VPN ağ geçidi ve istemci rolleri için AD CS şablonları tasarlama

Bir kurumsal CA, VPN'in ihtiyaç duyduğu her sertifikayı kendisi hiçbir zaman ağ geçidi olmadan verebilir. Tasarım işi, her tarafın neyi kanıtlaması gerektiğine ve ardından hangi şablonun tam olarak bunu kanıtlayan bir kimlik bilgisi verebileceğine karar vermektir. Rol tablosuyla başlıyorum, uygun şablonu yerinde düzenlemek yerine kopyalıyorum, özne kaynağını rol başına sabitliyorum, sonucu veren CA üzerinde yayımlıyorum ve kimse otomatikleştirmeden önce bir pilot kaydediyorum. Aşağıdaki her adım, çalışan bir CA'nın hâlâ VPN'in reddedeceği bir sertifika ürettiği bir noktadır.

Şablon konsolunu açmadan önce rol tablosunu yazın

İki rol, iki amaç. Ağ geçidi bir hizmet kimliği kanıtlar, bu nedenle sertifikası Server Authentication (1.3.6.1.5.5.7.3.1), dijital imza ve anahtar şifreleme için anahtar kullanımı ve istemcilerin bağlandığı ana bilgisayar adını özne alternatif adı içinde gerektirir. Sertifikayla kimlik doğrulayan istemciler Client Authentication (1.3.6.1.5.5.7.3.2) ve ağ geçidinin karşı taraf denetiminde beklediği kimlikle eşleşen bir kimlik gerektirir. Kullanıcı sertifikası ile bilgisayar sertifikası birbirinin yerine kullanılamaz, çünkü farklı depolarda yaşarlar ve farklı süreçler tarafından kullanılırlar.

Her rol için dört sütun yazın: görünmesi gereken kimlik, amaç, anahtarın tüketicisi ve anahtarın makineden çıkıp çıkamayacağı. O tablo daha sonra her onay kutusunu belirler ve bir gözden geçirene verdiğiniz şey de odur. Parola tabanlı istemci kimlik doğrulaması ayrı bir daldır: ağ geçidi kullanıcıları kimlik bilgileriyle doğruluyorsa, istemci sertifikalarını dağıtmak kanıt eklemeden iş ekler.

Paylaşılan şablonu düzenlemek yerine şablonu kopyalayın

Amacı yaklaşık olarak doğru olan bir şablonla başlayın, örneğin ağ geçidi için RAS and IAS Server veya etki alanına katılmış cihazlar için Computer, sonra kopyalayın ve kopyaya ne için olduğunu söyleyen bir ad verin. Diğer hizmetlerin zaten kullandığı bir şablonu genişletmek, altı hafta sonra ilgisiz bir şeyi bozan değişikliktir. Kopyada uygulama ilkelerini rol tablosundaki amaca göre ayarlayın, anahtar kullanımını bununla tutarlı tutun, ağ geçitlerinizin kabul ettiği anahtar algoritmasını ve uzunluğunu seçin ve bir cihazın taşımak için dışa aktarması gerekmiyorsa özel anahtarı dışa aktarılamaz olarak işaretleyin.

Geçerlilik ve yenileme de şablona aittir. Kısa ömür iptal etmesi kolay, işletmesi zordur; uzun ömür kayıt işini azaltır ve sızmış bir anahtarın maruz kalma süresini uzatır. Savunabileceğiniz bir sayı seçin ve CA'nın kendi geçerliliği ile şablonun yenileme döneminin sonucu kısaltabileceğini unutmayın.

Öznenin nereden geldiğine karar verin

Etki alanı bilgisayarı veya kullanıcısı için özneyi dizin bilgisinden oluşturun, böylece adı talep eden yazamaz. Etki alanına katılmamış bir ağ geçidi veya kimliği AD dışında atanan bir cihaz için şablonun bunun yerine denetlenen bir talep yolu olmalıdır. Talep edenin sağladığı özne ve alternatif adları etkinleştirmek gerçek bir karardır: her kayıtlının herhangi bir adı talep etmesi için bir lisans değildir ve CA tarafındaki ilke hâlâ kimin isteyebileceğini ve hangi kanıtın gerektiğini söylemelidir.

Windows IKEv2 burada katıdır. Ağ geçidi sertifikası istemcinin yapılandırdığı adla eşleştirilir, bu nedenle DNS adı istemcinin onu aradığı yerde, genellikle özne alternatif adında bir dNSName girdisi olarak bulunmalıdır. Eşleşmeyen bir sertifikanın çalışması için ad denetimini veya amaç denetimini kapatmak, üretimde uyumsuzluğu yakalayacak denetimi ortadan kaldırır.

Şablonu yayımlayın, sonra izinleri daraltın

Şablon nesnesini AD DS'de oluşturmak ve onu veren CA üzerinde yayımlamak ayrı işlemlerdir ve farklı konsollarda yapılır. Kopyayı Certification Authority konsolundan Certificate Templates altında yayımlayın, ardından komut satırından CA'nın artık onu sunduğunu doğrulayın:

certutil -CATemplates
certutil -TCAInfo

Sırada izinler var. İstemesi gereken gruplara Read ve Enroll verin ve fazlasını vermeyin, CA'nın kendi okuma erişimini bozmayın ve Autoenroll'u yalnızca otomatik kaydın amaçlandığı ve onu çalıştıran dağıtım ilkesiyle desteklendiği yerde verin. Bir şablondaki onay kutusu kendi başına hiçbir şey kaydetmez ve kayıt izni olmayan yayımlanmış bir şablon, sertifikayı listeleyip ardından talebi reddeden bir portal üretir.

Gerçek tüketicide bir pilot kaydedin

Sertifikayı onu kullanacak bağlamda isteyin, ardından dosya adına güvenmek yerine geri geleni inceleyin. Kullanıcı sertifikası geçerli kullanıcı deposuna, bilgisayar sertifikası yerel bilgisayar deposuna düşer ve MMC ikisini de gösterir, bu yüzden “çalışan” bir kayıt VPN hizmeti için görünmez kalabilir.

certlm.msc
certutil -dump vpn-gateway.cer

Dökümü özne, alternatif adlar, genişletilmiş anahtar kullanımı ve zincir açısından okuyun. Windows olmayan bir ağ geçidi için talebi, etki alanı otomatik kaydının oraya ulaştığını varsaymak yerine desteklenen iş akışıyla gönderin ve dışa aktarılan biçimin tüketicinin eşleşen özel anahtarıyla birlikte içe aktardığı biçim olduğunu doğrulayın. Son olarak güveni ve yetkilendirmeyi ayrı tutun: VPN hangi kullanıcı veya cihazların hangi kaynaklara ulaştığına hâlâ karar vermelidir ve iptal, ancak ağ geçidi iptali hiç denetliyorsa erişimi kaldırır. Microsoft'un sertifika şablonlarını yönetme kılavuzu şablon konsolunu, izinleri ve ayrı yayımlama adımını kapsar.