VPN шлюзу жана кардар ролдору үчүн AD CS шаблондорун долбоорлоо

Ишкана CA VPNге керектүү ар бир сертификатты өзү шлюз болбой эле бере алат. Долбоорлоо иши — ар бир тарап эмнени далилдеши керектигин, андан кийин кайсы шаблон дал ошону далилдеген күбөлүк бере аларын чечүү. Мен ролдор таблицасынан баштайм, ылайыктуу шаблонду ордунда оңдоонун ордуна көчүрөм, ар бир роль үчүн субъектинин булагын бекитем, натыйжаны чыгаруучу CAда жарыялайм жана бирөө аны автоматташтырганга чейин бир пилотту каттайм. Төмөнкү ар бир кадам — иштеп жаткан CA дагы эле VPN четке кага турган сертификат чыгарган жер.

Шаблондор консолун ачканга чейин ролдор таблицасын жазыңыз

Эки роль, эки максат. Шлюз кызмат идентификаторун далилдейт, ошондуктан анын сертификатына Server Authentication (1.3.6.1.5.5.7.3.1), санариптик кол тамга жана ачкычты шифрлөө үчүн ачкыч колдонуу, жана кардарлар туташкан хост аты субъектинин альтернативдик атында керек. Сертификаттар менен аутентификацияланган кардарларга Client Authentication (1.3.6.1.5.5.7.3.2) жана шлюз каршы тарапты текшерүүдө күткөн идентификаторго туура келген идентификатор керек. Колдонуучунун сертификаты менен компьютердин сертификаты алмашылбайт, анткени алар ар башка кампаларда жашайт жана аларды ар башка процесстер колдонот.

Ар бир роль үчүн төрт мамыча жазыңыз: пайда болушу керек идентификатор, максат, ачкычты колдонуучу жана ачкыч машинадан чыга алабы. Ошол таблица кийин ар бир белги кутучасын аныктайт, жана аны рецензентке бересиз. Сырсөзгө негизделген кардар аутентификациясы өзүнчө бутак: эгер шлюз колдонуучуларды эсептик маалыматтар менен аутентификацияласа, кардар сертификаттарын таратуу далил кошпой эле жумуш кошот.

Жалпы шаблонду оңдоонун ордуна шаблонду көчүрүңүз

Максаты болжол менен туура шаблондон баштаңыз, мисалы шлюз үчүн RAS and IAS Server же доменге кошулган түзмөктөр үчүн Computer, андан кийин аны көчүрүп, көчүрмөгө эмне үчүн экенин айткан ат бериңиз. Башка кызматтар колдонуп жаткан шаблонду кеңейтүү — алты жумадан кийин байланышы жок нерсени буза турган өзгөртүү. Көчүрмөдө колдонмо саясаттарын ролдор таблицасындагы максатка коюңуз, ачкыч колдонууну ага ылайыктуу кармаңыз, шлюздериңиз кабыл алган ачкыч алгоритмин жана узундугун тандаңыз жана жеке ачкычты экспорттолбой турган деп белгилеңиз, эгер түзмөк аны жылдыруу үчүн экспорттоого аргасыз болбосо.

Жарактуулук жана жаңыртуу да шаблонго таандык. Кыска мөөнөттүү кылууну кайтаруу оңой, иштетүү кыйын; узун мөөнөт каттоо ишин азайтып, агылган ачкычтын таасир убактысын узартат. Коргой алган санды тандаңыз жана CAнын өз жарактуулугу менен шаблондун жаңыртуу мезгили натыйжаны кыскартышы мүмкүн экенин эске алыңыз.

Субъект кайдан келерин чечиңиз

Домен компьютери же колдонуучусу үчүн субъектини каталог маалыматынан куруңуз, ошондо суроо берүүчү атты тере албайт. Доменге кошулбаган шлюз же идентификаторы ADдан тышкары берилүүчү түзмөк үчүн шаблонго анын ордуна көзөмөлдөнгөн сурам жолу керек. Суроо берүүчү берген субъект жана альтернативдик аттарды иштетүү — чыныгы чечим: бул ар бир катталган адамга каалаган атты талап кылууга лицензия эмес, жана CA тараптагы саясат ким сурай аларын жана кандай далил керектигин айтышы керек.

Windows IKEv2 бул жерде катуу. Шлюздун сертификаты кардар конфигурациялаган ат менен салыштырылат, ошондуктан DNS аты кардар аны издеген жерде, адатта субъектинин альтернативдик атындагы dNSName жазуусу катары болушу керек. Туура келбеген сертификат иштеши үчүн ат текшерүүнү же максат текшерүүнү өчүрүү — өндүрүштө туура келбестикти кармай турган текшерүүнү алып салуу.

Шаблонду жарыялап, андан кийин укуктарды тарылтыңыз

AD DSте шаблон объектисин түзүү жана аны чыгаруучу CAда жарыялоо — ар башка консолдордо аткарылуучу өзүнчө операциялар. Көчүрмөнү Certification Authority консолунан Certificate Templates астында жарыялаңыз, андан кийин буйрук сабынан CA аны азыр сунуштаарын текшериңиз:

certutil -CATemplates
certutil -TCAInfo

Укуктар кийин келет. Аны сурашы керек топторго Read жана Enroll бериңиз, андан ашык эмес, CAнын өз окуу укугун бузулбаган бойдон калтырыңыз жана Autoenroll автоматтык каттоо көздөлгөн жана аны иштетүүчү жайгаштыруу саясаты менен колдоого алынган жерде гана бериңиз. Шаблондогу белги кутучасы өзү эч нерсени каттабайт, жана каттоо укугу жок жарыяланган шаблон сертификатты тизмелеп, андан кийин сурамдан баш тарткан портал түзөт.

Чыныгы керектөөчүдө бир пилотту каттаңыз

Сертификатты аны колдоно турган контекстте сураңыз, андан кийин файлдын атына ишенүүнүн ордуна кайтарганды текшериңиз. Колдонуучунун сертификаты учурдагы колдонуучунун кампасына, компьютердики жергиликтүү компьютердин кампасына түшөт, жана MMC экөөнү тең көрсөтөт, ошондуктан “иштеген” каттоо VPN кызматы үчүн көрүнбөй калышы мүмкүн.

certlm.msc
certutil -dump vpn-gateway.cer

Чыгарылышты субъект, альтернативдик аттар, кеңейтилген ачкыч колдонуу жана чынжыр боюнча окуңуз. Windows эмес шлюз үчүн сурамды колдоого алынган жумуш агымы аркылуу жибериңиз, домендин автоматтык каттоосу ага жетет деп божомолдобоңуз, жана экспорттолгон формат керектөөчү өзүнүн тиешелүү жеке ачкычы менен бирге импорттогон формат экенин ырастаңыз. Акыр-аягы, ишеним менен авторизацияны өзүнчө кармаңыз: VPN кайсы колдонуучулар же түзмөктөр кайсы ресурстарга жетерин дагы эле чечиши керек, ал эми жокко чыгаруу шлюз жокко чыгарууну такыр текшерсе гана кирүүнү алат. Сертификат шаблондоруна башкаруу боюнча Microsoft колдонмосу шаблондор консолун, укуктарды жана өзүнчө жарыялоо кадамын камтыйт.