VPN ಗೇಟ್‌ವೇ ಮತ್ತು ಕ್ಲೈಂಟ್ ಪಾತ್ರಗಳಿಗಾಗಿ AD CS ಟೆಂಪ್ಲೇಟ್ ವಿನ್ಯಾಸ

ಎಂಟರ್‌ಪ್ರೈಸ್ CA ತಾನೇ ಗೇಟ್‌ವೇ ಆಗದೆಯೇ VPN ಗೆ ಬೇಕಾದ ಪ್ರತಿ ಪ್ರಮಾಣಪತ್ರವನ್ನೂ ನೀಡಬಹುದು. ವಿನ್ಯಾಸದ ಕೆಲಸವೆಂದರೆ ಪ್ರತಿ ಬದಿಯು ಏನನ್ನು ಸಾಬೀತುಪಡಿಸಬೇಕು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುವುದು, ನಂತರ ಯಾವ ಟೆಂಪ್ಲೇಟ್ ನಿಖರವಾಗಿ ಅದನ್ನೇ ಸಾಬೀತುಪಡಿಸುವ ರುಜುವಾತನ್ನು ನೀಡಬಲ್ಲದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುವುದು. ನಾನು ಪಾತ್ರ ಕೋಷ್ಟಕದಿಂದ ಪ್ರಾರಂಭಿಸುತ್ತೇನೆ, ಸೂಕ್ತವಾದ ಟೆಂಪ್ಲೇಟ್ ಅನ್ನು ಸ್ಥಳದಲ್ಲೇ ಸಂಪಾದಿಸುವ ಬದಲು ನಕಲಿಸುತ್ತೇನೆ, ಪ್ರತಿ ಪಾತ್ರಕ್ಕೆ ವಿಷಯದ ಮೂಲವನ್ನು ಸ್ಥಿರಗೊಳಿಸುತ್ತೇನೆ, ಫಲಿತಾಂಶವನ್ನು ನೀಡುವ CA ನಲ್ಲಿ ಪ್ರಕಟಿಸುತ್ತೇನೆ ಮತ್ತು ಯಾರಾದರೂ ಅದನ್ನು ಸ್ವಯಂಚಾಲಿತಗೊಳಿಸುವ ಮೊದಲು ಒಬ್ಬ ಪೈಲಟ್ ಅನ್ನು ನೋಂದಿಸುತ್ತೇನೆ. ಕೆಳಗಿನ ಪ್ರತಿ ಹಂತವೂ ಕೆಲಸ ಮಾಡುವ CA ಇನ್ನೂ VPN ನಿರಾಕರಿಸುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಉತ್ಪಾದಿಸುವ ಸ್ಥಳವಾಗಿದೆ.

ಟೆಂಪ್ಲೇಟ್ ಕನ್ಸೋಲ್ ತೆರೆಯುವ ಮೊದಲು ಪಾತ್ರ ಕೋಷ್ಟಕ ಬರೆಯಿರಿ

ಎರಡು ಪಾತ್ರಗಳು, ಎರಡು ಉದ್ದೇಶಗಳು. ಗೇಟ್‌ವೇ ಸೇವಾ ಗುರುತನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದರ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ Server Authentication (1.3.6.1.5.5.7.3.1), ಡಿಜಿಟಲ್ ಸಹಿ ಮತ್ತು ಕೀ ಎನ್‌ಕ್ರಿಪ್ಷನ್‌ನ ಕೀ ಬಳಕೆ, ಮತ್ತು ಕ್ಲೈಂಟ್‌ಗಳು ಸಂಪರ್ಕಿಸುವ ಹೋಸ್ಟ್‌ಹೆಸರು ವಿಷಯದ ಪರ್ಯಾಯ ಹೆಸರಿನಲ್ಲಿ ಬೇಕು. ಪ್ರಮಾಣಪತ್ರಗಳಿಂದ ದೃಢೀಕರಿಸುವ ಕ್ಲೈಂಟ್‌ಗಳಿಗೆ Client Authentication (1.3.6.1.5.5.7.3.2) ಮತ್ತು ಗೇಟ್‌ವೇ ಎದುರು ಬದಿಯ ಪರಿಶೀಲನೆಯಲ್ಲಿ ನಿರೀಕ್ಷಿಸುವ ಗುರುತಿಗೆ ಹೊಂದುವ ಗುರುತು ಬೇಕು. ಬಳಕೆದಾರ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಕಂಪ್ಯೂಟರ್ ಪ್ರಮಾಣಪತ್ರ ಪರಸ್ಪರ ಬದಲಾಯಿಸಲಾಗದು, ಏಕೆಂದರೆ ಅವು ಬೇರೆ ಬೇರೆ ಸಂಗ್ರಹಗಳಲ್ಲಿ ಇರುತ್ತವೆ ಮತ್ತು ಬೇರೆ ಬೇರೆ ಪ್ರಕ್ರಿಯೆಗಳು ಅವನ್ನು ಬಳಸುತ್ತವೆ.

ಪ್ರತಿ ಪಾತ್ರಕ್ಕೆ ನಾಲ್ಕು ಕಾಲಮ್‌ಗಳನ್ನು ಬರೆಯಿರಿ: ಕಾಣಬೇಕಾದ ಗುರುತು, ಉದ್ದೇಶ, ಕೀಯ ಬಳಕೆದಾರ, ಮತ್ತು ಕೀ ಯಂತ್ರವನ್ನು ಬಿಡಬಹುದೇ. ಆ ಕೋಷ್ಟಕವೇ ನಂತರ ಪ್ರತಿ ಚೆಕ್‌ಬಾಕ್ಸ್ ಅನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಅದನ್ನೇ ನೀವು ವಿಮರ್ಶಕರಿಗೆ ಕೊಡುತ್ತೀರಿ. ಪಾಸ್‌ವರ್ಡ್ ಆಧಾರಿತ ಕ್ಲೈಂಟ್ ದೃಢೀಕರಣ ಪ್ರತ್ಯೇಕ ಶಾಖೆ: ಗೇಟ್‌ವೇ ಬಳಕೆದಾರರನ್ನು ರುಜುವಾತುಗಳಿಂದ ದೃಢೀಕರಿಸಿದರೆ, ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳ ವಿತರಣೆ ಯಾವುದೇ ಸಾಕ್ಷ್ಯ ಸೇರಿಸದೆ ಕೆಲಸ ಸೇರಿಸುತ್ತದೆ.

ಹಂಚಿದ ಟೆಂಪ್ಲೇಟ್ ಸಂಪಾದಿಸುವ ಬದಲು ಟೆಂಪ್ಲೇಟ್ ನಕಲಿಸಿ

ಸುಮಾರು ಸರಿಯಾದ ಉದ್ದೇಶವಿರುವ ಟೆಂಪ್ಲೇಟ್‌ನಿಂದ ಪ್ರಾರಂಭಿಸಿ, ಉದಾಹರಣೆಗೆ ಗೇಟ್‌ವೇಗೆ RAS and IAS Server ಅಥವಾ ಡೊಮೇನ್‌ಗೆ ಸೇರಿದ ಸಾಧನಗಳಿಗೆ Computer, ನಂತರ ಅದನ್ನು ನಕಲಿಸಿ ಮತ್ತು ನಕಲಿಗೆ ಅದು ಯಾವುದಕ್ಕೆ ಎಂದು ಹೇಳುವ ಹೆಸರು ಕೊಡಿ. ಇತರ ಸೇವೆಗಳು ಈಗಾಗಲೇ ಬಳಸುತ್ತಿರುವ ಟೆಂಪ್ಲೇಟ್ ಅನ್ನು ವಿಸ್ತರಿಸುವುದು ಆರು ವಾರಗಳ ನಂತರ ಸಂಬಂಧವಿಲ್ಲದ ಯಾವುದನ್ನೋ ಮುರಿಯುವ ಬದಲಾವಣೆ. ನಕಲಿನಲ್ಲಿ ಅನ್ವಯ ನೀತಿಗಳನ್ನು ಪಾತ್ರ ಕೋಷ್ಟಕದ ಉದ್ದೇಶಕ್ಕೆ ಹೊಂದಿಸಿ, ಕೀ ಬಳಕೆಯನ್ನು ಅದಕ್ಕೆ ಸುಸಂಗತವಾಗಿ ಇರಿಸಿ, ನಿಮ್ಮ ಗೇಟ್‌ವೇಗಳು ಸ್ವೀಕರಿಸುವ ಕೀ ಅಲ್ಗಾರಿದಮ್ ಮತ್ತು ಉದ್ದವನ್ನು ಆಯ್ಕೆಮಾಡಿ, ಮತ್ತು ಸಾಧನವು ಸರಿಸಲು ರಫ್ತು ಮಾಡಬೇಕಾಗಿಲ್ಲದಿದ್ದರೆ ಖಾಸಗಿ ಕೀಯನ್ನು ರಫ್ತು ಮಾಡಲಾಗದಂತೆ ಗುರುತಿಸಿ.

ಸಿಂಧುತ್ವ ಮತ್ತು ನವೀಕರಣವೂ ಟೆಂಪ್ಲೇಟ್‌ನದ್ದೇ. ಚಿಕ್ಕ ಜೀವಿತಾವಧಿ ರದ್ದು ಮಾಡಲು ಸುಲಭ ಮತ್ತು ನಿರ್ವಹಿಸಲು ಕಷ್ಟ; ಉದ್ದವಾದದ್ದು ನೋಂದಣಿ ಕೆಲಸವನ್ನು ಕಡಿಮೆ ಮಾಡಿ ಸೋರಿದ ಕೀಯ ಒಡ್ಡಿಕೆಯನ್ನು ಹೆಚ್ಚಿಸುತ್ತದೆ. ನೀವು ಸಮರ್ಥಿಸಬಹುದಾದ ಸಂಖ್ಯೆಯನ್ನು ಆಯ್ಕೆಮಾಡಿ, ಮತ್ತು CA ಯ ಸ್ವಂತ ಸಿಂಧುತ್ವ ಮತ್ತು ಟೆಂಪ್ಲೇಟ್‌ನ ನವೀಕರಣ ಅವಧಿ ಫಲಿತಾಂಶವನ್ನು ಕಡಿಮೆ ಮಾಡಬಹುದು ಎಂಬುದನ್ನು ಗಮನಿಸಿ.

ವಿಷಯ ಎಲ್ಲಿಂದ ಬರುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸಿ

ಡೊಮೇನ್ ಕಂಪ್ಯೂಟರ್ ಅಥವಾ ಬಳಕೆದಾರರಿಗೆ, ವಿನಂತಿದಾರರು ಹೆಸರು ಟೈಪ್ ಮಾಡಲಾಗದಂತೆ ಡೈರೆಕ್ಟರಿ ಮಾಹಿತಿಯಿಂದ ವಿಷಯವನ್ನು ನಿರ್ಮಿಸಿ. ಡೊಮೇನ್‌ಗೆ ಸೇರದ ಗೇಟ್‌ವೇಗೆ, ಅಥವಾ AD ಯ ಹೊರಗೆ ಗುರುತು ನಿಗದಿಯಾಗುವ ಸಾಧನಕ್ಕೆ, ಟೆಂಪ್ಲೇಟ್‌ಗೆ ಬದಲಾಗಿ ನಿಯಂತ್ರಿತ ವಿನಂತಿ ಮಾರ್ಗ ಬೇಕು. ವಿನಂತಿದಾರರು ಒದಗಿಸುವ ವಿಷಯ ಮತ್ತು ಪರ್ಯಾಯ ಹೆಸರುಗಳನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುವುದು ನಿಜವಾದ ನಿರ್ಧಾರ: ಇದು ಪ್ರತಿ ನೋಂದಾಯಿತರಿಗೂ ಯಾವುದೇ ಹೆಸರನ್ನು ಹಕ್ಕು ಸಾಧಿಸುವ ಪರವಾನಗಿಯಲ್ಲ, ಮತ್ತು CA ಬದಿಯ ನೀತಿ ಯಾರು ಕೇಳಬಹುದು ಮತ್ತು ಯಾವ ಸಾಕ್ಷ್ಯ ಬೇಕು ಎಂಬುದನ್ನು ಇನ್ನೂ ಹೇಳಬೇಕು.

Windows IKEv2 ಇಲ್ಲಿ ಕಟ್ಟುನಿಟ್ಟಾಗಿದೆ. ಗೇಟ್‌ವೇ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಕ್ಲೈಂಟ್ ಸಂರಚಿಸಿದ ಹೆಸರಿನೊಂದಿಗೆ ಹೋಲಿಸಲಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ DNS ಹೆಸರು ಕ್ಲೈಂಟ್ ಅದನ್ನು ಹುಡುಕುವ ಸ್ಥಳದಲ್ಲಿ, ಸಾಮಾನ್ಯವಾಗಿ ವಿಷಯದ ಪರ್ಯಾಯ ಹೆಸರಿನಲ್ಲಿ dNSName ನಮೂದಾಗಿ ಇರಬೇಕು. ಹೊಂದಿಕೆಯಾಗದ ಪ್ರಮಾಣಪತ್ರ ಕೆಲಸ ಮಾಡಲು ಹೆಸರಿನ ಪರಿಶೀಲನೆ ಅಥವಾ ಉದ್ದೇಶದ ಪರಿಶೀಲನೆಯನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಉತ್ಪಾದನೆಯಲ್ಲಿ ಹೊಂದಾಣಿಕೆಯಿಲ್ಲದಿರುವಿಕೆಯನ್ನು ಹಿಡಿಯುತ್ತಿದ್ದ ಪರಿಶೀಲನೆಯನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ.

ಟೆಂಪ್ಲೇಟ್ ಪ್ರಕಟಿಸಿ, ನಂತರ ಅನುಮತಿಗಳನ್ನು ಸಂಕುಚಿತಗೊಳಿಸಿ

AD DS ನಲ್ಲಿ ಟೆಂಪ್ಲೇಟ್ ವಸ್ತುವನ್ನು ರಚಿಸುವುದು ಮತ್ತು ಅದನ್ನು ನೀಡುವ CA ನಲ್ಲಿ ಪ್ರಕಟಿಸುವುದು ಬೇರೆ ಬೇರೆ ಕಾರ್ಯಾಚರಣೆಗಳು, ಬೇರೆ ಬೇರೆ ಕನ್ಸೋಲ್‌ಗಳಲ್ಲಿ ಮಾಡಲಾಗುತ್ತದೆ. ನಕಲನ್ನು Certification Authority ಕನ್ಸೋಲ್‌ನಿಂದ Certificate Templates ಅಡಿಯಲ್ಲಿ ಪ್ರಕಟಿಸಿ, ನಂತರ ಆಜ್ಞಾ ಸಾಲಿನಿಂದ CA ಈಗ ಅದನ್ನು ನೀಡುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ:

certutil -CATemplates
certutil -TCAInfo

ಅನುಮತಿಗಳು ಮುಂದೆ ಬರುತ್ತವೆ. ಅದನ್ನು ಕೇಳಬೇಕಾದ ಗುಂಪುಗಳಿಗೆ Read ಮತ್ತು Enroll ಕೊಡಿ ಮತ್ತು ಹೆಚ್ಚೇನೂ ಇಲ್ಲ, CA ಯ ಸ್ವಂತ ಓದುವ ಪ್ರವೇಶವನ್ನು ಅಕ್ಷತವಾಗಿ ಇರಿಸಿ, ಮತ್ತು Autoenroll ಅನ್ನು ಸ್ವಯಂಚಾಲಿತ ನೋಂದಣಿ ಉದ್ದೇಶಿತವಾಗಿದ್ದು ಅದನ್ನು ಕೆಲಸ ಮಾಡಿಸುವ ನಿಯೋಜನಾ ನೀತಿಯಿಂದ ಬೆಂಬಲಿತವಾಗಿರುವಲ್ಲಿ ಮಾತ್ರ ಕೊಡಿ. ಟೆಂಪ್ಲೇಟ್‌ನಲ್ಲಿನ ಚೆಕ್‌ಬಾಕ್ಸ್ ತಾನೇ ಏನನ್ನೂ ನೋಂದಿಸುವುದಿಲ್ಲ, ಮತ್ತು ನೋಂದಣಿ ಅನುಮತಿ ಇಲ್ಲದೆ ಪ್ರಕಟಿಸಿದ ಟೆಂಪ್ಲೇಟ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪಟ್ಟಿ ಮಾಡಿ ನಂತರ ವಿನಂತಿಯನ್ನು ನಿರಾಕರಿಸುವ ಪೋರ್ಟಲ್ ಅನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ.

ನಿಜವಾದ ಬಳಕೆದಾರರಲ್ಲಿ ಒಬ್ಬ ಪೈಲಟ್ ನೋಂದಿಸಿ

ಪ್ರಮಾಣಪತ್ರವನ್ನು ಅದನ್ನು ಬಳಸುವ ಸಂದರ್ಭದಲ್ಲೇ ಕೇಳಿ, ನಂತರ ಕಡತದ ಹೆಸರನ್ನು ನಂಬುವ ಬದಲು ಹಿಂತಿರುಗಿ ಬಂದದ್ದನ್ನು ಪರೀಕ್ಷಿಸಿ. ಬಳಕೆದಾರ ಪ್ರಮಾಣಪತ್ರವು ಪ್ರಸ್ತುತ-ಬಳಕೆದಾರ ಸಂಗ್ರಹಕ್ಕೆ ಮತ್ತು ಕಂಪ್ಯೂಟರ್ ಪ್ರಮಾಣಪತ್ರವು ಸ್ಥಳೀಯ-ಕಂಪ್ಯೂಟರ್ ಸಂಗ್ರಹಕ್ಕೆ ಬರುತ್ತದೆ, ಮತ್ತು MMC ಎರಡನ್ನೂ ತೋರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ “ಕೆಲಸ ಮಾಡಿದ” ನೋಂದಣಿಯೂ VPN ಸೇವೆಗೆ ಅದೃಶ್ಯವಾಗಿರಬಹುದು.

certlm.msc
certutil -dump vpn-gateway.cer

ವಿಷಯ, ಪರ್ಯಾಯ ಹೆಸರುಗಳು, ವಿಸ್ತರಿತ ಕೀ ಬಳಕೆ ಮತ್ತು ಸರಪಣಿಗಾಗಿ ಡಂಪ್ ಓದಿ. Windows ಅಲ್ಲದ ಗೇಟ್‌ವೇಗೆ, ಡೊಮೇನ್ ಸ್ವಯಂಚಾಲಿತ ನೋಂದಣಿ ಅಲ್ಲಿಗೆ ತಲುಪುತ್ತದೆ ಎಂದು ಊಹಿಸುವ ಬದಲು ಬೆಂಬಲಿತ ಕಾರ್ಯಪ್ರವಾಹದ ಮೂಲಕ ವಿನಂತಿ ಸಲ್ಲಿಸಿ, ಮತ್ತು ರಫ್ತು ಮಾಡಿದ ಸ್ವರೂಪವು ಬಳಕೆದಾರರು ತಮ್ಮ ಹೊಂದುವ ಖಾಸಗಿ ಕೀಯೊಂದಿಗೆ ಆಮದು ಮಾಡಿಕೊಳ್ಳುವ ಸ್ವರೂಪವೇ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಕೊನೆಯದಾಗಿ, ನಂಬಿಕೆ ಮತ್ತು ಅಧಿಕಾರವನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ: VPN ಯಾವ ಬಳಕೆದಾರರು ಅಥವಾ ಸಾಧನಗಳು ಯಾವ ಸಂಪನ್ಮೂಲಗಳನ್ನು ತಲುಪುತ್ತವೆ ಎಂಬುದನ್ನು ಇನ್ನೂ ನಿರ್ಧರಿಸಬೇಕು, ಮತ್ತು ರದ್ದತಿ ಎಂಬುದು ಗೇಟ್‌ವೇ ರದ್ದತಿಯನ್ನು ಪರಿಶೀಲಿಸಿದರೆ ಮಾತ್ರ ಪ್ರವೇಶ ತೆಗೆಯುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರ ಟೆಂಪ್ಲೇಟ್‌ಗಳ ನಿರ್ವಹಣೆಗೆ Microsoft ಮಾರ್ಗದರ್ಶಿ ಟೆಂಪ್ಲೇಟ್ ಕನ್ಸೋಲ್, ಅನುಮತಿಗಳು ಮತ್ತು ಪ್ರತ್ಯೇಕ ಪ್ರಕಟಣೆ ಹಂತವನ್ನು ಒಳಗೊಳ್ಳುತ್ತದೆ.