Пројектовање AD CS шаблона за улоге VPN пролаза и клијента

Пословни CA може издати сваки сертификат који VPN захтева, а да никада сам не буде пролаз. Пројектантски посао је да одлучите шта свака страна мора да докаже, а затим који шаблон може издати акредитив који доказује управо то. Почињем табелом улога, копирам одговарајући шаблон уместо да уређујем постојећи на месту, фиксирам извор субјекта по улози, објављујем резултат на CA-у који издаје и региструјем једног пилота пре него што то било ко аутоматизује. Сваки корак испод је место где исправан CA ипак произведе сертификат који ће VPN одбити.

Напишите табелу улога пре отварања конзоле шаблона

Две улоге, две намене. Пролаз доказује идентитет услуге, па његов сертификат захтева Server Authentication (1.3.6.1.5.5.7.3.1), употребу кључа за дигитални потпис и шифровање кључа, и име домаћина на који се клијенти повезују у алтернативном имену субјекта. Клијентима који се аутентификују сертификатима потребни су Client Authentication (1.3.6.1.5.5.7.3.2) и идентитет који одговара ономе што пролаз очекује у провери друге стране. Кориснички и рачунарски сертификат нису заменљиви, јер живе у различитим складиштима и користе их различити процеси.

Запишите четири колоне за сваку улогу: идентитет који мора да се појави, намену, корисника кључа и сме ли кључ да напусти машину. Та табела касније одређује свако поље за потврду и она је оно што дајете рецензенту. Аутентикација клијената лозинком је засебна грана: ако пролаз аутентификује кориснике акредитивима, дистрибуција клијентских сертификата додаје посао без додавања доказа.

Копирајте шаблон уместо да уређујете заједнички

Почните од шаблона са приближно тачном наменом, као RAS and IAS Server за пролаз или Computer за уређаје придружене домену, затим га копирајте и дајте копији име које каже чему служи. Проширивање шаблона који друге услуге већ користе је промена која шест недеља касније поквари нешто неповезано. На копији поставите политике примене на намену из табеле улога, одржите употребу кључа усклађеном са њом, изаберите алгоритам и дужину кључа које ваши пролази прихватају и означите приватни кључ као неизвозан, осим ако уређај мора да га извезе да би га преместио.

Важност и обнова такође припадају шаблону. Кратак рок је лакше опозвати и теже одржавати; дуг смањује рад на упису и продужава изложеност процурелог кључа. Изаберите број који можете да браните и имајте на уму да сопствена важност CA-а и период обнове шаблона могу скратити резултат.

Одлучите одакле долази субјекат

За доменски рачунар или корисника градите субјекат из података директоријума како подносилац захтева не би могао да упише име. За пролаз који није придружен домену, или уређај чији се идентитет додељује изван AD-а, шаблону је уместо тога потребна контролисана путања захтева. Омогућавање субјекта и алтернативних имена које даје подносилац захтева је права одлука: то није лиценца да сваки уписани тражи било које име, а политика на страни CA-а још мора да каже ко сме да тражи и какав је доказ потребан.

Windows IKEv2 је овде строг. Сертификат пролаза се пореди са именом које је клијент конфигурисао, па DNS име мора бити присутно тамо где га клијент тражи, обично као запис dNSName у алтернативном имену субјекта. Искључивање провере имена или намене да би неусаглашен сертификат прорадио уклања проверу која би неусаглашеност ухватила у производњи.

Објавите шаблон, затим сузите дозволе

Прављење објекта шаблона у AD DS-у и његово објављивање на CA-у који издаје су одвојене операције које се раде у различитим конзолама. Објавите копију из конзоле Certification Authority под Certificate Templates, затим са командне линије проверите да је CA сада нуди:

certutil -CATemplates
certutil -TCAInfo

Дозволе долазе следеће. Дајте Read и Enroll групама које треба да га траже и ништа више, сачувајте сопствени приступ CA-а за читање и дајте Autoenroll само тамо где је аутоматски упис намеран и поткрепљен политиком распоређивања која га чини функционалним. Поље за потврду у шаблону само по себи ништа не уписује, а објављен шаблон без дозволе за упис ствара портал који наведе сертификат и затим одбије захтев.

Региструјте једног пилота код стварног потрошача

Затражите сертификат у контексту који ће га користити, затим прегледајте шта је враћено уместо да верујете имену датотеке. Кориснички сертификат завршава у складишту тренутног корисника, а рачунарски у складишту локалног рачунара, и MMC приказује оба, због чега упис који је “успео” може остати невидљив VPN услузи.

certlm.msc
certutil -dump vpn-gateway.cer

Прочитајте испис за субјекат, алтернативна имена, проширену употребу кључа и ланац. За пролаз који није Windows, поднесите захтев кроз подржани ток рада уместо да претпостављате да га аутоматски упис домена достиже, и потврдите да је извезени формат онај који потрошач увози заједно са својим одговарајућим приватним кључем. На крају, држите поверење и ауторизацију одвојено: VPN још мора да одлучи који корисници или уређаји достижу које ресурсе, а опозив уклања приступ само ако пролаз уопште проверава опозив. Водич Microsoft-а за управљање шаблонима сертификата покрива конзолу шаблона, дозволе и одвојени корак објављивања.