Dizajnimi i shablloneve AD CS për rolet e portës VPN dhe klientit

Një CA ndërmarrjeje mund të lëshojë çdo certifikatë që i duhet një VPN pa qenë kurrë vetë porta. Puna e dizajnit është të vendosni çfarë duhet të provojë secila palë dhe më pas cili shabllon mund të lëshojë një kredencial që provon pikërisht atë. Filloj me një tabelë rolesh, dubloj një shabllon të përshtatshëm në vend që të modifikoj një ekzistues në vend, fiksoj burimin e subjektit për çdo rol, publikoj rezultatin në CA-në lëshuese dhe regjistroj një pilot përpara se dikush ta automatizojë. Çdo hap më poshtë është një vend ku një CA funksionale prodhon ende një certifikatë që VPN do ta refuzojë.

Shkruani tabelën e roleve përpara se të hapni konsolën e shablloneve

Dy role, dy qëllime. Porta provon një identitet shërbimi, prandaj certifikata e saj kërkon Server Authentication (1.3.6.1.5.5.7.3.1), një përdorim çelësi për nënshkrim dixhital dhe kriptim çelësi, dhe emrin e strehuesit që klientët thërrasin në një emër alternativ të subjektit. Klientët që vërtetohen me certifikata kërkojnë Client Authentication (1.3.6.1.5.5.7.3.2) dhe një identitet që përputhet me atë që porta pret në kontrollin e palës tjetër. Një certifikatë përdoruesi dhe një certifikatë kompjuteri nuk janë të këmbyeshme, sepse jetojnë në ruajtës të ndryshëm dhe i përdorin procese të ndryshme.

Shkruani katër kolona për çdo rol: identitetin që duhet të shfaqet, qëllimin, konsumatorin e çelësit dhe nëse çelësi mund të largohet nga makina. Ajo tabelë vendos më vonë çdo kuti kontrolli dhe është gjithashtu ajo që i jepni një rishikuesi. Vërtetimi i klientëve me fjalëkalim është një degë e veçantë: nëse porta vërteton përdoruesit me kredenciale, shpërndarja e certifikatave të klientit shton punë pa shtuar provë.

Dublikoni një shabllon në vend që të modifikoni një të përbashkët

Filloni nga një shabllon me qëllim afërsisht të saktë, si RAS and IAS Server për portën ose Computer për pajisjet e bashkuara në domen, më pas dublikojeni dhe jepini kopjes një emër që thotë për çfarë është. Zgjerimi i një shablloni që shërbime të tjera tashmë përdorin është ndryshimi që prish diçka të palidhur gjashtë javë më vonë. Në kopje, vendosni politikat e aplikacionit sipas qëllimit nga tabela e roleve, mbani përdorimin e çelësit në përputhje me të, zgjidhni algoritmin dhe gjatësinë e çelësit që pranojnë portat tuaja dhe shënoni çelësin privat si jo të eksportueshëm, përveç rasteve kur një pajisje duhet ta eksportojë për ta zhvendosur.

Vlefshmëria dhe rinovimi i përkasin gjithashtu shabllonit. Një jetëgjatësi e shkurtër është më e lehtë për t'u revokuar dhe më e vështirë për t'u operuar; një e gjatë zvogëlon punën e regjistrimit dhe zgjat ekspozimin e një çelësi të rrjedhur. Zgjidhni një numër që mund ta mbroni dhe vini re se vlefshmëria e vetë CA-së dhe periudha e rinovimit të shabllonit mund ta shkurtojnë rezultatin.

Vendosni nga vjen subjekti

Për një kompjuter ose përdorues domeni, ndërtoni subjektin nga informacioni i drejtorisë që kërkuesi të mos mund ta shkruajë emrin. Për një portë që nuk është e bashkuar në domen, ose një pajisje, identiteti i së cilës caktohet jashtë AD, shablloni ka nevojë në vend të kësaj për një rrugë kërkese të kontrolluar. Aktivizimi i subjektit dhe emrave alternativë të dhënë nga kërkuesi është një vendim i vërtetë: nuk është licencë që çdo i regjistruar të pretendojë çdo emër, dhe politika në anën e CA-së duhet ende të thotë kush mund të kërkojë dhe çfarë prove kërkohet.

Windows IKEv2 është i rreptë këtu. Certifikata e portës krahasohet me emrin që klienti ka konfiguruar, prandaj emri DNS duhet të jetë i pranishëm atje ku klienti e kërkon, zakonisht një zë dNSName në emrin alternativ të subjektit. Fikja e kontrollit të emrit ose e kontrollit të qëllimit për të bërë të funksionojë një certifikatë që nuk përputhet heq kontrollin që do ta kishte kapur mospërputhjen në prodhim.

Publikoni shabllonin, më pas ngushtoni lejet

Krijimi i objektit të shabllonit në AD DS dhe publikimi i tij në CA-në lëshuese janë operacione të ndara, të kryera në konsola të ndryshme. Publikoni kopjen nga konsola Certification Authority nën Certificate Templates, më pas verifikoni nga rreshti i komandave se CA-ja tani e ofron:

certutil -CATemplates
certutil -TCAInfo

Lejet vijnë më pas. Jepini Read dhe Enroll grupeve që duhet ta kërkojnë dhe asgjë më shumë, mbani të paprekur aksesin e leximit të vetë CA-së dhe jepni Autoenroll vetëm atje ku regjistrimi automatik është i synuar dhe i mbështetur nga politika e vendosjes që e bën atë të funksionojë. Një kuti kontrolli në një shabllon nuk regjistron asgjë vetvetiu, dhe një shabllon i publikuar pa leje regjistrimi prodhon një portal që liston certifikatën dhe më pas refuzon kërkesën.

Regjistroni një pilot te konsumatori i vërtetë

Kërkoni certifikatën në kontekstin që do ta përdorë, më pas shqyrtoni çfarë u kthye në vend që t'i besoni emrit të skedarit. Certifikata e përdoruesit përfundon në ruajtësin e përdoruesit aktual dhe ajo e kompjuterit në ruajtësin e kompjuterit lokal, dhe MMC shfaq të dyja, prandaj një regjistrim që “funksionoi” mund të mbetet i padukshëm për shërbimin VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Lexoni dump-in për subjektin, emrat alternativë, përdorimin e zgjeruar të çelësit dhe zinxhirin. Për një portë që nuk është Windows, paraqisni kërkesën përmes rrjedhës së punës të mbështetur në vend që të supozoni se regjistrimi automatik i domenit arrin deri atje, dhe konfirmoni se formati i eksportuar është ai që konsumatori importon së bashku me çelësin e tij privat përkatës. Së fundi, mbani besimin dhe autorizimin të ndara: VPN duhet ende të vendosë cilët përdorues ose pajisje arrijnë cilat burime, dhe revokimi heq aksesin vetëm nëse porta kontrollon fare revokimin. Udhëzuesi i Microsoft për menaxhimin e shablloneve të certifikatave mbulon konsolën e shablloneve, lejet dhe hapin e veçantë të publikimit.