Návrh šablón AD CS pre roly brány VPN a klienta

Podniková CA môže vydať každý certifikát, ktorý VPN potrebuje, bez toho aby sama niekedy bola bránou. Návrhová práca spočíva v rozhodnutí, čo musí každá strana preukázať, a potom, ktorá šablóna môže vydať poverenie, ktoré preukazuje práve to. Začínam tabuľkou rolí, duplikujem vhodnú šablónu namiesto úpravy existujúcej na mieste, zafixujem zdroj subjektu pre každú rolu, publikujem výsledok na vydávajúcej CA a zapíšem jedného pilotného klienta, než to niekto zautomatizuje. Každý krok nižšie je miesto, kde funkčná CA stále vytvára certifikát, ktorý VPN odmietne.

Napíšte tabuľku rolí pred otvorením konzoly šablón

Dve roly, dva účely. Brána preukazuje identitu služby, takže jej certifikát potrebuje Server Authentication (1.3.6.1.5.5.7.3.1), použitie kľúča na digitálny podpis a šifrovanie kľúča a názov hostiteľa, na ktorý sa klienti pripájajú, v alternatívnom názve subjektu. Klienti, ktorí sa overujú certifikátmi, potrebujú Client Authentication (1.3.6.1.5.5.7.3.2) a identitu, ktorá zodpovedá tomu, čo brána očakáva pri kontrole protistrany. Používateľský a počítačový certifikát nie sú zameniteľné, pretože žijú v rôznych úložiskách a používajú ich rôzne procesy.

Zapíšte štyri stĺpce pre každú rolu: identitu, ktorá sa musí objaviť, účel, spotrebiteľa kľúča a či kľúč smie opustiť stroj. Táto tabuľka neskôr rozhoduje o každom zaškrtávacom poli a je aj tým, čo odovzdáte recenzentovi. Overovanie klientov heslom je samostatná vetva: ak brána overuje používateľov pomocou prihlasovacích údajov, distribúcia klientskych certifikátov pridáva prácu bez pridania dôkazu.

Duplikujte šablónu namiesto úpravy spoločnej

Začnite šablónou s približne správnym účelom, napríklad RAS and IAS Server pre bránu alebo Computer pre zariadenia pripojené k doméne, potom ju duplikujte a kópii dajte názov, ktorý hovorí, na čo slúži. Rozširovanie šablóny, ktorú už používajú iné služby, je zmena, ktorá o šesť týždňov pokazí niečo nesúvisiace. Na kópii nastavte zásady aplikácie podľa účelu z tabuľky rolí, udržte použitie kľúča s ním konzistentné, vyberte algoritmus a dĺžku kľúča, ktoré vaše brány akceptujú, a označte súkromný kľúč ako neexportovateľný, ak ho zariadenie nemusí exportovať pre presun.

Platnosť a obnova patria tiež šablóne. Krátka životnosť sa ľahšie odvoláva a ťažšie prevádzkuje; dlhá znižuje prácu so zápisom a predlžuje expozíciu uniknutého kľúča. Zvoľte číslo, ktoré dokážete obhájiť, a všimnite si, že vlastná platnosť CA a obdobie obnovy šablóny môžu výsledok skrátiť.

Rozhodnite, odkiaľ subjekt pochádza

Pre počítač alebo používateľa v doméne zostavte subjekt z informácií adresára, aby žiadateľ nemohol napísať názov. Pre bránu, ktorá nie je pripojená k doméne, alebo zariadenie, ktorého identita sa prideľuje mimo AD, šablóna potrebuje namiesto toho riadenú cestu žiadosti. Povolenie subjektu a alternatívnych názvov dodaných žiadateľom je skutočné rozhodnutie: nie je to licencia, aby každý zapísaný nárokoval ľubovoľný názov, a zásada na strane CA stále musí povedať, kto smie žiadať a aký dôkaz je potrebný.

Windows IKEv2 je tu prísny. Certifikát brány sa porovnáva s názvom, ktorý nakonfiguroval klient, takže názov DNS musí byť prítomný tam, kde ho klient hľadá, zvyčajne ako položka dNSName v alternatívnom názve subjektu. Vypnutie kontroly názvu alebo účelu, aby nezodpovedajúci certifikát fungoval, odstraňuje kontrolu, ktorá by nesúlad v produkcii zachytila.

Publikujte šablónu a potom zúžte oprávnenia

Vytvorenie objektu šablóny v AD DS a jej publikovanie na vydávajúcej CA sú oddelené operácie vykonávané v rôznych konzolách. Publikujte kópiu z konzoly Certification Authority v časti Certificate Templates a potom z príkazového riadka overte, že ju CA teraz ponúka:

certutil -CATemplates
certutil -TCAInfo

Oprávnenia prichádzajú na rad. Udeliť Read a Enroll skupinám, ktoré ju majú žiadať, a nič viac, zachovajte vlastný prístup CA na čítanie a Autoenroll udeľte len tam, kde je automatický zápis zamýšľaný a podložený zásadou nasadenia, ktorá ho robí funkčným. Zaškrtávacie pole v šablóne samo nič nezapíše a publikovaná šablóna bez oprávnenia na zápis vytvorí portál, ktorý certifikát vypíše a potom žiadosť odmietne.

Zapíšte jedného pilota v skutočnom spotrebiteľovi

Vyžiadajte certifikát v kontexte, ktorý ho bude používať, a potom preskúmajte, čo sa vrátilo, namiesto toho, aby ste dôverovali názvu súboru. Používateľský certifikát skončí v úložisku aktuálneho používateľa a počítačový v úložisku miestneho počítača a MMC zobrazuje oba, preto môže byť zápis, ktorý „fungoval“, pre službu VPN stále neviditeľný.

certlm.msc
certutil -dump vpn-gateway.cer

Prečítajte si výpis kvôli subjektu, alternatívnym názvom, rozšírenému využitiu kľúča a reťazcu. Pre bránu, ktorá nie je Windows, podajte žiadosť podporovaným pracovným postupom, namiesto toho, aby ste predpokladali, že sa k nej automatický zápis domény dostane, a potvrďte, že exportovaný formát je ten, ktorý spotrebiteľ importuje spolu so svojím zodpovedajúcim súkromným kľúčom. Nakoniec držte dôveru a autorizáciu oddelene: VPN stále musí rozhodnúť, ktorí používatelia alebo zariadenia dosiahnu na ktoré prostriedky, a odvolanie odoberie prístup len vtedy, ak brána odvolanie vôbec kontroluje. Príručka Microsoftu na správu šablón certifikátov pokrýva konzolu šablón, oprávnenia a samostatný krok publikovania.