστε ότι η ίδια η ισχύς της CA και η περίοδος ανανέωσης του προτύπου μπορούν να συντομεύσουν το αποτέλεσμα.

Αποφασίστε από πού προέρχεται το υποκείμενο

Για υπολογιστή ή χρήστη τομέα, χτίστε το υποκείμενο από πληροφορίες καταλόγου ώστε το όνομα να μην μπορεί να το πληκτρολογήσει ο αιτών. Για πύλη που δεν είναι ενωμένη σε τομέα ή συσκευή της οποίας η ταυτότητα εκχωρείται εκτός AD, το πρότυπο χρειάζεται αντ' αυτού ελεγχόμενη διαδρομή αίτησης. Η ενεργοποίηση υποκειμένου και εναλλακτικών ονομάτων που παρέχει ο αιτών είναι πραγματική απόφαση: δεν είναι άδεια για κάθε καταχωρισμένο να διεκδικεί οποιοδήποτε όνομα, και η πολιτική στην πλευρά της CA πρέπει ακόμη να λέει ποιος μπορεί να ζητήσει και ποια απόδειξη απαιτείται.

Το Windows IKEv2 είναι αυστηρό εδώ. Το πιστοποιητικό πύλης αντιπαραβάλλεται με το όνομα που διαμόρφωσε ο πελάτης, άρα το όνομα DNS πρέπει να υπάρχει εκεί όπου ο πελάτης το αναζητά, συνήθως ως καταχώριση dNSName στο εναλλακτικό όνομα υποκειμένου. Η απενεργοποίηση ελέγχου ονόματος ή ελέγχου σκοπού για να δουλέψει ένα πιστοποιητικό που δεν ταιριάζει αφαιρεί τον έλεγχο που θα έπιανε την ασυμφωνία στην παραγωγή.

Δημοσιεύστε το πρότυπο και μετά περιορίστε τα δικαιώματα

Η δημιουργία του αντικειμένου προτύπου στο AD DS και η δημοσίευσή του στην CA που εκδίδει είναι ξεχωριστές ενέργειες, που γίνονται από διαφορετικές κονσόλες. Δημοσιεύστε το αντίγραφο από την κονσόλα Certification Authority στην ενότητα Certificate Templates και έπειτα επαληθεύστε από τη γραμμή εντολών ότι η CA το προσφέρει τώρα:

certutil -CATemplates
certutil -TCAInfo

Τα δικαιώματα έρχονται μετά. Δώστε Read και Enroll στις ομάδες που πρέπει να το ζητούν και τίποτε περισσότερο, κρατήστε ανέπαφη την πρόσβαση ανάγνωσης της ίδιας της CA και δώστε Autoenroll μόνο όπου η αυτόματη καταχώριση είναι σκόπιμη και υποστηρίζεται από την πολιτική ανάπτυξης που την κάνει να λειτουργεί. Ένα πλαίσιο ελέγχου σε ένα πρότυπο δεν καταχωρίζει τίποτα από μόνο του, και ένα δημοσιευμένο πρότυπο χωρίς δικαίωμα καταχώρισης παράγει πύλη που απαριθμεί το πιστοποιητικό και έπειτα αρνείται το αίτημα.

Καταχωρίστε έναν πιλότο στον πραγματικό καταναλωτή

Ζητήστε το πιστοποιητικό στο περιβάλλον που θα το χρησιμοποιήσει και έπειτα εξετάστε τι επέστρεψε αντί να εμπιστευτείτε το όνομα αρχείου. Το πιστοποιητικό χρήστη καταλήγει στον χώρο του τρέχοντος χρήστη και το πιστοποιητικό υπολογιστή στον χώρο του τοπικού υπολογιστή, και το MMC δείχνει και τα δύο, γι' αυτό μια καταχώριση που “δούλεψε” μπορεί να παραμείνει αόρατη στην υπηρεσία VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Διαβάστε το dump για το υποκείμενο, τα εναλλακτικά ονόματα, την εκτεταμένη χρήση κλειδιού και την αλυσίδα. Για πύλη που δεν είναι Windows, υποβάλτε το αίτημα μέσω της υποστηριζόμενης ροής εργασίας αντί να υποθέτετε ότι η αυτόματη καταχώριση τομέα φτάνει σε αυτήν, και επιβεβαιώστε ότι η εξαγόμενη μορφή είναι μία που ο καταναλωτής εισάγει μαζί με το αντίστοιχο ιδιωτικό κλειδί. Τέλος, κρατήστε την εμπιστοσύνη και την εξουσιοδότηση χωριστά: το VPN πρέπει ακόμη να αποφασίσει ποιοι χρήστες ή συσκευές φτάνουν σε ποιους πόρους, και η ανάκληση αφαιρεί πρόσβαση μόνο αν η πύλη ελέγχει καθόλου ανάκληση. Ο οδηγός της Microsoft για τη διαχείριση προτύπων πιστοποιητικών καλύπτει την κονσόλα προτύπων, τα δικαιώματα και το ξεχωριστό βήμα δημοσίευσης.