Thiết kế mẫu AD CS cho vai trò cổng VPN và máy khách

Một CA doanh nghiệp có thể cấp mọi chứng chỉ mà VPN cần mà không bao giờ tự mình là cổng. Công việc thiết kế là quyết định mỗi bên phải chứng minh điều gì, rồi mẫu nào có thể cấp một thông tin xác thực chứng minh đúng điều đó. Tôi bắt đầu bằng bảng vai trò, sao chép một mẫu phù hợp thay vì sửa mẫu tại chỗ, cố định nguồn của chủ thể theo từng vai trò, công bố kết quả trên CA cấp phát và đăng ký một phi công trước khi ai đó tự động hóa. Mỗi bước dưới đây là một chỗ mà một CA đang chạy tốt vẫn tạo ra chứng chỉ mà VPN sẽ từ chối.

Viết bảng vai trò trước khi mở bảng điều khiển mẫu

Hai vai trò, hai mục đích. Cổng chứng minh danh tính dịch vụ, nên chứng chỉ của nó cần Server Authentication (1.3.6.1.5.5.7.3.1), mục đích sử dụng khóa cho chữ ký số và mã hóa khóa, và tên máy chủ mà máy khách kết nối trong tên thay thế của chủ thể. Máy khách xác thực bằng chứng chỉ cần Client Authentication (1.3.6.1.5.5.7.3.2) và một danh tính khớp với điều cổng mong đợi khi kiểm tra phía đối diện. Chứng chỉ người dùng và chứng chỉ máy tính không thể hoán đổi cho nhau, vì chúng nằm trong các kho khác nhau và được các tiến trình khác nhau sử dụng.

Ghi bốn cột cho mỗi vai trò: danh tính phải xuất hiện, mục đích, người dùng khóa và liệu khóa có được rời khỏi máy hay không. Bảng đó về sau quyết định từng ô kiểm, và nó cũng là thứ bạn giao cho người đánh giá. Xác thực máy khách bằng mật khẩu là một nhánh riêng: nếu cổng xác thực người dùng bằng thông tin đăng nhập, việc phân phối chứng chỉ máy khách thêm việc mà không thêm bằng chứng.

Sao chép một mẫu thay vì sửa mẫu dùng chung

Bắt đầu từ một mẫu có mục đích gần đúng, chẳng hạn RAS and IAS Server cho cổng hoặc Computer cho thiết bị đã tham gia miền, rồi sao chép và đặt cho bản sao một cái tên nói rõ nó dùng để làm gì. Mở rộng một mẫu mà các dịch vụ khác đã dùng là thay đổi làm hỏng thứ không liên quan sáu tuần sau. Trên bản sao, đặt chính sách ứng dụng theo mục đích từ bảng vai trò, giữ cách dùng khóa nhất quán với nó, chọn thuật toán và độ dài khóa mà cổng của bạn chấp nhận, và đánh dấu khóa riêng là không thể xuất trừ khi một thiết bị cần xuất nó để di chuyển.

Hiệu lực và gia hạn cũng thuộc về mẫu. Tuổi thọ ngắn dễ thu hồi hơn và khó vận hành hơn; tuổi thọ dài giảm việc đăng ký và kéo dài thời gian phơi bày của khóa bị lộ. Hãy chọn một con số bạn có thể biện hộ, và lưu ý rằng hiệu lực của chính CA và thời hạn gia hạn của mẫu có thể rút ngắn kết quả.

Quyết định chủ thể đến từ đâu

Với máy tính hoặc người dùng trong miền, hãy dựng chủ thể từ thông tin thư mục để người yêu cầu không thể tự gõ tên. Với cổng không tham gia miền, hoặc thiết bị có danh tính được gán ngoài AD, mẫu cần một đường yêu cầu được kiểm soát thay thế. Bật chủ thể và tên thay thế do người yêu cầu cung cấp là một quyết định thật: đó không phải giấy phép để mọi người đã đăng ký đòi bất kỳ tên nào, và chính sách phía CA vẫn phải nói ai được yêu cầu và cần bằng chứng gì.

Windows IKEv2 nghiêm ngặt ở đây. Chứng chỉ cổng được đối chiếu với tên mà máy khách đã cấu hình, nên tên DNS phải có mặt ở nơi máy khách tìm nó, thường là một mục dNSName trong tên thay thế của chủ thể. Tắt kiểm tra tên hoặc kiểm tra mục đích để một chứng chỉ không khớp hoạt động là bỏ đi phép kiểm tra lẽ ra đã bắt được sự không khớp trong môi trường thật.

Công bố mẫu, rồi thu hẹp quyền

Tạo đối tượng mẫu trong AD DS và công bố nó trên CA cấp phát là hai thao tác riêng, làm ở hai bảng điều khiển khác nhau. Công bố bản sao từ bảng điều khiển Certification Authority trong Certificate Templates, rồi kiểm tra từ dòng lệnh rằng CA giờ đã cung cấp nó:

certutil -CATemplates
certutil -TCAInfo

Tiếp theo là quyền. Chỉ cấp Read và Enroll cho các nhóm cần yêu cầu, không hơn, giữ nguyên quyền đọc của chính CA, và chỉ cấp Autoenroll ở nơi đăng ký tự động là có chủ đích và được chính sách triển khai hỗ trợ để nó hoạt động. Một ô kiểm trong mẫu không tự đăng ký gì cả, và một mẫu đã công bố mà không có quyền đăng ký sẽ tạo ra cổng thông tin liệt kê chứng chỉ rồi từ chối yêu cầu.

Đăng ký một phi công ở người dùng thật

Yêu cầu chứng chỉ trong đúng ngữ cảnh sẽ dùng nó, rồi kiểm tra thứ trả về thay vì tin vào tên tệp. Chứng chỉ người dùng rơi vào kho người dùng hiện tại và chứng chỉ máy tính vào kho máy tính cục bộ, và MMC hiển thị cả hai, nên một lần đăng ký “thành công” vẫn có thể vô hình với dịch vụ VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Đọc bản kết xuất về chủ thể, tên thay thế, mục đích sử dụng khóa mở rộng và chuỗi. Với cổng không phải Windows, hãy gửi yêu cầu qua quy trình được hỗ trợ thay vì cho rằng đăng ký tự động của miền đến được nó, và xác nhận rằng định dạng xuất là định dạng mà người dùng nhập vào cùng với khóa riêng tương ứng. Cuối cùng, hãy tách niềm tin và việc ủy quyền: VPN vẫn phải quyết định người dùng hay thiết bị nào đến được tài nguyên nào, và việc thu hồi chỉ gỡ quyền truy cập nếu cổng thực sự kiểm tra thu hồi. Hướng dẫn của Microsoft về quản lý mẫu chứng chỉ bao gồm bảng điều khiển mẫu, quyền và bước công bố riêng.