VPN ਗੇਟਵੇ ਅਤੇ ਕਲਾਇੰਟ ਭੂਮਿਕਾਵਾਂ ਲਈ AD CS ਟੈਂਪਲੇਟ ਡਿਜ਼ਾਈਨ

ਇੱਕ ਉਦਯੋਗ CA VPN ਨੂੰ ਲੋੜੀਂਦਾ ਹਰ ਸਰਟੀਫਿਕੇਟ ਆਪ ਗੇਟਵੇ ਬਣੇ ਬਿਨਾਂ ਜਾਰੀ ਕਰ ਸਕਦਾ ਹੈ। ਡਿਜ਼ਾਈਨ ਦਾ ਕੰਮ ਇਹ ਤੈਅ ਕਰਨਾ ਹੈ ਕਿ ਹਰ ਧਿਰ ਨੂੰ ਕੀ ਸਾਬਤ ਕਰਨਾ ਹੈ, ਅਤੇ ਫਿਰ ਕਿਹੜਾ ਟੈਂਪਲੇਟ ਉਹੀ ਸਾਬਤ ਕਰਨ ਵਾਲਾ ਪ੍ਰਮਾਣ ਪੱਤਰ ਜਾਰੀ ਕਰ ਸਕਦਾ ਹੈ। ਮੈਂ ਭੂਮਿਕਾ ਸਾਰਣੀ ਨਾਲ ਸ਼ੁਰੂ ਕਰਦਾ ਹਾਂ, ਢੁਕਵੇਂ ਟੈਂਪਲੇਟ ਨੂੰ ਉਸੇ ਥਾਂ ਸੋਧਣ ਦੀ ਬਜਾਏ ਨਕਲ ਕਰਦਾ ਹਾਂ, ਹਰ ਭੂਮਿਕਾ ਲਈ ਵਿਸ਼ੇ ਦਾ ਸਰੋਤ ਤੈਅ ਕਰਦਾ ਹਾਂ, ਨਤੀਜਾ ਜਾਰੀ ਕਰਨ ਵਾਲੇ CA ਉੱਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਦਾ ਹਾਂ, ਅਤੇ ਕਿਸੇ ਵੱਲੋਂ ਇਸਨੂੰ ਸਵੈਚਾਲਿਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਪਾਇਲਟ ਦਰਜ ਕਰਦਾ ਹਾਂ। ਹੇਠਾਂ ਦਾ ਹਰ ਕਦਮ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਕੰਮ ਕਰਦਾ CA ਅਜੇ ਵੀ VPN ਵੱਲੋਂ ਅਸਵੀਕਾਰ ਹੋਣ ਵਾਲਾ ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਂਦਾ ਹੈ।

ਟੈਂਪਲੇਟ ਕੰਸੋਲ ਖੋਲ੍ਹਣ ਤੋਂ ਪਹਿਲਾਂ ਭੂਮਿਕਾ ਸਾਰਣੀ ਲਿਖੋ

ਦੋ ਭੂਮਿਕਾਵਾਂ, ਦੋ ਉਦੇਸ਼। ਗੇਟਵੇ ਸੇਵਾ ਪਛਾਣ ਸਾਬਤ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਇਸਦੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ Server Authentication (1.3.6.1.5.5.7.3.1), ਡਿਜੀਟਲ ਦਸਤਖਤ ਅਤੇ ਕੁੰਜੀ ਐਨਕ੍ਰਿਪਸ਼ਨ ਦੀ ਕੁੰਜੀ ਵਰਤੋਂ, ਅਤੇ ਕਲਾਇੰਟ ਜਿਸ ਹੋਸਟਨਾਮ ਉੱਤੇ ਜੁੜਦੇ ਹਨ ਉਹ ਵਿਸ਼ੇ ਦੇ ਬਦਲਵੇਂ ਨਾਮ ਵਿੱਚ ਚਾਹੀਦਾ ਹੈ। ਸਰਟੀਫਿਕੇਟਾਂ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਹੋਣ ਵਾਲੇ ਕਲਾਇੰਟਾਂ ਨੂੰ Client Authentication (1.3.6.1.5.5.7.3.2) ਅਤੇ ਗੇਟਵੇ ਦੀ ਦੂਜੇ ਪਾਸੇ ਦੀ ਜਾਂਚ ਵਿੱਚ ਉਮੀਦ ਕੀਤੀ ਪਛਾਣ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਪਛਾਣ ਚਾਹੀਦੀ ਹੈ। ਵਰਤੋਂਕਾਰ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕੰਪਿਊਟਰ ਸਰਟੀਫਿਕੇਟ ਆਪਸ ਵਿੱਚ ਬਦਲਣਯੋਗ ਨਹੀਂ ਹਨ, ਕਿਉਂਕਿ ਇਹ ਵੱਖਰੇ ਸਟੋਰਾਂ ਵਿੱਚ ਰਹਿੰਦੇ ਹਨ ਅਤੇ ਵੱਖਰੇ ਪ੍ਰਕਿਰਿਆਵਾਂ ਇਹਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੀਆਂ ਹਨ।

ਹਰ ਭੂਮਿਕਾ ਲਈ ਚਾਰ ਕਾਲਮ ਲਿਖੋ: ਜੋ ਪਛਾਣ ਦਿਖਣੀ ਚਾਹੀਦੀ ਹੈ, ਉਦੇਸ਼, ਕੁੰਜੀ ਦਾ ਵਰਤੋਂਕਾਰ, ਅਤੇ ਕੀ ਕੁੰਜੀ ਮਸ਼ੀਨ ਛੱਡ ਸਕਦੀ ਹੈ। ਉਹੀ ਸਾਰਣੀ ਬਾਅਦ ਵਿੱਚ ਹਰ ਚੈਕਬਾਕਸ ਤੈਅ ਕਰਦੀ ਹੈ, ਅਤੇ ਇਹੀ ਤੁਸੀਂ ਸਮੀਖਿਅਕ ਨੂੰ ਦਿੰਦੇ ਹੋ। ਪਾਸਵਰਡ ਅਧਾਰਿਤ ਕਲਾਇੰਟ ਪ੍ਰਮਾਣਿਕਤਾ ਵੱਖਰੀ ਸ਼ਾਖਾ ਹੈ: ਜੇ ਗੇਟਵੇ ਵਰਤੋਂਕਾਰਾਂ ਨੂੰ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ, ਤਾਂ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਵੰਡਣਾ ਕੋਈ ਸਬੂਤ ਜੋੜੇ ਬਿਨਾਂ ਕੰਮ ਜੋੜਦਾ ਹੈ।

ਸਾਂਝੇ ਟੈਂਪਲੇਟ ਨੂੰ ਸੋਧਣ ਦੀ ਬਜਾਏ ਟੈਂਪਲੇਟ ਦੀ ਨਕਲ ਕਰੋ

ਲਗਭਗ ਸਹੀ ਉਦੇਸ਼ ਵਾਲੇ ਟੈਂਪਲੇਟ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ, ਜਿਵੇਂ ਗੇਟਵੇ ਲਈ RAS and IAS Server ਜਾਂ ਡੋਮੇਨ ਨਾਲ ਜੁੜੇ ਯੰਤਰਾਂ ਲਈ Computer, ਫਿਰ ਇਸਦੀ ਨਕਲ ਕਰੋ ਅਤੇ ਨਕਲ ਨੂੰ ਉਹ ਨਾਮ ਦਿਓ ਜੋ ਦੱਸੇ ਕਿ ਇਹ ਕਿਸ ਲਈ ਹੈ। ਦੂਜੀਆਂ ਸੇਵਾਵਾਂ ਵੱਲੋਂ ਪਹਿਲਾਂ ਹੀ ਵਰਤੇ ਜਾ ਰਹੇ ਟੈਂਪਲੇਟ ਨੂੰ ਫੈਲਾਉਣਾ ਉਹ ਬਦਲਾਅ ਹੈ ਜੋ ਛੇ ਹਫ਼ਤਿਆਂ ਬਾਅਦ ਕਿਸੇ ਅਸੰਬੰਧਿਤ ਚੀਜ਼ ਨੂੰ ਤੋੜਦਾ ਹੈ। ਨਕਲ ਉੱਤੇ ਐਪਲੀਕੇਸ਼ਨ ਨੀਤੀਆਂ ਭੂਮਿਕਾ ਸਾਰਣੀ ਦੇ ਉਦੇਸ਼ ਉੱਤੇ ਸੈੱਟ ਕਰੋ, ਕੁੰਜੀ ਵਰਤੋਂ ਨੂੰ ਇਸ ਨਾਲ ਇਕਸਾਰ ਰੱਖੋ, ਤੁਹਾਡੇ ਗੇਟਵੇ ਸਵੀਕਾਰ ਕਰਦੇ ਕੁੰਜੀ ਐਲਗੋਰਿਦਮ ਅਤੇ ਲੰਬਾਈ ਚੁਣੋ, ਅਤੇ ਨਿੱਜੀ ਕੁੰਜੀ ਨੂੰ ਗੈਰ-ਨਿਰਯਾਤਯੋਗ ਚਿੰਨ੍ਹਿਤ ਕਰੋ ਜਦੋਂ ਤੱਕ ਕਿਸੇ ਯੰਤਰ ਨੂੰ ਇਸਨੂੰ ਹਿਲਾਉਣ ਲਈ ਨਿਰਯਾਤ ਨਾ ਕਰਨਾ ਪਵੇ।

ਵੈਧਤਾ ਅਤੇ ਨਵੀਨੀਕਰਨ ਵੀ ਟੈਂਪਲੇਟ ਦੇ ਹੀ ਹਨ। ਛੋਟੀ ਉਮਰ ਰੱਦ ਕਰਨਾ ਸੌਖਾ ਅਤੇ ਚਲਾਉਣਾ ਔਖਾ ਹੈ; ਲੰਮੀ ਉਮਰ ਦਰਜ ਕਰਨ ਦਾ ਕੰਮ ਘਟਾਉਂਦੀ ਹੈ ਅਤੇ ਲੀਕ ਹੋਈ ਕੁੰਜੀ ਦੇ ਖੁੱਲ੍ਹੇਪਣ ਨੂੰ ਵਧਾਉਂਦੀ ਹੈ। ਅਜਿਹੀ ਸੰਖਿਆ ਚੁਣੋ ਜਿਸਦਾ ਤੁਸੀਂ ਬਚਾਅ ਕਰ ਸਕੋ, ਅਤੇ ਧਿਆਨ ਰੱਖੋ ਕਿ CA ਦੀ ਆਪਣੀ ਵੈਧਤਾ ਅਤੇ ਟੈਂਪਲੇਟ ਦੀ ਨਵੀਨੀਕਰਨ ਅਵਧੀ ਨਤੀਜਾ ਛੋਟਾ ਕਰ ਸਕਦੀਆਂ ਹਨ।

ਵਿਸ਼ਾ ਕਿੱਥੋਂ ਆਉਂਦਾ ਹੈ ਇਹ ਤੈਅ ਕਰੋ

ਡੋਮੇਨ ਕੰਪਿਊਟਰ ਜਾਂ ਵਰਤੋਂਕਾਰ ਲਈ ਵਿਸ਼ਾ ਡਾਇਰੈਕਟਰੀ ਜਾਣਕਾਰੀ ਤੋਂ ਬਣਾਓ ਤਾਂ ਜੋ ਬੇਨਤੀਕਰਤਾ ਨਾਮ ਟਾਈਪ ਨਾ ਕਰ ਸਕੇ। ਡੋਮੇਨ ਨਾਲ ਨਾ ਜੁੜੇ ਗੇਟਵੇ, ਜਾਂ ਜਿਸਦੀ ਪਛਾਣ AD ਤੋਂ ਬਾਹਰ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਅਜਿਹੇ ਯੰਤਰ ਲਈ ਟੈਂਪਲੇਟ ਨੂੰ ਇਸਦੀ ਬਜਾਏ ਨਿਯੰਤਰਿਤ ਬੇਨਤੀ ਮਾਰਗ ਚਾਹੀਦਾ ਹੈ। ਬੇਨਤੀਕਰਤਾ ਵੱਲੋਂ ਦਿੱਤੇ ਵਿਸ਼ੇ ਅਤੇ ਬਦਲਵੇਂ ਨਾਮ ਸਮਰੱਥ ਕਰਨਾ ਅਸਲ ਫੈਸਲਾ ਹੈ: ਇਹ ਹਰ ਦਰਜ ਹੋਣ ਵਾਲੇ ਨੂੰ ਕੋਈ ਵੀ ਨਾਮ ਦਾਅਵਾ ਕਰਨ ਦਾ ਲਾਇਸੰਸ ਨਹੀਂ ਹੈ, ਅਤੇ CA ਪਾਸੇ ਦੀ ਨੀਤੀ ਨੂੰ ਅਜੇ ਵੀ ਦੱਸਣਾ ਪੈਂਦਾ ਹੈ ਕਿ ਕੌਣ ਮੰਗ ਸਕਦਾ ਹੈ ਅਤੇ ਕਿਹੜਾ ਸਬੂਤ ਲੋੜੀਂਦਾ ਹੈ।

Windows IKEv2 ਇੱਥੇ ਸਖ਼ਤ ਹੈ। ਗੇਟਵੇ ਸਰਟੀਫਿਕੇਟ ਦੀ ਤੁਲਨਾ ਕਲਾਇੰਟ ਵੱਲੋਂ ਸੰਰਚਿਤ ਨਾਮ ਨਾਲ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਇਸ ਲਈ DNS ਨਾਮ ਉੱਥੇ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਜਿੱਥੇ ਕਲਾਇੰਟ ਇਸਨੂੰ ਲੱਭਦਾ ਹੈ, ਆਮ ਤੌਰ ਉੱਤੇ ਵਿਸ਼ੇ ਦੇ ਬਦਲਵੇਂ ਨਾਮ ਵਿੱਚ dNSName ਐਂਟਰੀ। ਬੇਮੇਲ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਕੰਮ ਕਰਾਉਣ ਲਈ ਨਾਮ ਜਾਂਚ ਜਾਂ ਉਦੇਸ਼ ਜਾਂਚ ਬੰਦ ਕਰਨਾ ਉਹ ਜਾਂਚ ਹਟਾ ਦਿੰਦਾ ਹੈ ਜੋ ਉਤਪਾਦਨ ਵਿੱਚ ਬੇਮੇਲ ਫੜਦੀ।

ਟੈਂਪਲੇਟ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰੋ, ਫਿਰ ਇਜਾਜ਼ਤਾਂ ਸੀਮਤ ਕਰੋ

AD DS ਵਿੱਚ ਟੈਂਪਲੇਟ ਆਬਜੈਕਟ ਬਣਾਉਣਾ ਅਤੇ ਇਸਨੂੰ ਜਾਰੀ ਕਰਨ ਵਾਲੇ CA ਉੱਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨਾ ਵੱਖਰੇ ਕੰਸੋਲਾਂ ਵਿੱਚ ਕੀਤੇ ਜਾਂਦੇ ਵੱਖਰੇ ਕਾਰਜ ਹਨ। ਨਕਲ ਨੂੰ Certification Authority ਕੰਸੋਲ ਤੋਂ Certificate Templates ਅਧੀਨ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰੋ, ਫਿਰ ਕਮਾਂਡ ਲਾਈਨ ਤੋਂ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ CA ਹੁਣ ਇਸਨੂੰ ਪੇਸ਼ ਕਰਦਾ ਹੈ:

certutil -CATemplates
certutil -TCAInfo

ਇਜਾਜ਼ਤਾਂ ਇਸ ਤੋਂ ਬਾਅਦ ਆਉਂਦੀਆਂ ਹਨ। ਜਿਹਨਾਂ ਸਮੂਹਾਂ ਨੂੰ ਇਸਦੀ ਬੇਨਤੀ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ ਉਹਨਾਂ ਨੂੰ Read ਅਤੇ Enroll ਦਿਓ ਅਤੇ ਇਸ ਤੋਂ ਵੱਧ ਕੁਝ ਨਹੀਂ, CA ਦੀ ਆਪਣੀ ਪੜ੍ਹਨ ਪਹੁੰਚ ਅਟੁੱਟ ਰੱਖੋ, ਅਤੇ Autoenroll ਸਿਰਫ਼ ਉੱਥੇ ਦਿਓ ਜਿੱਥੇ ਸਵੈਚਾਲਿਤ ਦਰਜੀ ਇਰਾਦਤਨ ਹੈ ਅਤੇ ਇਸਨੂੰ ਕੰਮ ਕਰਾਉਣ ਵਾਲੀ ਤੈਨਾਤੀ ਨੀਤੀ ਵੱਲੋਂ ਸਮਰਥਿਤ ਹੈ। ਟੈਂਪਲੇਟ ਵਿੱਚ ਇੱਕ ਚੈਕਬਾਕਸ ਆਪਣੇ ਆਪ ਕੁਝ ਦਰਜ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਦਰਜੀ ਇਜਾਜ਼ਤ ਤੋਂ ਬਿਨਾਂ ਪ੍ਰਕਾਸ਼ਿਤ ਟੈਂਪਲੇਟ ਅਜਿਹਾ ਪੋਰਟਲ ਬਣਾਉਂਦਾ ਹੈ ਜੋ ਸਰਟੀਫਿਕੇਟ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ ਅਤੇ ਫਿਰ ਬੇਨਤੀ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ।

ਅਸਲ ਵਰਤੋਂਕਾਰ ਵਿੱਚ ਇੱਕ ਪਾਇਲਟ ਦਰਜ ਕਰੋ

ਸਰਟੀਫਿਕੇਟ ਦੀ ਬੇਨਤੀ ਉਸੇ ਸੰਦਰਭ ਵਿੱਚ ਕਰੋ ਜੋ ਇਸਦੀ ਵਰਤੋਂ ਕਰੇਗਾ, ਫਿਰ ਫਾਈਲ ਦੇ ਨਾਮ ਉੱਤੇ ਭਰੋਸਾ ਕਰਨ ਦੀ ਬਜਾਏ ਜੋ ਵਾਪਸ ਆਇਆ ਉਸਦੀ ਜਾਂਚ ਕਰੋ। ਵਰਤੋਂਕਾਰ ਸਰਟੀਫਿਕੇਟ ਮੌਜੂਦਾ-ਵਰਤੋਂਕਾਰ ਸਟੋਰ ਵਿੱਚ ਅਤੇ ਕੰਪਿਊਟਰ ਸਰਟੀਫਿਕੇਟ ਸਥਾਨਕ-ਕੰਪਿਊਟਰ ਸਟੋਰ ਵਿੱਚ ਜਾਂਦਾ ਹੈ, ਅਤੇ MMC ਦੋਵੇਂ ਦਿਖਾਉਂਦਾ ਹੈ, ਇਸ ਲਈ “ਕੰਮ ਕੀਤਾ” ਅਜਿਹਾ ਦਰਜਾ ਵੀ VPN ਸੇਵਾ ਲਈ ਅਦਿੱਖ ਰਹਿ ਸਕਦਾ ਹੈ।

certlm.msc
certutil -dump vpn-gateway.cer

ਡੰਪ ਨੂੰ ਵਿਸ਼ਾ, ਬਦਲਵੇਂ ਨਾਮ, ਵਿਸਤ੍ਰਿਤ ਕੁੰਜੀ ਵਰਤੋਂ ਅਤੇ ਲੜੀ ਲਈ ਪੜ੍ਹੋ। Windows ਨਾ ਹੋਣ ਵਾਲੇ ਗੇਟਵੇ ਲਈ, ਡੋਮੇਨ ਸਵੈਚਾਲਿਤ ਦਰਜੀ ਉੱਥੇ ਪਹੁੰਚਦੀ ਹੈ ਇਹ ਮੰਨਣ ਦੀ ਬਜਾਏ ਸਮਰਥਿਤ ਕਾਰਜ ਪ੍ਰਵਾਹ ਰਾਹੀਂ ਬੇਨਤੀ ਜਮ੍ਹਾਂ ਕਰੋ, ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਨਿਰਯਾਤ ਕੀਤਾ ਫਾਰਮੈਟ ਉਹੀ ਹੈ ਜੋ ਵਰਤੋਂਕਾਰ ਆਪਣੀ ਮੇਲ ਖਾਂਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਨਾਲ ਆਯਾਤ ਕਰਦਾ ਹੈ। ਅੰਤ ਵਿੱਚ, ਭਰੋਸਾ ਅਤੇ ਅਧਿਕਾਰ ਵੱਖਰੇ ਰੱਖੋ: VPN ਨੂੰ ਅਜੇ ਵੀ ਤੈਅ ਕਰਨਾ ਹੈ ਕਿ ਕਿਹੜੇ ਵਰਤੋਂਕਾਰ ਜਾਂ ਯੰਤਰ ਕਿਹੜੇ ਸਰੋਤਾਂ ਤੱਕ ਪਹੁੰਚਦੇ ਹਨ, ਅਤੇ ਰੱਦ ਕਰਨਾ ਪਹੁੰਚ ਸਿਰਫ਼ ਤਦ ਹਟਾਉਂਦਾ ਹੈ ਜਦੋਂ ਗੇਟਵੇ ਰੱਦ ਕਰਨ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੋਵੇ। ਸਰਟੀਫਿਕੇਟ ਟੈਂਪਲੇਟ ਪ੍ਰਬੰਧਨ ਲਈ Microsoft ਗਾਈਡ ਟੈਂਪਲੇਟ ਕੰਸੋਲ, ਇਜਾਜ਼ਤਾਂ ਅਤੇ ਵੱਖਰੇ ਪ੍ਰਕਾਸ਼ਨ ਕਦਮ ਨੂੰ ਕਵਰ ਕਰਦੀ ਹੈ।