Tsara samfuran AD CS don matsayin ƙofar VPN da abokin ciniki

CA na kamfani na iya bayar da kowace takardar shaida da VPN ke buƙata ba tare da ya taɓa zama ƙofar ba. Aikin tsarawa shi ne yanke shawarar abin da kowane ɓangare dole ya tabbatar, sannan wace samfuri za ta iya bayar da takardar da ke tabbatar da haka daidai. Na fara da teburin matsayi, na kwafi samfurin da ya dace maimakon gyara ɗaya a wurinsa, na kafa tushen batun kowace rawa, na buga sakamakon a CA mai bayarwa, sannan na yi wa ɗaya gwaji rajista kafin wani ya sarrafa shi. Kowane mataki a ƙasa wuri ne da CA mai aiki har yanzu ke samar da takardar shaida da VPN zai ƙi.

Rubuta teburin matsayi kafin buɗe na'urar samfuran

Matsayi biyu, manufofi biyu. Ƙofar tana tabbatar da asalin sabis, don haka takardarta tana buƙatar Server Authentication (1.3.6.1.5.5.7.3.1), amfani da maɓalli na sa hannu na dijital da ɓoye maɓalli, da sunan uwar garken da abokan ciniki ke kira a cikin madadin sunan batun. Abokan ciniki da ke tabbatarwa da takardu suna buƙatar Client Authentication (1.3.6.1.5.5.7.3.2) da asalin da ya dace da abin da ƙofar ke tsammani a binciken ɗayan. Takardar mai amfani da takardar kwamfuta ba za su iya musanya ba, domin suna rayuwa a ajiya daban kuma matakai daban ne ke amfani da su.

Rubuta ginshiƙai huɗu ga kowace rawa: asalin da dole ya bayyana, manufar, mai amfani da maɓalli, da ko maɓallin zai iya barin na'urar. Wannan tebur ne ke yanke shawara kan kowane akwatin dubawa daga baya, kuma shi ne abin da kuke ba mai bita. Tabbatar da abokan ciniki da kalmar sirri reshe ne daban: idan ƙofar tana tabbatar da masu amfani da bayanan shiga, rarraba takardun abokan ciniki yana ƙara aiki ba tare da ƙara hujja ba.

Kwafi samfuri maimakon gyara wanda ake raba

Fara daga samfurin da manufarsa ta kusa daidai, kamar RAS and IAS Server don ƙofar ko Computer don na'urorin da ke cikin yanki, sannan kwafe shi kuma ba wa kwafin suna da ke faɗin abin da ake yi da shi. Faɗaɗa samfurin da wasu sabis ke amfani da shi riga shine canjin da ke karya wani abu mara alaƙa bayan makonni shida. A kan kwafin, saita manufofin aikace-aikace zuwa manufar daga teburin matsayi, riƙe amfani da maɓalli daidai da ita, zaɓi algorithm da tsayin maɓallin da ƙofofinku ke karɓa, kuma yi wa maɓallin sirri alama a matsayin wanda ba za a iya fitarwa ba sai idan na'ura tana buƙatar fitar da shi don motsa shi.

Inganci da sabuntawa ma na samfurin ne. Ƙarancin rayuwa yana sauƙin soke shi kuma yana da wahalar gudanarwa; dogon rayuwa yana rage aikin rajista kuma yana tsawaita bayyanar maɓallin da ya ɓalle. Zaɓi lambar da za ka iya kare ta, kuma lura cewa ingancin CA da kansa da lokacin sabuntawar samfurin na iya rage sakamakon.

Yanke shawara daga ina batun ya fito

Don kwamfutar yanki ko mai amfani, gina batun daga bayanan jagora don mai nema ba zai iya rubuta sunan ba. Don ƙofar da ba ta cikin yanki ba, ko na'urar da ake ba da asalinta a wajen AD, samfurin yana buƙatar hanyar nema da aka sarrafa maimakon haka. Kunna batun da madadin sunaye da mai nema ya bayar shawara ce ta gaske: ba lasisi ba ne ga kowane mai rajista ya yi da'awar kowane suna, kuma manufar gefen CA dole har yanzu ta faɗi wanda zai iya nema da wace hujja ake buƙata.

Windows IKEv2 yana da tsauri a nan. Ana kwatanta takardar ƙofar da sunan da abokin ciniki ya saita, don haka sunan DNS dole ya kasance a inda abokin ciniki ke nemansa, yawanci shigarwar dNSName a cikin madadin sunan batun. Kashe binciken suna ko binciken manufa don takardar da ba ta dace ta yi aiki yana cire binciken da zai kama rashin daidaituwa a cikin samarwa.

Buga samfurin, sannan rage izini

Ƙirƙirar abin samfurin a AD DS da buga shi a CA mai bayarwa ayyuka ne daban, waɗanda na'urori daban ke yi. Buga kwafin daga na'urar Certification Authority ƙarƙashin Certificate Templates, sannan tabbatar daga layin umarni cewa CA yanzu yana ba da shi:

certutil -CATemplates
certutil -TCAInfo

Izini suna zuwa gaba. Ba da Read da Enroll ga ƙungiyoyin da ya kamata su neme shi kuma ba wani abu ba, riƙe damar karatun CA da kansa lafiya, kuma ba da Autoenroll kawai a inda ake son rajista ta atomatik kuma manufar turawa da ke sa ta aiki ta goyi bayan hakan. Akwatin dubawa a cikin samfuri ba ya yin rajistar komai da kansa, kuma samfurin da aka buga ba tare da izinin rajista ba yana samar da tashar da ke lissafa takardar sannan ta ƙi neman.

Yi wa ɗaya gwaji rajista a cikin ainihin mai amfani

Nemi takardar a cikin mahallin da zai yi amfani da ita, sannan duba abin da ya dawo maimakon amincewa da sunan fayil. Takardar mai amfani tana sauka a ajiyar mai amfani na yanzu kuma takardar kwamfuta a ajiyar kwamfutar gida, kuma MMC yana nuna duka biyu, shi ya sa rajistar da “yi aiki” na iya zama ganuwa ga sabis ɗin VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Karanta fitarwar don batun, madadin sunaye, ƙarin amfani da maɓalli da sarkar. Don ƙofar da ba Windows ba, gabatar da neman ta hanyar aikin da aka goyi bayan maimakon ɗauka cewa rajista ta atomatik ta yanki tana isa gareta, kuma tabbatar da cewa tsarin da aka fitar shine wanda mai amfani ke shigo da shi tare da maɓallin sirrinsa da ya dace. A ƙarshe, riƙe amincewa da izini dabam: VPN dole har yanzu ya yanke shawara waɗanne masu amfani ko na'urori ke isa waɗanne albarkatu, kuma sokewa yana cire dama ne kawai idan ƙofar tana bincika sokewa kwata-kwata. Jagorar Microsoft kan sarrafa samfuran takardar shaida ta ƙunshi na'urar samfuran, izini da matakin bugawa daban.