Disinn ta' mudelli AD CS għar-rwoli tal-gateway VPN u tal-klijent

CA tal-intrapriża tista' toħroġ kull ċertifikat li VPN jeħtieġ mingħajr ma qatt tkun il-gateway innifisha. Ix-xogħol tad-disinn huwa li tiddeċiedi x'għandu jipprova kull naħa, u mbagħad liema mudell jista' joħroġ kredenzjali li tipprova eżattament dak. Nibda b'tabella tar-rwoli, nidduplika mudell adattat minflok neditja wieħed fil-post tiegħu, niffissa s-sors tas-suġġett għal kull rwol, nippubblika r-riżultat fuq is-CA li toħroġ, u nirreġistra pilota wieħed qabel ma xi ħadd jawtomatizzah. Kull pass hawn taħt huwa post fejn CA li taħdem xorta waħda tipproduċi ċertifikat li l-VPN se jirrifjuta.

Ikteb it-tabella tar-rwoli qabel ma tiftaħ il-console tal-mudelli

Żewġ rwoli, żewġ skopijiet. Il-gateway jipprova identità ta' servizz, għalhekk iċ-ċertifikat tiegħu jeħtieġ Server Authentication (1.3.6.1.5.5.7.3.1), użu tal-muftieħ ta' firma diġitali u ċifrar tal-muftieħ, u l-isem tal-host li l-klijenti jċemplu f'isem alternattiv tas-suġġett. Il-klijenti li jawtentikaw biċ-ċertifikati jeħtieġu Client Authentication (1.3.6.1.5.5.7.3.2) u identità li taqbel ma' dak li l-gateway jistenna fil-verifika tal-parti l-oħra. Ċertifikat tal-utent u ċertifikat tal-kompjuter mhumiex interkambjabbli, għax jgħixu f'maħżen differenti u jintużaw minn proċessi differenti.

Ikteb erba' kolonni għal kull rwol: l-identità li trid tidher, l-iskop, il-konsumatur tal-muftieħ, u jekk il-muftieħ jistax joħroġ mill-magna. Dik it-tabella tiddeċiedi kull kaxxa tal-verifika aktar tard, u hi wkoll dak li tagħti lir-reviżur. L-awtentikazzjoni tal-klijenti bil-password hija fergħa separata: jekk il-gateway jawtentika l-utenti b'kredenzjali, id-distribuzzjoni taċ-ċertifikati tal-klijent iżżid xogħol mingħajr ma żżid prova.

Idduplika mudell minflok ma teditja wieħed kondiviż

Ibda minn mudell bl-iskop bejn wieħed u ieħor tajjeb, bħal RAS and IAS Server għall-gateway jew Computer għall-apparati msieħba mad-dominju, imbagħad idduplikah u agħti lill-kopja isem li jgħid għal xiex hi. Li twessa' mudell li servizzi oħra diġà jużaw huwa l-bidla li tkisser xi ħaġa mhux relatata sitt ġimgħat wara. Fuq il-kopja, issettja l-politiki tal-applikazzjoni għall-iskop mit-tabella tar-rwoli, żomm l-użu tal-muftieħ konsistenti miegħu, agħżel l-algoritmu u t-tul tal-muftieħ li l-gateways tiegħek jaċċettaw, u mmarka l-muftieħ privat bħala li ma jistax jiġi esportat sakemm apparat ma jkollux bżonn jesportah biex iċaqlaqha.

Il-validità u t-tiġdid huma wkoll tal-mudell. Ħajja qasira hija eħfef biex tirtira u itqal biex toperaha; waħda twila tnaqqas ix-xogħol tar-reġistrazzjoni u tittawwal l-espożizzjoni ta' muftieħ li nqabad. Agħżel numru li tista' tiddefendi, u innota li l-validità tas-CA stess u l-perjodu tat-tiġdid tal-mudell jistgħu jqassru r-riżultat.

Iddeċiedi minn fejn jiġi s-suġġett

Għal kompjuter jew utent tad-dominju, ibni s-suġġett mill-informazzjoni tad-direttorju sabiex l-isem ma jistax jinkiteb mit-talab. Għal gateway li mhux imsieħeb mad-dominju, jew apparat li l-identità tiegħu tingħata barra mill-AD, il-mudell jeħtieġ minflok mogħdija ta' talba kkontrollata. L-attivazzjoni ta' suġġett u ismijiet alternattivi pprovduti mit-talab hija deċiżjoni vera: mhijiex liċenzja għal kull min jirreġistra biex jitlob kwalunkwe isem, u l-politika fuq in-naħa tas-CA xorta trid tgħid min jista' jitlob u liema prova hija meħtieġa.

Windows IKEv2 huwa strett hawn. Iċ-ċertifikat tal-gateway jitqabbel mal-isem li l-klijent ikkonfigura, għalhekk l-isem DNS irid ikun preżenti fejn il-klijent ifittxu, normalment entrata dNSName fl-isem alternattiv tas-suġġett. It-tifi tal-verifika tal-isem jew tal-iskop biex ċertifikat li ma jaqbilx jaħdem ineħħi l-verifika li kienet taqbad il-ħtija fil-produzzjoni.

Ippubblika l-mudell, imbagħad dejjaq il-permessi

Il-ħolqien tal-objett tal-mudell fl-AD DS u l-pubblikazzjoni tiegħu fuq is-CA li toħroġ huma żewġ operazzjonijiet separati, magħmula f'consoles differenti. Ippubblika l-kopja mill-console Certification Authority taħt Certificate Templates, imbagħad ivverifika mill-linja tal-kmand li s-CA issa qed toffriha:

certutil -CATemplates
certutil -TCAInfo

Il-permessi jiġu wara. Agħti Read u Enroll lill-gruppi li għandhom jitolbuha u xejn aktar, żomm l-aċċess tal-qari tas-CA stess intatt, u agħti Autoenroll biss fejn ir-reġistrazzjoni awtomatika hija maħsuba u appoġġjata mill-politika tal-varar li tagħmilha taħdem. Kaxxa tal-verifika f'mudell ma tirreġistra xejn waħedha, u mudell ippubblikat mingħajr permess ta' reġistrazzjoni joħloq portal li jelenka ċ-ċertifikat u mbagħad jirrifjuta t-talba.

Irreġistra pilota wieħed fil-konsumatur veru

Itlob iċ-ċertifikat fil-kuntest li se jużah, imbagħad eżamina dak li ġie lura minflok tafda l-isem tal-fajl. Iċ-ċertifikat tal-utent jinżel fil-maħżen tal-utent attwali u dak tal-kompjuter fil-maħżen tal-kompjuter lokali, u MMC juri t-tnejn, u għalhekk reġistrazzjoni li “ħadmet” xorta tista' tibqa' inviżibbli għas-servizz VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Aqra d-dump għas-suġġett, l-ismijiet alternattivi, l-użu estiż tal-muftieħ u l-katina. Għal gateway li mhuwiex Windows, issottometti t-talba permezz tal-fluss tax-xogħol appoġġjat minflok tassumi li r-reġistrazzjoni awtomatika tad-dominju tasal għalih, u kkonferma li l-format esportat huwa wieħed li l-konsumatur jimporta flimkien mal-muftieħ privat li jaqbel miegħu. Fl-aħħar, żomm il-fiduċja u l-awtorizzazzjoni separati: il-VPN xorta jrid jiddeċiedi liema utenti jew apparati jilħqu liema riżorsi, u r-revoka tneħħi l-aċċess biss jekk il-gateway jivverifika r-revoka xejn xejn. Il-gwida ta' Microsoft għall-ġestjoni tal-mudelli taċ-ċertifikati tkopri l-console tal-mudelli, il-permessi u l-pass tal-pubblikazzjoni separat.