Hönnun AD CS-sniðmáta fyrir VPN-gátt og biðlara

Fyrirtækjavottunaraðili getur gefið út hvert það vottorð sem VPN þarf án þess að vera nokkurn tíma gáttin sjálf. Hönnunarstarfið er að ákveða hvað hver aðili verður að sanna, og síðan hvaða sniðmát geti gefið út skírteini sem sannar nákvæmlega það. Ég byrja á hlutverkstöflu, afrita hentugt sniðmát í stað þess að breyta einu á staðnum, festi uppruna viðfangsins fyrir hvert hlutverk, birti niðurstöðuna á útgáfuvottunaraðilanum og skrái einn tilraunaaðila áður en einhver sjálfvirknir það. Hvert skref hér að neðan er staður þar sem vottunaraðili sem virkar framleiðir samt vottorð sem VPN mun hafna.

Skrifaðu hlutverkstöfluna áður en þú opnar sniðmátstölvuna

Tvö hlutverk, tveir tilgangar. Gáttin sannar þjónustuauðkenni, svo vottorð hennar þarf Server Authentication (1.3.6.1.5.5.7.3.1), lyklanotkun fyrir stafræna undirskrift og lykildulkóðun, og hýsilnafnið sem biðlarar hringja í inni í öðru viðfangsefni. Biðlarar sem auðkenna sig með vottorðum þurfa Client Authentication (1.3.6.1.5.5.7.3.2) og auðkenni sem passar við það sem gáttin væntir í athugun sinni á gagnaðilanum. Notendavottorð og tölvuvottorð eru ekki skiptanleg, því þau búa í mismunandi geymslum og mismunandi ferlar nota þau.

Skrifaðu fjóra dálka fyrir hvert hlutverk: auðkennið sem verður að birtast, tilganginn, notanda lykilsins og hvort lykillinn megi yfirgefa vélina. Þessi tafla ræður hverjum gátboxi síðar, og hún er líka það sem þú afhendir ritstjóra. Auðkenning biðlara með lykilorði er sérstök grein: ef gáttin auðkennir notendur með skírteinum eykur dreifing biðlaravottorða vinnu án þess að bæta við sönnun.

Afritaðu sniðmát í stað þess að breyta sameiginlegu

Byrjaðu á sniðmáti með nokkurn veginn réttan tilgang, svo sem RAS and IAS Server fyrir gáttina eða Computer fyrir tæki sem eru í léni, afritaðu það síðan og gefðu afritinu nafn sem segir til hvers það er. Að víkka sniðmát sem aðrar þjónustur nota þegar er sú breyting sem brýtur eitthvað ótengt sex vikum síðar. Á afritinu skaltu stilla forritunarstefnurnar á tilganginn úr hlutverkstöflunni, halda lyklanotkun í samræmi við hann, velja lyklaalgrím og lengd sem gáttirnar þínar samþykkja, og merkja einkalykilinn sem óútflutningshæfan nema tæki þurfi að flytja hann út til að færa hann.

Gildistími og endurnýjun tilheyra sniðmátinu líka. Stuttur líftími er auðveldari að afturkalla og erfiðari í rekstri; langur dregur úr skráningarvinnu og lengir útsetningu lekins lykils. Veldu tölu sem þú getur varið, og athugaðu að eigið gildistími vottunaraðilans og endurnýjunartímabil sniðmátsins geta stytt niðurstöðuna.

Ákveddu hvaðan viðfangið kemur

Fyrir lénstölvu eða notanda skaltu byggja viðfangið úr upplýsingum skráarinnar svo umsækjandi geti ekki skrifað nafnið. Fyrir gátt sem er ekki í léni, eða tæki sem auðkenni er úthlutað utan AD, þarf sniðmátið í staðinn stýrða beiðnileið. Að virkja viðfang og önnur nöfn frá umsækjanda er raunveruleg ákvörðun: það er ekki leyfi fyrir hvern skráðan að krefjast hvaða nafns sem er, og stefna á CA-hliðinni verður samt að segja hver má biðja og hvaða sönnun er krafist.

Windows IKEv2 er strangt hér. Vottorð gáttar er borið saman við nafnið sem biðlarinn stillti, svo DNS-nafnið verður að vera til staðar þar sem biðlarinn leitar að því, venjulega dNSName-færsla í öðru viðfangsefni. Að slökkva á nafnathugun eða tilgangsathugun til að láta ósamræmt vottorð virka fjarlægir athugunina sem hefði gripið ósamræmið í framleiðslu.

Birtu sniðmátið og þrengdu síðan heimildirnar

Að búa til sniðmátshlutinn í AD DS og birta hann á útgáfuvottunaraðilanum eru aðskildar aðgerðir, framkvæmdar í mismunandi tölvum. Birtu afritið úr Certification Authority-tölvunni undir Certificate Templates, staðfestu síðan frá skipanalínunni að vottunaraðilinn bjóði það núna:

certutil -CATemplates
certutil -TCAInfo

Heimildir koma næst. Gefðu Read og Enroll til hópanna sem eiga að biðja um það og ekkert meira, haltu eigin lesaðgangi vottunaraðilans óskertum, og gefðu Autoenroll aðeins þar sem sjálfvirk skráning er ætluð og studd af dreifingarstefnunni sem gerir hana virka. Gátbox í sniðmáti skráir ekkert sjálft, og birt sniðmát án skráningarheimildar býr til gátt sem listar vottorðið og hafnar síðan beiðninni.

Skráðu einn tilraunaaðila hjá raunverulega notandanum

Biddu um vottorðið í því samhengi sem mun nota það, skoðaðu síðan hvað kom til baka í stað þess að treysta skráarnafninu. Notendavottorð lendir í geymslu núverandi notanda og tölvuvottorð í geymslu staðbundinnar tölvu, og MMC sýnir bæði, þess vegna getur skráning sem “virkaði” enn verið ósýnileg VPN-þjónustunni.

certlm.msc
certutil -dump vpn-gateway.cer

Lestu afritið fyrir viðfangið, önnur nöfn, aukna lyklanotkun og keðjuna. Fyrir gátt sem er ekki Windows skaltu senda beiðnina í gegnum studda vinnuflæðið í stað þess að gera ráð fyrir að sjálfvirk lénsskráning nái til hennar, og staðfestu að útflutta sniðið sé það sem notandinn flytur inn ásamt samsvarandi einkalykli. Að lokum skaltu halda trausti og heimildum aðskildum: VPN verður samt að ákveða hvaða notendur eða tæki ná hvaða auðlindum, og afturköllun fjarlægir aðgang aðeins ef gáttin athugar afturköllun yfirhöfuð. Leiðarvísir Microsoft um stjórnun vottorðasniðmáta nær yfir sniðmátstölvuna, heimildir og aðskilda birtingarskrefið.