AD CS-Virlagen fir VPN-Gateway- a Clientrollen entwéckelen

Eng Entreprise-CA kann all Zertifikat ausstellen, dat e VPN brauch, ouni jeemools selwer de Gateway ze sinn. D'Designaarbecht ass ze entscheeden, wat all Säit beweise muss, an duerno, wéi eng Virlag en Zertifika ausstelle kann, deen genau dat bewisen. Ech fänken mat enger Rolltabell un, duplizéieren eng passend Virlag amplaz eng op der Plaz ze änneren, fixéieren d'Quell vum Sujet pro Roll, publizéieren d'Resultat op der ausstellender CA a mellt ee Pilot un, ier een et automatiséiert. All Schrëtt hei drënner ass eng Plaz, wou eng funktionéierend CA nach ëmmer en Zertifikat produzéiert, dat de VPN refuséiere wäert.

Schreift d'Rolltabell, ier Dir d'Virlagenkonsole opmaacht

Zwou Rollen, zwee Zwecker. De Gateway beweet eng Déngschtidentitéit, dofir brauch säin Zertifikat Server Authentication (1.3.6.1.5.5.7.3.1), eng Schlësselverwendung fir digital Ënnerschrëft a Schlësselverschlësselung, an den Hostnumm, deen d'Clienten uschreiwen, an engem alternativen Numm vum Sujet. Clienten, déi sech mat Zertifikater authentifiéieren, brauchen Client Authentication (1.3.6.1.5.5.7.3.2) an eng Identitéit, déi zu deem passt, wat de Gateway an senger Géigendeelpréifung erwaart. En Notzertzertifikat an en Computerzertifikat sinn net austauschbar, well se a verschiddene Späicher liewen a vu verschiddene Prozesser benotzt ginn.

Schreift véier Sailen pro Roll: d'Identitéit, déi erschéngen muss, den Zweck, de Schlësselnotzer an ob de Schlëssel d'Maschinn ka verloossen. Déi Tabell entscheet spéider all Këschtchen, an et ass och dat, wat Dir engem Iwwerpréifer gitt. Passwuertbaséiert Client-Authentifikatioun ass en eegene Branche: wann de Gateway Notzer mat Umeldungsdaten authentifizéiert, bäisetzt d'Verdeelung vu Clientzertifikater Aarbecht ouni Beweis bäizesetzen.

Duplizéiert eng Virlag amplaz eng gedeelt ze änneren

Fänkt mat enger Virlag un, där hire Zweck ongeféier richteg ass, wéi RAS and IAS Server fir de Gateway oder Computer fir Apparater, déi am Domain sinn, duplizéiert se duerno a gitt der Kopie en Numm, dee seet, fir wat se ass. Eng Virlag auszebauen, déi aner Déngschter schonn benotzen, ass déi Ännerung, déi sechs Woche méi spéit eppes Onverbonnenes futti mécht. Op der Kopie setzt d'Uwendungsrichtlinnen op den Zweck aus der Rolltabell, haalt d'Schlësselverwendung domat konsequent, wielt den Algorithmus an d'Längt vum Schlëssel, déi Är Gateways akzeptéieren, a markéiert de private Schlëssel als net exportéierbar, ausser en Apparat muss en exportéiere fir en ze verréckelen.

Gëltegkeet an Erneierung gehéieren och zur Virlag. Eng kuerz Liewensdauer ass méi einfach ze widderruffen a méi schwéier ze bedreiwen; eng laang reduzéiert d'Aschreifaarbecht a verlängert d'Expositioun vun engem geleete Schlëssel. Wielt eng Zuel, déi Dir kënnt verteidegen, a bemerkt, datt d'Gëltegkeet vun der CA selwer an d'Erneierungsperiod vun der Virlag d'Resultat kënnen ofkierzen.

Entscheet, wou de Sujet hierkënnt

Fir en Domain-Computer oder -Notzer baut de Sujet aus Verzeechnesinformatioun, sou datt den Numm net vum Ufroer getippt ka ginn. Fir e Gateway, deen net am Domain ass, oder en Apparat, deem seng Identitéit baussent AD zougewisen gëtt, brauch d'Virlag amplaz en kontrolléierte Ufrowwee. Sujet an alternativ Nimm, déi den Ufroer liwwert, z'aktivéieren ass eng richteg Entscheedung: et ass keng Lizenz fir all ageschriwwenen, egal wéi en Numm ze behaapten, an d'Politik op der CA-Säit muss nach ëmmer soen, wien froe kann a wéi ee Beweis néideg ass.

Windows IKEv2 ass hei streng. En Gatewayzertifikat gëtt mat dem Numm verglach, deen de Client konfiguréiert huet, dofir muss den DNS-Numm do sinn, wou de Client en sicht, meeschtens en dNSName-Andrag am alternativen Numm vum Sujet. Nummpréifung oder Zweckpréifung auszeschalten, fir en net passend Zertifikat ze maachen, hëlt déi Préifung ewech, déi d'Onstëmmegkeet an der Produktioun gefaangen hätt.

Publizéiert d'Virlag, duerno engt d'Berechtegungen an

D'Virlagenobjekt an AD DS ze schafen an et op der ausstellender CA ze publizéieren sinn zwou getrennte Operatiounen, déi a verschiddene Konsolen gemaach ginn. Publizéiert d'Kopie aus der Certification Authority-Konsole ënner Certificate Templates, a préift duerno vun der Kommandozeil aus, datt d'CA se elo ubitt:

certutil -CATemplates
certutil -TCAInfo

D'Berechtegungen kommen duerno. Gitt Read an Enroll de Gruppen, déi se solle froen, an net méi, haalt den eegene Lieszougang vun der CA intakt, a gitt Autoenroll nëmmen do, wou automatesch Aschreifung gewollt an duerch d'Deploymentspolitik ënnerstëtzt ass, déi se funktionéiere léisst. E Këschtchen an enger Virlag schreift vu sech aus näischt an, an eng publizéiert Virlag ouni Aschreifberechtegung erstellt e Portal, dat d'Zertifikat oplëscht an duerno d'Ufro refuséiert.

Mellt ee Pilot beim richtegen Notzer un

Frot d'Zertifikat an deem Kontext un, deen et benotze wäert, a préift duerno, wat zréckkomm ass, amplaz dem Dateinumm ze vertrauen. En Notzertzertifikat landt am Späicher vum aktuelle Notzer an en Computerzertifikat am Späicher vum lokale Computer, an MMC weist béid, dofir kann eng Aschreifung, déi “funktionéiert” huet, nach ëmmer onsichtbar fir den VPN-Déngscht sinn.

certlm.msc
certutil -dump vpn-gateway.cer

Liest den Dump fir de Sujet, déi alternativ Nimm, déi erweidert Schlësselverwendung an d'Kette. Fir e Gateway, deen net Windows ass, reecht d'Ufro iwwer dee ënnerstëtzte Workflow an, amplaz unzehuelen, datt déi automatesch Domain-Aschreifung en erreecht, a bestätegt, datt den exportéierte Format ee ass, deen den Notzer zesumme mat sengem passenden private Schlëssel importéiert. Zum Schluss haalt Vertrauen a Berechtegung getrennt: de VPN muss nach ëmmer entscheeden, wéi eng Notzer oder Apparater wéi eng Ressourcen erreechen, an de Widderruff hëlt nëmmen Zougang ewech, wann de Gateway de Widderruff iwwerhaapt préift. De Microsoft-Guide fir d'Gestioun vu Zertifikatsvirlagen deckt d'Virlagenkonsole, d'Berechtegungen an de getrennte Publikatiounsschrëtt of.