VPN ගේට්වේ සහ සේවාදායක භූමිකා සඳහා AD CS අච්චු නිර්මාණය

ව්‍යවසාය CA එකකට VPN එකකට අවශ්‍ය සෑම සහතිකයක්ම තමන්ම ගේට්වේ නොවී නිකුත් කළ හැක. නිර්මාණ කාර්යය වන්නේ එක් එක් පාර්ශ්වය සනාථ කළ යුත්තේ කුමක්ද, පසුව කුමන අච්චුවකට හරියටම එය සනාථ කරන සහතිකයක් නිකුත් කළ හැකිද යන්න තීරණය කිරීමයි. මම භූමිකා වගුවකින් ආරම්භ කරමි, ඇති අච්චුවක් එහිම සංස්කරණය නොකර පිටපත් කරමි, එක් එක් භූමිකාව සඳහා විෂයයේ මූලාශ්‍රය ස්ථාවර කරමි, ප්‍රතිඵලය නිකුත් කරන CA මත ප්‍රකාශයට පත් කරමි, සහ කිසිවෙකු එය ස්වයංක්‍රීය කිරීමට පෙර එක් නියමුවෙකු ලියාපදිංචි කරමි. පහත සෑම පියවරක්ම වන්නේ ක්‍රියාකාරී CA එකක් තවමත් VPN ප්‍රතික්ෂේප කරන සහතිකයක් නිපදවන ස්ථානයකි.

අච්චු කොන්සෝලය විවෘත කිරීමට පෙර භූමිකා වගුව ලියන්න

භූමිකා දෙකක්, අරමුණු දෙකක්. ගේට්වේ සේවා අනන්‍යතාවක් සනාථ කරයි, එබැවින් එහි සහතිකයට Server Authentication (1.3.6.1.5.5.7.3.1), ඩිජිටල් අත්සන සහ යතුරු සංකේතනයේ යතුරු භාවිතය, සහ සේවාදායකයින් සම්බන්ධ වන සත්කාරක නාමය විෂයයේ විකල්ප නාමයක අවශ්‍ය වේ. සහතික මගින් සත්‍යාපනය කරන සේවාදායකයින්ට Client Authentication (1.3.6.1.5.5.7.3.2) සහ ගේට්වේ අනෙක් පසෙහි පරීක්ෂාවේදී අපේක්ෂා කරන අනන්‍යතාවට ගැළපෙන අනන්‍යතාවක් අවශ්‍ය වේ. පරිශීලක සහතිකයක් සහ පරිගණක සහතිකයක් හුවමාරු කළ නොහැක, මන්ද ඒවා වෙනස් ගබඩාවල පවතින අතර වෙනස් ක්‍රියාවලි ඒවා භාවිත කරයි.

එක් එක් භූමිකාව සඳහා තීරු හතරක් ලියන්න: දිස්විය යුතු අනන්‍යතාව, අරමුණ, යතුරු පරිභෝජකයා, සහ යතුරට යන්ත්‍රයෙන් පිටවිය හැකිද. එම වගුව පසුව සෑම ලකුණු කොටුවක්ම තීරණය කරයි, සහ එයම ඔබ සමාලෝචකයාට දෙන දෙයයි. මුරපද පාදක සේවාදායක සත්‍යාපනය වෙනම අත්තකි: ගේට්වේ පරිශීලකයින් අක්තපත්‍ර මගින් සත්‍යාපනය කරන්නේ නම්, සේවාදායක සහතික බෙදාහැරීම සාක්ෂියක් නොඑකතු කර කාර්යය එකතු කරයි.

හවුල් අච්චුවක් සංස්කරණය නොකර අච්චුවක් පිටපත් කරන්න

අරමුණ ආසන්න වශයෙන් නිවැරදි අච්චුවකින් ආරම්භ කරන්න, උදාහරණයක් ලෙස ගේට්වේ සඳහා RAS and IAS Server හෝ වසමට එක් වූ උපාංග සඳහා Computer, පසුව එය පිටපත් කර පිටපතට එය කුමක් සඳහාද යන්න පවසන නමක් දෙන්න. වෙනත් සේවා දැනටමත් භාවිත කරන අච්චුවක් පුළුල් කිරීම සති හයකට පසු අදාළ නොවන දෙයක් කඩා දමන වෙනසයි. පිටපතේදී යෙදුම් ප්‍රතිපත්ති භූමිකා වගුවේ අරමුණට සකසන්න, යතුරු භාවිතය ඊට සුසංගතව තබන්න, ඔබේ ගේට්වේ පිළිගන්නා යතුරු ඇල්ගොරිතමය සහ දිග තෝරන්න, සහ උපාංගයකට එය ගෙනයාමට අපනයනය කිරීමට අවශ්‍ය නොවේ නම් පුද්ගලික යතුර අපනයනය කළ නොහැකි ලෙස සලකුණු කරන්න.

වලංගුභාවය සහ අලුත් කිරීමද අච්චුවට අයත් වේ. කෙටි ආයුෂ අවලංගු කිරීම පහසුය, ක්‍රියාත්මක කිරීම අපහසුය; දිගු ආයුෂ ලියාපදිංචි කිරීමේ කාර්යය අඩු කර හොරි වූ යතුරක නිරාවරණය දිගු කරයි. ඔබට ආරක්ෂා කළ හැකි සංඛ්‍යාවක් තෝරන්න, සහ CA හිම වලංගුභාවය සහ අච්චුවේ අලුත් කිරීමේ කාලය ප්‍රතිඵලය කෙටි කළ හැකි බව සලකන්න.

විෂයය පැමිණෙන්නේ කොහෙන්ද යන්න තීරණය කරන්න

වසම් පරිගණකයක් හෝ පරිශීලකයකු සඳහා, ඉල්ලුම්කරුට නම ටයිප් කළ නොහැකි වන පරිදි නාමාවලි තොරතුරුවලින් විෂයය ගොඩනඟන්න. වසමට එක් නොවූ ගේට්වේ එකක් සඳහා, හෝ AD වෙන් පිටත අනන්‍යතාව පවරන උපාංගයක් සඳහා, අච්චුවට ඒ වෙනුවට පාලිත ඉල්ලුම් මාර්ගයක් අවශ්‍ය වේ. ඉල්ලුම්කරු සපයන විෂයය සහ විකල්ප නාම සක්‍රීය කිරීම සැබෑ තීරණයකි: එය සෑම ලියාපදිංචිකරුවකුටම ඕනෑම නමක් ඉල්ලා සිටීමට බලපත්‍රයක් නොවේ, සහ CA පැත්තේ ප්‍රතිපත්තිය තවමත් කවුරුන් ඉල්ලිය හැකිද සහ කුමන සාක්ෂියක් අවශ්‍යද යන්න පැවසිය යුතුය.

Windows IKEv2 මෙහි දැඩිය. ගේට්වේ සහතිකය සේවාදායකයා වින්‍යාස කළ නාමය සමඟ ගැළපෙන බැවින්, DNS නාමය සේවාදායකයා එය සොයන තැන, සාමාන්‍යයෙන් විෂයයේ විකල්ප නාමයේ dNSName සටහනක් ලෙස තිබිය යුතුය. නොගැළපෙන සහතිකයක් ක්‍රියා කරවීමට නාම පරීක්ෂාව හෝ අරමුණු පරීක්ෂාව අක්‍රීය කිරීම නිෂ්පාදනයේදී නොගැළපීම අල්ලා ගැනීමට තිබූ පරීක්ෂාව ඉවත් කරයි.

අච්චුව ප්‍රකාශයට පත් කර, පසුව අවසර සීමා කරන්න

AD DS තුළ අච්චු වස්තුව සෑදීම සහ එය නිකුත් කරන CA මත ප්‍රකාශයට පත් කිරීම විවිධ කොන්සෝලවල සිදු කරන වෙන වෙන ක්‍රියාවන් ය. පිටපත Certification Authority කොන්සෝලයේ Certificate Templates යටතේ ප්‍රකාශයට පත් කර, පසුව විධාන රේඛාවෙන් CA දැන් එය ලබා දෙන බව තහවුරු කරන්න:

certutil -CATemplates
certutil -TCAInfo

ඊළඟට අවසර. එය ඉල්ලිය යුතු කණ්ඩායම්වලට Read සහ Enroll දෙන්න, ඊට වඩා කිසිවක් නොදෙන්න, CA හිම කියවීමේ ප්‍රවේශය නොවෙනස්ව තබන්න, සහ Autoenroll දෙන්නේ ස්වයංක්‍රීය ලියාපදිංචිය අභිප්‍රේත වන සහ එය ක්‍රියාත්මක කරන යෙදවුම් ප්‍රතිපත්තියෙන් ආධාරක වන තැනට පමණි. අච්චුවක ලකුණු කොටුවක් තමාම කිසිවක් ලියාපදිංචි නොකරයි, සහ ලියාපදිංචි අවසරයක් නොමැතිව ප්‍රකාශයට පත් කළ අච්චුවක් සහතිකය ලැයිස්තුගත කර පසුව ඉල්ලුම ප්‍රතික්ෂේප කරන ද්වාරයක් සාදයි.

සැබෑ පරිභෝජකයා තුළ එක් නියමුවෙකු ලියාපදිංචි කරන්න

සහතිකය එය භාවිත කරන සන්දර්භය තුළම ඉල්ලන්න, පසුව ගොනු නාමය විශ්වාස කිරීම වෙනුවට ආපසු ආ දෙය පරීක්ෂා කරන්න. පරිශීලක සහතිකය වත්මන් පරිශීලක ගබඩාවට සහ පරිගණක සහතිකය දේශීය පරිගණක ගබඩාවට වැටේ, සහ MMC දෙකම පෙන්වයි, එබැවින් “වැඩ කළ” ලියාපදිංචියක් තවමත් VPN සේවාවට අදෘශ්‍යමාන විය හැක.

certlm.msc
certutil -dump vpn-gateway.cer

විෂයය, විකල්ප නාම, දීර්ඝිත යතුරු භාවිතය සහ දාමය සඳහා ඩම්පය කියවන්න. Windows නොවන ගේට්වේ එකක් සඳහා, වසම් ස්වයංක්‍රීය ලියාපදිංචිය එයට ළඟා වේ යැයි උපකල්පනය නොකර ආධාරක කාර්ය ප්‍රවාහය හරහා ඉල්ලුම ඉදිරිපත් කරන්න, සහ අපනයනය කළ ආකෘතිය පරිභෝජකයා තම ගැළපෙන පුද්ගලික යතුර සමඟ ආයාත කරන ආකෘතියම බව තහවුරු කරන්න. අවසාන වශයෙන්, විශ්වාසය සහ අවසරය වෙන් කර තබන්න: VPN තවමත් කුමන පරිශීලකයින් හෝ උපාංග කුමන සම්පත් වෙත ළඟා වේද යන්න තීරණය කළ යුතුය, සහ අවලංගු කිරීම ගේට්වේ අවලංගු කිරීම කිසිසේත් පරීක්ෂා කරන්නේ නම් පමණක් ප්‍රවේශය ඉවත් කරයි. සහතික අච්චු කළමනාකරණය පිළිබඳ Microsoft මාර්ගෝපදේශය අච්චු කොන්සෝලය, අවසර සහ වෙනම ප්‍රකාශන පියවර ආවරණය කරයි.