AD CS -mallien suunnittelu VPN-yhdyskäytävän ja asiakkaan rooleille

Yrityksen CA voi myöntää jokaisen VPN:n tarvitseman varmenteen olematta itse koskaan yhdyskäytävä. Suunnittelutyö on päättää, mitä kunkin osapuolen on todistettava, ja sitten, mikä malli voi myöntää valtuuden, joka todistaa juuri sen. Aloitan roolitaulukosta, kopioin sopivan mallin sen sijaan että muokkaisin olemassa olevaa paikallaan, kiinnitän subjektin lähteen rooleittain, julkaisen tuloksen myöntävällä CA:lla ja rekisteröin yhden pilotin ennen kuin kukaan automatisoi sen. Jokainen alla oleva vaihe on paikka, jossa toimiva CA tuottaa silti varmenteen, jonka VPN hylkää.

Kirjoita roolitaulukko ennen mallikonsolin avaamista

Kaksi roolia, kaksi tarkoitusta. Yhdyskäytävä todistaa palveluidentiteetin, joten sen varmenteessa tarvitaan Server Authentication (1.3.6.1.5.5.7.3.1), avaimen käyttö digitaaliseen allekirjoitukseen ja avaimen salaukseen sekä isäntänimi, johon asiakkaat soittavat, subjektin vaihtoehtoiseen nimeen. Asiakkaat, jotka todentavat varmenteilla, tarvitsevat Client Authentication (1.3.6.1.5.5.7.3.2) sekä identiteetin, joka vastaa sitä, mitä yhdyskäytävä odottaa vastapuolen tarkistuksessaan. Käyttäjävarmenne ja tietokonevarmenne eivät ole keskenään vaihdettavissa, koska ne sijaitsevat eri säilöissä ja eri prosessit käyttävät niitä.

Kirjoita neljä saraketta kutakin roolia varten: identiteetti, jonka on ilmettävä, tarkoitus, avaimen käyttäjä ja saako avain poistua koneelta. Tämä taulukko päättää myöhemmin jokaisen valintaruudun, ja se on myös se, jonka annat arvioijalle. Salasanaan perustuva asiakastodennus on erillinen haara: jos yhdyskäytävä todentaa käyttäjät tunnistetiedoilla, asiakasvarmenteiden jakelu lisää työtä lisäämättä todistetta.

Kopioi malli sen sijaan että muokkaisit jaettua

Aloita mallista, jonka tarkoitus on suunnilleen oikea, kuten RAS and IAS Server yhdyskäytävälle tai Computer toimialueeseen liitetyille laitteille, kopioi se ja anna kopiolle nimi, joka kertoo, mihin sitä käytetään. Sellaisen mallin laajentaminen, jota muut palvelut jo käyttävät, on muutos, joka rikkoo jotain asiaankuulumatonta kuuden viikon kuluttua. Aseta kopiossa sovelluskäytännöt roolitaulukon tarkoitukseen, pidä avaimen käyttö sen mukaisena, valitse avainalgoritmi ja pituus, jotka yhdyskäytäväsi hyväksyvät, ja merkitse yksityinen avain ei-vietäväksi, ellei laite tarvitse viedä sitä siirtääkseen sen.

Voimassaolo ja uusiminen kuuluvat myös malliin. Lyhyt elinikä on helpompi peruuttaa ja vaikeampi ylläpitää; pitkä vähentää rekisteröintityötä ja pidentää vuotaneen avaimen altistusta. Valitse luku, jonka voit puolustaa, ja huomioi, että CA:n oma voimassaolo ja mallin uusimisjakso voivat lyhentää tulosta.

Päätä, mistä subjekti tulee

Toimialueen tietokoneelle tai käyttäjälle rakenna subjekti hakemistotiedoista, jotta hakija ei voi kirjoittaa nimeä. Yhdyskäytävälle, joka ei ole toimialueeseen liitetty, tai laitteelle, jonka identiteetti annetaan AD:n ulkopuolella, malli tarvitsee sen sijaan valvotun pyyntöpolun. Hakijan toimittaman subjektin ja vaihtoehtoisten nimien salliminen on todellinen päätös: se ei ole lisenssi jokaiselle rekisteröityneelle vaatia mitä tahansa nimeä, ja CA:n puolen käytännön on edelleen sanottava, kuka saa pyytää ja mikä näyttö vaaditaan.

Windows IKEv2 on tässä tiukka. Yhdyskäytävän varmenne sovitetaan nimeen, jonka asiakas on määrittänyt, joten DNS-nimen on oltava siellä, mistä asiakas sitä etsii, yleensä dNSName-merkintänä subjektin vaihtoehtoisessa nimessä. Nimen tarkistuksen tai tarkoituksen tarkistuksen poistaminen käytöstä, jotta yhteensopimaton varmenne toimisi, poistaa tarkistuksen, joka olisi havainnut yhteensopimattomuuden tuotannossa.

Julkaise malli ja kavenna sitten käyttöoikeuksia

Mallin objektin luominen AD DS:ään ja sen julkaiseminen myöntävällä CA:lla ovat erillisiä toimia, jotka tehdään eri konsolissa. Julkaise kopio Certification Authority -konsolista kohdassa Certificate Templates ja vahvista sitten komentoriviltä, että CA tarjoaa sen nyt:

certutil -CATemplates
certutil -TCAInfo

Käyttöoikeudet tulevat seuraavaksi. Anna Read ja Enroll ryhmille, joiden pitäisi pyytää sitä, eikä muuta, pidä CA:n oma lukuoikeus ennallaan ja anna Autoenroll vain sinne, missä automaattinen rekisteröinti on tarkoitettu ja sen toimivaksi tekevä käyttöönoton käytäntö tukee sitä. Mallin valintaruutu ei rekisteröi mitään itsestään, ja julkaistu malli ilman rekisteröintioikeutta tuottaa porttipalvelun, joka listaa varmenteen ja hylkää sitten pyynnön.

Rekisteröi yksi pilotti todellisessa kuluttajassa

Pyydä varmenne siinä ympäristössä, joka käyttää sitä, ja tarkastele sitten, mitä tuli takaisin, sen sijaan että luottaisit tiedostonimeen. Käyttäjävarmenne päätyy nykyisen käyttäjän säilöön ja tietokonevarmenne paikallisen tietokoneen säilöön, ja MMC näyttää molemmat, minkä vuoksi rekisteröinti, joka “toimi”, voi silti olla näkymätön VPN-palvelulle.

certlm.msc
certutil -dump vpn-gateway.cer

Lue vedos subjektin, vaihtoehtoisten nimien, laajennetun avaimen käytön ja ketjun osalta. Jos yhdyskäytävä ei ole Windows, lähetä pyyntö tuetun työnkulun kautta sen sijaan että olettaisit toimialueen automaattisen rekisteröinnin yltävän siihen, ja vahvista, että viety muoto on sellainen, jonka kuluttaja tuo mukanaan vastaavan yksityisen avaimensa kanssa. Pidä lopuksi luottamus ja valtuutus erillään: VPN:n on vielä päätettävä, mitkä käyttäjät tai laitteet pääsevät mihinkin resursseihin, ja peruutus poistaa pääsyn vain, jos yhdyskäytävä ylipäätään tarkistaa peruutuksen. Microsoftin opas varistemallien hallintaan kattaa mallikonsolin, käyttöoikeudet ja erillisen julkaisuvaiheen.