Projektowanie szablonów AD CS dla ról bramy VPN i klienta

Korporacyjne CA może wydać każdy certyfikat potrzebny VPN, nigdy nie będąc samą bramą. Praca projektowa polega na zdecydowaniu, co musi udowodnić każda strona, a następnie który szablon może wydać poświadczenie dowodzące dokładnie tego. Zaczynam od tabeli ról, duplikuję odpowiedni szablon zamiast edytować istniejący na miejscu, ustalam źródło podmiotu dla każdej roli, publikuję wynik na wystawiającym CA i rejestruję jednego pilota, zanim ktokolwiek to zautomatyzuje. Każdy krok poniżej to miejsce, w którym działające CA nadal tworzy certyfikat, który VPN odrzuci.

Napisz tabelę ról, zanim otworzysz konsolę szablonów

Dwie role, dwa cele. Brama dowodzi tożsamości usługi, więc jej certyfikat wymaga Server Authentication (1.3.6.1.5.5.7.3.1), użycia klucza do podpisu cyfrowego i szyfrowania klucza oraz nazwy hosta, z którym łączą się klienci, w alternatywnej nazwie podmiotu. Klienci uwierzytelniający się certyfikatami potrzebują Client Authentication (1.3.6.1.5.5.7.3.2) i tożsamości zgodnej z tym, czego brama oczekuje w kontroli drugiej strony. Certyfikat użytkownika i certyfikat komputera nie są wymienne, ponieważ znajdują się w różnych magazynach i używają ich różne procesy.

Zapisz cztery kolumny dla każdej roli: tożsamość, która musi się pojawić, cel, konsumenta klucza i czy klucz może opuścić maszynę. Ta tabela decyduje później o każdym polu wyboru, a także jest tym, co przekazujesz recenzentowi. Uwierzytelnianie klientów hasłem to osobna gałąź: jeśli brama uwierzytelnia użytkowników poświadczeniami, dystrybucja certyfikatów klienta dodaje pracy bez dodawania dowodu.

Duplikuj szablon, zamiast edytować wspólny

Zacznij od szablonu o w przybliżeniu właściwym celu, na przykład RAS and IAS Server dla bramy albo Computer dla urządzeń przyłączonych do domeny, następnie zduplikuj go i nadaj kopii nazwę mówiącą, do czego służy. Rozszerzanie szablonu, którego używają już inne usługi, to zmiana, która sześć tygodni później psuje coś niezwiązanego. W kopii ustaw zasady aplikacji na cel z tabeli ról, utrzymaj spójne z nim użycie klucza, wybierz algorytm i długość klucza akceptowane przez twoje bramy i oznacz klucz prywatny jako nieeksportowalny, chyba że urządzenie musi go wyeksportować, aby go przenieść.

Ważność i odnawianie również należą do szablonu. Krótki okres jest łatwiejszy do odwołania i trudniejszy w utrzymaniu; długi zmniejsza pracę przy rejestracji i wydłuża ekspozycję ujawnionego klucza. Wybierz liczbę, której możesz bronić, i pamiętaj, że ważność samego CA i okres odnawiania szablonu mogą skrócić wynik.

Zdecyduj, skąd pochodzi podmiot

Dla komputera lub użytkownika domeny zbuduj podmiot z informacji katalogowych, aby nazwy nie mógł wpisać wnioskujący. Dla bramy nienależącej do domeny lub urządzenia, którego tożsamość jest nadawana poza AD, szablon potrzebuje zamiast tego kontrolowanej ścieżki żądania. Włączenie podmiotu i nazw alternatywnych dostarczanych przez wnioskującego to prawdziwa decyzja: nie jest to licencja dla każdego zarejestrowanego na żądanie dowolnej nazwy, a zasada po stronie CA nadal musi mówić, kto może prosić i jaki dowód jest wymagany.

Windows IKEv2 jest tu surowy. Certyfikat bramy jest porównywany z nazwą skonfigurowaną przez klienta, więc nazwa DNS musi być obecna tam, gdzie klient jej szuka, zwykle jako wpis dNSName w alternatywnej nazwie podmiotu. Wyłączenie sprawdzania nazwy lub celu, aby niezgodny certyfikat zadziałał, usuwa sprawdzenie, które wykryłoby niezgodność w produkcji.

Opublikuj szablon, a potem zawęź uprawnienia

Utworzenie obiektu szablonu w AD DS i opublikowanie go na wystawiającym CA to dwie odrębne operacje wykonywane w różnych konsolach. Opublikuj kopię z konsoli Certification Authority w sekcji Certificate Templates, a następnie sprawdź z wiersza poleceń, że CA oferuje go teraz:

certutil -CATemplates
certutil -TCAInfo

Uprawnienia są następne. Przyznaj Read i Enroll grupom, które powinny o niego prosić, i nic więcej, zachowaj własny dostęp CA do odczytu i przyznawaj Autoenroll tylko tam, gdzie automatyczna rejestracja jest zamierzona i poparta zasadą wdrożenia, która ją uruchamia. Pole wyboru w szablonie samo nic nie rejestruje, a opublikowany szablon bez uprawnienia do rejestracji tworzy portal, który wymienia certyfikat, a następnie odrzuca żądanie.

Zarejestruj jednego pilota u rzeczywistego konsumenta

Poproś o certyfikat w kontekście, który będzie go używał, a następnie obejrzyj, co wróciło, zamiast ufać nazwie pliku. Certyfikat użytkownika trafia do magazynu bieżącego użytkownika, a certyfikat komputera do magazynu komputera lokalnego, i MMC pokazuje oba, dlatego rejestracja, która “zadziałała”, może pozostać niewidoczna dla usługi VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Przeczytaj zrzut pod kątem podmiotu, nazw alternatywnych, rozszerzonego użycia klucza i łańcucha. Dla bramy innej niż Windows prześlij żądanie obsługiwanym przepływem pracy, zamiast zakładać, że automatyczna rejestracja domeny do niej dotrze, i potwierdź, że eksportowany format jest tym, który konsument importuje razem z pasującym kluczem prywatnym. Na koniec trzymaj zaufanie i autoryzację osobno: VPN nadal musi decydować, którzy użytkownicy lub urządzenia docierają do których zasobów, a unieważnienie odbiera dostęp tylko wtedy, gdy brama w ogóle sprawdza unieważnienie. Przewodnik Microsoftu dotyczący zarządzania szablonami certyfikatów obejmuje konsolę szablonów, uprawnienia i osobny krok publikacji.