Design av AD CS-maler for VPN-gateway- og klientroller

En bedrifts-CA kan utstede hvert sertifikat en VPN trenger uten noen gang selv å være gatewayen. Designarbeidet er å avgjøre hva hver part må bevise, og deretter hvilken mal som kan utstede en legitimasjon som beviser nettopp det. Jeg starter med en roltabell, kopierer en passende mal i stedet for å redigere en på stedet, fastsetter emnets kilde per rolle, publiserer resultatet på den utstedende CA-en og registrerer én pilot før noen automatiserer det. Hvert trinn nedenfor er et sted der en fungerende CA fortsatt produserer et sertifikat som VPN-et vil avvise.

Skriv roltabellen før du åpner mal-konsollen

To roller, to formål. Gatewayen beviser en tjenesteidentitet, så sertifikatet trenger Server Authentication (1.3.6.1.5.5.7.3.1), nøkkelbruk for digital signatur og nøkkelkryptering, og vertsnavnet klientene ringer til i et alternativt emnenavn. Klienter som autentiserer med sertifikater, trenger Client Authentication (1.3.6.1.5.5.7.3.2) og en identitet som samsvarer med det gatewayen forventer i motpartskontrollen. Et brukersertifikat og et datamaskinsertifikat er ikke utbyttbare, fordi de ligger i forskjellige lagre og brukes av forskjellige prosesser.

Skriv fire kolonner per rolle: identiteten som må vises, formålet, nøkkelbrukeren og om nøkkelen kan forlate maskinen. Den tabellen avgjør hver avkrysningsboks senere, og den er også det du gir en gjennomleser. Passordbasert klientautentisering er en egen gren: hvis gatewayen autentiserer brukere med legitimasjon, legger distribusjon av klientsertifikater til arbeid uten å legge til bevis.

Dupliser en mal i stedet for å redigere en delt

Start fra en mal med omtrent riktig formål, for eksempel RAS and IAS Server for gatewayen eller Computer for domenetilknyttede enheter, kopier den og gi kopien et navn som sier hva den er til. Å utvide en mal som andre tjenester allerede bruker, er endringen som ødelegger noe urelatert seks uker senere. På kopien setter du applikasjonsretningslinjene til formålet fra roltabellen, holder nøkkelbruken konsistent med det, velger nøkkelalgoritmen og lengden gatewayene dine godtar, og merker den private nøkkelen som ikke-eksporterbar med mindre en enhet trenger å eksportere den for å flytte den.

Gyldighet og fornyelse hører også til malen. En kort levetid er lettere å tilbakekalle og vanskeligere å drifte; en lang reduserer registreringsarbeidet og forlenger eksponeringen av en lekket nøkkel. Velg et tall du kan forsvare, og merk at CA-ens egen gyldighet og malens fornyelsesperiode kan forkorte resultatet.

Avgjør hvor emnet kommer fra

For en domenemaskin eller -bruker bygger du emnet fra kataloginformasjon slik at navnet ikke kan skrives av den som ber om det. For en gateway som ikke er domenetilknyttet, eller en enhet hvis identitet tildeles utenfor AD, trenger malen i stedet en kontrollert forespørselsvei. Å aktivere emne og alternative navn som forespørreren leverer, er en reell beslutning: det er ikke en lisens for hver registrerte til å kreve et hvilket som helst navn, og retningslinjen på CA-siden må fortsatt si hvem som kan spørre og hvilket bevis som kreves.

Windows IKEv2 er strengt her. Et gateway-sertifikat matches mot navnet klienten har konfigurert, så DNS-navnet må være til stede der klienten leter etter det, vanligvis en dNSName-oppføring i det alternative emnenavnet. Å slå av navnekontroll eller formålskontroll for å få et ikke-samsvarende sertifikat til å virke fjerner kontrollen som ville ha fanget avviket i produksjon.

Publiser malen, og begrens deretter tillatelsene

Å opprette malobjektet i AD DS og å publisere det på den utstedende CA-en er separate operasjoner som gjøres i forskjellige konsoller. Publiser kopien fra Certification Authority-konsollen under Certificate Templates, og bekreft deretter fra kommandolinjen at CA-en nå tilbyr den:

certutil -CATemplates
certutil -TCAInfo

Tillatelsene kommer deretter. Gi Read og Enroll til gruppene som skal be om den, og ikke mer, hold CA-ens egen lesetilgang intakt, og gi Autoenroll bare der automatisk registrering er tilsiktet og støttet av distribusjonsretningslinjen som får den til å virke. En avkrysningsboks i en mal registrerer ikke noe av seg selv, og en publisert mal uten registreringstillatelse gir en portal som lister sertifikatet og deretter avviser forespørselen.

Registrer én pilot i den virkelige forbrukeren

Be om sertifikatet i den sammenhengen som skal bruke det, og undersøk deretter hva som kom tilbake i stedet for å stole på filnavnet. Et brukersertifikat lander i lageret for gjeldende bruker og et datamaskinsertifikat i lageret for den lokale datamaskinen, og MMC viser begge, og derfor kan en registrering som “virket” fortsatt være usynlig for VPN-tjenesten.

certlm.msc
certutil -dump vpn-gateway.cer

Les dumpen for emnet, de alternative navnene, utvidet nøkkelbruk og kjeden. For en gateway som ikke er Windows, send forespørselen gjennom den støttede arbeidsflyten i stedet for å anta at domenets automatiske registrering når den, og bekreft at eksportformatet er et som forbrukeren importerer sammen med sin samsvarende private nøkkel. Til slutt holder du tillit og autorisasjon atskilt: VPN-et må fortsatt avgjøre hvilke brukere eller enheter som når hvilke ressurser, og tilbakekalling fjerner bare tilgang hvis gatewayen i det hele tatt kontrollerer tilbakekalling. Microsofts veiledning for administrasjon av sertifikatmaler dekker mal-konsollen, tillatelsene og det separate publiseringstrinnet.