VPN గేట్‌వే మరియు క్లయింట్ పాత్రల కోసం AD CS టెంప్లేట్ రూపకల్పన

ఒక సంస్థ CA తానే గేట్‌వే కాకుండానే VPNకు అవసరమైన ప్రతి ధృవపత్రాన్ని జారీ చేయగలదు. రూపకల్పన పని ఏమిటంటే ప్రతి పక్షం ఏమి నిరూపించాలి, ఆ తర్వాత ఏ టెంప్లేట్ సరిగ్గా దాన్ని నిరూపించే ఆధారాన్ని జారీ చేయగలదు అని నిర్ణయించడం. నేను పాత్రల పట్టికతో ప్రారంభిస్తాను, ఇప్పటికే ఉన్న టెంప్లేట్‌ను అదే చోట సవరించడం బదులు నకలు చేస్తాను, ప్రతి పాత్రకు విషయం మూలాన్ని స్థిరపరుస్తాను, ఫలితాన్ని జారీ చేసే CAలో ప్రచురిస్తాను, ఎవరైనా దాన్ని ఆటోమేట్ చేయకముందే ఒక పైలట్‌ను నమోదు చేస్తాను. క్రింది ప్రతి దశ పనిచేస్తున్న CA ఇంకా VPN తిరస్కరించే ధృవపత్రాన్ని ఉత్పత్తి చేసే స్థలం.

టెంప్లేట్ కన్సోల్ తెరవకముందే పాత్రల పట్టిక రాయండి

రెండు పాత్రలు, రెండు లక్ష్యాలు. గేట్‌వే సేవా గుర్తింపును నిరూపిస్తుంది, కాబట్టి దాని ధృవపత్రానికి Server Authentication (1.3.6.1.5.5.7.3.1), డిజిటల్ సంతకం మరియు కీ ఎన్‌క్రిప్షన్ కీ వినియోగం, మరియు క్లయింట్లు కనెక్ట్ అయ్యే హోస్ట్ పేరు విషయం ప్రత్యామ్నాయ పేరులో అవసరం. ధృవపత్రాలతో ప్రామాణీకరించే క్లయింట్లకు Client Authentication (1.3.6.1.5.5.7.3.2) మరియు గేట్‌వే ఎదుటి పక్ష తనిఖీలో ఆశించే గుర్తింపుకు సరిపోయే గుర్తింపు అవసరం. వినియోగదారు ధృవపత్రం మరియు కంప్యూటర్ ధృవపత్రం పరస్పరం మార్చుకోగలిగినవి కావు, ఎందుకంటే అవి వేర్వేరు నిల్వలలో నివసిస్తాయి మరియు వేర్వేరు ప్రక్రియలు వాటిని ఉపయోగిస్తాయి.

ప్రతి పాత్రకు నాలుగు నిలువు వరుసలు రాయండి: కనిపించాల్సిన గుర్తింపు, లక్ష్యం, కీ వినియోగదారు, మరియు కీ యంత్రాన్ని విడిచిపెట్టగలదా. ఆ పట్టికే తర్వాత ప్రతి చెక్‌బాక్స్‌ను నిర్ణయిస్తుంది, అదే మీరు సమీక్షకుడికి ఇచ్చేది. పాస్‌వర్డ్ ఆధారిత క్లయింట్ ప్రామాణీకరణ ప్రత్యేక శాఖ: గేట్‌వే వినియోగదారులను ఆధారాలతో ప్రామాణీకరిస్తే, క్లయింట్ ధృవపత్రాల పంపిణీ ఎలాంటి రుజువు జోడించకుండా పని జోడిస్తుంది.

పంచుకున్న టెంప్లేట్‌ను సవరించడం బదులు టెంప్లేట్‌ను నకలు చేయండి

లక్ష్యం దాదాపు సరైన టెంప్లేట్‌తో ప్రారంభించండి, ఉదాహరణకు గేట్‌వేకు RAS and IAS Server లేదా డొమైన్‌లో చేరిన పరికరాలకు Computer, తర్వాత దాన్ని నకలు చేసి నకలుకు అది ఎందుకు అని చెప్పే పేరు ఇవ్వండి. ఇతర సేవలు ఇప్పటికే ఉపయోగిస్తున్న టెంప్లేట్‌ను విస్తరించడం ఆరు వారాల తర్వాత సంబంధం లేని దాన్ని పాడు చేసే మార్పు. నకలులో, అనువర్తన విధానాలను పాత్రల పట్టిక లక్ష్యానికి సెట్ చేయండి, కీ వినియోగాన్ని దానితో సుసంగతంగా ఉంచండి, మీ గేట్‌వేలు అంగీకరించే కీ అల్గారిథమ్ మరియు పొడవును ఎంచుకోండి, మరియు పరికరం తరలించడానికి ఎగుమతి చేయాల్సిన అవసరం లేకపోతే ప్రైవేట్ కీని ఎగుమతి చేయలేనిదిగా గుర్తించండి.

చెల్లుబాటు మరియు పునరుద్ధరణ కూడా టెంప్లేట్‌వే. చిన్న ఆయుష్షు రద్దు చేయడం సులభం, నిర్వహించడం కష్టం; పొడవైనది నమోదు పనిని తగ్గించి లీక్ అయిన కీ బహిర్గతత్వాన్ని పొడిగిస్తుంది. మీరు సమర్థించగల సంఖ్యను ఎంచుకోండి, మరియు CA యొక్క స్వంత చెల్లుబాటు మరియు టెంప్లేట్ పునరుద్ధరణ కాలం ఫలితాన్ని తగ్గించగలవని గమనించండి.

విషయం ఎక్కడి నుండి వస్తుందో నిర్ణయించండి

డొమైన్ కంప్యూటర్ లేదా వినియోగదారు కోసం, అభ్యర్థి పేరు టైప్ చేయలేకుండా డైరెక్టరీ సమాచారం నుండి విషయాన్ని నిర్మించండి. డొమైన్‌లో చేరని గేట్‌వే కోసం, లేదా AD వెలుపల గుర్తింపు కేటాయించబడే పరికరం కోసం, టెంప్లేట్‌కు దాని బదులు నియంత్రిత అభ్యర్థన మార్గం అవసరం. అభ్యర్థి అందించే విషయం మరియు ప్రత్యామ్నాయ పేర్లను ప్రారంభించడం నిజమైన నిర్ణయం: ఇది ప్రతి నమోదైన వ్యక్తి ఏ పేరైనా దావా చేయడానికి లైసెన్స్ కాదు, మరియు CA వైపు విధానం ఎవరు అడగగలరు మరియు ఏ రుజువు అవసరమో ఇంకా చెప్పాలి.

Windows IKEv2 ఇక్కడ కఠినం. గేట్‌వే ధృవపత్రం క్లయింట్ కాన్ఫిగర్ చేసిన పేరుతో సరిపోల్చబడుతుంది, కాబట్టి DNS పేరు క్లయింట్ దాన్ని వెతికే చోట, సాధారణంగా విషయం ప్రత్యామ్నాయ పేరులో dNSName నమోదుగా ఉండాలి. సరిపోని ధృవపత్రం పనిచేయడానికి పేరు తనిఖీ లేదా లక్ష్య తనిఖీని ఆఫ్ చేయడం ఉత్పత్తిలో సరిపోలిక లేకపోవడాన్ని పట్టుకునే తనిఖీని తొలగిస్తుంది.

టెంప్లేట్‌ను ప్రచురించి, తర్వాత అనుమతులను సంకుచితం చేయండి

AD DSలో టెంప్లేట్ వస్తువును సృష్టించడం మరియు దాన్ని జారీ చేసే CAలో ప్రచురించడం వేర్వేరు కన్సోల్‌లలో చేసే వేర్వేరు కార్యకలాపాలు. నకలును Certification Authority కన్సోల్ నుండి Certificate Templates కింద ప్రచురించి, తర్వాత కమాండ్ లైన్ నుండి CA ఇప్పుడు దాన్ని అందిస్తుందని ధృవీకరించండి:

certutil -CATemplates
certutil -TCAInfo

అనుమతులు తర్వాత వస్తాయి. దాన్ని అడగాల్సిన సమూహాలకు Read మరియు Enroll ఇవ్వండి, అంతకంటే ఎక్కువ ఏమీ ఇవ్వకండి, CA యొక్క స్వంత పఠన ప్రాప్యతను చెక్కుచెదరకుండా ఉంచండి, మరియు Autoenroll స్వయంచాలక నమోదు ఉద్దేశపూర్వకంగా ఉన్న మరియు దాన్ని పనిచేయించే అమరిక విధానం ద్వారా మద్దతు ఉన్న చోట మాత్రమే ఇవ్వండి. టెంప్లేట్‌లోని చెక్‌బాక్స్ తనంతట తానే ఏమీ నమోదు చేయదు, మరియు నమోదు అనుమతి లేకుండా ప్రచురించిన టెంప్లేట్ ధృవపత్రాన్ని జాబితా చేసి తర్వాత అభ్యర్థనను తిరస్కరించే పోర్టల్‌ను సృష్టిస్తుంది.

నిజమైన వినియోగదారులో ఒక పైలట్‌ను నమోదు చేయండి

ధృవపత్రాన్ని అది ఉపయోగించబోయే సందర్భంలోనే అడగండి, తర్వాత ఫైల్ పేరుపై నమ్మకం పెట్టుకోవడం బదులు తిరిగి వచ్చినదాన్ని పరిశీలించండి. వినియోగదారు ధృవపత్రం ప్రస్తుత-వినియోగదారు నిల్వకు మరియు కంప్యూటర్ ధృవపత్రం స్థానిక-కంప్యూటర్ నిల్వకు చేరుతుంది, మరియు MMC రెండింటినీ చూపిస్తుంది, కాబట్టి “పని చేసిన” నమోదు కూడా VPN సేవకు అదృశ్యంగా ఉండవచ్చు.

certlm.msc
certutil -dump vpn-gateway.cer

విషయం, ప్రత్యామ్నాయ పేర్లు, విస్తరించిన కీ వినియోగం మరియు గొలుసు కోసం డంప్ చదవండి. Windows కాని గేట్‌వే కోసం, డొమైన్ స్వయంచాలక నమోదు అక్కడికి చేరుతుందని ఊహించడం బదులు మద్దతు ఉన్న పని ప్రవాహం ద్వారా అభ్యర్థనను సమర్పించండి, మరియు ఎగుమతి చేసిన ఆకృతి వినియోగదారు తన సరిపోయే ప్రైవేట్ కీతో పాటు దిగుమతి చేసుకునే ఆకృతి అని నిర్ధారించండి. చివరగా, నమ్మకం మరియు అధికారాన్ని వేరుగా ఉంచండి: ఏ వినియోగదారులు లేదా పరికరాలు ఏ వనరులను చేరుకుంటాయో VPN ఇంకా నిర్ణయించాలి, మరియు రద్దు అనేది గేట్‌వే రద్దును అసలు తనిఖీ చేస్తేనే ప్రాప్యతను తీసివేస్తుంది. ధృవపత్ర టెంప్లేట్లను నిర్వహించడంపై Microsoft మార్గదర్శిని టెంప్లేట్ కన్సోల్, అనుమతులు మరియు ప్రత్యేక ప్రచురణ దశను కవర్ చేస్తుంది.