AD CS veidņu projektēšana VPN vārtejas un klienta lomām

Uzņēmuma CA var izsniegt katru VPN vajadzīgo sertifikātu, pati nekad nebūdama vārteja. Projektēšanas darbs ir izlemt, kas katrai pusei jāpierāda, un pēc tam, kura veidne var izsniegt apliecinājumu, kas pierāda tieši to. Es sāku ar lomu tabulu, dublēju piemērotu veidni, nevis rediģēju esošo uz vietas, fiksēju subjekta avotu katrai lomai, publicēju rezultātu izsniedzējā CA un reģistrēju vienu izmēģinājuma klientu, pirms kāds to automatizē. Katrs solis zemāk ir vieta, kur strādājoša CA joprojām rada sertifikātu, ko VPN noraidīs.

Uzrakstiet lomu tabulu pirms veidņu konsoles atvēršanas

Divas lomas, divi mērķi. Vārteja pierāda pakalpojuma identitāti, tāpēc tās sertifikātam nepieciešams Server Authentication (1.3.6.1.5.5.7.3.1), atslēgas lietojums digitālajam parakstam un atslēgas šifrēšanai, un resursdatora nosaukums, uz kuru savienojas klienti, subjekta alternatīvajā nosaukumā. Klientiem, kas autentificējas ar sertifikātiem, nepieciešams Client Authentication (1.3.6.1.5.5.7.3.2) un identitāte, kas atbilst tam, ko vārteja sagaida otras puses pārbaudē. Lietotāja sertifikāts un datora sertifikāts nav savstarpēji aizstājami, jo tie atrodas dažādās krātuvēs un tos izmanto dažādi procesi.

Pierakstiet četras kolonnas katrai lomai: identitāti, kurai jāparādās, mērķi, atslēgas lietotāju un vai atslēga drīkst atstāt mašīnu. Šī tabula vēlāk nosaka katru izvēles rūtiņu, un tā ir arī tas, ko nododat recenzentam. Uz paroli balstīta klienta autentifikācija ir atsevišķs zars: ja vārteja autentificē lietotājus ar akreditācijas datiem, klientu sertifikātu izplatīšana pievieno darbu, nepievienojot pierādījumu.

Dublējiet veidni, nevis rediģējiet koplietoto

Sāciet ar veidni, kuras mērķis ir aptuveni pareizs, piemēram, RAS and IAS Server vārtejai vai Computer domēnam pievienotām ierīcēm, pēc tam dublējiet to un piešķiriet kopijai nosaukumu, kas pasaka, kam tā paredzēta. Tādas veidnes paplašināšana, ko jau izmanto citi pakalpojumi, ir izmaiņa, kas pēc sešām nedēļām salauž kaut ko nesaistītu. Kopijā iestatiet lietojumprogrammu politikas atbilstoši lomu tabulas mērķim, saglabājiet ar to saskaņotu atslēgas lietojumu, izvēlieties atslēgas algoritmu un garumu, ko pieņem jūsu vārtejas, un atzīmējiet privāto atslēgu kā neeksportējamu, ja vien ierīcei tā nav jāeksportē pārvietošanai.

Derīgums un atjaunošana arī pieder veidnei. Īss mūžs ir vieglāk atsaucams un grūtāk uzturams; garš samazina reģistrācijas darbu un pagarina noplūdušas atslēgas iedarbību. Izvēlieties skaitli, ko varat aizstāvēt, un ņemiet vērā, ka pašas CA derīgums un veidnes atjaunošanas periods var saīsināt rezultātu.

Izlemiet, no kurienes nāk subjekts

Domēna datoram vai lietotājam veidojiet subjektu no kataloga informācijas, lai pieprasītājs nevarētu ierakstīt nosaukumu. Vārtejai, kas nav pievienota domēnam, vai ierīcei, kuras identitāte tiek piešķirta ārpus AD, veidnei tā vietā nepieciešams kontrolēts pieprasījuma ceļš. Pieprasītāja nodrošināta subjekta un alternatīvo nosaukumu iespējošana ir īsts lēmums: tā nav licence katram reģistrētajam pieprasīt jebkuru nosaukumu, un CA puses politikai joprojām jāsaka, kas drīkst jautāt un kādi pierādījumi nepieciešami.

Windows IKEv2 šeit ir stingrs. Vārtejas sertifikāts tiek salīdzināts ar nosaukumu, ko konfigurējis klients, tāpēc DNS nosaukumam jābūt tur, kur klients to meklē, parasti dNSName ieraksts subjekta alternatīvajā nosaukumā. Nosaukuma pārbaudes vai mērķa pārbaudes izslēgšana, lai nestrādātu neatbilstošs sertifikāts, noņem pārbaudi, kas būtu uztvērusi neatbilstību ražošanā.

Publicējiet veidni, pēc tam sašauriniet atļaujas

Veidnes objekta izveide AD DS un tā publicēšana izsniedzējā CA ir atsevišķas darbības, ko veic dažādās konsolēs. Publicējiet kopiju no Certification Authority konsoles sadaļā Certificate Templates, pēc tam no komandrindas pārbaudiet, vai CA tagad to piedāvā:

certutil -CATemplates
certutil -TCAInfo

Tālāk ir atļaujas. Piešķiriet Read un Enroll grupām, kurām tas jāpieprasa, un nekas vairāk, saglabājiet pašas CA lasīšanas piekļuvi neskartu un piešķiriet Autoenroll tikai tur, kur automātiskā reģistrācija ir paredzēta un to atbalsta izvietošanas politika, kas to ļauj izmantot. Izvēles rūtiņa veidnē pati neko nereģistrē, un publicēta veidne bez reģistrācijas atļaujas rada portālu, kas uzskaita sertifikātu un pēc tam noraida pieprasījumu.

Reģistrējiet vienu izmēģinājuma klientu īstajā patērētājā

Pieprasiet sertifikātu tādā kontekstā, kas to izmantos, pēc tam pārbaudiet, kas atgriezts, nevis uzticieties faila nosaukumam. Lietotāja sertifikāts nonāk pašreizējā lietotāja krātuvē, bet datora sertifikāts — vietējā datora krātuvē, un MMC rāda abus, tāpēc reģistrācija, kas “nostrādāja”, joprojām var būt neredzama VPN pakalpojumam.

certlm.msc
certutil -dump vpn-gateway.cer

Lasiet izdruku par subjektu, alternatīvajiem nosaukumiem, paplašināto atslēgas lietojumu un ķēdi. Ja vārteja nav Windows, iesniedziet pieprasījumu atbalstītajā darbplūsmā, nevis pieņemiet, ka domēna automātiskā reģistrācija to sasniedz, un apstipriniet, ka eksportētais formāts ir tāds, ko patērētājs importē kopā ar atbilstošo privāto atslēgu. Visbeidzot, turiet uzticēšanos un autorizāciju atsevišķi: VPN joprojām jāizlemj, kuri lietotāji vai ierīces sasniedz kādus resursus, un atsaukšana atņem piekļuvi tikai tad, ja vārteja vispār pārbauda atsaukšanu. Microsoft rokasgrāmata sertifikātu veidņu pārvaldībai aptver veidņu konsoli, atļaujas un atsevišķo publicēšanas soli.