Teimpléid AD CS a dhearadh do róil gheata VPN agus chliaint

Is féidir le CA fiontraíochta gach teastas a theastaíonn ó VPN a eisiúint gan a bheith riamh ina gheata féin. Is é an obair dheartha ná a chinneadh cad a chaithfidh gach piara a chruthú, agus ansin cén teimpléad is féidir le dintiúr a eisiúint a chruthaíonn go díreach sin. Tosaím le tábla ról, déanaim cóip de theimpléad oiriúnach seachas ceann a chur in eagar ina áit, socraím foinse an ábhair de réir róil, foilsím an toradh ar an CA eisiúna, agus cláraím píolóta amháin sula ndéanann aon duine uathoibríocht air. Is é gach céim thíos áit a dtáirgeann CA atá ag obair fós teastas a dhiúltóidh an VPN.

Scríobh an tábla ról sula n-osclaíonn tú consól na dteimpléad

Dhá ról, dhá chuspóir. Cruthaíonn an geata féiniúlacht seirbhíse, mar sin teastaíonn Server Authentication (1.3.6.1.5.5.7.3.1), úsáid eochrach de shíniú digiteach agus de chriptiú eochrach, agus an t-ainm óstaigh a ghlaonn na cliaint air in ainm malartach ábhair óna theastas. Teastaíonn Client Authentication (1.3.6.1.5.5.7.3.2) ó chliaint a fhíoraíonn le teastais, agus féiniúlacht a mheaitseálann an méid a bhfuiltear ag súil leis an ngeata ina sheiceáil piara. Níl teastas úsáideora agus teastas ríomhaire idirmhalartaithe, mar go maireann siad i stórais éagsúla agus go n-úsáideann próisis éagsúla iad.

Scríobh ceithre cholún do gach ról: an fhéiniúlacht a chaithfidh teacht chun solais, an cuspóir, tomhaltóir na heochrach, agus an féidir leis an eochair an meaisín a fhágáil. Cinneann an tábla sin gach bosca seiceála níos déanaí, agus is é freisin an rud a thugann tú do léirmheastóir. Is brainse ar leith é fíordheimhniú cliant le pasfhocal: má dhéanann an geata úsáideoirí a fhíordheimhniú le dintiúir, cuireann dáileadh teastas cliant obair leis gan chruthúnas a chur leis.

Déan cóip de theimpléad seachas ceann roinnte a chur in eagar

Tosaigh ó theimpléad a bhfuil an cuspóir beagnach ceart aige, mar shampla RAS and IAS Server don gheata nó Computer d'fheistí atá ceangailte den fhearann, ansin déan cóip de agus tabhair ainm don chóip a deir cad chuige a bhfuil sé. Is é leathnú teimpléid a úsáideann seirbhísí eile cheana an t-athrú a bhriseann rud gan bhaint sé seachtainí níos déanaí. Ar an gcóip, socraigh na beartais fheidhmithe don chuspóir ón tábla ról, coinnigh úsáid na heochrach ag teacht leis, roghnaigh an t-algartam agus an fad eochrach a nglacann do gheataí leo, agus marcáil an eochair phríobháideach mar rud nach féidir a onnmhairiú mura gcaithfidh feiste í a onnmhairiú chun í a bhogadh.

Baineann bailíocht agus athnuachan leis an teimpléad freisin. Tá saolré ghearr níos éasca le cúlghairm agus níos deacra le hoibriú; laghdaíonn ceann fada an obair chlárúcháin agus síneann sé nochtadh eochrach atá sceite. Roghnaigh uimhir is féidir leat a chosaint, agus tabhair faoi deara gur féidir le bailíocht an CA féin agus le tréimhse athnuachana an teimpléid an toradh a ghiorrú.

Cinntigh cá as a dtagann an t-ábhar

Do ríomhaire nó úsáideoir fearainn, tóg an t-ábhar ó fhaisnéis eolaire ionas nach féidir leis an iarratasóir an t-ainm a chlóscríobh. Do gheata nach bhfuil ceangailte den fhearann, nó d'fheiste a ndéantar a féiniúlacht a shannadh lasmuigh de AD, teastaíonn cosán iarratais rialaithe ón teimpléad ina ionad. Is fíorchinneadh é ábhar agus ainmneacha malartacha arna soláthar ag an iarratasóir a chumasú: ní ceadúnas é do gach cláraí aon ainm a éileamh, agus caithfidh beartas thaobh an CA a rá fós cé a fhéadfaidh iarraidh agus cén fhianaise a theastaíonn.

Tá Windows IKEv2 dian anseo. Meaitseáiltear teastas geata leis an ainm a chumraigh an cliant, mar sin caithfidh an t-ainm DNS a bheith i láthair san áit a lorgaíonn an cliant é, de ghnáth iontráil dNSName san ainm malartach ábhair. Má mhúchtar seiceáil ainm nó seiceáil cuspóra chun go n-oibreodh teastas nach meaitseálann, baintear an tseiceáil a ghabhfadh an mhíráiteas i dtáirgeadh.

Foilsigh an teimpléad, ansin cúngaigh na ceadanna

Is oibríochtaí ar leith iad an réad teimpléid a chruthú in AD DS agus é a fhoilsiú ar an CA eisiúna, déanta ag consóil éagsúla. Foilsigh an chóip ó chonsól Certification Authority faoi Certificate Templates, ansin fíoraigh ón líne ordaithe go dtairgeann an CA anois é:

certutil -CATemplates
certutil -TCAInfo

Tagann ceadanna ina dhiaidh sin. Tabhair Read agus Enroll do na grúpaí ar cheart dóibh é a iarraidh agus faic eile, coinnigh rochtain léitheoireachta an CA féin slán, agus tabhair Autoenroll ach amháin san áit a bhfuil clárú uathoibríoch beartaithe agus tacaithe ag an mbeartas imscartha a chuireann ag obair é. Ní chláraíonn bosca seiceála i dteimpléad faic as féin, agus cruthaíonn teimpléad foilsithe gan chead clárúcháin tairseach a liostaíonn an teastas agus a dhiúltaíonn ansin an t-iarratas.

Cláraigh píolóta amháin sa tomhaltóir fíor

Iarr an teastas sa chomhthéacs a úsáidfidh é, ansin scrúdaigh an méid a tháinig ar ais seachas muinín a chur in ainm an chomhaid. Téann teastas úsáideora isteach i stór an úsáideora reatha agus teastas ríomhaire i stór an ríomhaire áitiúil, agus taispeánann MMC an dá cheann, agus is ar an ábhar sin is féidir le clárú a “oibrigh” a bheith dofheicthe don tseirbhís VPN fós.

certlm.msc
certutil -dump vpn-gateway.cer

Léigh an dump don ábhar, do na hainmneacha malartacha, don úsáid fheabhsaithe eochrach agus don slabhra. Do gheata nach Windows é, cuir an t-iarratas isteach tríd an sreabhadh oibre a dtacaítear leis seachas glacadh leis go sroicheann clárú uathoibríoch an fhearainn é, agus deimhnigh gurb é an formáid onnmhairithe an ceann a iompórtálann an tomhaltóir in éineacht lena eochair phríobháideach mheaitseálach. Ar deireadh, coinnigh muinín agus údarú ar leithligh: caithfidh an VPN a shocrú fós cé na húsáideoirí nó na feistí a shroicheann cé na hacmhainní, agus ní bhaineann cúlghairm rochtain ach amháin má sheiceálann an geata cúlghairm ar chor ar bith. Clúdaíonn treoir Microsoft maidir le teimpléid teastais a bhainistiú consól na dteimpléad, ceadanna agus an chéim fhoilsithe ar leith.