VPN шлюзі мен клиент рөлдеріне арналған AD CS үлгілерін жобалау

Кәсіпорындық CA VPN-ге қажет әрбір сертификатты өзі шлюз болмай-ақ бере алады. Жобалау жұмысы — әрбір тарап нені дәлелдеуі керектігін, содан кейін қай үлгі дәл соны дәлелдейтін куәлік бере алатынын шешу. Мен рөлдер кестесінен бастаймын, қолайлы үлгіні орнында өңдеудің орнына көшіремін, әр рөл үшін субъект көзін бекітемін, нәтижені шығаратын CA-да жариялаймын және біреу оны автоматтандырмай тұрып бір пилотты тіркеймін. Төмендегі әрбір қадам — жұмыс істеп тұрған CA әлі де VPN қабылдамайтын сертификат шығаратын орын.

Үлгілер консолін ашпас бұрын рөлдер кестесін жазыңыз

Екі рөл, екі мақсат. Шлюз қызмет идентификаторын дәлелдейді, сондықтан оның сертификатына Server Authentication (1.3.6.1.5.5.7.3.1), цифрлық қолтаңба мен кілтті шифрлауға арналған кілт пайдалануы, және клиенттер қосылатын хост атауы субъектінің балама атауында қажет. Сертификаттармен аутентификацияланатын клиенттерге Client Authentication (1.3.6.1.5.5.7.3.2) және шлюз қарсы тарапты тексеру кезінде күтетін идентификаторға сәйкес келетін идентификатор қажет. Пайдаланушы сертификаты мен компьютер сертификаты өзара алмастырылмайды, өйткені олар әртүрлі қоймаларда тұрады және оларды әртүрлі процестер пайдаланады.

Әр рөл үшін төрт баған жазыңыз: пайда болуы тиіс идентификатор, мақсат, кілтті тұтынушы және кілт машинадан шыға ала ма. Сол кесте кейін әрбір белгілеу ұяшығын анықтайды, және ол — рецензентке беретін құжат. Парольге негізделген клиент аутентификациясы бөлек тармақ: егер шлюз пайдаланушыларды тіркелгі деректерімен аутентификацияласа, клиент сертификаттарын тарату дәлел қоспай-ақ жұмыс қосады.

Ортақ үлгіні өңдеудің орнына үлгіні көшіріңіз

Мақсаты шамамен дұрыс үлгіден бастаңыз, мысалы шлюз үшін RAS and IAS Server немесе доменге қосылған құрылғылар үшін Computer, содан кейін оны көшіріп, көшірмеге не үшін екенін айтатын атау беріңіз. Басқа қызметтер пайдаланып жатқан үлгіні кеңейту — алты аптадан кейін байланысы жоқ нәрсені бұзатын өзгеріс. Көшірмеде қолданба саясаттарын рөлдер кестесіндегі мақсатқа орнатыңыз, кілт пайдалануын онымен үйлесімді ұстаңыз, шлюздеріңіз қабылдайтын кілт алгоритмі мен ұзындығын таңдаңыз және жеке кілтті экспортталмайтын деп белгілеңіз, егер құрылғы оны жылжыту үшін экспорттауға мәжбүр болмаса.

Жарамдылық пен жаңарту да үлгіге жатады. Қысқа мерзімді кері қайтару оңай, пайдалану қиын; ұзақ мерзім тіркеу жұмысын азайтып, ағып кеткен кілттің әсер ету уақытын ұзартады. Қорғай алатын санды таңдаңыз және CA-ның өз жарамдылығы мен үлгінің жаңарту кезеңі нәтижені қысқартуы мүмкін екенін ескеріңіз.

Субъект қайдан келетінін шешіңіз

Домен компьютері немесе пайдаланушысы үшін субъектіні каталог ақпаратынан құрыңыз, сонда сұраушы атауды тере алмайды. Доменге қосылмаған шлюз немесе идентификаторы AD-дан тыс берілетін құрылғы үшін үлгіге оның орнына бақыланатын сұраныс жолы қажет. Сұраушы ұсынған субъект пен балама атауларды қосу — нақты шешім: бұл әрбір тіркелушіге кез келген атауды талап етуге лицензия емес, және CA жағындағы саясат кім сұрай алатынын және қандай дәлел қажет екенін айтуы керек.

Windows IKEv2 бұл жерде қатаң. Шлюз сертификаты клиент конфигурациялаған атаумен салыстырылады, сондықтан DNS атауы клиент оны іздейтін жерде, әдетте субъектінің балама атауындағы dNSName жазбасы ретінде болуы керек. Сәйкес келмейтін сертификат жұмыс істеуі үшін атауды тексеруді немесе мақсатты тексеруді өшіру — өндірісте сәйкессіздікті ұстайтын тексеруді алып тастау.

Үлгіні жариялап, содан кейін рұқсаттарды тарылтыңыз

Үлгі нысанын AD DS-те құру және оны шығаратын CA-да жариялау — әртүрлі консольдерде орындалатын бөлек операциялар. Көшірмені Certification Authority консолінен Certificate Templates астында жариялаңыз, содан кейін пәрмен жолынан CA оны қазір ұсынатынын тексеріңіз:

certutil -CATemplates
certutil -TCAInfo

Рұқсаттар келесі. Оны сұрауы тиіс топтарға Read және Enroll беріңіз, одан артық емес, CA-ның өз оқу рұқсатын сақтаңыз және Autoenroll тек автоматты тіркеу көзделген және оны жұмыс істететін орналастыру саясатымен қолдау тапқан жерде беріңіз. Үлгідегі белгілеу ұяшығы өздігінен ештеңе тіркемейді, ал тіркеу рұқсатынсыз жарияланған үлгі сертификатты тізіп, содан кейін сұраныстан бас тартатын портал жасайды.

Нақты тұтынушыда бір пилотты тіркеңіз

Сертификатты оны пайдаланатын контексте сұраңыз, содан кейін файл атауына сенудің орнына қайтарылғанды тексеріңіз. Пайдаланушы сертификаты ағымдағы пайдаланушы қоймасына, ал компьютер сертификаты жергілікті компьютер қоймасына түседі, және MMC екеуін де көрсетеді, сондықтан “жұмыс істеген” тіркеу VPN қызметі үшін көрінбейтін болып қалуы мүмкін.

certlm.msc
certutil -dump vpn-gateway.cer

Шығысты субъект, балама атаулар, кеңейтілген кілт пайдалануы және тізбек бойынша оқыңыз. Windows емес шлюз үшін сұранысты қолдау көрсетілетін жұмыс ағыны арқылы жіберіңіз, доменнің автоматты тіркеуі оған жетеді деп болжамаңыз, және экспортталған пішім тұтынушы сәйкес жеке кілтімен бірге импорттайтын пішім екенін растаңыз. Соңында сенім мен авторизацияны бөлек ұстаңыз: VPN қай пайдаланушылар немесе құрылғылар қай ресурстарға жететінін әлі де шешуі керек, ал кері қайтару тек шлюз кері қайтаруды мүлдем тексеретін болса ғана қатынауды алады. Сертификат үлгілерін басқару жөніндегі Microsoft нұсқаулығы үлгілер консолін, рұқсаттарды және бөлек жариялау қадамын қамтиды.