Kubuni violezo vya AD CS kwa majukumu ya lango la VPN na mteja

CA ya shirika inaweza kutoa kila cheti ambacho VPN inahitaji bila yenyewe kuwa lango kamwe. Kazi ya ubunifu ni kuamua kila upande unapaswa kuthibitisha nini, kisha kiolezo kipi kinaweza kutoa kibali kinachothibitisha hilo hasa. Ninaanza na jedwali la majukumu, nanakili kiolezo kinachofaa badala ya kuhariri kimoja kilichopo, nathibitisha chanzo cha somo kwa kila jukumu, nachapisha matokeo kwenye CA inayotoa, na kusajili majaribio moja kabla ya mtu yeyote kuifanya kiotomatiki. Kila hatua hapa chini ni mahali ambapo CA inayofanya kazi bado hutoa cheti ambacho VPN itakataa.

Andika jedwali la majukumu kabla ya kufungua konsoli ya violezo

Majukumu mawili, malengo mawili. Lango huthibitisha utambulisho wa huduma, kwa hiyo cheti chake kinahitaji Server Authentication (1.3.6.1.5.5.7.3.1), matumizi ya ufunguo wa sahihi ya kidijitali na usimbaji wa ufunguo, na jina la mwenyeji ambao wateja hupiga katika jina mbadala la somo. Wateja wanaothibitisha kwa vyeti wanahitaji Client Authentication (1.3.6.1.5.5.7.3.2) na utambulisho unaolingana na kile lango linatarajia katika ukaguzi wake wa upande mwingine. Cheti cha mtumiaji na cheti cha kompyuta haviwezi kubadilishana, kwa sababu vinaishi katika hifadhi tofauti na hutumiwa na michakato tofauti.

Andika safu nne kwa kila jukumu: utambulisho unaopaswa kuonekana, lengo, mtumiaji wa ufunguo, na ikiwa ufunguo unaweza kuondoka kwenye mashine. Jedwali hilo huamua kila kisanduku cha kuchagua baadaye, na ndilo unalotoa kwa mkaguzi. Uthibitishaji wa wateja kwa nenosiri ni tawi tofauti: ikiwa lango huthibitisha watumiaji kwa vitambulisho, kusambaza vyeti vya mteja huongeza kazi bila kuongeza uthibitisho.

Nakili kiolezo badala ya kuhariri kiolezo kinachoshirikiwa

Anza na kiolezo chenye lengo karibu sahihi, kama RAS and IAS Server kwa lango au Computer kwa vifaa vilivyojiunga na kikoa, kisha kinakili na kipe jina linalosema ni kwa ajili ya nini. Kupanua kiolezo ambacho huduma nyingine tayari hutumia ni mabadiliko yanayovunja kitu kisichohusiana baada ya wiki sita. Kwenye nakala, weka sera za programu kwenye lengo kutoka jedwali la majukumu, dumisha matumizi ya ufunguo sawia nayo, chagua algoriti na urefu wa ufunguo ambao lango zako zinakubali, na weka alama kwenye ufunguo wa faragha kuwa hauwezi kuhamishwa nje isipokuwa kifaa kinahitaji kuuhamisha ili kuusogeza.

Uhalali na uhuishaji pia ni vya kiolezo. Maisha mafupi ni rahisi kufuta na magumu kuendesha; marefu hupunguza kazi ya usajili na kuongeza muda wa ufunguo uliovuja kuwa wazi. Chagua nambari unayoweza kuitetea, na uangalie kwamba uhalali wa CA yenyewe na kipindi cha uhuishaji wa kiolezo vinaweza kufupisha matokeo.

Amua somo linatoka wapi

Kwa kompyuta au mtumiaji wa kikoa, jenga somo kutoka taarifa za saraka ili mwombaji asiweze kuandika jina. Kwa lango ambalo halijaunganishwa na kikoa, au kifaa ambacho utambulisho wake hutolewa nje ya AD, kiolezo kinahitaji badala yake njia ya ombi iliyodhibitiwa. Kuwezesha somo na majina mbadala yanayotolewa na mwombaji ni uamuzi wa kweli: si leseni kwa kila aliyesajiliwa kudai jina lolote, na sera ya upande wa CA bado inapaswa kusema nani anaweza kuomba na ushahidi gani unahitajika.

Windows IKEv2 ni kali hapa. Cheti cha lango hulinganishwa na jina ambalo mteja amesanidi, kwa hiyo jina la DNS linapaswa kuwepo mahali mteja anapolitafuta, kwa kawaida ingizo la dNSName katika jina mbadala la somo. Kuzima ukaguzi wa jina au ukaguzi wa lengo ili cheti kisicholingana kifanye kazi huondoa ukaguzi ambao ungekamata kutolingana katika uzalishaji.

Chapisha kiolezo, kisha punguza ruhusa

Kuunda kitu cha kiolezo katika AD DS na kukichapisha kwenye CA inayotoa ni shughuli mbili tofauti, zinazofanywa katika konsoli tofauti. Chapisha nakala kutoka konsoli ya Certification Authority chini ya Certificate Templates, kisha thibitisha kutoka mstari wa amri kwamba CA sasa inaitoa:

certutil -CATemplates
certutil -TCAInfo

Ruhusa zinakuja baadaye. Wape Read na Enroll makundi yanayopaswa kuiomba na si zaidi, dumisha ufikiaji wa kusoma wa CA yenyewe, na toa Autoenroll pale tu usajili wa kiotomatiki unakusudiwa na unaungwa mkono na sera ya usambazaji inayoufanya ufanye kazi. Kisanduku cha kuchagua katika kiolezo hakisajili chochote chenyewe, na kiolezo kilichochapishwa bila ruhusa ya usajili hutoa lango la wavuti linaloorodhesha cheti kisha likakataa ombi.

Sajili majaribio moja kwa mtumiaji halisi

Omba cheti katika muktadha ambao utakitumia, kisha chunguza kilichorudi badala ya kuamini jina la faili. Cheti cha mtumiaji hutua katika hifadhi ya mtumiaji wa sasa na cheti cha kompyuta katika hifadhi ya kompyuta ya ndani, na MMC huonyesha vyote viwili, ndiyo sababu usajili ambao “ulifanya kazi” unaweza kubaki usionekane kwa huduma ya VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Soma dampu kwa somo, majina mbadala, matumizi yaliyopanuliwa ya ufunguo na mnyororo. Kwa lango lisilo Windows, wasilisha ombi kupitia mtiririko wa kazi unaoungwa mkono badala ya kudhani usajili wa kiotomatiki wa kikoa unaufikia, na thibitisha kwamba umbizo lililohamishwa ni lile ambalo mtumiaji huingiza pamoja na ufunguo wake wa faragha unaolingana. Mwishowe, tenga uaminifu na uidhinishaji: VPN bado inapaswa kuamua watumiaji au vifaa gani vinafikia rasilimali gani, na kufuta hakuondoi ufikiaji isipokuwa lango linakagua kufuta kabisa. Mwongozo wa Microsoft wa kusimamia violezo vya vyeti unashughulikia konsoli ya violezo, ruhusa na hatua tofauti ya uchapishaji.