Merancang templat AD CS untuk peran gateway VPN dan klien

CA perusahaan dapat menerbitkan setiap sertifikat yang dibutuhkan VPN tanpa pernah menjadi gateway itu sendiri. Pekerjaan desainnya adalah memutuskan apa yang harus dibuktikan setiap pihak, lalu templat mana yang dapat menerbitkan kredensial yang membuktikan tepat hal itu. Saya mulai dengan tabel peran, menduplikasi templat yang sesuai alih-alih menyunting templat di tempatnya, menetapkan sumber subjek per peran, menerbitkan hasilnya di CA penerbit, dan mendaftarkan satu pilot sebelum siapa pun mengotomatiskannya. Setiap langkah di bawah adalah tempat di mana CA yang berfungsi masih menghasilkan sertifikat yang akan ditolak VPN.

Tulis tabel peran sebelum membuka konsol templat

Dua peran, dua tujuan. Gateway membuktikan identitas layanan, jadi sertifikatnya memerlukan Server Authentication (1.3.6.1.5.5.7.3.1), penggunaan kunci untuk tanda tangan digital dan enkripsi kunci, serta nama host yang dihubungi klien di nama alternatif subjek. Klien yang mengautentikasi dengan sertifikat memerlukan Client Authentication (1.3.6.1.5.5.7.3.2) dan identitas yang cocok dengan yang diharapkan gateway dalam pemeriksaan pihak lainnya. Sertifikat pengguna dan sertifikat komputer tidak dapat dipertukarkan, karena keduanya berada di penyimpanan berbeda dan digunakan oleh proses berbeda.

Tuliskan empat kolom untuk setiap peran: identitas yang harus muncul, tujuan, konsumen kunci, dan apakah kunci boleh meninggalkan mesin. Tabel itulah yang nanti menentukan setiap kotak centang, dan itulah yang Anda berikan kepada peninjau. Autentikasi klien berbasis kata sandi adalah cabang terpisah: jika gateway mengautentikasi pengguna dengan kredensial, mendistribusikan sertifikat klien menambah pekerjaan tanpa menambah bukti.

Duplikasi templat alih-alih menyunting templat bersama

Mulailah dari templat dengan tujuan yang kira-kira tepat, seperti RAS and IAS Server untuk gateway atau Computer untuk perangkat yang tergabung dalam domain, lalu duplikasi dan beri nama salinannya sesuai kegunaannya. Memperluas templat yang sudah dipakai layanan lain adalah perubahan yang merusak hal tak terkait enam minggu kemudian. Pada salinannya, atur kebijakan aplikasi sesuai tujuan dari tabel peran, jaga penggunaan kunci tetap konsisten dengannya, pilih algoritme dan panjang kunci yang diterima gateway Anda, dan tandai kunci privat sebagai tidak dapat diekspor kecuali perangkat perlu mengekspornya untuk dipindahkan.

Masa berlaku dan pembaruan juga milik templat. Masa hidup pendek lebih mudah dicabut dan lebih sulit dioperasikan; yang panjang mengurangi pekerjaan pendaftaran dan memperpanjang paparan kunci yang bocor. Pilih angka yang dapat Anda pertahankan, dan perhatikan bahwa masa berlaku CA itu sendiri serta periode pembaruan templat dapat memperpendek hasilnya.

Putuskan dari mana subjek berasal

Untuk komputer atau pengguna domain, bangun subjek dari informasi direktori agar nama tidak dapat diketik oleh pemohon. Untuk gateway yang tidak tergabung dalam domain, atau perangkat yang identitasnya ditetapkan di luar AD, templat memerlukan jalur permintaan yang terkendali. Mengaktifkan subjek dan nama alternatif yang disediakan pemohon adalah keputusan nyata: itu bukan lisensi bagi setiap pendaftar untuk mengklaim nama apa pun, dan kebijakan di sisi CA tetap harus menyatakan siapa yang boleh meminta dan bukti apa yang diperlukan.

Windows IKEv2 ketat di sini. Sertifikat gateway dicocokkan dengan nama yang dikonfigurasi klien, jadi nama DNS harus ada di tempat klien mencarinya, biasanya entri dNSName di nama alternatif subjek. Mematikan pemeriksaan nama atau pemeriksaan tujuan agar sertifikat yang tidak cocok berfungsi menghapus pemeriksaan yang seharusnya menangkap ketidakcocokan di produksi.

Terbitkan templat, lalu persempit izin

Membuat objek templat di AD DS dan menerbitkannya di CA penerbit adalah dua operasi terpisah, dilakukan dengan konsol berbeda. Terbitkan salinannya dari konsol Certification Authority di bawah Certificate Templates, lalu verifikasi dari baris perintah bahwa CA sekarang menawarkannya:

certutil -CATemplates
certutil -TCAInfo

Izin menyusul. Berikan Read dan Enroll kepada grup yang seharusnya memintanya dan tidak lebih, pertahankan akses baca CA itu sendiri, dan berikan Autoenroll hanya di tempat pendaftaran otomatis dimaksudkan dan didukung oleh kebijakan penerapan yang membuatnya berfungsi. Kotak centang di templat tidak mendaftarkan apa pun dengan sendirinya, dan templat terbit tanpa izin pendaftaran menghasilkan portal yang mencantumkan sertifikat lalu menolak permintaan.

Daftarkan satu pilot di konsumen sebenarnya

Minta sertifikat dalam konteks yang akan memakainya, lalu periksa apa yang kembali alih-alih memercayai nama berkas. Sertifikat pengguna mendarat di penyimpanan pengguna saat ini dan sertifikat komputer di penyimpanan komputer lokal, dan MMC menampilkan keduanya, itulah sebabnya pendaftaran yang “berhasil” bisa tetap tak terlihat oleh layanan VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Baca dump untuk subjek, nama alternatif, penggunaan kunci yang diperluas, dan rantainya. Untuk gateway non-Windows, ajukan permintaan melalui alur kerja yang didukung alih-alih menganggap pendaftaran otomatis domain menjangkaunya, dan pastikan format yang diekspor adalah format yang diimpor konsumen bersama kunci privatnya yang cocok. Terakhir, pisahkan kepercayaan dan otorisasi: VPN tetap harus memutuskan pengguna atau perangkat mana yang mencapai sumber daya mana, dan pencabutan hanya menghapus akses jika gateway benar-benar memeriksa pencabutan. Panduan Microsoft untuk mengelola templat sertifikat mencakup konsol templat, izin, dan langkah penerbitan terpisah.