Mereka bentuk templat AD CS untuk peranan get laluan VPN dan klien

CA perusahaan boleh mengeluarkan setiap sijil yang diperlukan VPN tanpa pernah menjadi get laluan itu sendiri. Kerja reka bentuk ialah memutuskan apa yang perlu dibuktikan oleh setiap pihak, kemudian templat mana yang boleh mengeluarkan kelayakan yang membuktikan perkara itu. Saya bermula dengan jadual peranan, menduplikasi templat yang sesuai dan bukannya menyunting templat di tempatnya, menetapkan sumber subjek bagi setiap peranan, menerbitkan hasilnya pada CA pengeluar, dan mendaftarkan satu perintis sebelum sesiapa mengautomasikannya. Setiap langkah di bawah ialah tempat di mana CA yang berfungsi masih menghasilkan sijil yang akan ditolak oleh VPN.

Tulis jadual peranan sebelum membuka konsol templat

Dua peranan, dua tujuan. Get laluan membuktikan identiti perkhidmatan, jadi sijilnya memerlukan Server Authentication (1.3.6.1.5.5.7.3.1), penggunaan kunci tandatangan digital dan penyulitan kunci, dan nama hos yang didail oleh klien dalam nama alternatif subjek. Klien yang mengesahkan dengan sijil memerlukan Client Authentication (1.3.6.1.5.5.7.3.2) dan identiti yang sepadan dengan apa yang dijangka oleh get laluan dalam pemeriksaan pihak lawannya. Sijil pengguna dan sijil komputer tidak boleh ditukar ganti, kerana ia tinggal dalam stor berbeza dan digunakan oleh proses berbeza.

Tulis empat lajur bagi setiap peranan: identiti yang mesti muncul, tujuan, pengguna kunci, dan sama ada kunci boleh meninggalkan mesin. Jadual itu yang menentukan setiap kotak semak kemudian, dan ia juga yang anda serahkan kepada penyemak. Pengesahan klien berasaskan kata laluan ialah cabang berasingan: jika get laluan mengesahkan pengguna dengan kelayakan, mengedarkan sijil klien menambah kerja tanpa menambah bukti.

Duplikasi templat dan bukannya menyunting templat dikongsi

Mulakan dengan templat yang tujuannya hampir betul, seperti RAS and IAS Server untuk get laluan atau Computer untuk peranti yang menyertai domain, kemudian duplikasinya dan beri nama salinan itu yang menyatakan kegunaannya. Meluaskan templat yang sudah digunakan oleh perkhidmatan lain ialah perubahan yang merosakkan sesuatu yang tidak berkaitan enam minggu kemudian. Pada salinan itu, tetapkan dasar aplikasi kepada tujuan daripada jadual peranan, kekalkan penggunaan kunci selaras dengannya, pilih algoritma dan panjang kunci yang diterima oleh get laluan anda, dan tandakan kunci persendirian sebagai tidak boleh dieksport melainkan peranti perlu mengeksportnya untuk memindahkannya.

Kesahan dan pembaharuan juga milik templat. Jangka hayat pendek lebih mudah dibatalkan dan lebih sukar dikendalikan; yang panjang mengurangkan kerja pendaftaran dan memanjangkan pendedahan kunci yang bocor. Pilih nombor yang boleh anda pertahankan, dan ambil perhatian bahawa kesahan CA itu sendiri dan tempoh pembaharuan templat boleh memendekkan hasilnya.

Putuskan dari mana subjek datang

Untuk komputer atau pengguna domain, bina subjek daripada maklumat direktori supaya nama itu tidak boleh ditaip oleh pemohon. Untuk get laluan yang tidak menyertai domain, atau peranti yang identitinya diberikan di luar AD, templat memerlukan laluan permintaan terkawal sebagai gantinya. Mengaktifkan subjek dan nama alternatif yang dibekalkan pemohon ialah keputusan sebenar: ia bukan lesen untuk setiap pendaftar mendakwa mana-mana nama, dan dasar di pihak CA masih perlu menyatakan siapa boleh meminta dan bukti apa yang diperlukan.

Windows IKEv2 tegas di sini. Sijil get laluan dipadankan dengan nama yang dikonfigurasikan oleh klien, jadi nama DNS mesti hadir di tempat klien mencarinya, biasanya entri dNSName dalam nama alternatif subjek. Mematikan pemeriksaan nama atau pemeriksaan tujuan supaya sijil yang tidak sepadan berfungsi menghapuskan pemeriksaan yang sepatutnya menangkap ketidakpadanan dalam pengeluaran.

Terbitkan templat, kemudian sempitkan kebenaran

Mencipta objek templat dalam AD DS dan menerbitkannya pada CA pengeluar ialah dua operasi berasingan, dilakukan dengan konsol berbeza. Terbitkan salinan itu daripada konsol Certification Authority di bawah Certificate Templates, kemudian sahkan daripada baris arahan bahawa CA kini menawarkannya:

certutil -CATemplates
certutil -TCAInfo

Kebenaran menyusul. Berikan Read dan Enroll kepada kumpulan yang sepatutnya memintanya dan tidak lebih, kekalkan akses baca CA itu sendiri, dan berikan Autoenroll hanya di tempat pendaftaran automatik dimaksudkan dan disokong oleh dasar penggunaan yang menjadikannya berfungsi. Kotak semak dalam templat tidak mendaftarkan apa-apa dengan sendirinya, dan templat yang diterbitkan tanpa kebenaran mendaftar menghasilkan portal yang menyenaraikan sijil itu dan kemudian menolak permintaan.

Daftarkan satu perintis dalam pengguna sebenar

Minta sijil itu dalam konteks yang akan menggunakannya, kemudian periksa apa yang kembali dan bukannya mempercayai nama fail. Sijil pengguna mendarat dalam stor pengguna semasa dan sijil komputer dalam stor komputer setempat, dan MMC menunjukkan kedua-duanya, sebab itulah pendaftaran yang “berjaya” masih boleh tidak kelihatan kepada perkhidmatan VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Baca dump untuk subjek, nama alternatif, penggunaan kunci lanjutan dan rantaian. Untuk get laluan bukan Windows, hantar permintaan melalui aliran kerja yang disokong dan bukannya menganggap pendaftaran automatik domain sampai kepadanya, dan sahkan bahawa format yang dieksport ialah format yang diimport oleh pengguna bersama kunci persendiriannya yang sepadan. Akhir sekali, asingkan kepercayaan daripada kebenaran: VPN masih perlu memutuskan pengguna atau peranti mana yang mencapai sumber mana, dan pembatalan hanya membuang akses jika get laluan benar-benar memeriksa pembatalan. Panduan Microsoft untuk mengurus templat sijil merangkumi konsol templat, kebenaran dan langkah penerbitan yang berasingan.