AD CS šablonų projektavimas VPN tinklų sietuvui ir kliento rolėms

Įmonės CA gali išduoti kiekvieną VPN reikalingą sertifikatą pati niekada nebūdama tinklų sietuvu. Projektavimo darbas yra nuspręsti, ką turi įrodyti kiekviena pusė, o paskui – kuris šablonas gali išduoti pažymėjimą, įrodantį būtent tai. Pradedu nuo rolių lentelės, dubliuoju tinkamą šabloną, o ne redaguoju esamą vietoje, fiksuoju subjekto šaltinį pagal rolę, paskelbiu rezultatą išduodančioje CA ir užregistruoju vieną bandomąjį, kol niekas to dar neautomatizavo. Kiekvienas toliau esantis žingsnis yra vieta, kurioje veikianti CA vis dar sukuria sertifikatą, kurį VPN atmes.

Parašykite rolių lentelę prieš atidarydami šablonų konsolę

Dvi rolės, dvi paskirtys. Tinklų sietuvas įrodo paslaugos tapatybę, todėl jo sertifikatui reikia Server Authentication (1.3.6.1.5.5.7.3.1), rakto naudojimo skaitmeniniam parašui ir rakto šifravimui bei prieglobos vardo, į kurį jungiasi klientai, alternatyviajame subjekto varde. Klientams, kurie autentifikuojasi sertifikatais, reikia Client Authentication (1.3.6.1.5.5.7.3.2) ir tapatybės, atitinkančios tai, ko tinklų sietuvas tikisi tikrindamas kitą pusę. Naudotojo sertifikatas ir kompiuterio sertifikatas nėra keičiami, nes jie gyvena skirtingose saugyklose ir juos naudoja skirtingi procesai.

Užrašykite keturis stulpelius kiekvienai rolei: tapatybę, kuri turi pasirodyti, paskirtį, rakto naudotoją ir ar raktas gali palikti kompiuterį. Ši lentelė vėliau nulemia kiekvieną žymės langelį, ir ji yra tai, ką perduodate recenzentui. Slaptažodžiu pagrįsta kliento autentifikacija yra atskira šaka: jei tinklų sietuvas autentifikuoja naudotojus prisijungimo duomenimis, kliento sertifikatų platinimas prideda darbo nepridėdamas įrodymo.

Dublikite šabloną, o ne redaguokite bendrą

Pradėkite nuo šablono, kurio paskirtis maždaug tinkama, pavyzdžiui, RAS and IAS Server tinklų sietuvui arba Computer domenui prijungtiems įrenginiams, tada jį dubliuokite ir kopijai suteikite vardą, sakantį, kam ji skirta. Šablono, kurį jau naudoja kitos paslaugos, išplėtimas yra pakeitimas, kuris po šešių savaičių sugadins ką nors nesusijusio. Kopijoje nustatykite programos strategijas pagal rolių lentelės paskirtį, palaikykite su ja suderintą rakto naudojimą, pasirinkite rakto algoritmą ir ilgį, kuriuos priima jūsų tinklų sietuvai, ir pažymėkite privatų raktą kaip neeksportuojamą, nebent įrenginiui reikia jį eksportuoti perkėlimui.

Galiojimas ir atnaujinimas taip pat priklauso šablonui. Trumpas galiojimas lengviau atšaukiamas ir sunkiau valdomas; ilgas sumažina registracijos darbą ir pailgina nutekėjusio rakto poveikį. Pasirinkite skaičių, kurį galite apginti, ir atkreipkite dėmesį, kad pačios CA galiojimas ir šablono atnaujinimo laikotarpis gali sutrumpinti rezultatą.

Nuspręskite, iš kur ateina subjektas

Domeno kompiuteriui ar naudotojui kurkite subjektą iš katalogo informacijos, kad prašytojas negalėtų įvesti vardo. Tinklų sietuvui, kuris neprijungtas prie domeno, arba įrenginiui, kurio tapatybė priskiriama už AD ribų, šablonui reikia kontroliuojamo prašymo kelio. Prašytojo pateikiamo subjekto ir alternatyvių vardų įgalinimas yra tikras sprendimas: tai nėra licencija kiekvienam užsiregistravusiam reikalauti bet kokio vardo, o CA pusės strategija vis tiek turi pasakyti, kas gali prašyti ir kokių įrodymų reikia.

Windows IKEv2 čia griežtas. Tinklų sietuvo sertifikatas lyginamas su vardu, kurį sukonfigūravo klientas, todėl DNS vardas turi būti ten, kur klientas jo ieško, dažniausiai dNSName įrašas alternatyviajame subjekto varde. Vardo tikrinimo ar paskirties tikrinimo išjungimas, kad veiktų neatitinkantis sertifikatas, pašalina patikrinimą, kuris būtų pagavęs neatitikimą gamyboje.

Paskelbkite šabloną, tada susiaurinkite teises

Šablono objekto sukūrimas AD DS ir jo paskelbimas išduodančioje CA yra atskiros operacijos, atliekamos skirtingose konsolėse. Paskelbkite kopiją iš Certification Authority konsolės skiltyje Certificate Templates, tada iš komandinės eilutės patikrinkite, ar CA dabar jį siūlo:

certutil -CATemplates
certutil -TCAInfo

Toliau – teisės. Suteikite Read ir Enroll grupėms, kurios turėtų jo prašyti, ir nieko daugiau, išsaugokite pačios CA skaitymo prieigą, o Autoenroll suteikite tik ten, kur automatinė registracija numatyta ir ją palaiko diegimo strategija, kuri ją įgalina. Šablone esantis žymės langelis pats nieko neregistruoja, o paskelbtas šablonas be registracijos teisės sukuria portalą, kuris išvardija sertifikatą ir tada atmeta prašymą.

Užregistruokite vieną bandomąjį tikrame naudotojui

Sertifikato prašykite tame kontekste, kuris jį naudos, tada apžiūrėkite, kas grąžinta, o ne pasitikėkite failo vardu. Naudotojo sertifikatas patenka į dabartinio naudotojo saugyklą, o kompiuterio – į vietinio kompiuterio saugyklą, ir MMC rodo abi, todėl registracija, kuri “pavyko”, gali likti nematoma VPN paslaugai.

certlm.msc
certutil -dump vpn-gateway.cer

Skaitykite išrašą apie subjektą, alternatyvius vardus, išplėstinį rakto naudojimą ir grandinę. Jei tinklų sietuvas ne Windows, pateikite prašymą per palaikomą darbo eigą, o ne manykite, kad domeno automatinė registracija jį pasieks, ir patvirtinkite, kad eksportuotas formatas yra toks, kurį naudotojas importuoja kartu su atitinkamu privačiu raktu. Galiausiai laikykite pasitikėjimą ir autorizaciją atskirai: VPN vis dar turi nuspręsti, kurie naudotojai ar įrenginiai pasiekia kuriuos išteklius, o atšaukimas atima prieigą tik jei tinklų sietuvas apskritai tikrina atšaukimą. Microsoft vadovas, kaip tvarkyti sertifikatų šablonus, apima šablonų konsolę, teises ir atskirą paskelbimo veiksmą.