Ṣíṣe àpẹẹrẹ AD CS fún ipa ẹnu-ọ̀nà VPN àti alábàáṣepọ̀

CA ilé-iṣẹ́ kan lè pèsè gbogbo ìwé-ẹ̀rí tí VPN nílò láìjẹ́ pé òun fúnra rẹ̀ jẹ́ ẹnu-ọ̀nà rí. Iṣẹ́ àwòrán ni láti pinnu ohun tí ẹ̀gbẹ́ kọ̀ọ̀kan gbọ́dọ̀ fi hàn, lẹ́yìn náà irú àpẹẹrẹ wo lè pèsè ẹ̀rí tí yóò fi ọ̀rọ̀ yẹn hàn gẹ́gẹ́ bí ó ti rí. Mo bẹ̀rẹ̀ pẹ̀lú tábìlì ipa, mo ṣe àdàkọ àpẹẹrẹ tó yẹ dípò ṣíṣàtúnṣe ọ̀kan tí ó wà níbẹ̀, mo fi orísun kókó-ọ̀rọ̀ múlẹ̀ fún ipa kọ̀ọ̀kan, mo tẹ̀ àbájáde jáde lórí CA tí ń pèsè, mo sì forúkọṣilẹ̀ aṣàkóso kan kí ẹnikẹ́ni tó ṣe é lọ́nà ẹ̀rọ. Ìgbésẹ̀ kọ̀ọ̀kan nísàlẹ̀ yìí jẹ́ ibi tí CA tí ń ṣiṣẹ́ ṣì ń ṣe ìwé-ẹ̀rí tí VPN yóò kọ̀.

Kọ tábìlì ipa kí o tó ṣí kọ́nsólù àpẹẹrẹ

Ipa méjì, èrò méjì. Ẹnu-ọ̀nà ń fi ìdánimọ̀ iṣẹ́ hàn, nítorí náà ìwé-ẹ̀rí rẹ̀ nílò Server Authentication (1.3.6.1.5.5.7.3.1), ìlò kọ́kọ́rọ́ fún ìbọ̀wọ̀ díjítálì àti ìkọ̀kọ̀ kọ́kọ́rọ́, àti orúkọ olùgbàlejò tí àwọn alábàáṣepọ̀ ń pè nínú orúkọ àròpọ̀ kókó-ọ̀rọ̀. Àwọn alábàáṣepọ̀ tí ń fi ìwé-ẹ̀rí ṣe ìjẹ́rìí nílò Client Authentication (1.3.6.1.5.5.7.3.2) àti ìdánimọ̀ tí ó bá ohun tí ẹnu-ọ̀nà ń retí nínú àyẹ̀wò ẹ̀gbẹ́ kejì mu. Ìwé-ẹ̀rí olùmúlò àti ìwé-ẹ̀rí kọ̀mpútà kì í ṣe pàṣípààrọ̀, nítorí wọ́n ń gbé inú ibi-ìpamọ́ ọ̀tọ̀ọ̀tọ̀ àti pé àwọn ìlànà ọ̀tọ̀ọ̀tọ̀ ni ń lò wọ́n.

Kọ ọ̀wọ̀n mẹ́rin fún ipa kọ̀ọ̀kan: ìdánimọ̀ tí ó gbọ́dọ̀ farahàn, èrò, olùlò kọ́kọ́rọ́, àti bóyá kọ́kọ́rọ́ lè kúrò nínú ẹ̀rọ. Tábìlì yẹn ni yóò pinnu gbogbo pátákó ìṣàyẹ̀wò lẹ́yìn náà, ìyẹn sì ni ohun tí o ń fún olùṣàyẹ̀wò. Ìjẹ́rìí alábàáṣepọ̀ pẹ̀lú ọ̀rọ̀-ìpamọ́ jẹ́ ẹ̀ka ọ̀tọ̀: tí ẹnu-ọ̀nà bá ń fi ẹ̀rí ìdánimọ̀ ṣe ìjẹ́rìí àwọn olùmúlò, pínpín ìwé-ẹ̀rí alábàáṣepọ̀ ń fi iṣẹ́ kún un láìfi ẹ̀rí kún un.

Ṣe àdàkọ àpẹẹrẹ dípò ṣíṣàtúnṣe ọ̀kan tí a pín

Bẹ̀rẹ̀ láti àpẹẹrẹ tí èrò rẹ̀ fẹ́rẹ̀ tọ́, bíi RAS and IAS Server fún ẹnu-ọ̀nà tàbí Computer fún àwọn ẹ̀rọ tí ó darapọ̀ mọ́ agbègbè, lẹ́yìn náà ṣe àdàkọ rẹ̀ kí o sì fún àdàkọ náà ní orúkọ tí ó sọ ohun tí ó wà fún. Fífẹ̀ àpẹẹrẹ tí àwọn iṣẹ́ mìíràn ti ń lò jẹ́ ìyípadà tí yóò ba ohun tí kò ní í ṣe jẹ́ ní ọ̀sẹ̀ mẹ́fà lẹ́yìn. Lórí àdàkọ náà, ṣètò àwọn ìlànà ohun-èlò sí èrò tí ó wà nínú tábìlì ipa, tọ́jú ìlò kọ́kọ́rọ́ kí ó bá a mu, yan àlùmọ́nà àti gígùn kọ́kọ́rọ́ tí àwọn ẹnu-ọ̀nà rẹ gbà, kí o sì samì kọ́kọ́rọ́ àdáni gẹ́gẹ́ bí èyí tí kò lè jáde àyàfi tí ẹ̀rọ kan bá nílò láti gbé e jáde kí ó lè gbé e lọ.

Ìwúlò àti ìsọdọ̀tun tún jẹ́ ti àpẹẹrẹ náà. Ìgbésí ayé kúkúrú rọrùn láti fagilé, ó sì ṣòro láti darí; èyí tí ó gùn ń dín iṣẹ́ ìforúkọṣilẹ̀ kù, ó sì ń fa àkókò ìfarahàn kọ́kọ́rọ́ tí ó tú kù. Yan nọ́mbà tí o lè gbèjà, kí o sì ṣàkíyèsí pé ìwúlò CA fúnra rẹ̀ àti àkókò ìsọdọ̀tun àpẹẹrẹ lè gé àbájáde kúrú.

Pinnu ibi tí kókó-ọ̀rọ̀ ti ń wá

Fún kọ̀mpútà tàbí olùmúlò agbègbè, kọ́ kókó-ọ̀rọ̀ láti inú ìsọfúnni àkójọpọ̀ kí olùbéèrè má baà lè tẹ orúkọ náà. Fún ẹnu-ọ̀nà tí kò darapọ̀ mọ́ agbègbè, tàbí ẹ̀rọ tí a ń fi ìdánimọ̀ rẹ̀ fún ní ẹ̀yìn AD, àpẹẹrẹ nílò ọ̀nà ìbéèrè tí a ń ṣàkóso dípò. Mímú kókó-ọ̀rọ̀ àti orúkọ àròpọ̀ tí olùbéèrè ń pèsè ṣiṣẹ́ jẹ́ ìpinnu gidi: kì í ṣe ìwé-àṣẹ fún gbogbo ẹni tí ó forúkọṣilẹ̀ láti béèrè orúkọ èyíkéyìí, ìlànà ẹ̀gbẹ́ CA sì gbọ́dọ̀ ṣì sọ ẹni tí ó lè béèrè àti irú ẹ̀rí tí a nílò.

Windows IKEv2 le gan-an níbí. A ń fi ìwé-ẹ̀rí ẹnu-ọ̀nà wé orúkọ tí alábàáṣepọ̀ ti ṣètò, nítorí náà orúkọ DNS gbọ́dọ̀ wà níbi tí alábàáṣepọ̀ ti ń wá a, ní ọ̀pọ̀ ìgbà àkọsílẹ̀ dNSName nínú orúkọ àròpọ̀ kókó-ọ̀rọ̀. Pípa àyẹ̀wò orúkọ tàbí àyẹ̀wò èrò dà láti jẹ́ kí ìwé-ẹ̀rí tí kò bá mu ṣiṣẹ́ ń yọ àyẹ̀wò tí ìbá ti mú àìbámu ní àyíká iṣẹ́ gidi.

Tẹ̀ àpẹẹrẹ jáde, lẹ́yìn náà dín àwọn àṣẹ kù

Ṣíṣe kókó-ẹ̀rọ àpẹẹrẹ nínú AD DS àti títẹ̀ ẹ́ jáde lórí CA tí ń pèsè jẹ́ ìṣe ọ̀tọ̀ọ̀tọ̀, tí a ń ṣe ní kọ́nsólù ọ̀tọ̀ọ̀tọ̀. Tẹ̀ àdàkọ náà jáde láti kọ́nsólù Certification Authority lábẹ́ Certificate Templates, lẹ́yìn náà fi ìlà àṣẹ ṣàyẹ̀wò pé CA ti ń pèsè rẹ̀ báyìí:

certutil -CATemplates
certutil -TCAInfo

Àwọn àṣẹ ni ó tẹ̀lé. Fún àwọn ẹgbẹ́ tí ó yẹ kí wọ́n béèrè rẹ̀ ní Read àti Enroll, kì í ṣe ju bẹ́ẹ̀ lọ, tọ́jú àǹfààní kíkà ti CA fúnra rẹ̀, kí o sì fi Autoenroll fún ibi tí ìforúkọṣilẹ̀ aládàáṣe ń wà ní èrò àti tí ìlànà ìgbékalẹ̀ tí ń mú kí ó ṣiṣẹ́ ń gbèjà rẹ̀. Pátákó ìṣàyẹ̀wò nínú àpẹẹrẹ kì í forúkọṣilẹ̀ ohunkóhun fúnra rẹ̀, àpẹẹrẹ tí a tẹ̀ jáde láìsí àṣẹ ìforúkọṣilẹ̀ yóò sì dá ẹnu-ọ̀nà kan tí yóò to ìwé-ẹ̀rí náà lẹ́sẹẹsẹ tí yóò sì kọ ìbéèrè náà.

Forúkọṣilẹ̀ aṣàkóso kan ní ọ̀dọ̀ olùlò gidi

Béèrè ìwé-ẹ̀rí náà nínú àyíká tí yóò lò ó, lẹ́yìn náà ṣàyẹ̀wò ohun tí ó padà dípò gbígbẹ́kẹ̀lé orúkọ fáìlì. Ìwé-ẹ̀rí olùmúlò ń lọ sínú ibi-ìpamọ́ olùmúlò lọ́wọ́lọ́wọ́, tí kọ̀mpútà sì ń lọ sínú ibi-ìpamọ́ kọ̀mpútà àdúgbò, MMC sì ń fi àwọn méjèèjì hàn, nítorí náà ìforúkọṣilẹ̀ tí ó “ṣiṣẹ́” lè ṣì jẹ́ aláìlèrí fún iṣẹ́ VPN.

certlm.msc
certutil -dump vpn-gateway.cer

Ka àtẹ̀jáde náà fún kókó-ọ̀rọ̀, orúkọ àròpọ̀, ìlò kọ́kọ́rọ́ tí a gbòòrò àti ẹ̀wọ̀n. Fún ẹnu-ọ̀nà tí kì í ṣe Windows, fi ìbéèrè náà ránṣẹ́ nípasẹ̀ ìṣàn iṣẹ́ tí a gbèjà dípò ríronú pé ìforúkọṣilẹ̀ aládàáṣe agbègbè dé ọ̀dọ̀ rẹ̀, kí o sì jẹ́rìí pé irú àkójọpọ̀ tí a gbé jáde ni èyí tí olùlò ń kó wọlé pẹ̀lú kọ́kọ́rọ́ àdáni tí ó bá a mu. Ní ìparí, ya ìgbẹ́kẹ̀lé àti àṣẹ sọ́tọ̀: VPN ṣì gbọ́dọ̀ pinnu àwọn olùmúlò tàbí ẹ̀rọ wo tí ń dé àwọn ohun àmúṣọrọ̀ wo, fífagilé sì ń yọ àǹfààní kúrò nìkan tí ẹnu-ọ̀nà bá ṣàyẹ̀wò fífagilé rárá. Ìtọ́nisọ́nà Microsoft lórí ṣíṣàkóso àwọn àpẹẹrẹ ìwé-ẹ̀rí ń bo kọ́nsólù àpẹẹrẹ, àwọn àṣẹ àti ìgbésẹ̀ ìtẹ̀jáde ọ̀tọ̀.