Naqshadeynta shablonnada AD CS ee doorarka gateway VPN iyo macmiilka

CA shirkadeed waxay soo saari kartaa shahaad kasta oo VPN u baahan tahay iyada oo aan waligeed noqon gateway-ga laftiisa. Shaqada naqshadeynta waa in la go'aamiyo waxa dhinac kastaa ay tahay inuu caddeeyo, ka dibna shablonkee ayaa soo saari kara aqoonsi caddeeya sida saxda ah taas. Waxaan ku bilaabaa shaxda doorarka, waxaan nuqul ka qaataa shablon ku habboon halkii aan wax ka beddeli lahaa mid meesha yaalla, waxaan dejiyaa isha mawduuca door kasta, waxaan ku daabacaa natiijada CA-da soo saarta, oo waxaan diiwaangelinayaa hal tijaabo ka hor inta aan qofna automatigeyn. Tallaabo kasta oo hoose waa meel uu CA shaqaynaya weli soo saaro shahaad VPN-ku diidi doono.

Qor shaxda doorarka ka hor inta aadan furin console-ka shablonnada

Laba door, laba hadaf. Gateway-gu wuxuu caddeeyaa aqoonsiga adeegga, sidaas darteed shahaaddiisu waxay u baahan tahay Server Authentication (1.3.6.1.5.5.7.3.1), isticmaalka fure ee saxeex dijitaal ah iyo sireed fure, iyo magaca martigeliyaha ee macmiilladu wacaan oo ku jira magac beddelka mawduuca. Macmiillada ku xaqiijiya shahaadooyinka waxay u baahan yihiin Client Authentication (1.3.6.1.5.5.7.3.2) iyo aqoonsi la jaanqaada waxa gateway-gu filayo marka uu hubinayo dhinaca kale. Shahaadda isticmaalaha iyo shahaadda kombuyuutarku isma beddeli karaan, sababtoo ah waxay ku nool yihiin kaydka kala duwan oo ay isticmaalaan habab kala duwan.

Qor afar tiir door kasta: aqoonsiga ay tahay inuu muuqdo, hadafka, isticmaalaha furaha, iyo haddii furahu mishiinka ka bixi karo. Shaxdaas ayaa go'aan ka gaadha sanduuq kasta oo hubin ah mar dambe, waana tan aad siiso dib-u-eegis sameeyaha. Xaqiijinta macmiillada ee erayga sirta ah waa laan gooni ah: haddii gateway-gu ku xaqiijiyo isticmaalayaasha aqoonsiyo, qaybinta shahaadooyinka macmiilku waxay ku darsataa shaqo iyada oo aan caddayn ku darin.

Nuqul ka qaado shablon halkii aad wax ka beddeli lahayd mid la wadaago

Ka bilow shablon hadafkiisu u dhow yahay kan saxda ah, sida RAS and IAS Server ee gateway-ga ama Computer ee aaladaha domain-ka ku biiray, kadib nuqul ka qaado oo nuqulka sii magac sheegaya waxa loogu talagalay. Ballaarinta shablon ay adeegyo kale hore u isticmaalaan waa isbeddelka toddobaad lix ka dib jebiya shay aan xiriir la lahayn. Nuqulka, u dhig siyaasadaha codsiga hadafka shaxda doorarka, ilaali isticmaalka furaha mid la jaanqaada, dooro algorithm-ka iyo dhererka furaha ay gateway-yadaadu aqbalaan, oo calaamadee furaha gaarka ah mid aan la dhoofin karin haddii aan aalad u baahnayn inay dhoofiso si ay u rarto.

Ansaxnimada iyo cusboonaysiinta sidoo kale waa shablonka. Nolol gaaban waa sahlan tahay in la buriyo oo adag tahay in la maareeyo; mid dheer waxay yaraysaa shaqada diiwaangelinta oo dheereysaa soo-gaadhista fure daatay. Dooro tiro aad difaaci karto, oo ogow in ansaxnimada CA-da lafteeda iyo muddada cusboonaysiinta shablonku ay gaabin karaan natiijada.

Go'aami halka mawduucu ka yimaado

Kombuyuutar ama isticmaale domain ah, ka dhis mawduuca macluumaadka tusmada si codsaduhu aanu magaca u qori karin. Gateway aan domain-ka ku biirin, ama aalad aqoonsigeeda laga bixiyo AD-da dibaddeeda, shablonku wuxuu u baahan yahay beddel ahaan waddo codsi la xakameeyay. Awood-siinta mawduuca iyo magacyada beddelka ee uu bixiyo codsaduhu waa go'aan dhab ah: ma aha laysanka in qof kasta oo diiwaangashan uu sheegan karo magac kasta, oo siyaasadda dhinaca CA weli waa inay sheegto qofka codsan kara iyo caddaynta loo baahan yahay.

Windows IKEv2 waa adag yahay halkan. Shahaadda gateway-ga waxaa lagu barbar dhigaa magaca uu macmiilku dejiyay, sidaas darteed magaca DNS waa inuu ku jiraa halka macmiilku ka raadsado, badanaa gelitaan dNSName oo ku jira magaca beddelka mawduuca. Daminta hubinta magaca ama hubinta hadafka si shahaad aan la jaanqaadin u shaqayso waxay meesha ka saaraysaa hubinta oo soo qaban lahayd isma-la-jaanqaadka wax-soo-saarka.

Daabac shablonka, kadibna yaree ogolaanshaha

Abuurista shayga shablonka AD DS iyo ku daabaca CA-da soo saarta waa hawlo gooni ah oo lagu sameeyo console kala duwan. Ku daabac nuqulka console-ka Certification Authority ee hoos yimaada Certificate Templates, kadibna khadka amarka ka xaqiiji in CA-du hadda bixiso:

certutil -CATemplates
certutil -TCAInfo

Ogolaanshaha ayaa ku xiga. Sii Read iyo Enroll kooxaha ay tahay inay codsadaan oo wax kale ma sii, ilaali marin-u-helidda akhriska ee CA-da lafteeda, oo sii Autoenroll kaliya halka diiwaangelinta otomaatigga ah looga dan leeyahay oo ay taageerto siyaasadda baahinta ee ka shaqaysiisa. Sanduuqa hubinta ee shablonku keligiis waxba ma diiwaangeliyo, oo shablon la daabacay oo aan lahayn ogolaansho diiwaangelin wuxuu abuuraa bog ay ku taxan tahay shahaadda kadibna diida codsiga.

Diiwaangeli hal tijaabo isticmaalaha dhabta ah

Ka codso shahaadda isla macnaha ay isticmaali doonto, kadibna baadh waxa soo noqday halkii aad ku kalsoonaan lahayd magaca faylka. Shahaadda isticmaalaha waxay gashaa kaydka isticmaalaha hadda, tan kombuyuutarkuna kaydka kombuyuutarka maxalliga ah, MMC-na wuxuu muujiyaa labadaba, sidaas darteed diiwaangelin “shaqaysatay” ayaa weli ku qarsoonaan karta adeegga VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Akhri soo-saaridda mawduuca, magacyada beddelka, isticmaalka fure ee la ballaariyay iyo silsiladda. Gateway aan Windows ahayn, soo gudbi codsiga iyada oo loo marayo habka shaqada la taageeray halkii aad ka fikiri lahayd in diiwaangelinta otomaatigga ah ee domain-ku gaaro, oo xaqiiji in qaabka la dhoofiyay uu yahay kan isticmaalahu soo dejiyo isaga oo wata furaha gaarka ah ee u dhigma. Ugu dambayntii, kala saar kalsoonaanta iyo ogolaanshaha: VPN weli waa inuu go'aamiyaa isticmaalayaasha ama aaladaha gaara dhacdooyinka, oo burinta waxay ka qaaddaa gelitaanka kaliya haddii gateway-gu hubiyo burinta gabi ahaanba. Hagaha Microsoft ee maaraynta shablonnada shahaadada wuxuu daboolaa console-ka shablonnada, ogolaanshaha iyo tallaabada daabacaadda gooni ah.