AD CS-sablonok tervezése VPN-átjáró- és ügyfélszerepkörökhöz

Egy vállalati CA minden VPN-hez szükséges tanúsítványt ki tud adni anélkül, hogy valaha maga lenne az átjáró. A tervezési munka annak eldöntése, hogy az egyes feleknek mit kell bizonyítaniuk, majd hogy melyik sablon tud olyan hitelesítő adatot kiadni, amely pontosan azt bizonyítja. Szerepkör-táblával kezdem, kicserélem a megfelelő sablont ahelyett, hogy egy meglévőt a helyén szerkesztenék, szerepkörönként rögzítem a tárgy forrását, közzéteszem az eredményt a kibocsátó CA-n, és regisztrálok egy pilotot, mielőtt bárki automatizálná. Az alábbi minden lépés olyan pont, ahol egy működő CA még mindig olyan tanúsítványt állít elő, amelyet a VPN el fog utasítani.

Írja meg a szerepkör-táblát, mielőtt megnyitja a sablonkonzolt

Két szerepkör, két cél. Az átjáró szolgáltatásidentitást bizonyít, ezért tanúsítványának Server Authentication (1.3.6.1.5.5.7.3.1) szükséges, digitális aláírást és kulcstitkosítást tartalmazó kulcshasználat, valamint az az állomásnév, amelyet az ügyfelek hívnak, a tárgy alternatív nevében. A tanúsítványokkal hitelesítő ügyfeleknek Client Authentication (1.3.6.1.5.5.7.3.2) és olyan identitás kell, amely megfelel annak, amit az átjáró a másik fél ellenőrzésekor vár. A felhasználói és a számítógépes tanúsítvány nem felcserélhető, mert különböző tárolókban élnek, és különböző folyamatok használják őket.

Írjon le négy oszlopot szerepkörönként: a megjelenő identitást, a célt, a kulcs fogyasztóját és hogy a kulcs elhagyhatja-e a gépet. Ez a tábla dönt később minden jelölőnégyzetről, és ezt adja át a lektornak. A jelszóalapú ügyfél-hitelesítés külön ág: ha az átjáró hitelesítő adatokkal hitelesíti a felhasználókat, az ügyféltanúsítványok kiosztása munkát ad hozzá bizonyíték nélkül.

Másolja a sablont ahelyett, hogy közös sablont szerkesztene

Induljon ki egy megközelítőleg megfelelő célú sablonból, például RAS and IAS Server az átjáróhoz vagy Computer a tartományhoz csatlakozott eszközökhöz, majd másolja le, és adjon a másolatnak olyan nevet, amely megmondja, mire való. Egy más szolgáltatások által már használt sablon kiszélesítése az a változtatás, amely hat hét múlva elront valami mást. A másolaton állítsa az alkalmazásházirendeket a szerepkör-tábla céljára, tartsa ezzel összhangban a kulcshasználatot, válassza ki az átjárói által elfogadott kulcsalgoritmust és -hosszt, és jelölje a titkos kulcsot nem exportálhatónak, kivéve ha egy készüléknek exportálnia kell azt az áthelyezéshez.

Az érvényesség és a megújítás is a sablonhoz tartozik. A rövid élettartam könnyebben visszavonható és nehezebben üzemeltethető; a hosszú csökkenti a regisztrációs munkát és meghosszabbítja egy kiszivárgott kulcs kitettségét. Válasszon olyan számot, amelyet meg tud védeni, és vegye figyelembe, hogy a CA saját érvényessége és a sablon megújítási időszaka lerövidítheti az eredményt.

Döntse el, honnan jön a tárgy

Tartományi számítógép vagy felhasználó esetén a tárgyat a címtár információiból építse fel, hogy a nevet a kérelmező ne tudja begépelni. Olyan átjáró esetén, amely nincs a tartományhoz csatlakoztatva, vagy olyan eszköznél, amelynek identitását az AD-n kívül osztják ki, a sablonnak inkább ellenőrzött kérelemútra van szüksége. A kérelmező által megadott tárgy és alternatív nevek engedélyezése valódi döntés: ez nem licenc arra, hogy minden regisztrált bármilyen nevet igényeljen, és a CA oldali házirendnek továbbra is meg kell mondania, ki kérhet és milyen bizonyíték szükséges.

A Windows IKEv2 itt szigorú. Az átjáró tanúsítványát ahhoz a névhez hasonlítja, amelyet az ügyfél beállított, ezért a DNS-névnek ott kell lennie, ahol az ügyfél keresi, általában dNSName-bejegyzésként a tárgy alternatív nevében. A névellenőrzés vagy a célellenőrzés kikapcsolása, hogy egy nem illeszkedő tanúsítvány működjön, eltávolítja azt az ellenőrzést, amely a gyártási környezetben elkapta volna az eltérést.

Tegye közzé a sablont, majd szűkítse a jogosultságokat

A sablonobjektum létrehozása az AD DS-ben és közzététele a kibocsátó CA-n két külön művelet, különböző konzolokból. Tegye közzé a másolatot a Certification Authority konzolban a Certificate Templates alatt, majd parancssorból ellenőrizze, hogy a CA most kínálja-e:

certutil -CATemplates
certutil -TCAInfo

Ezután jönnek a jogosultságok. Adjon Read és Enroll jogot azoknak a csoportoknak, amelyeknek kérniük kell, és semmi többet, tartsa sértetlenül a CA saját olvasási hozzáférését, és csak ott adjon Autoenroll jogot, ahol az automatikus regisztráció szándékolt, és támogatja a működését lehetővé tevő telepítési házirend. Egy jelölőnégyzet a sablonban önmagában semmit nem regisztrál, és a regisztrációs jog nélkül közzétett sablon olyan portált hoz létre, amely felsorolja a tanúsítványt, majd elutasítja a kérelmet.

Regisztráljon egy pilotot a valódi fogyasztóban

A tanúsítványt abban a környezetben kérje, amely használni fogja, majd vizsgálja meg, mi jött vissza, ahelyett hogy a fájlnévnek hinne. A felhasználói tanúsítvány az aktuális felhasználó tárolójába kerül, a számítógépes pedig a helyi számítógép tárolójába, és az MMC mindkettőt mutatja, ezért előfordulhat, hogy egy “működő” regisztráció mégis láthatatlan a VPN szolgáltatás számára.

certlm.msc
certutil -dump vpn-gateway.cer

Olvassa el a kiírást a tárgy, az alternatív nevek, a kiterjesztett kulcshasználat és a lánc szempontjából. Nem Windows átjáró esetén a támogatott munkafolyamaton keresztül nyújtsa be a kérelmet, ahelyett hogy feltételezné, hogy a tartományi automatikus regisztráció eléri, és erősítse meg, hogy az exportált formátum olyan, amelyet a fogyasztó a hozzá tartozó titkos kulccsal együtt importál. Végül tartsa külön a bizalmat és a felhatalmazást: a VPN-nek továbbra is el kell döntenie, mely felhasználók vagy eszközök mely erőforrásokat érik el, a visszavonás pedig csak akkor szünteti meg a hozzáférést, ha az átjáró egyáltalán ellenőrzi a visszavonást. A Microsoft útmutatója a tanúsítványsablonok kezeléséhez lefedi a sablonkonzolt, a jogosultságokat és a külön közzétételi lépést.