VPN گیٹ وے اور کلائنٹ کرداروں کے لیے AD CS ٹیمپلیٹس کی ڈیزائننگ

ایک انٹرپرائز CA وہ ہر سرٹیفکیٹ جاری کر سکتا ہے جو VPN کو درکار ہوتا ہے، بغیر خود کبھی گیٹ وے بنے۔ ڈیزائن کا کام یہ طے کرنا ہے کہ ہر فریق کو کیا ثابت کرنا ہے، اور پھر یہ کہ کون سا ٹیمپلیٹ ایسی اسناد جاری کر سکتا ہے جو بالکل وہی ثابت کرے۔ میں کرداروں کی جدول سے شروع کرتا ہوں، مناسب ٹیمپلیٹ کو اسی جگہ ترمیم کرنے کے بجائے نقل کرتا ہوں، ہر کردار کے لیے موضوع کا ماخذ مقرر کرتا ہوں، نتیجہ جاری کرنے والے CA پر شائع کرتا ہوں، اور کسی کے خودکار کرنے سے پہلے ایک پائلٹ رجسٹر کرتا ہوں۔ نیچے ہر قدم وہ جگہ ہے جہاں کام کرنے والا CA پھر بھی ایسا سرٹیفکیٹ بناتا ہے جسے VPN مسترد کر دے گا۔

ٹیمپلیٹ کنسول کھولنے سے پہلے کرداروں کی جدول لکھیں

دو کردار، دو مقاصد۔ گیٹ وے سروس کی شناخت ثابت کرتا ہے، اس لیے اس کے سرٹیفکیٹ کو Server Authentication (1.3.6.1.5.5.7.3.1)، ڈیجیٹل دستخط اور کلید کی خفیہ کاری کا کلید استعمال، اور وہ میزبان نام جس پر کلائنٹ جڑتے ہیں موضوع کے متبادل نام میں درکار ہے۔ سرٹیفکیٹ سے تصدیق کرنے والے کلائنٹ کو Client Authentication (1.3.6.1.5.5.7.3.2) اور ایسی شناخت درکار ہے جو گیٹ وے کی دوسرے فریق کی جانچ میں متوقع شناخت سے مطابقت رکھے۔ صارف کا سرٹیفکیٹ اور کمپیوٹر کا سرٹیفکیٹ باہم تبدیل نہیں کیے جا سکتے، کیونکہ وہ الگ اسٹورز میں رہتے ہیں اور الگ عمل انہیں استعمال کرتے ہیں۔

ہر کردار کے لیے چار کالم لکھیں: وہ شناخت جو ظاہر ہونی چاہیے، مقصد، کلید کا صارف، اور کیا کلید مشین چھوڑ سکتی ہے۔ وہی جدول بعد میں ہر چیک باکس کا تعین کرتی ہے، اور وہی آپ جائزہ لینے والے کو دیتے ہیں۔ پاس ورڈ پر مبنی کلائنٹ تصدیق الگ شاخ ہے: اگر گیٹ وے صارفین کی تصدیق اسناد سے کرتا ہے تو کلائنٹ سرٹیفکیٹ تقسیم کرنا کوئی ثبوت شامل کیے بغیر کام بڑھاتا ہے۔

مشترکہ ٹیمپلیٹ میں ترمیم کے بجائے ٹیمپلیٹ کی نقل بنائیں

تقریباً درست مقصد والے ٹیمپلیٹ سے شروع کریں، مثلاً گیٹ وے کے لیے RAS and IAS Server یا ڈومین سے منسلک آلات کے لیے Computer، پھر اس کی نقل بنائیں اور نقل کو ایسا نام دیں جو بتائے کہ یہ کس لیے ہے۔ ایسے ٹیمپلیٹ کو وسیع کرنا جسے دوسری سروسز پہلے ہی استعمال کرتی ہیں وہ تبدیلی ہے جو چھ ہفتے بعد کسی غیر متعلق چیز کو توڑ دیتی ہے۔ نقل پر ایپلیکیشن پالیسیاں کرداروں کی جدول کے مقصد پر مقرر کریں، کلید کے استعمال کو اس سے ہم آہنگ رکھیں، وہ کلید الگورتھم اور لمبائی منتخب کریں جو آپ کے گیٹ وے قبول کرتے ہیں، اور نجی کلید کو ناقابل برآمد کے طور پر نشان زد کریں، الا یہ کہ کسی آلے کو اسے منتقل کرنے کے لیے برآمد کرنا پڑے۔

مدت اور تجدید بھی ٹیمپلیٹ کا حصہ ہیں۔ مختصر مدت منسوخ کرنا آسان اور چلانا مشکل ہے؛ طویل مدت اندراج کا کام کم کرتی ہے اور لیک ہوئی کلید کی نمائش بڑھاتی ہے۔ ایسا عدد منتخب کریں جس کا آپ دفاع کر سکیں، اور خیال رکھیں کہ CA کی اپنی مدت اور ٹیمپلیٹ کی تجدید کی مدت نتیجہ مختصر کر سکتی ہیں۔

طے کریں کہ موضوع کہاں سے آتا ہے

ڈومین کمپیوٹر یا صارف کے لیے موضوع ڈائریکٹری معلومات سے بنائیں تاکہ درخواست دہندہ نام ٹائپ نہ کر سکے۔ ایسے گیٹ وے کے لیے جو ڈومین سے منسلک نہیں، یا ایسے آلے کے لیے جس کی شناخت AD سے باہر دی جاتی ہے، ٹیمپلیٹ کو اس کے بجائے کنٹرول شدہ درخواست راستہ درکار ہے۔ درخواست دہندہ کے فراہم کردہ موضوع اور متبادل نام فعال کرنا حقیقی فیصلہ ہے: یہ ہر اندراج شدہ شخص کو کوئی بھی نام دعویٰ کرنے کا لائسنس نہیں، اور CA کی جانب کی پالیسی کو اب بھی بتانا ہے کہ کون مانگ سکتا ہے اور کون سا ثبوت درکار ہے۔

Windows IKEv2 یہاں سخت ہے۔ گیٹ وے سرٹیفکیٹ کا موازنہ اس نام سے ہوتا ہے جو کلائنٹ نے تشکیل کیا، اس لیے DNS نام وہاں موجود ہونا چاہیے جہاں کلائنٹ اسے ڈھونڈتا ہے، عموماً موضوع کے متبادل نام میں dNSName اندراج کے طور پر۔ غیر مطابق سرٹیفکیٹ کو چلانے کے لیے نام کی جانچ یا مقصد کی جانچ بند کرنا وہ جانچ ہٹا دیتا ہے جو پیداوار میں عدم مطابقت پکڑتی۔

ٹیمپلیٹ شائع کریں، پھر اجازتیں محدود کریں

AD DS میں ٹیمپلیٹ آبجیکٹ بنانا اور اسے جاری کرنے والے CA پر شائع کرنا الگ کنسولوں میں کیے جانے والے الگ کام ہیں۔ نقل کو Certification Authority کنسول سے Certificate Templates کے تحت شائع کریں، پھر کمانڈ لائن سے تصدیق کریں کہ CA اب اسے پیش کرتا ہے:

certutil -CATemplates
certutil -TCAInfo

اجازتیں اس کے بعد آتی ہیں۔ جن گروہوں کو اس کی درخواست کرنی چاہیے انہیں Read اور Enroll دیں اور اس سے زیادہ کچھ نہیں، CA کی اپنی پڑھنے کی رسائی برقرار رکھیں، اور Autoenroll صرف وہاں دیں جہاں خودکار اندراج کا ارادہ ہو اور اسے چلانے والی تعیناتی پالیسی کی تائید حاصل ہو۔ ٹیمپلیٹ میں چیک باکس خود کچھ اندراج نہیں کرتا، اور اندراج کی اجازت کے بغیر شائع شدہ ٹیمپلیٹ ایسا پورٹل بناتا ہے جو سرٹیفکیٹ کی فہرست دکھا کر درخواست مسترد کر دیتا ہے۔

اصل صارف میں ایک پائلٹ اندراج کریں

سرٹیفکیٹ کی درخواست اسی سیاق میں کریں جو اسے استعمال کرے گا، پھر فائل کے نام پر بھروسا کرنے کے بجائے جو واپس آیا اس کا معائنہ کریں۔ صارف کا سرٹیفکیٹ موجودہ صارف کے اسٹور میں اور کمپیوٹر کا سرٹیفکیٹ مقامی کمپیوٹر کے اسٹور میں جاتا ہے، اور MMC دونوں دکھاتا ہے، اسی لیے “کام کرنے والا” اندراج بھی VPN سروس کے لیے پوشیدہ رہ سکتا ہے۔

certlm.msc
certutil -dump vpn-gateway.cer

ڈمپ کو موضوع، متبادل نام، توسیع شدہ کلید استعمال اور زنجیر کے لیے پڑھیں۔ غیر Windows گیٹ وے کے لیے درخواست معاون ورک فلو کے ذریعے جمع کریں، بجائے یہ فرض کرنے کے کہ ڈومین کا خودکار اندراج وہاں پہنچتا ہے، اور تصدیق کریں کہ برآمد شدہ شکل وہی ہے جو صارف اپنی مطابق نجی کلید کے ساتھ درآمد کرتا ہے۔ آخر میں، بھروسا اور اجازت کو الگ رکھیں: VPN کو اب بھی طے کرنا ہے کہ کون سے صارفین یا آلات کون سے وسائل تک پہنچتے ہیں، اور منسوخی رسائی صرف اسی صورت میں ہٹاتی ہے جب گیٹ وے منسوخی کی جانچ کرتا ہی ہو۔ سرٹیفکیٹ ٹیمپلیٹس کے انتظام کی Microsoft گائیڈ ٹیمپلیٹ کنسول، اجازتوں اور الگ اشاعت کے مرحلے کا احاطہ کرتی ہے۔