VPN гарц ба клиентийн үүрэгт зориулсан AD CS загварын дизайн

Байгууллагын CA нь өөрөө гарц болохгүйгээр VPN-д хэрэгтэй бүх гэрчилгээг олгож чадна. Дизайны ажил бол тал бүр юуг нотлох ёстой, дараа нь аль загвар яг үүнийг нотолсон итгэмжлэл олгож чадахыг шийдэх явдал юм. Би үүргийн хүснэгтээс эхэлж, тохирох загварыг байранд нь засахын оронд хуулбарлаж, үүрэг бүрд субъектийн эх сурвалжийг тогтоож, үр дүнг олгогч CA дээр нийтэлж, хэн нэгэн үүнийг автоматжуулахаас өмнө нэг туршилтын клиентийг бүртгэдэг. Доорх алхам бүр нь ажиллаж буй CA VPN-ийн татгалзах гэрчилгээг гаргаж байдаг газар юм.

Загварын консолыг нээхээс өмнө үүргийн хүснэгтийг бичнэ үү

Хоёр үүрэг, хоёр зорилго. Гарц нь үйлчилгээний таних тэмдгийг нотолдог тул түүний гэрчилгээнд Server Authentication (1.3.6.1.5.5.7.3.1), дижитал гарын үсэг ба түлхүүр шифрлэлтийн түлхүүр хэрэглээ, мөн клиентүүд холбогдох хостны нэрийг субъектийн өөр нэрэнд оруулах шаардлагатай. Гэрчилгээгээр баталгаажуулдаг клиентүүдэд Client Authentication (1.3.6.1.5.5.7.3.2) болон гарцын нөгөө талын шалгалтад хүлээж буй таних тэмдэгт тохирох таних тэмдэг хэрэгтэй. Хэрэглэгчийн гэрчилгээ болон компьютерийн гэрчилгээ нь харилцан солигддоггүй, учир нь тэд өөр өөр санд амьдардаг бөгөөд өөр өөр процессууд тэдгээрийг ашигладаг.

Үүрэг бүрд дөрвөн багана бичнэ үү: гарч ирэх ёстой таних тэмдэг, зорилго, түлхүүрийн хэрэглэгч, мөн түлхүүр машинаас гарч болох эсэх. Тэр хүснэгт дараа нь сонголтын нүд бүрийг тодорхойлж, шүүмжлэгчид өгдөг зүйл ч мөн адил. Нууц үгэнд суурилсан клиентийн баталгаажуулалт нь тусдаа салбар: хэрэв гарц хэрэглэгчдийг итгэмжлэлээр баталгаажуулдаг бол клиентийн гэрчилгээг тараах нь нотолгоо нэмэхгүйгээр ажил нэмдэг.

Хамтын загварыг засахын оронд загварыг хуулбарлана уу

Зорилго нь ойролцоогоор зөв загвараас эхэлнэ үү, жишээ нь гарцад RAS and IAS Server эсвэл домэйнд нэгдсэн төхөөрөмжүүдэд Computer, дараа нь хуулбарлаж, хуулбарт юунд зориулагдсаныг хэлсэн нэр өгнө үү. Бусад үйлчилгээнүүд аль хэдийн ашиглаж буй загварыг өргөтгөх нь зургаан долоо хоногийн дараа хамааралгүй зүйлийг эвддэг өөрчлөлт юм. Хуулбар дээр програмын бодлогыг үүргийн хүснэгтийн зорилгод тохируулж, түлхүүрийн хэрэглээг түүнтэй уялдуулж, гарцууд чинь хүлээн авдаг түлхүүрийн алгоритм ба уртыг сонгож, төхөөрөмж зөөхөд экспортлох шаардлагагүй л бол хувийн түлхүүрийг экспортлох боломжгүй гэж тэмдэглэнэ үү.

Хүчинтэй хугацаа ба шинэчлэлт нь ч загварт хамаарна. Богино хугацааг цуцлахад хялбар, ажиллуулахад хэцүү; урт хугацаа нь бүртгэлийн ажлыг багасгаж, алдагдсан түлхүүрийн нөлөөллийг уртасгадаг. Хамгаалж чадах тоог сонгож, CA-ийн өөрийн хүчинтэй хугацаа болон загварын шинэчлэлтийн хугацаа үр дүнг богиносгож болохыг анхаарна уу.

Субъект хаанаас ирдэгийг шийднэ үү

Домэйны компьютер эсвэл хэрэглэгчийн хувьд субъектийг лавлах мэдээллээс бүтээж, хүсэлт гаргагч нэрийг бичиж чадахгүй байх болно. Домэйнд нэгдээгүй гарц, эсвэл таних тэмдэг нь AD-аас гадуур олгогддог төхөөрөмжийн хувьд загварт оронд нь хяналттай хүсэлтийн зам хэрэгтэй. Хүсэлт гаргагчийн өгсөн субъект болон өөр нэрсийг идэвхжүүлэх нь жинхэнэ шийдвэр: энэ нь бүртгэгдсэн хүн бүрт дурын нэрийг шаардах лиценз биш бөгөөд CA-ийн талын бодлого хэн хүсч болох, ямар нотолгоо шаардагдахыг хэлэх ёстой хэвээр.

Windows IKEv2 энд хатуу. Гарцын гэрчилгээг клиентийн тохируулсан нэртэй харьцуулдаг тул DNS нэр нь клиентийн хайдаг газарт, ихэвчлэн субъектийн өөр нэр дэх dNSName бичлэг хэлбэрээр байх ёстой. Тохирохгүй гэрчилгээг ажиллуулахын тулд нэрний шалгалт эсвэл зорилгын шалгалтыг унтраах нь үйлдвэрлэлд зөрүүг барьж чадах шалгалтыг арилгадаг.

Загварыг нийтэлж, дараа нь эрхийг нарийсгана уу

AD DS-д загварын объект үүсгэх ба олгогч CA дээр нийтлэх нь өөр өөр консол дээр хийгддэг тусдаа үйлдэл юм. Хуулбарыг Certification Authority консолоос Certificate Templates-ийн доор нийтэлж, дараа нь командын мөрөөс CA одоо түүнийг санал болгож буйг шалгана уу:

certutil -CATemplates
certutil -TCAInfo

Эрхүүд дараа нь ирнэ. Үүнийг хүсэх ёстой бүлгүүдэд Read болон Enroll өгөөд өөр юу ч өгөхгүй, CA-ийн өөрийн унших эрхийг хэвээр үлдээж, Autoenroll-ыг зөвхөн автомат бүртгэл зориуд байгаа бөгөөд үүнийг ажиллуулдаг байршуулалтын бодлогоор дэмжигдсэн газарт өгнө үү. Загвар дахь сонголтын нүд өөрөө юу ч бүртгэдэггүй бөгөөд бүртгэлийн эрхгүй нийтэлсэн загвар нь гэрчилгээг жагсааж, дараа нь хүсэлтийг татгалздаг портал үүсгэдэг.

Бодит хэрэглэгч дээр нэг туршилтын клиентийг бүртгэнэ үү

Гэрчилгээг түүнийг ашиглах контекстэд хүсч, дараа нь файлын нэрэнд итгэхийн оронд буцаж ирснийг шалгана уу. Хэрэглэгчийн гэрчилгээ одоогийн хэрэглэгчийн санд, компьютерийн гэрчилгээ локал компьютерийн санд ордог бөгөөд MMC хоёуланг нь харуулдаг, иймээс “ажилласан” бүртгэл VPN үйлчилгээнд харагдахгүй байж болно.

certlm.msc
certutil -dump vpn-gateway.cer

Гаргалтыг субъект, өөр нэрс, өргөтгөсөн түлхүүр хэрэглээ, гинжин хэлхээний хувьд уншина уу. Windows бус гарцын хувьд хүсэлтийг домэйны автомат бүртгэл тэнд хүрнэ гэж таамаглахын оронд дэмжигдсэн ажлын урсгалаар илгээж, экспортолсон формат нь хэрэглэгч өөрийн тохирох хувийн түлхүүртэй хамт импортолдог формат мөн эсэхийг баталгаажуулна уу. Эцэст нь итгэл ба эрх олголтыг тусдаа байлга: VPN аль хэрэглэгч эсвэл төхөөрөмж аль нөөцөд хүрдэг болохыг шийдэх ёстой хэвээр, цуцлалт нь гарц цуцлалтыг огт шалгадаг бол л хандалтыг хасдаг. Гэрчилгээний загварыг удирдах Microsoft-ын гарын авлага загварын консол, эрх, тусдаа нийтлэлийн алхмыг хамардаг.