Дизајн на AD CS шаблони за улогите на VPN порта и клиент

Претпријатиски CA може да го издаде секој сертификат што му е потребен на VPN без никогаш сам да биде портата. Дизајнерската работа е да одлучите што мора да докаже секоја страна, а потоа кој шаблон може да издаде уверение што докажува токму тоа. Започнувам со табела на улоги, копирам соодветен шаблон наместо да уредувам постоечки на место, ја фиксирам изворот на субјектот по улога, го објавувам резултатот на CA што издава и запишувам еден пилот пред некој да го автоматизира. Секој чекор подолу е место каде што работоспособен CA сè уште произведува сертификат што VPN ќе го одбие.

Напишете ја табелата на улоги пред да ја отворите конзолата за шаблони

Две улоги, две цели. Портата докажува идентитет на услуга, па нејзиниот сертификат бара Server Authentication (1.3.6.1.5.5.7.3.1), употреба на клуч за дигитален потпис и шифрирање на клуч, и името на домаќинот на кој се поврзуваат клиентите во алтернативно име на субјектот. На клиентите што се автентицираат со сертификати им треба Client Authentication (1.3.6.1.5.5.7.3.2) и идентитет што одговара на она што портата го очекува во проверката на другата страна. Корисничкиот и компјутерскиот сертификат не се заменливи, бидејќи живеат во различни складишта и ги користат различни процеси.

Запишете четири колони за секоја улога: идентитетот што мора да се појави, целта, корисникот на клучот и дали клучот смее да ја напушти машината. Таа табела подоцна одлучува за секое поле за избор, и таа е она што му ја давате на рецензент. Автентикацијата на клиенти со лозинка е посебна гранка: ако портата автентицира корисници со акредитиви, дистрибуцијата на клиентски сертификати додава работа без да додаде доказ.

Копирајте шаблон наместо да уредувате заеднички

Започнете од шаблон со приближно точна цел, како RAS and IAS Server за портата или Computer за уреди приклучени на доменот, потоа копирајте го и дајте му на копијата име што кажува за што служи. Проширувањето на шаблон што други услуги веќе го користат е промената што по шест недели крши нешто неповрзано. На копијата поставете ги политиките за апликација според целта од табелата на улоги, одржувајте ја употребата на клучот усогласена со неа, изберете алгоритам и должина на клучот што ги прифаќаат вашите порти и означете го приватниот клуч како неизвезен, освен ако на уредот не му треба извоз за да го премести.

Важноста и обновувањето исто така припаѓаат на шаблонот. Краткиот рок е полесен за отповикување и потежок за управување; долгиот го намалува работењето со запишување и го продолжува изложувањето на протечен клуч. Изберете број што можете да го одбраните и имајте предвид дека сопствената важност на CA и периодот на обновување на шаблонот можат да го скратат резултатот.

Одлучете од каде доаѓа субјектот

За доменски компјутер или корисник, градете го субјектот од информациите во директориумот за да не може барателот да го впише името. За порта што не е приклучена на домен, или уред чиј идентитет се доделува надвор од AD, на шаблонот наместо тоа му треба контролирана патека за барање. Овозможувањето субјект и алтернативни имиња што ги дава барателот е вистинска одлука: тоа не е лиценца секој запишан да бара било какво име, и политиката на страната на CA сè уште мора да каже кој смее да побара и каков доказ е потребен.

Windows IKEv2 е строг овде. Сертификатот на портата се споредува со името што го конфигурирал клиентот, па DNS името мора да биде присутно таму каде што клиентот го бара, обично запис dNSName во алтернативното име на субјектот. Исклучувањето на проверката на име или проверката на цел за да проработи неусогласен сертификат ја отстранува проверката што би ја фатила неусогласеноста во производство.

Објавете го шаблонот, потоа стеснете ги дозволите

Создавањето на објектот на шаблонот во AD DS и неговото објавување на CA што издава се одделни операции, изведени во различни конзоли. Објавете ја копијата од конзолата Certification Authority под Certificate Templates, потоа проверете од командната линија дека CA сега го нуди:

certutil -CATemplates
certutil -TCAInfo

Дозволите доаѓаат следно. Дајте Read и Enroll на групите што треба да го бараат и ништо повеќе, зачувајте го сопствениот пристап за читање на CA и давајте Autoenroll само таму каде што автоматското запишување е намерно и поддржано од политиката за распоредување што го прави функционално. Полето за избор во шаблон само по себе не запишува ништо, а објавен шаблон без дозвола за запишување создава портал што го наведува сертификатот и потоа го одбива барањето.

Запишете еден пилот кај вистинскиот корисник

Побарајте го сертификатот во контекстот што ќе го користи, потоа прегледајте што се врати наместо да му верувате на името на датотеката. Корисничкиот сертификат завршува во складиштето на тековниот корисник, а компјутерскиот во складиштето на локалниот компјутер, и MMC ги прикажува двете, поради што запишување што “проработило” може да остане невидливо за VPN услугата.

certlm.msc
certutil -dump vpn-gateway.cer

Прочитајте го исписот за субјектот, алтернативните имиња, проширената употреба на клучот и синџирот. За порта што не е Windows, поднесете го барањето низ поддржаниот работен тек наместо да претпоставувате дека автоматското запишување на доменот стигнува до неа, и потврдете дека извезениот формат е оној што корисникот го увезува заедно со соодветниот приватен клуч. На крај, држете ги довербата и авторизацијата одделно: VPN сè уште мора да одлучи кои корисници или уреди достигнуваат кои ресурси, а отповикувањето одзема пристап само ако портата воопшто проверува отповикување. Водичот на Microsoft за управување со шаблони за сертификати ги покрива конзолата за шаблони, дозволите и одделниот чекор на објавување.