د VPN ګیټ وے او کلاینټ رولونو لپاره د AD CS کالبونو ډیزاین

یو تصدۍ CA کولای شي هر هغه سند صادر کړي چې VPN ته اړین دی، پرته له دې چې پخپله ګیټ وے وي. د ډیزاین کار دا دی چې پریکړه وکړئ هر لوری باید څه ثابت کړي، او بیا کوم کالبون کولای شي هغه سند صادر کړي چې هماغه شی ثابتوي. زه د رولونو له جدول څخه پیل کوم، د اوسني کالبون په خپل ځای کې د سمون پر ځای یې کاپي کوم، د هر رول لپاره د موضوع سرچینه ټاکم، پایله په صادرونکې CA کې خپروي او د دې له اتومات کولو دمخه یو پایلټ ثبتوم. لاندې هر ګام هغه ځای دی چې یو فعال CA لا هم هغه سند جوړوي چې VPN به یې رد کړي.

د کالبون کنسول د پرانیستلو دمخه د رولونو جدول ولیکئ

دوه رولونه، دوه هدفونه. ګیټ وے د خدمت هویت ثابتوي، نو د هغه سند ته Server Authentication (1.3.6.1.5.5.7.3.1)، د ډیجیټل لاسلیک او د کیلي کوډ کولو کیلي کارول، او هغه کوربه نوم چې کلاینټان ورسره نښلوي د موضوع په بدیل نوم کې اړین دي. هغه کلاینټان چې د سندونو له لارې تصدیق کوي Client Authentication (1.3.6.1.5.5.7.3.2) او د بلې خوا په معاینه کې د ګیټ وے له تمې سره سمون لرونکې پېژندنې ته اړتیا لري. د کارن سند او د کمپیوټر سند د یو بل سره د بدلون وړ نه دي، ځکه چې دوی په جلا زېرمو کې ژوند کوي او جلا پروسې یې کاروي.

د هر رول لپاره څلور کالمونه ولیکئ: هغه پېژندنه چې باید څرګنده شي، هدف، د کیلي کاروونکی، او آیا کیلي ماشین پرېږدي. هماغه جدول وروسته هر چیک باکس ټاکي، او هماغه شی دی چې بیاکونکي ته ورکوئ. د پټنوم پر بنسټ د کلاینټ تصدیق جلا څانګه ده: که ګیټ وے کاروونکي د اعتبارنامو له لارې تصدیق کوي، د کلاینټ سندونو وېش کار زیاتوي پرته له دې چې ثبوت زیات کړي.

د شریک کالبون د سمون پر ځای کالبون کاپي کړئ

د هغه کالبون څخه پیل وکړئ چې هدف یې نږدې سم وي، لکه د ګیټ وے لپاره RAS and IAS Server یا د ډومېن سره تړلو وسیلو لپاره Computer، بیا یې کاپي کړئ او کاپي ته هغه نوم ورکړئ چې وایي د څه لپاره دی. هغه کالبون پراخول چې نور خدمتونه یې دمخه کاروي هغه بدلون دی چې شپږ اونۍ وروسته یو ناتړلی شی ماتوي. په کاپي کې د اپلیکیشن پالیسۍ د رولونو جدول هدف ته وټاکئ، د کیلي کارول ورسره همغږي وساتئ، هغه کیلي الګوریتم او اوږدوالی غوره کړئ چې ستاسو ګیټ وےونه یې مني، او شخصي کیلي د نه صادرېدونکې په توګه وښایاست پرته له دې چې وسیله یې د لېږد لپاره صادرولو ته اړتیا ولري.

اعتبار او نوي کول هم د کالبون دي. لنډ عمر لغوه کول اسانه او چلول سخت دي؛ اوږد عمر د ثبت کار کموي او د تیت شوې کیلي افشا اوږدوي. هغه شمېره غوره کړئ چې دفاع یې کولای شئ، او پام وکړئ چې د CA خپل اعتبار او د کالبون د نوي کولو موده کولای شي پایله لنډه کړي.

پریکړه وکړئ چې موضوع له کومه ځایه راځي

د ډومېن کمپیوټر یا کارن لپاره موضوع د لارښود معلوماتو څخه جوړه کړئ تر څو غوښتونکی نوم ولیکلی نه شي. د هغه ګیټ وے لپاره چې د ډومېن سره نه دی تړل شوی، یا هغه وسیله چې پېژندنه یې له AD بهر ورکول کېږي، کالبون ته د دې پر ځای کنټرول شوې غوښتنې لار ته اړتیا ده. د غوښتونکي لخوا ورکړل شوې موضوع او بدیل نومونه فعالول ریښتینی تصمیم دی: دا هر ثبت شوي کس ته د هر نوم ادعا کولو جواز نه دی، او د CA خوا پالیسي باید لا هم ووایي چې څوک غوښتنه کولای شي او کوم ثبوت ته اړتیا ده.

Windows IKEv2 دلته سخت دی. د ګیټ وے سند د هغه نوم سره پرتله کېږي چې کلاینټ ټاکلی، نو DNS نوم باید هغه ځای وي چې کلاینټ یې لټوي، معمولاً په موضوع بدیل نوم کې د dNSName ننوتنه. د نوم یا هدف معاینه بندول تر څو ناسم سند کار وکړي، هغه معاینه لرې کوي چې په تولید کې به یې ناسم والی نیولی و.

کالبون خپور کړئ، بیا اجازې محدودې کړئ

په AD DS کې د کالبون شي جوړول او په صادرونکې CA کې یې خپرول جلا عملیات دي چې په جلا کنسولونو کې ترسره کېږي. کاپي د Certification Authority کنسول څخه د Certificate Templates لاندې خپره کړئ، بیا د کمانډ کرښې څخه ډاډ ترلاسه کړئ چې CA اوس هغه وړاندې کوي:

certutil -CATemplates
certutil -TCAInfo

اجازې وروسته راځي. هغو ډلو ته چې باید غوښتنه یې وکړي Read او Enroll ورکړئ او نور هیڅ نه، د CA خپله لوستل کېدونکې لاسرسی روغ وساتئ، او Autoenroll یوازې هغه ځای ورکړئ چې اتومات ثبت غوښتل شوی او هغه ځای ته د رسېدو پالیسي یې ملاتړ کوي. په کالبون کې چیک باکس پخپله هیڅ نه ثبتوي، او پرته له ثبت اجازې خپور شوی کالبون هغه پورټال جوړوي چې سند لیستوي او بیا غوښتنه ردوي.

په ریښتیني کاروونکي کې یو پایلټ ثبت کړئ

سند په هغه شرایطو کې وغواړئ چې به یې کاروي، بیا د فایل نوم باور کولو پر ځای هغه څه وګورئ چې بېرته راغلل. د کارن سند د اوسني کارن زېرمې ته او د کمپیوټر سند د سیمه ییز کمپیوټر زېرمې ته ورځي، او MMC دواړه ښیي، نو هغه ثبت چې “کار وکړ” لا هم د VPN خدمت لپاره ناڅرګند کېدای شي.

certlm.msc
certutil -dump vpn-gateway.cer

ډمپ د موضوع، بدیل نومونو، پراخ شوي کیلي کارولو او زنځیر لپاره ولولئ. د غیر Windows ګیټ وے لپاره، غوښتنه د ملاتړ شوي کاري بهیر له لارې وسپارئ پرته له دې چې فرض کړئ د ډومېن اتومات ثبت ورته رسېږي، او تایید کړئ چې صادر شوی بڼه هغه ده چې کاروونکی یې د خپلې سره سمون لرونکې شخصي کیلي سره یوځای واردوي. په پای کې، باور او اجازه جلا وساتئ: VPN باید لا هم پریکړه وکړي چې کوم کاروونکي یا وسیلې کوم سرچینو ته رسېږي، او لغوه کول لاسرسی یوازې هغه وخت لرې کوي چې ګیټ وے اصلاً لغوه کول وګوري. د سند کالبونو د مدیریت لپاره د Microsoft لارښود کالبون کنسول، اجازې او جلا خپرولو ګام پوښي.