Design av AD CS-malar for VPN-gateway- og klientrollar

Ein verksemds-CA kan gje ut kvart sertifikat ein VPN treng utan nokon gong sjølv å vere gatewayen. Designarbeidet er å avgjere kva kvar part må prove, og deretter kva mal som kan gje ut ein legitimasjon som provar nettopp det. Eg byrjar med ein rolletabell, kopierer ein høveleg mal i staden for å endre ein på staden, fastset kjelda til emnet per rolle, publiserer resultatet på den utgivande CA-en og registrerer éin pilot før nokon automatiserer det. Kvart steg nedanfor er ein stad der ein fungerande CA framleis lagar eit sertifikat som VPN-et vil avvise.

Skriv rolletabellen før du opnar mal-konsollen

To roller, to føremål. Gatewayen provar ein tenesteidentitet, så sertifikatet treng Server Authentication (1.3.6.1.5.5.7.3.1), nøkkelbruk for digital signatur og nøkkelkryptering, og vertsnamnet klientane ringer til i eit alternativt emnenamn. Klientar som autentiserer med sertifikat, treng Client Authentication (1.3.6.1.5.5.7.3.2) og ein identitet som svarar til det gatewayen ventar i motpartskontrollen. Eit brukarsertifikat og eit datamaskinsertifikat er ikkje utbytbart, fordi dei ligg i ulike lager og vert brukte av ulike prosessar.

Skriv fire kolonnar per rolle: identiteten som må visast, føremålet, nøkkelbrukaren og om nøkkelen kan forlate maskinen. Den tabellen avgjer kvar avkryssingsboks seinare, og han er også det du gjev ein gjennomlesar. Passordbasert klientautentisering er ei eiga grein: dersom gatewayen autentiserer brukarar med legitimasjon, legg distribusjon av klientsertifikat til arbeid utan å leggje til prov.

Dupliser ein mal i staden for å endre ein delt

Byrj frå ein mal med nokolunde rett føremål, til dømes RAS and IAS Server for gatewayen eller Computer for domenetilknytte einingar, kopier han og gje kopien eit namn som seier kva han er til. Å utvide ein mal som andre tenester alt brukar, er endringa som øydelegg noko urelatert seks veker seinare. På kopien set du applikasjonsretningslinjene til føremålet frå rolletabellen, held nøkkelbruken konsistent med det, vel nøkkelalgoritmen og lengda gatewayane dine godtar, og merkar den private nøkkelen som ikkje-eksporterbar med mindre eit apparat treng å eksportere han for å flytte han.

Gyldigheit og fornying høyrer også til malen. Ei kort levetid er lettare å kalle tilbake og vanskelegare å drifte; ei lang reduserer registreringsarbeidet og forlenger eksponeringa av ein leken nøkkel. Vel eit tal du kan forsvare, og merk at gyldigheita til CA-en sjølv og fornyingsperioden til malen kan forkorte resultatet.

Avgjer kvar emnet kjem frå

For ein domenemaskin eller -brukar byggjer du emnet frå kataloginformasjon slik at namnet ikkje kan skrivast av den som ber om det. For ein gateway som ikkje er domenetilknytt, eller eit apparat der identiteten vert tildelt utanfor AD, treng malen i staden ein kontrollert førespurnadsveg. Å slå på emne og alternative namn som førespurnadaren leverer, er ei reell avgjerd: det er ikkje ein lisens for kvar registrerte til å krevje kva namn som helst, og retningslinja på CA-sida må framleis seie kven som kan spørje og kva prov som krevst.

Windows IKEv2 er strengt her. Eit gateway-sertifikat vert jamført med namnet klienten har sett opp, så DNS-namnet må vere til stades der klienten leitar etter det, vanlegvis ein dNSName-oppføring i det alternative emnenamnet. Å slå av namnekontroll eller føremålskontroll for å få eit sertifikat som ikkje svarar til å verke, fjernar kontrollen som ville ha fanga avviket i produksjon.

Publiser malen, og avgrens deretter løyva

Å opprette malobjektet i AD DS og å publisere det på den utgivande CA-en er separate operasjonar som vert gjorde i ulike konsollar. Publiser kopien frå Certification Authority-konsollen under Certificate Templates, og stadfest deretter frå kommandolinja at CA-en no tilbyr han:

certutil -CATemplates
certutil -TCAInfo

Løyva kjem deretter. Gje Read og Enroll til gruppene som skal be om han, og ikkje meir, hald eigen lesetilgang til CA-en intakt, og gje Autoenroll berre der automatisk registrering er tilsikta og støtta av distribusjonsretningslinja som får han til å verke. Ein avkryssingsboks i ein mal registrerer ikkje noko av seg sjølv, og ein publisert mal utan registreringsløyve gjev ein portal som listar sertifikatet og deretter avviser førespurnaden.

Registrer éin pilot i den verkelege brukaren

Be om sertifikatet i den samanhengen som skal bruke det, og gransk deretter kva som kom tilbake i staden for å stole på filnamnet. Eit brukarsertifikat landar i lageret for gjeldande brukar og eit datamaskinsertifikat i lageret for den lokale datamaskinen, og MMC viser begge, og difor kan ei registrering som “verka” framleis vere usynleg for VPN-tenesta.

certlm.msc
certutil -dump vpn-gateway.cer

Les dumpen for emnet, dei alternative namna, utvida nøkkelbruk og kjeda. For ein gateway som ikkje er Windows, send førespurnaden gjennom den støtta arbeidsflyten i staden for å gå ut frå at automatisk domeneregistrering når han, og stadfest at eksportformatet er eit som brukaren importerer saman med sin samsvarande private nøkkel. Til slutt held du tillit og autorisasjon skilde: VPN-et må framleis avgjere kva brukarar eller einingar som når kva ressursar, og tilbakekalling fjernar berre tilgang dersom gatewayen i det heile kontrollerer tilbakekalling. Microsoft-veiledninga for administrasjon av sertifikatmalar dekkjer mal-konsollen, løyva og det separate publiseringstrinnet.