VPN நுழைவாயில் மற்றும் வாடிக்கையாளர் பாத்திரங்களுக்கான AD CS வார்ப்புரு வடிவமைப்பு

ஒரு நிறுவன CA, தானே நுழைவாயிலாக இல்லாமலேயே VPN-க்குத் தேவையான ஒவ்வொரு சான்றிதழையும் வழங்க முடியும். வடிவமைப்பின் வேலை என்னவென்றால், ஒவ்வொரு பக்கமும் எதை நிரூபிக்க வேண்டும், பின்னர் எந்த வார்ப்புரு சரியாக அதை நிரூபிக்கும் சான்றை வழங்க முடியும் என்பதைத் தீர்மானிப்பதாகும். நான் பாத்திர அட்டவணையுடன் தொடங்குகிறேன், ஏற்கனவே உள்ள வார்ப்புருவை அதே இடத்தில் திருத்துவதற்குப் பதிலாக நகலெடுக்கிறேன், ஒவ்வொரு பாத்திரத்திற்கும் பொருளின் மூலத்தை நிலைநிறுத்துகிறேன், முடிவை வழங்கும் CA-வில் வெளியிடுகிறேன், யாரேனும் அதைத் தானியங்கப்படுத்தும் முன் ஒரு பைலட்டைப் பதிவு செய்கிறேன். கீழே உள்ள ஒவ்வொரு படியும் வேலை செய்யும் CA இன்னும் VPN நிராகரிக்கும் சான்றிதழை உருவாக்கும் இடமாகும்.

வார்ப்புரு பணியகத்தைத் திறப்பதற்கு முன் பாத்திர அட்டவணையை எழுதுங்கள்

இரண்டு பாத்திரங்கள், இரண்டு நோக்கங்கள். நுழைவாயில் சேவை அடையாளத்தை நிரூபிக்கிறது, எனவே அதன் சான்றிதழுக்கு Server Authentication (1.3.6.1.5.5.7.3.1), டிஜிட்டல் கையொப்பம் மற்றும் விசை மறையாக்கத்தின் விசைப் பயன்பாடு, மற்றும் வாடிக்கையாளர்கள் இணைக்கும் புரவலன் பெயர் பொருளின் மாற்றுப் பெயரில் தேவை. சான்றிதழ்களால் அங்கீகரிக்கப்படும் வாடிக்கையாளர்களுக்கு Client Authentication (1.3.6.1.5.5.7.3.2) மற்றும் நுழைவாயில் எதிர்ப் பக்கச் சரிபார்ப்பில் எதிர்பார்ப்பதற்குப் பொருந்தும் அடையாளம் தேவை. பயனர் சான்றிதழும் கணினி சான்றிதழும் ஒன்றுக்கொன்று மாற்றக்கூடியவை அல்ல, ஏனெனில் அவை வெவ்வேறு சேமிப்பகங்களில் வாழ்கின்றன, வெவ்வேறு செயல்முறைகள் அவற்றைப் பயன்படுத்துகின்றன.

ஒவ்வொரு பாத்திரத்திற்கும் நான்கு நெடுவரிசைகளை எழுதுங்கள்: தோன்ற வேண்டிய அடையாளம், நோக்கம், விசையின் பயனர், மற்றும் விசை இயந்திரத்தை விட்டு வெளியேற முடியுமா. அந்த அட்டவணையே பின்னர் ஒவ்வொரு தேர்வுப்பெட்டியையும் தீர்மானிக்கிறது, அதுவே நீங்கள் மதிப்பாய்வாளரிடம் தருவது. கடவுச்சொல் அடிப்படையிலான வாடிக்கையாளர் அங்கீகாரம் தனிக் கிளை: நுழைவாயில் பயனர்களைச் சான்றுகளால் அங்கீகரித்தால், வாடிக்கையாளர் சான்றிதழ்களை விநியோகிப்பது சான்றைச் சேர்க்காமல் வேலையைச் சேர்க்கிறது.

பங்கிடப்பட்ட வார்ப்புருவைத் திருத்துவதற்குப் பதிலாக வார்ப்புருவை நகலெடுக்கவும்

நோக்கம் தோராயமாகச் சரியான வார்ப்புருவில் தொடங்குங்கள், எடுத்துக்காட்டாக நுழைவாயிலுக்கு RAS and IAS Server அல்லது களத்துடன் இணைந்த சாதனங்களுக்கு Computer, பின்னர் அதை நகலெடுத்து நகலுக்கு அது எதற்கானது என்பதைக் கூறும் பெயரைக் கொடுங்கள். மற்ற சேவைகள் ஏற்கனவே பயன்படுத்தும் வார்ப்புருவை விரிவுபடுத்துவது ஆறு வாரங்களுக்குப் பிறகு தொடர்பில்லாத ஒன்றை உடைக்கும் மாற்றமாகும். நகலில், பயன்பாட்டுக் கொள்கைகளைப் பாத்திர அட்டவணையின் நோக்கத்திற்கு அமைத்து, விசைப் பயன்பாட்டை அதனுடன் ஒத்திசைவாக வைத்து, உங்கள் நுழைவாயில்கள் ஏற்கும் விசைப் படிமுறை மற்றும் நீளத்தைத் தேர்ந்தெடுத்து, சாதனம் நகர்த்துவதற்கு ஏற்றுமதி செய்ய வேண்டியதில்லை என்றால் தனிப்பட்ட விசையை ஏற்றுமதி செய்ய முடியாததாகக் குறிக்கவும்.

செல்லுபடியாகும் தன்மையும் புதுப்பித்தலும் வார்ப்புருவுக்கு உரியவை. குறுகிய ஆயுள் ரத்து செய்ய எளிதானது, இயக்கக் கடினமானது; நீண்ட ஆயுள் பதிவுச் செயல்பணியைக் குறைத்து கசிந்த விசையின் வெளிப்பாட்டை நீட்டிக்கிறது. நீங்கள் பாதுகாக்கக்கூடிய எண்ணைத் தேர்ந்தெடுங்கள், CA-வின் சொந்தச் செல்லுபடியும் வார்ப்புருவின் புதுப்பித்தல் காலமும் முடிவைக் குறைக்கலாம் என்பதைக் கவனியுங்கள்.

பொருள் எங்கிருந்து வருகிறது என்பதைத் தீர்மானிக்கவும்

களக் கணினி அல்லது பயனருக்கு, கோரிக்கையாளர் பெயரைத் தட்டச்சு செய்ய முடியாதபடி அடைவுத் தகவலிலிருந்து பொருளை உருவாக்குங்கள். களத்துடன் இணைக்கப்படாத நுழைவாயிலுக்கு, அல்லது AD-க்கு வெளியே அடையாளம் ஒதுக்கப்படும் சாதனத்திற்கு, வார்ப்புருவுக்கு அதற்குப் பதிலாகக் கட்டுப்படுத்தப்பட்ட கோரிக்கைப் பாதை தேவை. கோரிக்கையாளர் வழங்கும் பொருளையும் மாற்றுப் பெயர்களையும் இயக்குவது உண்மையான முடிவு: இது ஒவ்வொரு பதிவு செய்தவரும் எந்தப் பெயரையும் கோர அனுமதி அல்ல, CA பக்கக் கொள்கை யார் கேட்கலாம், என்ன சான்று தேவை என்பதை இன்னும் கூற வேண்டும்.

Windows IKEv2 இங்கே கடுமையானது. நுழைவாயில் சான்றிதழ் வாடிக்கையாளர் அமைத்த பெயருடன் பொருத்தப்படுகிறது, எனவே DNS பெயர் வாடிக்கையாளர் அதைத் தேடும் இடத்தில், பொதுவாகப் பொருளின் மாற்றுப் பெயரில் dNSName பதிவாக இருக்க வேண்டும். பொருந்தாத சான்றிதழ் வேலை செய்யப் பெயர்ச் சரிபார்ப்பையோ நோக்கச் சரிபார்ப்பையோ அணைப்பது உற்பத்தியில் பொருந்தாமையைப் பிடித்திருக்கும் சரிபார்ப்பை நீக்குகிறது.

வார்ப்புருவை வெளியிட்டு, பின்னர் அனுமதிகளைக் குறைக்கவும்

AD DS-ல் வார்ப்புரு பொருளை உருவாக்குவதும் அதை வழங்கும் CA-வில் வெளியிடுவதும் வெவ்வேறு பணியகங்களில் செய்யப்படும் தனித்தனி செயல்பாடுகள். நகலை Certification Authority பணியகத்தில் Certificate Templates-இன் கீழ் வெளியிட்டு, பின்னர் கட்டளை வரியிலிருந்து CA இப்போது அதை வழங்குகிறது என்பதைச் சரிபார்க்கவும்:

certutil -CATemplates
certutil -TCAInfo

அனுமதிகள் அடுத்து வருகின்றன. அதைக் கோர வேண்டிய குழுக்களுக்கு Read மற்றும் Enroll கொடுங்கள், அதற்கு மேல் எதுவும் வேண்டாம், CA-வின் சொந்த வாசிப்பு அணுகலை அப்படியே வைத்திருங்கள், Autoenroll-ஐ தானியங்கிப் பதிவு நோக்கமாக இருக்கும் இடத்தில் மட்டுமே அதை வேலை செய்ய வைக்கும் வரிசைப்படுத்தல் கொள்கையால் ஆதரிக்கப்படும் இடத்தில் கொடுங்கள். வார்ப்புருவில் உள்ள தேர்வுப்பெட்டி தானாக எதையும் பதிவு செய்யாது, பதிவு அனுமதி இல்லாமல் வெளியிடப்பட்ட வார்ப்புரு சான்றிதழைப் பட்டியலிட்டு பின்னர் கோரிக்கையை மறுக்கும் வலைவாசலை உருவாக்குகிறது.

உண்மையான பயனருடன் ஒரு பைலட்டைப் பதிவு செய்யுங்கள்

சான்றிதழை அதைப் பயன்படுத்தப் போகும் சூழலிலேயே கோருங்கள், பின்னர் கோப்பின் பெயரை நம்புவதற்குப் பதிலாகத் திரும்பி வந்ததை ஆய்வு செய்யுங்கள். பயனர் சான்றிதழ் தற்போதைய-பயனர் சேமிப்பகத்திற்கும் கணினி சான்றிதழ் உள்ளூர்-கணினி சேமிப்பகத்திற்கும் செல்கிறது, MMC இரண்டையும் காட்டுகிறது, எனவே “வேலை செய்தது” என்ற பதிவும் VPN சேவைக்குக் கண்ணுக்குத் தெரியாததாக இருக்கலாம்.

certlm.msc
certutil -dump vpn-gateway.cer

பொருள், மாற்றுப் பெயர்கள், விரிவாக்கப்பட்ட விசைப் பயன்பாடு மற்றும் சங்கிலிக்காக டம்பைப் படியுங்கள். Windows அல்லாத நுழைவாயிலுக்கு, களத் தானியங்கிப் பதிவு அங்கு வந்து சேரும் எனக் கருதுவதற்குப் பதிலாக ஆதரிக்கப்படும் பணிப்பாய்வு வழியாகக் கோரிக்கையைச் சமர்ப்பித்து, ஏற்றுமதி செய்யப்பட்ட வடிவம் பயனர் தனது பொருந்தும் தனிப்பட்ட விசையுடன் இறக்குமதி செய்யும் வடிவம் என்பதை உறுதிப்படுத்துங்கள். இறுதியாக, நம்பிக்கையையும் அனுமதியையும் தனித்தனியாக வைத்திருங்கள்: எந்தப் பயனர்கள் அல்லது சாதனங்கள் எந்த வளங்களை அடைகின்றன என்பதை VPN இன்னும் தீர்மானிக்க வேண்டும், நுழைவாயில் ரத்தைச் சரிபார்த்தால் மட்டுமே ரத்து அணுகலை நீக்குகிறது. சான்றிதழ் வார்ப்புருக்களை நிர்வகிப்பதற்கான Microsoft வழிகாட்டி வார்ப்புரு பணியகம், அனுமதிகள் மற்றும் தனி வெளியீட்டுப் படியை உள்ளடக்குகிறது.