VPN shlyuzi va mijoz rollari uchun AD CS shablonlarini loyihalash

Korxona CA VPN uchun zarur bo'lgan har bir sertifikatni o'zi hech qachon shlyuz bo'lmasdan bera oladi. Loyihalash ishi har bir tomon nimani isbotlashi kerakligini, so'ngra qaysi shablon aynan shuni isbotlaydigan guvohnoma bera olishini hal qilishdir. Men rol jadvalidan boshlayman, mavjud shablonni joyida tahrirlash o'rniga nusxalayman, har bir rol uchun subyekt manbasini qat'iy belgilayman, natijani beruvchi CA da e'lon qilaman va kimdir avtomatlashtirishdan oldin bitta pilotni ro'yxatdan o'tkazaman. Quyidagi har bir qadam ishlayotgan CA hali ham VPN rad etadigan sertifikat ishlab chiqaradigan joydir.

Shablon konsolini ochishdan oldin rol jadvalini yozing

Ikki rol, ikki maqsad. Shlyuz xizmat identifikatorini isbotlaydi, shuning uchun uning sertifikatiga Server Authentication (1.3.6.1.5.5.7.3.1), raqamli imzo va kalit shifrlash uchun kalit ishlatilishi, va mijozlar ulanadigan xost nomi subyektning alternativ nomida kerak. Sertifikatlar bilan autentifikatsiya qiluvchi mijozlarga Client Authentication (1.3.6.1.5.5.7.3.2) va shlyuzning qarshi tomonni tekshirishda kutgan identifikatoriga mos identifikator kerak. Foydalanuvchi sertifikati va kompyuter sertifikati bir-birini almashtira olmaydi, chunki ular turli omborlarda yashaydi va ularni turli jarayonlar ishlatadi.

Har bir rol uchun to'rt ustun yozing: ko'rinishi kerak bo'lgan identifikator, maqsad, kalit iste'molchisi va kalit mashinadan chiqa oladimi. O'sha jadval keyinchalik har bir katakchani belgilaydi va taqrizchiga beradigan hujjat ham shu. Parolga asoslangan mijoz autentifikatsiyasi alohida tarmoq: agar shlyuz foydalanuvchilarni hisob ma'lumotlari bilan autentifikatsiya qilsa, mijoz sertifikatlarini tarqatish isbot qo'shmasdan ish qo'shadi.

Umumiy shablonni tahrirlash o'rniga shablonni nusxalang

Maqsadi taxminan to'g'ri bo'lgan shablondan boshlang, masalan shlyuz uchun RAS and IAS Server yoki domenga qo'shilgan qurilmalar uchun Computer, so'ngra uni nusxalang va nusxaga nima uchun ekanini aytadigan nom bering. Boshqa xizmatlar allaqachon ishlatayotgan shablonni kengaytirish olti haftadan keyin aloqasiz narsani buzadigan o'zgarishdir. Nusxada ilova siyosatlarini rol jadvalidagi maqsadga moslang, kalit ishlatilishini u bilan izchil saqlang, shlyuzlaringiz qabul qiladigan kalit algoritmi va uzunligini tanlang va qurilma uni ko'chirish uchun eksport qilishi shart bo'lmasa, maxfiy kalitni eksport qilinmaydigan deb belgilang.

Amal qilish muddati va yangilanish ham shablonga tegishli. Qisqa muddat bekor qilish oson, boshqarish qiyin; uzoq muddat ro'yxatga olish ishini kamaytiradi va oqib ketgan kalitning ta'sir vaqtini uzaytiradi. Himoya qila oladigan raqamni tanlang va CA ning o'z amal muddati hamda shablonning yangilanish davri natijani qisqartirishi mumkinligini yodda tuting.

Subyekt qayerdan kelishini hal qiling

Domen kompyuteri yoki foydalanuvchisi uchun subyektni katalog ma'lumotlaridan quring, shunda so'rovchi nomni yoza olmaydi. Domenga qo'shilmagan shlyuz yoki identifikatori AD dan tashqarida beriladigan qurilma uchun shablonga buning o'rniga nazorat qilinadigan so'rov yo'li kerak. So'rovchi taqdim etgan subyekt va alternativ nomlarni yoqish haqiqiy qaror: bu har bir ro'yxatdan o'tgan shaxsga istalgan nomni da'vo qilish litsenziyasi emas va CA tomonidagi siyosat kim so'rashi mumkinligini hamda qanday dalil kerakligini aytishi shart.

Windows IKEv2 bu yerda qat'iy. Shlyuz sertifikati mijoz sozlagan nom bilan solishtiriladi, shuning uchun DNS nomi mijoz uni qidiradigan joyda, odatda subyektning alternativ nomida dNSName yozuvi sifatida bo'lishi kerak. Mos kelmaydigan sertifikat ishlashi uchun nom tekshiruvini yoki maqsad tekshiruvini o'chirish ishlab chiqarishda nomuvofiqlikni ushlaydigan tekshiruvni olib tashlaydi.

Shablonni e'lon qiling, so'ngra ruxsatlarni toraytiring

AD DS da shablon obyektini yaratish va uni beruvchi CA da e'lon qilish turli konsollarda bajariladigan alohida amallardir. Nusxani Certification Authority konsolidan Certificate Templates ostida e'lon qiling, so'ngra buyruq satridan CA endi uni taklif qilishini tekshiring:

certutil -CATemplates
certutil -TCAInfo

Ruxsatlar keyingi. Uni so'rashi kerak bo'lgan guruhlarga Read va Enroll bering, ortiq emas, CA ning o'z o'qish ruxsatini saqlang va Autoenroll ni faqat avtomatik ro'yxatga olish ko'zda tutilgan va uni ishlaydigan qiladigan joylashtirish siyosati bilan qo'llab-quvvatlangan joyda bering. Shablondagi katakcha o'zi hech narsani ro'yxatga olmaydi va ro'yxatga olish ruxsatisiz e'lon qilingan shablon sertifikatni sanab, keyin so'rovni rad etadigan portal yaratadi.

Haqiqiy iste'molchida bitta pilotni ro'yxatdan o'tkazing

Sertifikatni uni ishlatadigan kontekstda so'rang, so'ngra fayl nomiga ishonish o'rniga qaytganini ko'zdan kechiring. Foydalanuvchi sertifikati joriy foydalanuvchi omboriga, kompyuter sertifikati esa mahalliy kompyuter omboriga tushadi va MMC ikkalasini ko'rsatadi, shuning uchun “ishlagan” ro'yxatga olish ham VPN xizmatiga ko'rinmas bo'lib qolishi mumkin.

certlm.msc
certutil -dump vpn-gateway.cer

Dampni subyekt, alternativ nomlar, kengaytirilgan kalit ishlatilishi va zanjir bo'yicha o'qing. Windows bo'lmagan shlyuz uchun so'rovni domendagi avtomatik ro'yxatga olish yetib boradi deb taxmin qilish o'rniga qo'llab-quvvatlanadigan ish oqimi orqali yuboring va eksport qilingan format iste'molchi o'zining mos maxfiy kaliti bilan birga import qiladigan format ekanini tasdiqlang. Nihoyat, ishonch va avtorizatsiyani alohida saqlang: VPN qaysi foydalanuvchilar yoki qurilmalar qaysi resurslarga yetishini hali ham hal qilishi kerak va bekor qilish faqat shlyuz bekor qilishni umuman tekshirsagina ruxsatni olib tashlaydi. Sertifikat shablonlarini boshqarish bo'yicha Microsoft qo'llanmasi shablon konsolini, ruxsatlarni va alohida e'lon qilish bosqichini qamrab oladi.