การออกแบบเทมเพลต AD CS สำหรับบทบาทเกตเวย์ VPN และไคลเอนต์

เทมเพลตเดียวออกเอกลักษณ์ได้หลายแบบก็ต่อเมื่อตรงกับบทบาทของอีกฝ่าย กำหนดวัตถุประสงค์และแหล่งที่มาของชื่อต่อบทบาท เผยแพร่บน CA แล้วลงทะเบียนไพลอตหนึ่งรายการ

CA ขององค์กรสามารถออกใบรับรองทุกใบที่ VPN ต้องการได้โดยไม่ต้องเป็นเกตเวย์เอง งานออกแบบคือการตัดสินใจว่าแต่ละฝ่ายต้องพิสูจน์อะไร แล้วจึงเลือกว่าเทมเพลตใดออกหลักฐานที่พิสูจน์สิ่งนั้นได้พอดี ฉันเริ่มจากตารางบทบาท คัดลอกเทมเพลตที่เหมาะสมแทนการแก้ไขของเดิมในที่เดิม ตรึงแหล่งที่มาของชื่อเรื่องต่อบทบาท เผยแพร่ผลลัพธ์บน CA ที่ออกใบรับรอง และลงทะเบียนไพลอตหนึ่งรายการก่อนที่ใครจะทำให้เป็นอัตโนมัติ ทุกขั้นตอนด้านล่างคือจุดที่ CA ที่ทำงานอยู่ยังคงสร้างใบรับรองที่ VPN จะปฏิเสธ

เขียนตารางบทบาทก่อนเปิดคอนโซลเทมเพลต

สองบทบาท สองวัตถุประสงค์ เกตเวย์พิสูจน์เอกลักษณ์ของบริการ ดังนั้นใบรับรองจึงต้องมี Server Authentication (1.3.6.1.5.5.7.3.1) การใช้คีย์สำหรับลายเซ็นดิจิทัลและการเข้ารหัสคีย์ และชื่อโฮสต์ที่ไคลเอนต์เชื่อมต่อในชื่อทางเลือกของชื่อเรื่อง ไคลเอนต์ที่พิสูจน์ตัวตนด้วยใบรับรองต้องมี Client Authentication (1.3.6.1.5.5.7.3.2) และเอกลักษณ์ที่ตรงกับสิ่งที่เกตเวย์คาดหวังในการตรวจสอบอีกฝ่าย ใบรับรองผู้ใช้และใบรับรองคอมพิวเตอร์ใช้แทนกันไม่ได้ เพราะอยู่ในที่เก็บต่างกันและถูกใช้โดยโพรเซสต่างกัน

เขียนสี่คอลัมน์สำหรับแต่ละบทบาท ได้แก่ เอกลักษณ์ที่ต้องปรากฏ วัตถุประสงค์ ผู้ใช้คีย์ และคีย์ออกจากเครื่องได้หรือไม่ ตารางนั้นเป็นตัวกำหนดช่องทำเครื่องหมายทุกช่องในภายหลัง และเป็นสิ่งที่คุณมอบให้ผู้ตรวจทาน การพิสูจน์ตัวตนไคลเอนต์ด้วยรหัสผ่านเป็นสาขาแยก หากเกตเวย์พิสูจน์ตัวตนผู้ใช้ด้วยข้อมูลรับรอง การแจกจ่ายใบรับรองไคลเอนต์ก็เพิ่มงานโดยไม่เพิ่มหลักฐาน

คัดลอกเทมเพลตแทนการแก้ไขเทมเพลตที่ใช้ร่วมกัน

เริ่มจากเทมเพลตที่มีวัตถุประสงค์ใกล้เคียงที่ถูกต้อง เช่น RAS and IAS Server สำหรับเกตเวย์ หรือ Computer สำหรับอุปกรณ์ที่เข้าร่วมโดเมน แล้วคัดลอกและตั้งชื่อสำเนาให้บอกว่าใช้ทำอะไร การขยายเทมเพลตที่บริการอื่นใช้อยู่แล้วคือการเปลี่ยนแปลงที่ทำให้สิ่งอื่นที่ไม่เกี่ยวข้องพังในอีกหกสัปดาห์ บนสำเนา ให้ตั้งนโยบายแอปพลิเคชันตามวัตถุประสงค์จากตารางบทบาท รักษาการใช้คีย์ให้สอดคล้องกัน เลือกอัลกอริทึมและความยาวคีย์ที่เกตเวย์ของคุณยอมรับ และทำเครื่องหมายคีย์ส่วนตัวว่าไม่สามารถส่งออกได้ เว้นแต่เครื่องอุปกรณ์จำเป็นต้องส่งออกเพื่อย้ายมัน

อายุใช้งานและการต่ออายุก็เป็นของเทมเพลตเช่นกัน อายุสั้นเพิกถอนง่ายแต่ดูแลยาก อายุยาวลดงานลงทะเบียนและยืดระยะการเปิดเผยคีย์ที่รั่วไหล เลือกตัวเลขที่คุณปกป้องได้ และสังเกตว่าอายุของ CA เองและระยะต่ออายุของเทมเพลตสามารถย่นผลลัพธ์ได้

ตัดสินใจว่าชื่อเรื่องมาจากไหน

สำหรับคอมพิวเตอร์หรือผู้ใช้ในโดเมน ให้สร้างชื่อเรื่องจากข้อมูลไดเรกทอรีเพื่อให้ผู้ขอไม่สามารถพิมพ์ชื่อเองได้ สำหรับเกตเวย์ที่ไม่ได้เข้าร่วมโดเมน หรืออุปกรณ์ที่กำหนดเอกลักษณ์ภายนอก AD เทมเพลตต้องมีเส้นทางการขอที่ควบคุมแทน การเปิดใช้ชื่อเรื่องและชื่อทางเลือกที่ผู้ขอจัดหาให้เป็นการตัดสินใจจริง ไม่ใช่ใบอนุญาตให้ทุกคนที่ลงทะเบียนอ้างชื่อใดก็ได้ และนโยบายฝั่ง CA ยังต้องระบุว่าใครขอได้และต้องใช้หลักฐานอะไร

Windows IKEv2 เข้มงวดตรงนี้ ใบรับรองเกตเวย์ถูกจับคู่กับชื่อที่ไคลเอนต์กำหนดค่าไว้ ดังนั้นชื่อ DNS ต้องอยู่ตรงที่ไคลเอนต์ค้นหา ซึ่งมักเป็นรายการ dNSName ในชื่อทางเลือกของชื่อเรื่อง การปิดการตรวจสอบชื่อหรือการตรวจสอบวัตถุประสงค์เพื่อให้ใบรับรองที่ไม่ตรงกันทำงานได้ คือการถอดการตรวจสอบที่จะจับความไม่ตรงกันในสภาพแวดล้อมจริงออก

เผยแพร่เทมเพลต แล้วจำกัดสิทธิ์ให้แคบลง

การสร้างออบเจ็กต์เทมเพลตใน AD DS และการเผยแพร่บน CA ที่ออกใบรับรองเป็นการดำเนินการแยกกัน ทำในคอนโซลต่างกัน เผยแพร่สำเนาจากคอนโซล Certification Authority ภายใต้ Certificate Templates แล้วตรวจสอบจากบรรทัดคำสั่งว่า CA เสนอเทมเพลตนั้นแล้ว:

certutil -CATemplates
certutil -TCAInfo

จากนั้นคือสิทธิ์ ให้ Read และ Enroll แก่กลุ่มที่ควรขอเท่านั้น ไม่มากกว่านั้น รักษาสิทธิ์การอ่านของ CA เองไว้ และให้ Autoenroll เฉพาะที่การลงทะเบียนอัตโนมัติเป็นความตั้งใจและได้รับการสนับสนุนจากนโยบายการปรับใช้ที่ทำให้มันทำงาน ช่องทำเครื่องหมายในเทมเพลตไม่ได้ลงทะเบียนอะไรด้วยตัวเอง และเทมเพลตที่เผยแพร่โดยไม่มีสิทธิ์ลงทะเบียนจะสร้างพอร์ทัลที่แสดงใบรับรองแล้วปฏิเสธคำขอ

ลงทะเบียนไพลอตหนึ่งรายการกับผู้ใช้จริง

ขอใบรับรองในบริบทที่จะใช้งานจริง แล้วตรวจสอบสิ่งที่ได้กลับมาแทนการเชื่อถือชื่อไฟล์ ใบรับรองผู้ใช้ไปอยู่ในที่เก็บของผู้ใช้ปัจจุบัน และใบรับรองคอมพิวเตอร์ไปอยู่ในที่เก็บของคอมพิวเตอร์ท้องถิ่น และ MMC แสดงทั้งสองอย่าง นี่คือเหตุผลที่การลงทะเบียนที่ “สำเร็จ” อาจยังมองไม่เห็นจากบริการ VPN

certlm.msc
certutil -dump vpn-gateway.cer

อ่านดัมพ์สำหรับชื่อเรื่อง ชื่อทางเลือก การใช้คีย์แบบขยาย และห่วงโซ่ สำหรับเกตเวย์ที่ไม่ใช่ Windows ให้ส่งคำขอผ่านเวิร์กโฟลว์ที่รองรับแทนการถือว่าการลงทะเบียนอัตโนมัติของโดเมนไปถึง และยืนยันว่ารูปแบบที่ส่งออกเป็นรูปแบบที่ผู้นำเข้าใช้กับคีย์ส่วนตัวที่ตรงกัน สุดท้าย แยกความเชื่อถือออกจากการอนุญาต VPN ยังต้องตัดสินใจว่าผู้ใช้หรืออุปกรณ์ใดเข้าถึงทรัพยากรใด และการเพิกถอนจะตัดการเข้าถึงก็ต่อเมื่อเกตเวย์ตรวจสอบการเพิกถอนจริง คู่มือของ Microsoft ในการจัดการเทมเพลตใบรับรอง ครอบคลุมคอนโซลเทมเพลต สิทธิ์ และขั้นตอนการเผยแพร่ที่แยกจากกัน

บทความที่เกี่ยวข้อง