Pagdidisenyo ng mga template ng AD CS para sa mga papel ng VPN gateway at kliyente

Ang isang enterprise CA ay makakapaglabas ng bawat sertipiko na kailangan ng VPN nang hindi kailanman maging gateway mismo. Ang gawain sa disenyo ay magpasya kung ano ang dapat patunayan ng bawat panig, at pagkatapos ay kung aling template ang makakapaglabas ng kredensyal na nagpapatunay nang eksakto niyon. Nagsisimula ako sa isang talahanayan ng papel, kinokopya ko ang angkop na template sa halip na i-edit ang isang nasa lugar, itinatakda ko ang pinagmulan ng subject kada papel, ini-publish ko ang resulta sa CA na naglalabas, at nag-enroll ako ng isang pilot bago pa ito i-automate ng sinuman. Ang bawat hakbang sa ibaba ay isang lugar kung saan ang gumaganang CA ay gumagawa pa rin ng sertipiko na tatanggihan ng VPN.

Isulat ang talahanayan ng papel bago buksan ang console ng template

Dalawang papel, dalawang layunin. Ang gateway ay nagpapatunay ng pagkakakilanlan ng serbisyo, kaya ang sertipiko nito ay nangangailangan ng Server Authentication (1.3.6.1.5.5.7.3.1), paggamit ng key ng digital signature at key encryption, at ang hostname na dinial ng mga kliyente sa isang alternatibong pangalan ng subject. Ang mga kliyenteng nagpapatunay gamit ang mga sertipiko ay nangangailangan ng Client Authentication (1.3.6.1.5.5.7.3.2) at pagkakakilanlang tumutugma sa inaasahan ng gateway sa pagsusuri nito sa kabilang panig. Ang sertipiko ng user at sertipiko ng computer ay hindi mapagpapalit, dahil nakatira sila sa magkaibang tindahan at ginagamit ng magkaibang proseso.

Isulat ang apat na hanay kada papel: ang pagkakakilanlang dapat lumitaw, ang layunin, ang gumagamit ng key, at kung maaaring umalis ng makina ang key. Ang talahanayang iyon ang magpapasya sa bawat kahon sa huli, at iyon din ang ibinibigay mo sa isang tagasuri. Ang pagpapatunay ng kliyente gamit ang password ay hiwalay na sangay: kung ang gateway ay nagpapatunay ng mga user gamit ang mga kredensyal, ang pamamahagi ng mga sertipiko ng kliyente ay nagdaragdag ng trabaho nang hindi nagdaragdag ng patunay.

Kopyahin ang template sa halip na i-edit ang isang nakabahagi

Magsimula sa isang template na halos tama ang layunin, tulad ng RAS and IAS Server para sa gateway o Computer para sa mga device na sumali sa domain, pagkatapos ay kopyahin ito at bigyan ang kopya ng pangalang nagsasabi kung para saan ito. Ang pagpapalawak ng template na ginagamit na ng ibang serbisyo ay ang pagbabagong sisira ng walang kaugnayang bagay pagkalipas ng anim na linggo. Sa kopya, itakda ang mga patakaran ng application sa layunin mula sa talahanayan ng papel, panatilihing pare-pareho ang paggamit ng key, piliin ang algorithm at haba ng key na tinatanggap ng iyong mga gateway, at markahan ang pribadong key bilang hindi maaaring i-export maliban kung kailangan itong i-export ng isang appliance upang ilipat ito.

Ang validity at renewal ay pag-aari rin ng template. Ang maikling buhay ay mas madaling bawiin at mas mahirap patakbuhin; ang mahaba ay nagpapababa ng trabaho sa enrollment at nagpapahaba ng pagkakalantad ng na-leak na key. Pumili ng bilang na kayang ipagtanggol, at tandaan na ang sariling validity ng CA at ang panahon ng renewal ng template ay maaaring magpaikli ng resulta.

Magpasya kung saan nagmumula ang subject

Para sa computer o user ng domain, buuin ang subject mula sa impormasyon ng direktoryo upang hindi ito maipasok ng humihingi. Para sa gateway na hindi kaanib sa domain, o device na ang pagkakakilanlan ay itinatakda sa labas ng AD, kailangan ng template ng kontroladong landas ng kahilingan sa halip. Ang pagpapagana ng subject at mga alternatibong pangalan na ibinibigay ng humihingi ay tunay na desisyon: hindi ito lisensya para sa bawat nakarehistro na mag-angkin ng kahit anong pangalan, at ang patakaran sa panig ng CA ay kailangan pa ring magsabi kung sino ang maaaring humiling at anong ebidensya ang kailangan.

Ang Windows IKEv2 ay mahigpit dito. Ang sertipiko ng gateway ay itinatapat sa pangalang inayos ng kliyente, kaya ang pangalan ng DNS ay dapat naroroon kung saan ito hinahanap ng kliyente, kadalasan isang entry na dNSName sa alternatibong pangalan ng subject. Ang pag-off ng pagsusuri ng pangalan o pagsusuri ng layunin upang gumana ang sertipikong hindi tumutugma ay nag-aalis ng pagsusuring makakahuli sana ng hindi pagtutugma sa produksiyon.

I-publish ang template, pagkatapos ay paliitin ang mga pahintulot

Ang paggawa ng object ng template sa AD DS at ang pag-publish nito sa CA na naglalabas ay magkaibang operasyon, ginagawa sa magkaibang console. I-publish ang kopya mula sa console ng Certification Authority sa ilalim ng Certificate Templates, pagkatapos ay i-verify mula sa command line na inaalok na ito ng CA:

certutil -CATemplates
certutil -TCAInfo

Kasunod ang mga pahintulot. Bigyan ng Read at Enroll ang mga grupong dapat humiling nito at wala nang iba pa, panatilihing buo ang sariling access sa pagbasa ng CA, at magbigay ng Autoenroll lamang kung saan ang awtomatikong enrollment ay sinasadya at sinusuportahan ng patakaran sa deployment na nagpapagana nito. Ang isang kahon sa template ay hindi nagrerehistro ng anuman sa sarili nito, at ang na-publish na template na walang pahintulot sa enrollment ay gumagawa ng portal na naglilista ng sertipiko at pagkatapos ay tumatanggi sa kahilingan.

Mag-enroll ng isang pilot sa tunay na gumagamit

Hilingin ang sertipiko sa kontekstong gagamit nito, pagkatapos ay suriin ang bumalik sa halip na magtiwala sa pangalan ng file. Ang sertipiko ng user ay napupunta sa tindahan ng kasalukuyang user at ang sertipiko ng computer sa tindahan ng lokal na computer, at ipinapakita ng MMC ang pareho, kaya ang enrollment na “gumana” ay maaaring manatiling hindi nakikita ng serbisyo ng VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Basahin ang dump para sa subject, mga alternatibong pangalan, pinahabang paggamit ng key at ang chain. Para sa gateway na hindi Windows, isumite ang kahilingan sa sinusuportahang workflow sa halip na ipagpalagay na naaabot ito ng awtomatikong enrollment ng domain, at kumpirmahin na ang na-export na format ay ang ini-import ng gumagamit kasama ang katugmang pribadong key. Sa huli, paghiwalayin ang tiwala at awtorisasyon: kailangan pa ring magpasya ng VPN kung sinong user o device ang nakakaabot sa aling resources, at ang pagbawi ay nag-aalis ng access lamang kung sinusuri ng gateway ang pagbawi. Ang gabay ng Microsoft sa pamamahala ng mga template ng sertipiko ay sumasaklaw sa console ng template, mga pahintulot at ang hiwalay na hakbang sa pag-publish.