VPN गेटवे और क्लाइंट भूमिकाओं के लिए AD CS टेम्पलेट डिज़ाइन करना

एक एंटरप्राइज़ CA VPN को आवश्यक हर प्रमाणपत्र जारी कर सकता है, बिना स्वयं कभी गेटवे बने। डिज़ाइन का काम यह तय करना है कि प्रत्येक पक्ष को क्या सिद्ध करना है, और फिर कौन-सा टेम्पलेट ऐसा क्रेडेंशियल जारी कर सकता है जो ठीक वही सिद्ध करे। मैं भूमिका तालिका से शुरू करता हूँ, उपयुक्त टेम्पलेट को उसी जगह संपादित करने के बजाय उसकी प्रतिलिपि बनाता हूँ, प्रत्येक भूमिका के लिए विषय का स्रोत तय करता हूँ, परिणाम को जारी करने वाले CA पर प्रकाशित करता हूँ, और किसी के द्वारा इसे स्वचालित करने से पहले एक पायलट नामांकित करता हूँ। नीचे का हर चरण वह जगह है जहाँ काम करता CA अभी भी ऐसा प्रमाणपत्र बनाता है जिसे VPN अस्वीकार कर देगा।

टेम्पलेट कंसोल खोलने से पहले भूमिका तालिका लिखें

दो भूमिकाएँ, दो उद्देश्य. गेटवे सेवा पहचान सिद्ध करता है, इसलिए उसके प्रमाणपत्र को Server Authentication (1.3.6.1.5.5.7.3.1), डिजिटल हस्ताक्षर और कुंजी एन्क्रिप्शन का कुंजी उपयोग, और क्लाइंट जिस होस्टनाम पर जुड़ते हैं वह विषय के वैकल्पिक नाम में चाहिए। प्रमाणपत्रों से प्रमाणीकरण करने वाले क्लाइंट को Client Authentication (1.3.6.1.5.5.7.3.2) और ऐसी पहचान चाहिए जो गेटवे की सामने वाले पक्ष की जाँच में अपेक्षित हो। उपयोगकर्ता प्रमाणपत्र और कंप्यूटर प्रमाणपत्र विनिमेय नहीं हैं, क्योंकि वे अलग-अलग स्टोर में रहते हैं और अलग-अलग प्रक्रियाएँ उनका उपयोग करती हैं।

प्रत्येक भूमिका के लिए चार स्तंभ लिखें: वह पहचान जो दिखनी चाहिए, उद्देश्य, कुंजी का उपभोक्ता, और क्या कुंजी मशीन छोड़ सकती है। वही तालिका बाद में हर चेकबॉक्स तय करती है, और यही आप समीक्षक को देते हैं। पासवर्ड आधारित क्लाइंट प्रमाणीकरण अलग शाखा है: यदि गेटवे उपयोगकर्ताओं को क्रेडेंशियल से प्रमाणित करता है, तो क्लाइंट प्रमाणपत्र बाँटना कोई प्रमाण जोड़े बिना काम जोड़ता है।

साझा टेम्पलेट संपादित करने के बजाय टेम्पलेट की प्रतिलिपि बनाएँ

लगभग सही उद्देश्य वाले टेम्पलेट से शुरू करें, जैसे गेटवे के लिए RAS and IAS Server या डोमेन से जुड़े उपकरणों के लिए Computer, फिर उसकी प्रतिलिपि बनाएँ और प्रतिलिपि को ऐसा नाम दें जो बताए कि वह किस लिए है। ऐसे टेम्पलेट का विस्तार करना जिसे अन्य सेवाएँ पहले से उपयोग करती हैं, वह बदलाव है जो छह सप्ताह बाद किसी असंबंधित चीज़ को तोड़ देता है। प्रतिलिपि पर अनुप्रयोग नीतियों को भूमिका तालिका के उद्देश्य पर सेट करें, कुंजी उपयोग को उसके अनुरूप रखें, वह कुंजी एल्गोरिद्म और लंबाई चुनें जो आपके गेटवे स्वीकार करते हैं, और निजी कुंजी को गैर-निर्यातयोग्य चिह्नित करें जब तक कि किसी उपकरण को उसे स्थानांतरित करने के लिए निर्यात न करना पड़े।

वैधता और नवीनीकरण भी टेम्पलेट के ही हैं। छोटा जीवनकाल निरस्त करना आसान और संचालन कठिन बनाता है; लंबा जीवनकाल नामांकन का काम घटाता है और लीक हुई कुंजी के खुलेपन को बढ़ाता है। ऐसी संख्या चुनें जिसे आप उचित ठहरा सकें, और ध्यान रखें कि CA की अपनी वैधता और टेम्पलेट की नवीनीकरण अवधि परिणाम को छोटा कर सकती हैं।

तय करें कि विषय कहाँ से आता है

डोमेन कंप्यूटर या उपयोगकर्ता के लिए विषय को निर्देशिका जानकारी से बनाएँ ताकि अनुरोधकर्ता नाम टाइप न कर सके। ऐसे गेटवे के लिए जो डोमेन से जुड़ा नहीं है, या ऐसे उपकरण के लिए जिसकी पहचान AD के बाहर दी जाती है, टेम्पलेट को इसके बजाय नियंत्रित अनुरोध पथ चाहिए। अनुरोधकर्ता द्वारा दिए गए विषय और वैकल्पिक नाम सक्षम करना वास्तविक निर्णय है: यह हर नामांकित व्यक्ति को कोई भी नाम दावा करने का लाइसेंस नहीं है, और CA पक्ष की नीति को अभी भी बताना है कि कौन माँग सकता है और कौन-सा प्रमाण आवश्यक है।

Windows IKEv2 यहाँ सख्त है। गेटवे प्रमाणपत्र की तुलना उस नाम से होती है जो क्लाइंट ने कॉन्फ़िगर किया है, इसलिए DNS नाम वहाँ मौजूद होना चाहिए जहाँ क्लाइंट उसे खोजता है, आमतौर पर विषय के वैकल्पिक नाम में dNSName प्रविष्टि। बेमेल प्रमाणपत्र को काम कराने के लिए नाम जाँच या उद्देश्य जाँच बंद करना उस जाँच को हटा देता है जो उत्पादन में बेमेल पकड़ती।

टेम्पलेट प्रकाशित करें, फिर अनुमतियाँ संकीर्ण करें

AD DS में टेम्पलेट ऑब्जेक्ट बनाना और उसे जारी करने वाले CA पर प्रकाशित करना अलग-अलग कार्य हैं, जो अलग कंसोल में किए जाते हैं। प्रतिलिपि को Certification Authority कंसोल में Certificate Templates के अंतर्गत प्रकाशित करें, फिर कमांड लाइन से सत्यापित करें कि CA अब उसे प्रदान करता है:

certutil -CATemplates
certutil -TCAInfo

अनुमतियाँ इसके बाद आती हैं। जिन समूहों को इसे माँगना चाहिए उन्हें Read और Enroll दें और इससे अधिक कुछ नहीं, CA के अपने पढ़ने के अधिकार को अक्षुण्ण रखें, और Autoenroll केवल वहीं दें जहाँ स्वचालित नामांकन इरादतन है और उसे काम कराने वाली परिनियोजन नीति द्वारा समर्थित है। टेम्पलेट में एक चेकबॉक्स अपने आप कुछ नामांकित नहीं करता, और नामांकन अनुमति के बिना प्रकाशित टेम्पलेट ऐसा पोर्टल बनाता है जो प्रमाणपत्र सूचीबद्ध करता है और फिर अनुरोध अस्वीकार कर देता है।

वास्तविक उपभोक्ता में एक पायलट नामांकित करें

प्रमाणपत्र का अनुरोध उसी संदर्भ में करें जो उसका उपयोग करेगा, फिर फ़ाइल नाम पर भरोसा करने के बजाय जो वापस आया उसे जाँचें। उपयोगकर्ता प्रमाणपत्र वर्तमान-उपयोगकर्ता स्टोर में और कंप्यूटर प्रमाणपत्र स्थानीय-कंप्यूटर स्टोर में जाता है, और MMC दोनों दिखाता है, इसलिए “काम कर गया” ऐसा नामांकन भी VPN सेवा के लिए अदृश्य रह सकता है।

certlm.msc
certutil -dump vpn-gateway.cer

डंप को विषय, वैकल्पिक नाम, विस्तारित कुंजी उपयोग और श्रृंखला के लिए पढ़ें। ऐसे गेटवे के लिए जो Windows नहीं है, अनुरोध को समर्थित कार्यप्रवाह से जमा करें, बजाय यह मानने के कि डोमेन स्वचालित नामांकन वहाँ पहुँचता है, और पुष्टि करें कि निर्यातित प्रारूप वही है जिसे उपभोक्ता अपनी मेल खाती निजी कुंजी के साथ आयात करता है। अंत में, विश्वास और प्राधिकरण को अलग रखें: VPN को अभी भी तय करना है कि कौन-से उपयोगकर्ता या उपकरण किन संसाधनों तक पहुँचते हैं, और निरस्तीकरण पहुँच केवल तभी हटाता है जब गेटवे निरस्तीकरण की जाँच करता ही हो। प्रमाणपत्र टेम्पलेट प्रबंधित करने की Microsoft मार्गदर्शिका टेम्पलेट कंसोल, अनुमतियाँ और अलग प्रकाशन चरण को शामिल करती है।