VPN ગેટવે અને ક્લાયન્ટ ભૂમિકાઓ માટે AD CS ટેમ્પ્લેટની રચના

એન્ટરપ્રાઇઝ CA ક્યારેય ગેટવે બન્યા વિના પણ VPN ને જરૂરી દરેક પ્રમાણપત્ર જારી કરી શકે છે. ડિઝાઇનનું કામ એ નક્કી કરવાનું છે કે દરેક બાજુએ શું સાબિત કરવું પડે, અને પછી કયું ટેમ્પ્લેટ એવી ક્રેડેન્શિયલ જારી કરી શકે જે બરાબર એ જ સાબિત કરે. હું ભૂમિકા કોષ્ટકથી શરૂ કરું છું, યોગ્ય ટેમ્પ્લેટને જગ્યાએ સંપાદિત કરવાને બદલે તેની નકલ કરું છું, દરેક ભૂમિકા માટે વિષયનો સ્રોત નિશ્ચિત કરું છું, પરિણામ જારી કરતા CA પર પ્રકાશિત કરું છું, અને કોઈ તેને સ્વયંસંચાલિત કરે તે પહેલાં એક પાયલોટ નોંધાવું છું. નીચેનું દરેક પગલું એવી જગ્યા છે જ્યાં કાર્યરત CA હજી એવું પ્રમાણપત્ર બનાવે છે જે VPN નકારશે.

ટેમ્પ્લેટ કન્સોલ ખોલતા પહેલાં ભૂમિકા કોષ્ટક લખો

બે ભૂમિકા, બે હેતુ. ગેટવે સેવા ઓળખ સાબિત કરે છે, તેથી તેના પ્રમાણપત્રને Server Authentication (1.3.6.1.5.5.7.3.1), ડિજિટલ સહી અને કી એન્ક્રિપ્શનનો કી ઉપયોગ, અને ક્લાયન્ટ જે હોસ્ટનામ પર જોડાય છે તે વિષયના વૈકલ્પિક નામમાં જરૂરી છે. પ્રમાણપત્રોથી પ્રમાણીકરણ કરતા ક્લાયન્ટને Client Authentication (1.3.6.1.5.5.7.3.2) અને ગેટવે તેની સામેની બાજુની ચકાસણીમાં જે ધારે છે તેની સાથે મેળ ખાતી ઓળખ જરૂરી છે. વપરાશકર્તા પ્રમાણપત્ર અને કમ્પ્યુટર પ્રમાણપત્ર એકબીજાના બદલે વાપરી શકાય નહીં, કારણ કે તે અલગ સ્ટોરમાં રહે છે અને અલગ પ્રક્રિયાઓ તેનો ઉપયોગ કરે છે.

દરેક ભૂમિકા માટે ચાર કૉલમ લખો: જે ઓળખ દેખાવી જોઈએ, હેતુ, કીનો વપરાશકર્તા, અને કી મશીન છોડી શકે છે કે નહીં. એ કોષ્ટક પછીથી દરેક ચેકબોક્સ નક્કી કરે છે, અને સમીક્ષકને તમે એ જ આપો છો. પાસવર્ડ આધારિત ક્લાયન્ટ પ્રમાણીકરણ અલગ શાખા છે: જો ગેટવે વપરાશકર્તાઓને ઓળખપત્રો દ્વારા પ્રમાણિત કરે છે, તો ક્લાયન્ટ પ્રમાણપત્રોનું વિતરણ કોઈ પુરાવો ઉમેર્યા વિના કામ ઉમેરે છે.

શેર કરેલા ટેમ્પ્લેટને સંપાદિત કરવાને બદલે ટેમ્પ્લેટની નકલ કરો

લગભગ યોગ્ય હેતુવાળા ટેમ્પ્લેટથી શરૂ કરો, જેમ કે ગેટવે માટે RAS and IAS Server અથવા ડોમેન સાથે જોડાયેલા ઉપકરણો માટે Computer, પછી તેની નકલ કરો અને નકલને એવું નામ આપો જે કહે કે તે શેના માટે છે. બીજી સેવાઓ પહેલેથી ઉપયોગ કરતા ટેમ્પ્લેટને પહોળું કરવું એ જ એવો ફેરફાર છે જે છ અઠવાડિયા પછી અસંબંધિત વસ્તુ તોડે છે. નકલ પર ભૂમિકા કોષ્ટકના હેતુ મુજબ એપ્લિકેશન નીતિઓ સેટ કરો, કી ઉપયોગ તેની સાથે સુસંગત રાખો, તમારા ગેટવે સ્વીકારે તેવી કી અલ્ગોરિધમ અને લંબાઈ પસંદ કરો, અને ખાનગી કીને બિન-નિકાસયોગ્ય ચિહ્નિત કરો સિવાય કે ઉપકરણને તેને ખસેડવા માટે નિકાસ કરવી પડે.

માન્યતા અને નવીકરણ પણ ટેમ્પ્લેટના જ છે. ટૂંકું આયુષ્ય રદ કરવું સરળ અને ચલાવવું મુશ્કેલ છે; લાંબું આયુષ્ય નોંધણીનું કામ ઘટાડે છે અને લીક થયેલી કીનો સંપર્ક વધારે સમય ચાલુ રાખે છે. એવી સંખ્યા પસંદ કરો જેનો તમે બચાવ કરી શકો, અને ધ્યાનમાં રાખો કે CAની પોતાની માન્યતા અને ટેમ્પ્લેટનો નવીકરણ સમયગાળો પરિણામ ટૂંકાવી શકે છે.

વિષય ક્યાંથી આવે છે તે નક્કી કરો

ડોમેન કમ્પ્યુટર અથવા વપરાશકર્તા માટે ડિરેક્ટરી માહિતીમાંથી વિષય બનાવો જેથી અરજદાર નામ લખી ન શકે. ડોમેન સાથે જોડાયેલ ન હોય તેવા ગેટવે માટે, અથવા જેની ઓળખ ADની બહાર સોંપાય છે તેવા ઉપકરણ માટે, ટેમ્પ્લેટને તેના બદલે નિયંત્રિત અરજી માર્ગની જરૂર છે. અરજદાર દ્વારા આપવામાં આવેલ વિષય અને વૈકલ્પિક નામો સક્ષમ કરવું એ ખરેખર નિર્ણય છે: તે દરેક નોંધાયેલ વ્યક્તિને કોઈપણ નામ દાવો કરવાનું લાઇસન્સ નથી, અને CA બાજુની નીતિએ હજી પણ કહેવું પડે કે કોણ માંગી શકે અને કયો પુરાવો જરૂરી છે.

Windows IKEv2 અહીં કડક છે. ગેટવે પ્રમાણપત્ર ક્લાયન્ટે ગોઠવેલા નામ સાથે મેળવવામાં આવે છે, તેથી DNS નામ ત્યાં હાજર હોવું જોઈએ જ્યાં ક્લાયન્ટ તેને શોધે છે, સામાન્ય રીતે વિષયના વૈકલ્પિક નામમાં dNSName એન્ટ્રી. બેપરવા પ્રમાણપત્ર કામ કરે તે માટે નામ ચકાસણી કે હેતુ ચકાસણી બંધ કરવી એ એ ચકાસણી દૂર કરે છે જે ઉત્પાદનમાં બેપરવાઈ પકડી લેત.

ટેમ્પ્લેટ પ્રકાશિત કરો, પછી પરવાનગીઓ સંકુચિત કરો

AD DSમાં ટેમ્પ્લેટ ઑબ્જેક્ટ બનાવવો અને તેને જારી કરતા CA પર પ્રકાશિત કરવું એ અલગ ક્રિયાઓ છે, જે અલગ કન્સોલમાં થાય છે. નકલને Certification Authority કન્સોલમાંથી Certificate Templates હેઠળ પ્રકાશિત કરો, પછી કમાન્ડ લાઇનમાંથી ચકાસો કે CA હવે તેને ઓફર કરે છે:

certutil -CATemplates
certutil -TCAInfo

પરવાનગીઓ પછી આવે છે. જે જૂથોએ તે માંગવું જોઈએ તેમને Read અને Enroll આપો અને વધુ કંઈ નહીં, CAની પોતાની વાંચન પહોંચ અકબંધ રાખો, અને Autoenroll ફક્ત ત્યાં જ આપો જ્યાં સ્વયંસંચાલિત નોંધણી ઇરાદાપૂર્વક છે અને તેને કામ કરાવતી જમાવટ નીતિ દ્વારા સમર્થિત છે. ટેમ્પ્લેટમાંનું ચેકબોક્સ પોતાના આપ કંઈ નોંધાવતું નથી, અને નોંધણી પરવાનગી વગરનું પ્રકાશિત ટેમ્પ્લેટ એવું પોર્ટલ બનાવે છે જે પ્રમાણપત્રની યાદી બતાવે અને પછી અરજી નકારે છે.

વાસ્તવિક વપરાશકર્તામાં એક પાયલોટ નોંધાવો

પ્રમાણપત્રની અરજી એ જ સંદર્ભમાં કરો જે તેનો ઉપયોગ કરશે, પછી ફાઇલના નામ પર ભરોસો કરવાને બદલે જે પાછું આવ્યું તે તપાસો. વપરાશકર્તા પ્રમાણપત્ર વર્તમાન વપરાશકર્તાના સ્ટોરમાં અને કમ્પ્યુટર પ્રમાણપત્ર સ્થાનિક કમ્પ્યુટરના સ્ટોરમાં જાય છે, અને MMC બંને બતાવે છે, તેથી “કામ કર્યું” તેવી નોંધણી પણ VPN સેવા માટે અદૃશ્ય રહી શકે છે.

certlm.msc
certutil -dump vpn-gateway.cer

વિષય, વૈકલ્પિક નામો, વિસ્તૃત કી ઉપયોગ અને સાંકળ માટે ડમ્પ વાંચો. જે ગેટવે Windows નથી તેના માટે, ડોમેન સ્વયંસંચાલિત નોંધણી ત્યાં પહોંચે છે એમ ધારવાને બદલે સમર્થિત કાર્યપ્રવાહ દ્વારા અરજી સબમિટ કરો, અને ખાતરી કરો કે નિકાસ કરેલ ફોર્મેટ એવું છે જે વપરાશકર્તા તેની મેળ ખાતી ખાનગી કી સાથે આયાત કરે છે. અંતે, વિશ્વાસ અને અધિકૃતિ અલગ રાખો: VPNએ હજી નક્કી કરવું પડે કે કયા વપરાશકર્તાઓ કે ઉપકરણો કયા સ્રોતો સુધી પહોંચે છે, અને રદ કરવું ફક્ત ત્યારે જ પહોંચ દૂર કરે છે જ્યારે ગેટવે રદ કરવાની ચકાસણી કરે જ. પ્રમાણપત્ર ટેમ્પ્લેટનું સંચાલન કરવા માટેની Microsoft માર્ગદર્શિકા ટેમ્પ્લેટ કન્સોલ, પરવાનગીઓ અને અલગ પ્રકાશન પગલું આવરી લે છે.