AD CS-sjablonen ûntwerpe foar VPN-gateway- en kliïntrollen

In bedriuws-CA kin elk sertifikaat útjaan dat in VPN nedich hat sûnder ea sels de gateway te wêzen. It ûntwerpwurk is beslute wat elke part bewiize moat, en dan hokker sjabloan in bewiisstik útjaan kin dat krekt dat bewissiget. Ik begjin mei in roltabel, duplisearje in geskikt sjabloan ynstee fan ien op it plak te bewurkjen, fêstigje de boarne fan it ûnderwerp per rol, publisearje it resultaat op de útjaande CA en skriuw ien pilot yn foardat immen it automatisearret. Eltse stap hjirûnder is in plak dêr't in wurkjende CA noch altyd in sertifikaat produsearret dat de VPN wegerje sil.

Skriuw de roltabel foardat jo de sjabloankonsole iepenje

Twa rollen, twa doelen. De gateway bewissiget in tsjinstidentiteit, dus har sertifikaat hat Server Authentication (1.3.6.1.5.5.7.3.1) nedich, in kaaigebrûk fan digitale hanttekening en kaaifersifering, en de hostnamme dêr't kliïnten nei skilje yn in alternatyf ûnderwerpnamm. Kliïnten dy't har mei sertifikaten ferifisearje hawwe Client Authentication (1.3.6.1.5.5.7.3.2) nedich en in identiteit dy't past by wat de gateway yn syn kontrôle fan de oare part ferwachtet. In brûkerssertifikaat en in kompjûtersertifikaat binne net útwikselber, om't se yn ferskate opslachplakken wenje en troch ferskate prosessen brûkt wurde.

Skriuw fjouwer kollommen per rol: de identiteit dy't ferskine moat, it doel, de kaaibrûker en of de kaai de masine ferlitte mei. Dy tabel beslút letter elk kontrôlefakje, en it is ek wat jo in beoardieler jouwe. Wachtwurd-basearre kliïntferifikaasje is in aparte tûke: as de gateway brûkers mei oanmeldgegevens ferifisearret, foeget it fersprieden fan kliïntsertifikaten wurk ta sûnder bewiis ta te foegjen.

Duplisearje in sjabloan ynstee fan in dield ien te bewurkjen

Begjin fan in sjabloan mei sawat it goede doel, lykas RAS and IAS Server foar de gateway of Computer foar apparaat dat oan it domein keppele is, duplisearje it dan en jou de kopy in namme dy't seit wêr't it foar is. In sjabloan ferbreedzje dat oare tsjinsten al brûke is de feroaring dy't seis wike letter eat ûnferbûn stikken makket. Set op de kopy de tapassingsbeliedens op it doel út 'e roltabel, hâld it kaaigebrûk dêrmei yn oerienstimming, kies it kaai-algoritme en de lingte dy't jo gateways akseptearje, en markearje de priveekaai as net-eksportearber, útsein as in apparaat him eksportearje moat om him te ferpleatsen.

Jildigens en fernijing hearre ek by it sjabloan. In koarte libbensdoer is makliker yn te lûken en dreger te betsjinjen; in lange ferleget it ynskriuwurk en ferlingt de bleatstelling fan in lekke kaai. Kies in getal dat jo ferdigenje kinne, en tink deroan dat de eigen jildigens fan 'e CA en de fernijingsperioade fan it sjabloan it resultaat ferkoartsje kinne.

Beslút wêr't it ûnderwerp wei komt

Foar in domeinkompjûter of -brûker bouwe jo it ûnderwerp út mapynformaasje, sadat de namme net troch de oanfreger yntype wurde kin. Foar in gateway dy't net oan it domein keppele is, of in apparaat wêrfan't de identiteit bûten AD tawiisd wurdt, hat it sjabloan ynstee in kontrolearre oanfraachpaad nedich. It ynskeakeljen fan ûnderwerp en alternative nammen dy't de oanfreger leveret is in echte beslissing: it is gjin lisinsje foar elke ynskreaune om samar in namme op te easkjen, en it belied oan 'e CA-kant moat noch hieltyd sizze wa't freegje mei en hokker bewiis nedich is.

Windows IKEv2 is hjir strang. In gatewaysertifikaat wurdt ferlike mei de namme dy't de kliïnt konfigurearre hat, dus de DNS-namme moat oanwêzich wêze dêr't de kliïnt him siket, meastentiids in dNSName-ynfier yn it alternatyf ûnderwerpnamm. It útskeakeljen fan namkontrolle of doelkontrolle om in net-passend sertifikaat wurkje te litten hellet de kontrôle fuort dy't de ôfwiking yn produksje fongen hie.

Publisearje it sjabloan en behein dan de rjochten

It meitsjen fan it sjabloanobjekt yn AD DS en it publisearjen dêrfan op 'e útjaande CA binne aparte bewurkingen, dien troch ferskate konsoles. Publisearje de kopy fan 'e Certification Authority-konsole ûnder Certificate Templates, en kontrolearje dan fan 'e opdrachtline oft de CA it no oanbiedt:

certutil -CATemplates
certutil -TCAInfo

Rjochten komme dêrnei. Jou Read en Enroll oan 'e groepen dy't it oanfreegje moatte en neat mear, hâld de eigen lêstoegong fan 'e CA yntakt, en jou Autoenroll allinnich dêr't automatyske ynskriuwing bedoeld is en stipe wurdt troch it ynsetbelied dat it wurkje lit. In kontrôlefakje yn in sjabloan skriuwt fan himsels neat yn, en in publisearre sjabloan sûnder ynskriuwrjocht makket in portaal dat it sertifikaat listet en dan de oanfraach wegeret.

Skriuw ien pilot yn by de echte brûker

Freegje it sertifikaat oan yn 'e kontekst dy't it brûke sil, en besjoch dan wat weromkaam ynstee fan de bestânsnamme te fertrouwen. In brûkerssertifikaat bedarret yn 'e opslach fan 'e hjoeddeistige brûker en in kompjûtersertifikaat yn 'e opslach fan 'e lokale kompjûter, en MMC toant beide, dêrom kin in ynskriuwing dy't “wurke” noch ûnsichtber wêze foar de VPN-tsjinst.

certlm.msc
certutil -dump vpn-gateway.cer

Lês de dump foar it ûnderwerp, de alternative nammen, it útwreide kaaigebrûk en de keatling. Foar in gateway dy't gjin Windows is, tsjinje de oanfraach yn fia de stipe wurkstream ynstee fan te tinken dat automatyske domeinynskriuwing dêr komt, en befêstigje dat it eksportearre formaat ien is dat de brûker ymportearret tegearre mei syn byhearrende priveekaai. Hâld op it lêst fertrouwen en autorisaasje apart: de VPN moat noch altyd beslute hokker brûkers of apparaten hokker boarnen berikke, en ynlûken hellet allinnich tagong fuort as de gateway ynlûken hielendal kontrolearret. De Microsoft-hantlieding foar it behearen fan sertifikaatsjablonen beslacht de sjabloankonsole, rjochten en de aparte publikaasjestap.