Это краткое руководство демонстрирует развертывание и тестирование удостоверяющего центра предприятия на MS Windows Server 2008/2008R2 RC в инфраструктуре «один лес, один домен».

Развертывание УЦ выполняется в рамках подготовки к публикации веб-почты (OWA) MS Exchange Server 2007 с помощью MS ISA Server 2006.

Инфраструктура публичных ключей

Инфраструктура Публичных Ключей обеспечивает защиту электронных писем от перлюстрации, безопасную оплату в интернет-магазинах и, в целом, безопасную передачу информации. Она включает в себя сертификаты, удостоверяющие центры (УЦ) и компьютеры-клиенты. УЦ выдают сертификаты клиентам – пользователям и компьютерам. При электронной переписке, сертификат пользователя дает нам уверенность в том, что письмо получено именно от этого пользователя, а не от мошенника. При покупке на веб-сайте, сертификат компьютера (веб-сайта) дает нам уверенность в том, что мы пришли в интернет-магазин, заслуживающий доверия. Сертификаты являют видимой частью айсберга, поэтому корректнее было бы использовать название Инфраструктура Сертификатов.

В инфраструктуре публичных ключей используются неразрывные пары ключей: публичный + секретный (закрытый). Публичные ключи обычно доступны всем, а секретные хранятся только у владельцев ключей. Ключи всегда существуют парами, публичный ключ хранится в сертификате, секретный – защищенно, на компьютере или съемном носителе.

Сертификат выдается удостоверяющим центром (УЦ). УЦ присваивает сертификату запрошенное Имя (Subject Name) и записывает в сертификат публичный ключ, сведения об УЦ-эмитенте, сроке годности и другую полезную информацию. При истечении срока годности сертификат теряет свою силу и более не может быть использован. Если по какой-то причине (например, в случае кражи) сертификат должен быть объявлен негодным до окончания срока годности, администратор УЦ вносит сертификат в список «отозванных» сертификатов. В любое время клиент может проверить сертификат и отказать в сотрудничестве, если сертификат входит в черный список.

Замечание Описанная здесь инфраструктура предназначена для испытательных целей, а не для производственной системы.

О сервисах

Удостоверяющий центр

Удостоверяющий центр выдает сертификаты только идентифицированным пользователям и компьютерам. Если пользователь или компьютер прошли аутентификацию в домене Windows, УЦ предприятия имеет достаточно информации и обычно не задает дополнительных вопросов.

Пользователь может запросить сертификат в MMC-консоли Certificates или через веб-форму. Хотя запрос через веб-форму является простым и в то же время безопасным (вся передаваемая информация шифруется), особенности УЦ на Windows 2008 иногда требуют работы в командной строке.

Защищенная веб-почта на платформе Exchange + ISA

Любая внешняя сеть или сообщество внешних сетей (интернет) считаются агрессивной средой, поэтому доступ из внешней сети к веб-почте на Exchange 2007 должен быть защищен и для этого удобнее всего применять ISA 2006. Защищенный доступ клиента обеспечивает сертификат компьютера на ISA 2006. Сертификат можно купить у коммерческого УЦ, но в нашем случае сертификат выдаст «домашний» УЦ, развернутый на Windows 2008.

Развертывание УЦ предприятия

Полное имя компьютера: sCA.lab.dom

• MS Windows Server 2008 Standard English

  MS Windows Server 2008 R2 Standard English Release Candidate – допустимо для лабораторной среды.

Член домена: lab.dom.

Первая попытка получения сертификата с помощью Internet Explorer

Если на Windows 2008 развернуть удостоверяющий центр по процедуре Развертывание УЦ – вы не сможете получить сертификат для ISA 2006 с помощью Internet Explorer.

А если попытаетесь, то получите сообщение об ошибке:

На снимках хорошо видно, что компонент Certification Authority Web Enrollment требует поддержки протокола HTTPS, в то время как веб-сервер не поддерживает HTTPS. Это недоразумение сохранилось и в MS Windows Server 2008 R2 Release Candidate.

Чтобы компонент Certification Authority Web Enrollment мог нормально работать, придется сделать дополнительные шаги.

Дополнительные шаги

Получение сертификата для УЦ и веб-сервера

Связывание сертификата с веб-сервером

Вторая попытка получения сертификата с помощью Internet Explorer

Для обеспечения защищенного доступа к веб-почте, компьютер с ISA 2006 должен располагать сертификатом компьютера. Решив первую проблему и получив доступ по протоколу HTTPS к УЦ на Windows 2008, вы все равно не сможете получить сертификат компьютера на основе шаблона Веб-сервер .

А если попытаетесь получить сертификат…

…то с удивлением обнаружите, что невозможно включить необходимый параметр .

Чтобы получить желанный сертификат компьютера, придется перейти к работе в командной строке.

Получение сертификата компьютера в командной строке

Перед выполнением процедуры следует убедиться в том, что на ISA:2006:

Включено системное правило c номером 1 Allow access to directory services for authentication purposes .

Создано и включено правило, пропускающее TCP-трафик от ISA к УЦ в диапазоне портов 49152 – 65535.

• На диапазон 49152 – 65535 косвенно указывает документ http://support.microsoft.com/kb/929851 . Существует возможность зафиксировать порт на Windows 2008 и затем ужесточить правило на ISA 2006.

Открыть командную консоль, перейти в каталог C:\Service (при необходимости создать каталог C:\Service).

Создать файл C:\Service\Request.inf, содержащий текст.

Signature= "$Windows NT$"

Subject = "CN=<полное_внешнее_имя_для_сервиса_OWA>"

KeyLength = 1024

Exportable = TRUE

MachineKeySet = TRUE

UseExistingKeySet = FALSE

ProviderName = "Microsoft RSA SChannel Cryptographic Provider"

ProviderType = 12

RequestType = PKCS10

OID=1.3.6.1.5.5.7.3.1

Пример файла Request.inf. На данном снимке полное внешнее имя для веб-почты: owa.ext-lab.dom

Благодаря выражению Exportable=true мы получим желанную галочку Пометить ключ как экспортируемый , а MachineKeyset=true даст сертификат компьютера.

Выполнить команду для запроса сертификата

certreq -new Request.inf Request.req

Выполнить команду для получения сертификата

certreq -submit -attrib "CertificateTemplate:WebServer" Request.req Server.crt

Появляется диалог Select Certification Authority.

В диалоге щелкнуть по единственному УЦ и затем нажать OK .

Если УЦ успешно выдал сертификат, появляется сообщение об успешном получении сертификата:

Выполнить команду для установки сертификата

certreq -accept Server.crt

Выполнить тесты Проверка наличия сертификата компьютера и Проверка пригодности сертификата для веб-прослушивателя .

Тесты

Получение сертификата пользователя с помощью веб-формы

О компьютере, на котором мы будем работать:

• Тестовый компьютер работает под управлением Windows Server 2003 English (требование версии 2003 вовсе не является обязательным, просто снимки сделаны именно в этой версии) и является членом домена.
• Internet Explorer 6.0 (версия 6 также не является обязательной).

Проверка наличия сертификата компьютера

О компьютере, на котором мы будем работать:

Член домена: lab.dom.

Зарегистрироваться на компьютере с учетной записью администратора домена.

На рабочем столе открыть консоль Certificates (Local computer).msc.

(Консоль была создана на шаге Получение сертификата для УЦ и веб-сервера )

В консоли перейти к Console Root / Certificates (Local Computer) / Personal / Certificates .

В консоли должен присутствовать сертификат с именем <полное_внешнее_имя_для_сервиса_OWA>

Н а данном снимке полное внешнее имя для веб-почты: owa.ext-lab.dom

Проверка пригодности сертификата для веб-прослушивателя

О компьютере, на котором мы будем работать:

Полное имя компьютера: r01.lab.dom

Полное имя, по которому компьютер r01.lab.dom предоставляет доступ к веб-почте из внешней сети: owa.lab.dom

• MS Windows Server 2003 Standard English

  Один внешний сетевой интерфейс, с единственным фиксированным IP-адресом.

  Один внутренний сетевой интерфейс, с единственным фиксированным IP-адресом.

Член домена: lab.dom.

MS ISA Server 2006 Standard English

• Веб-прослушиватель создан по процедуре Создание веб-прослушивателя .

Приложение

Создание веб-прослушивателя

Компактный вариант процедуры.

О компьютере, на котором мы будем работать:

Полное имя компьютера: r01.lab.dom

Полное имя, по которому компьютер r01.lab.dom предоставляет доступ к веб-почте из внешней сети: owa.lab.dom

• MS Windows Server 2003 Standard English

  Один внешний сетевой интерфейс, с единственным фиксированным IP-адресом.

  Один внутренний сетевой интерфейс, с единственным фиксированным IP-адресом.

Член домена: lab.dom.

MS ISA Server 2006 Standard English

Выполняется на ISA под учетной записью администратора домена.

В консоли ISA выбрать объект Firewall Policy / Toolbox / Web Listeners .

Из контекстного меню выбрать New Web Listener.

Ввести параметры в помощнике New Web Listener Definition Wizard.

a) Web Listener Name: SSL

b) Выбрать Require SSL secured connection with clients

c) Web Listener IP Addresses

i) Выбрать только External

(1) Для выбранной сети установить

d) Назначить валидный сертификат для внешнего сетевого интерфейса.

i) Выбрать Assign a certificate for each IP address

Выбор IP-адреса происходит автоматически, поскольку есть только один внешний сетевой интерфейс и один IP-адрес для интерфейса.

ii) Нажать Select Certificate…

П оявляется диалог Select Certificate.

iii) В верхней половине диалога выбрать валидный сертификат, и затем нажать Select .

e) Выбрать Authentication Settings: HTML Form Authentication

i) По умолчанию выбрано Windows (Active Directory) – оставить выбор в силе.

f) Отключить Enable SSO for Web sites published with this Web listener

Принять изменения нажатием Apply в панели.

Владислав Артюков

(Vladislav Artukov)

Перед каждым администратором рано или поздно возникает необходимость обеспечить безопасный обмен информации через интернет, внешние и внутренние сети, а также проверку подлинности каждой из сторон, участвующих в обмене информацией. На помощь здесь приходит инфраструктура открытых ключей (PKI) и службы сертификации Windows.

Инфраструктура открытых ключей позволяет использовать цифровые сертификаты для подтверждения подлинности владельца и позволяет надежно и эффективно защищать трафик передаваемый по открытым сетям связи, а также осуществлять с их помощью аутентификацию пользователей. Основой инфраструктуры открытых ключей является центр сертификации, который осуществляет выдачу и отзыв сертификатов, а также обеспечивает проверку их подлинности.

Для чего это может быть нужно на практике? Цифровые сертификаты позволяют использовать шифрование на уровне приложений (SSL/TLS) для защиты веб-страниц, электронной почты, служб терминалов и т.п., регистрацию в домене при помощи смарт-карт, аутентификацию пользователей виртуальных частных сетей (VPN), шифрование данных на жестком диске (EFS), а также в ряде случаев обойтись без использования паролей.

Для создания центра сертификации нам понадобится сервер, работающий под управлением Windows Server, который может быть как выделенным, так и совмещать роль центра сертификации с другими ролями. Однако следует помнить, что после развертывания центра сертификации вы не сможете поменять имя компьютера и его принадлежность к домену (рабочей группе).

Центр сертификации (ЦС) может быть двух типов: ЦС предприятия и изолированный (автономный) ЦС, рассмотрим их отличительные особенности:

ЦС предприятия

• Требует наличия ActiveDirectory
• Автоматическое подтверждение сертификатов
• Автоматическое развертывание сертификатов
• Возможность запроса сертификатов через Web-интерфейс, мастер запросов и автоматическое развертывание

Изолированный (автономный) ЦС

• Не требует наличия ActiveDirectory
• Ручное подтверждение сертификатов
• Отсутствие возможности автоматического развертывания
• Запрос сертификатов только через Web-интерфейс

Методика развертывания ЦС для Windows Server 2003 и Windows Server 2008 несколько различаются, поэтому мы решили рассмотреть их в отдельности.

Windows Server 2003

Для возможности использования Web-интерфейса для выдачи сертификатов нам понадобится установленный web-сервер IIS. Установим его через диспетчер сервера: Пуск - Управление данным сервером - Добавить или удалить роль .
В списке ролей выбираем роль Сервера приложений . В следующем окне устанавливаем галочку Включить ASP.NET , если IIS уже установлен данный шаг можно пропустить.

После установки IIS приступим к развертыванию Центра сертификации, это делается через оснастку Установка и удаление программ - Установка компонентов Windows , где выбираем Службы сертификации .

Следующим шагом выберите тип ЦС и его подчиненность. Так как в нашем случае сеть не имеет доменной структуры, то ЦС Предприятия недоступен для выбора. Поскольку это первый (и пока единственный ЦС) следует выбрать корневой сервер, подчиненный тип следует выбирать для развертывания следующих ЦС, например для филиалов.

Далее вводим имя ЦС (должно совпадать с именем сервера) и пути размещения файлов. В процессе установки программа предложит перезапустить IIS и, если не была включена поддержка страниц ASP.NET, предложит ее включить, с чем следует согласиться.

Windows Server 2008 R2

В Windows Server 2008 (2008 R2) все настройки консолидированы в одном месте, что делает установку ЦС более простой и удобной. Выбираем Диспетчер сервера - Роли - Добавить роли , в списке ролей выбираем Службы сертификации Active Directory .

В следующем окне обязательно добавляем компонент Служба регистрации в центре сертификации через интернет . При этом будут автоматически определены необходимые службы ролей и компоненты (такие как IIS) и будет предложено их добавить.

Дальнейшая настройка аналогична Windows Server 2003. Вводим тип ЦС, его имя и место хранения файлов, подтверждаем выбор компонент и завершаем установку.

Проверка работы ЦС

Для первоначальной проверки работоспособности ЦС можете запустить оснастку Центр сертификации (Пуск - Администрирование - Центр Сертификации). Если все сделано правильно вы должны увидеть следующее окно:
Попробуем теперь получить сертификат для клиентского ПК. Запустим браузер, в адресной строке которого укажем адрес http://имя_сервера/certsrv , где имя_сервера - имя сервера ЦС. Вы попадете на главную страницу центра сертификации.
Прежде всего необходимо загрузить сертификат ЦС и поместить его в хранилище доверенных коренных центров сертификации. Если в вашей сети несколько ЦС следует загрузить и установить цепочку сертификатов. Для этого выбираем: Загрузка сертификата ЦС, цепочки сертификатов или CRL , затем или и сохраняем сертификат в любое удобное место.

Теперь перейдем к установке, для этого щелкнем правой кнопкой на файле сертификата и выберем Установить сертификат , откроется мастер импорта, в котором откажемся от автоматического выбора хранилища вручную выбрав Доверенные корневые центры сертификации , теперь данный ПК будет доверять всем сертификатам выданным данным ЦС.

Для получения клиентского сертификата снова откроем сайт ЦС и выберем Запрос сертификата - расширенный запрос сертификата - Создать и выдать запрос к этому ЦС . Заполняем форму запроса, в качестве имени указываем имя ПК или пользователя, в качестве типа сертификата указываем Сертификат проверки подлинности клиента и жмем кнопку Выдать .

При попытке создать запрос сертификата вы можете получить следующее предупреждение:

В этом случае можно добавить данный узел в зону Надежные узлы и установить низкий уровень безопасности для этой зоны. В Windows Server понадобится также разрешить загрузку неподписанных ActiveX.

Теперь на сервере откроем оснастку Центр сертификации и в разделе Запросы на ожидание найдем наш запрос и щелкнув на него правой кнопкой выберем Все задачи - Выдать .

Теперь вернемся на клиентский ПК и еще раз откроем сайт ЦС. На этот раз выберем Просмотр состояния ожидаемого запроса сертификата , вы увидите свой запрос, щелкнув на которой вы попадете на страницу Сертификат выдан и сможете сразу его установить.

Если все сделано правильно, то сертификат успешно установится в хранилище личных сертификатов.

По окончании проверки не забудьте удалить ненужные сертификаты с клиентского ПК и отозвать их в центре сертификации на сервере.

СОЗДАНИЕ ЦЕНТРА СЕРТИФИКАЦИИ (УДОСТОВЕРЯЮЩЕГО ЦЕНТРА) В WINDOWS SERVER 2008

Цель работы.

Приобретение практических навыков развертывания и настройки центра сертификации встроенными средствами Windows Server 2008.

Используемые программные средства.

Компьютер или виртуальная машина с ОС Windows Server 2008 и установленной и настроенной ролью Active Directory Domain Services (контроллер домена).

Описание работы.

Предыдущая лабораторная работа была посвящена вопросам использования цифровых сертификатов Х.509 конечными пользователями. В данной лабораторной работе рассматриваются возможности, которые предоставляет Windows Server 2008 по созданию собственно цензра сертификации (англ. Certification Authority, СА) в организации. Соответствующие службы присутствовали в серверных операционных системах семейства Windows, начиная с Windows 2000 Server.

В Windows Server 2008 для того, чтобы сервер смог работать как центр сертификации, требуется сначала добавить серверу роль Active Directory Certificate Services. Делается это с помощью оснастки Server Manager, которую можно запустить из раздела Administrative Tools в стартовом меню.

В Server Manager раскроем список ролей и выберем добавление роли (Add Roles), см. рис. 5.19.

Рис. 5.19.

В нашем примере роль добавляется серверу, являющемуся членом домена Windows. Так как это первый СА в домене, он в нашей сети будет играть роль корневого {англ. Root). Рассмотрим по шагам процедуру установки.

В списке доступных ролей выбираем требующуюся нам Active Directory Certificate Services и нажимаем Next (рис. 5.20). После этого запускается мастер, который сопровождает процесс установки.

В дополнение к обязательной службе «Certification Authority» могут быть установлены дополнительные средства, предоставляющие Web-интерфейс для работы пользователей с СА (рис. 5.21). Это может понадобиться, например, для выдачи сертификатов удаленным или внешним пользователям, не зарегистрированным в домене. Для выполнения данной лабораторной работы эта служба не понадобится.

Рис. 5.20.

Рис. 5.21.

Следующий шаг - определения типа центра сертификации. Он может быть корпоративным (англ. Enterprise) или отдельно стоящим (анг 7. Standalone), см. рис. 5.22. Разница заключается в том, что Enterprise СА может быть установлен только на сервер, являющийся членом домена, так как для его работы требуется служба каталога Active Directory. Standalone СА может работать вне домена, например, обрабатывая запросы пользователей, полученные через Web-интсрфсйс. Для выполнения лабораторной работы нужно выбрать версию Enterprise.

Рис. 5.22.

Следующее окно мастера позволяет определить, создается корневой (англ. Root) или подчиненный (англ. Subordinate) СА, см. рис. 5.23. В нашем примере развёртываемый СА является первым и единственным, поэтому выбираем вариант Root.

Рис. 5.23.

Рис. 5.24.

Создаваемый центр сертификации должен будет использовать при работе как минимум одну ключевую пару - открытый и секретный ключ (иначе он не сможет подписывать выпускаемые сертификаты). Поэтому для продолжения установки мастер запрашивает, нужно ли создать новый секретный ключ, или будет использоваться уже существующий (тогда надо будет указать, какой ключ использовать). В нашей лабораторной работе надо создать новый ключ. При этом потребуется выбрать «криптографический провайдер» (программный модуль, реализующий криптоалгоритмы) и алгоритм хеширования. Согласимся с настройками по умолчанию (рис. 5.24).

Задание 1.

На учебном сервере или виртуальной машине установите роль Active Directory Certificate Services с настройками, аналогичными рассмотренным выше.

Управлять работой СА можно из оснастки Certification Authority, которая должна появиться в разделе Administrative Tools (рис. 5.25).

Рис. 5.25.

Как видно на рис. 5.25, только что установленный Enterprise СА уже выпустил некоторое количество сертификатов для служебных целей, в частности, сертификаты для контроллеров домена. В свойствах данного сервера (пункт Properties контекстного меню) можно посмотреть сделанные настройки. Если выбрать закладку Policy Module и там нажать кнопку Properties, можно увидеть текущую настройку, определяющую порядок выдачи сертификатов (рис. 5.26).

Рис. 5.26.

В выбранном на рис. 5.26 случае, после запроса сертификат выдастся в соответствии с настройками шаблона сертификата (или автоматически, если настроек нет). Возможен вариант, когда запрос помещается в очередь ожидающих, и сертификат выпускается только после утверждения администратором.

Задание 2.

Ознакомьтесь с текущими настройками центра сертификации.

Опишите, какие шаблоны сертификатов {англ. Certificate Templates) определены, и для каких целей служит каждый тип сертификатов.

Посмотрите, какие сертификаты выпущены {англ. Issued Certificates), есть ли отозванные сертификаты (ангч. Revoked Certificates).

Теперь рассмотрим процесс получения цифрового сертификата. Сделать это можно с помощью оснастки Certificates, с которой мы познакомились в предыдущей работе. Если она не установлена, запустите консоль mmc и добавьте эту оснастку для текущей учетной записи.

Запустим оснастку, откроем раздел, посвященный сертификатам пользователя {англ. Personal) и запросим сертификат (рис. 5.27). Из перечня предложенных шаблонов сертификатов выберем User. Данный тип сертификатов может использоваться для шифрования файлов с помощью EFS (Encrypted File System - шифрующая файловая система), защиты электронной почты и аутентификации пользователей.

Рис. 5.27.

Для пользователя будет сгенерирована ключевая пара, и на основе данных, взятых из базы службы Active Directory и шаблона, будет выпущен сертификат, удостоверяющий открытый ключ. Этот ссртификат будет виден и в оснастке Certification Authority в списке выпущенных данным сервером.

Задание 3.

• 1. Запросите сертификат для одного из пользователей.
• 2. После получения изучите состав сертификата, его назначение.
• 3. Выполните экспорт сертификата (в оснастке Certificates выделите сертификат и в контекстном меню выберите All Tasks -> Export). Обратите внимание, что можно экспортировать только сертификат или сертификат вместе с секретным ключом (private key). Второй вариант надо использовать аккуратно, чтобы кто-нибудь не узнал ваш секретный ключ шифрования. Такой тип экспорта нужен, если вы хотите сохранить резервную копию ключевой пары и сертификата.

Реализация VPN в Windows Server 2008R2 претерпела значительные изменения, теперь успех зависит в том числе и от умения управлять сертификатами.

Сегодня большая редкость, когда все части компании находятся в одном здании, чаще офисы территориально размещены ближе к заказчикам в разных районах города или регионам страны. Единственным безопасным способом объединить их в единую сеть и обеспечить прозрачный доступ к информации это использовать технологию виртуальных частных сетей (ВЧС, англ. Virtual Private Network, VPN). Последнее реализовать можно разными средствами и способами, используя как программные так и аппаратные решения. Не остались в стороне разработчики Microsoft, в последней серверной версии Windows Server 2008 R2 поддерживается четыре протокола VPN (PPTP, L2TP, IPsec и SSTP) плюс технология . Все они используют для аутентификации цифровые сертификаты. Например, аутентификация не считается сильной стороной PPTP, но в Windows Server 2008R2 поддерживается расширение EAP-TLS, обеспечивающее наибольшую безопасность для PPTP. Вот для его работы нам и потребуется сертификат сервера. В корпоративной среде таких сертификатов может насчитываться десятки и сотни, поэтому разворачивают инфраструктуру управления открытыми ключами (PKI — Public Key Infrustructure). Рассмотрим, как заставить работать вместе VPN и PKI.

Создание сертификата

Служба сертификации Active Directory (Active Directory Certificate Services, AD CS) является одним из компонентов Active Directory и обеспечивает создание и управление сертификатами, которые могут быть использованы для всех технологий и сервисов (VPN, EFS, защита доступа к сети и других). Начиная с Windows Server 2008 пользователи и компьютеры, входящие в домен, могут получать сертификат при помощи механизма автоматической выдачи, что очень упрощает администрирование, ведь не нужно беспокоиться о его доставке. Роль службы сертификации Active Directory устанавливается стандартно, просто отмечаем флажком одноименный пункт.

На этапе выбора службы ролей будет предложено 6 пунктов, отмечаем как минимум Центр сертификации и Служба регистрации в центре сертификации через Интернет , мастер предложит дополнительно установить роль Веб-сервер IIS с поддержкой технологии ASP. Выбираем тип центра сертификации (ЦС) — Предприятие (Enterprice CA) или Автономный ЦС (Standalone CA). Первый — для создания сертификатов использует шаблоны и возможности службы Active Directory, для их распространения задействуется групповые политики. Генерируем закрытый ключ, указав имя ЦС и домена. По умолчанию используется алгоритм шифрования SHA1 с длиной ключа 2048 бит, ключ будет действителен в течение 5 лет (то есть до этого срока будут действительны и все выданные ЦС сертификаты). В большинстве случаев этого достаточно. После установки управление сертификатами производится из вкладки в Диспетчере сервера , консолей Центр сертификации и Центра регистрации работоспособности, ярлыки для запуска которых находятся в меню Администрирование и консоли PKI предприятия (PKIView ). Кроме этого для управления сертификатами следует добавить оснастки MMC – Сертификаты и Шаблоны сертификатов (Файл — Добавить или удалить оснастку).
Для удобства создания сертификатов используются шаблоны доступ к которым производится из консоли Шаблоны сертификатов . В списке их более двух десятков, назначение их понятно из названия и краткого описания. В контексте статьи нас интересует IPSec (для IKEv2) или RAS и IAS сервер (для EAP PPTP). Хотя теоретически можно выбрать любой, затем копируем шаблон через контекстное меню и редактируем его свойства в соответствии с назначением, результат сохраняем под любым удобным именем, чтобы в дальнейшем шаблон можно было бы использовать повторно. В частности во вкладке свойств сразу прописываем название группы, члены которой будут подключаться через VPN. В разрешениях обязательно ставим флажок “Автоматическая подача заявок ”
Теперь осталось запросить сертификат с VPN сервера. Это можно сделать через оснастку MMC Сертификаты или веб-интерфейс службы регистрации в центре сертификации (https://сайт/certsrv ). В процессе работы мастера выбираем шаблон сертификата, при необходимости редактируем свойства и нажимаем кнопку Заявка . В случае Enterprice CA сертификат автоматически устанавливается на сервер.

Разворачиваем службу маршрутизации и удаленного доступа

Типичная инфраструктура, необходимая для создания VPN на базе Windows Server 2008 R2 состоит из , сервера сертификатов, серверов RRAS (Routing and Remote Access, маршрутизации и удаленного доступа) и политики сети (NPS, Network Policy Server). Конкретное размещение этих компонентов зависит от топологии сети и предполагаемой нагрузки (количества пользователей). Все сервисы кроме контроллера домена Active Directory, который должен быть “спрятан” и хорошо защищен, вполне могут работать на одном компьютере. Сервер с ролью RRAS, должен обязательно иметь две сетевые карты. Кроме него для аутентификации можно задействовать любой внешний RADIUS сервер. Раздача внутренних IP-адресов для клиентов VPN клиентам производится средствами RRAS сервера или при помощи отдельного DHCP сервера. В последнем случае следует помнить, что RRAS может арендовать на DHCP сервере до 10 адресов одновременно.
Для пользователей, которые будут подключаться через VPN, создается отдельная группа в службе каталогов, а все серверы с перечисленными ролями должны быть подключены к домену. В свойствах учетной записи (консоль Active Directory – пользователи и компьютеры) следует активировать пункт Управление на основе политик удаленного доступа (Control Access Through NPS Network Policy) или Разрешить доступ (Allow Access) в меню Входящие звонки (Dial-in).
Сервер RRAS является одной из служб ролей Службы политики сети и доступа (NPS, Network Policy and Access Services). Отмечаем последний в окне установки роли в Диспетчере сервера, затем на этапе выбора служб роли ставим флажок в Роль службы маршрутизации и удаленного доступа. Если планируется использовать IPSec то следует активировать пункт Центр регистрации работоспособности (Health Registration Authority, HRA) компонент NAP, обеспечивающим безопасность для соединений по этому протоколу.
По окончании установки во вкладке Роли в Диспетчере сервера появится новый пункт. Также в меню Администрирование появится ярлык для запуска консолей Сервер политики сети и Маршрутизация и удаленный доступ .
Сервис установлен, но не настроен. В начале нужно его активировать. Запускаем консоль. По умолчанию подключение производится к локальной системе, к удаленной системе подсоединяемся выбрав ссылку Добавить сервер .
Выбираем в контекстном меню пункт Настроить и включить маршрутизацию и удаленный доступ (Configure and Enable Routing and Remote Access), появляется мастер предлагающий активировать один из пяти вариантов преднастройки сервера, четыре из них предоставляют готовые установки. По умолчанию предлагается пункт Удаленный доступ (VPN или модем) (Remote access (dial-up or VPN)), который подходит для большинства ситуаций применения VPN. Остальные “отвечают” за активацию сервиса NAT, связки VPN+NAT, соединение между двумя сетями и выборочную настройку. Если внешние клиенты должны получать доступ к серверу сертификации, может потребоваться и NAT, иначе SSTP соединение работать не будет. В таком случае выбираем Доступ к виртуальной частной сети (VPN) и NAT (Virtual Private Network (VPN) access and NAT).
Далее отмечаем внешний сетевой интерфейс, к которому будут подключаться VPN клиенты. После чего мастер предложит определиться с тем, как назначать IP-адреса клиентам: автоматически или вручную. Вариант Автоматически подходит для тех случаев, когда в сети имеется установленный и настроенный DHCP сервер. Иначе указываем Из заданного диапазона адресов (From a specified range of addresses) и вводим диапазон IP-адресов. Если в сети не используется RADIUS сервер, то аутентификацию пользователей можно производить средствами RRAS, для этого следующем окне оставляем значение Нет, использовать службу маршрутизации и удаленного доступа … (No, use Routing and Remote Access Server …). По окончании настроек появится сообщение, говорящее о том, что выбранный режим распределения IP-адресов потребует наличия агента DHCP-ретрансляции (DHCP Relay Agent). Просто принимаем это к сведению, никаких действий больше производить не нужно.
В окне консоли Маршрутизация и удаленный доступ стали доступны дополнительные вкладки, в которых настраивается маршрутизация (IPv4 и IPv6) и сетевые интерфейсы, список подключившихся клиентов и состояние портов и другие. Выбрав свойства сервера RRAS, мы получим еще ряд настроек на 7 вкладках. Здесь найдем все что установлено при помощи мастера, назначение большинства должно быть понятно, стоит просто пройтись по пунктам, чтобы разобраться со всеми возможностями сервера.
Самой интересной является вклада Безопасность . В частности в списке Поставщик службы проверки подлинности указывается RADIUS серверы (если используются). По умолчанию для PPTP используются механизмы проверки подлинности EAP и MS-CHAPv2, которые являются наиболее защищенными и поэтому рекомендуемыми. В случае необходимости, нажав кнопку Методы проверки подлинности, можно добавить поддержку PAP, CHAP, IKEv2 или разрешить анонимный вход (без проверки подлинности). Для протокола SSTP следует активировать флажок Использование HTTP и указать сертификат при помощи раскрывающегося списка Сертификат . Сертификата пока у нас нет, мы его сгенерируем далее.

Чтобы разрешить HTTP и HTTPS запросы на сервер сертификации, выбираем IPv4 -Преобразование сетевых адресов (NAT) и в контекстном меню, всплывающем по щелчку мышки на внешнем сетевом интерфейсе, выбираем его свойства. Теперь переходим в окно Службы и порты (Services and Ports) и устанавливаем флажки в пункты Веб-сервер (HTTP) и Безопасный веб-сервер (HTTPS). В диалоговом окне Изменить службу вводим IP-адрес сервера сертификации, находящегося во внутренней сети.

Создание политики NPS

Теперь нужно создать политики NPS в консоль управления Сервер политики сети . Это можно сделать несколькими способами — самый простой выбрать нужную конфигурацию в списке Стандартная конфигурация на заглавной странице. В контексте статьи это пункт RADIUS-сервер для подключений удаленного доступа или VPN , запустится очередной мастер. Самый важный шаг – правильный выбор позиции в списке Способ сетевого подключения (Network Connection method). В нашем случае “Подключение к виртуальной частной сети (VPN)”, в поле внизу вводим его имя. Затем следует указать расположение RADIUS клиентов (серверов сетевого доступа). После чего переходим к выбору методов аутентификации. По умолчанию здесь активирован только MS-CHAPv2, его отключаем и отмечаем флажок “Расширенный протокол проверки подлинности (EAP) ” и в списке Введите “Microsoft сертификат или смарт-карта” и нажав кнопку Настроить выбираем из списка сертификат. На следующем шаге указываем группы пользователей, которые будут участвовать в соединении через VPN. Настройки RRAS позволяют ограничить тип отправляемого/получаемого трафика, все они настраиваются на шаге “Задайте IP-фильтры”. Далее выбор механизма шифрования. Из трех вариантов представленных в списке, лучше всего оставить один MPPE 128 бит, который поддерживается всеми современными ОС. Настройки на шаге “Укажите имя Сферы” позволяют подменять имя домена учетной записи указанным значением. Это все настройки. Подтверждаем нажатием кнопки Готово.
Более тонко политики доступа задаются уже в отдельных меню. В результате своей работы мастер сгенерирует три вида политик: запросов на подключение, сетевые и работоспособности. Выбираем в каждой созданную политику и проверяем свойства.

Подключение клиентом

Теперь сервер готов подключению клиентов. Настройка клиентской части как в Windows Server 2008 R2, так и Windows Vista и 7 практически совпадает и очень проста. Документация Microsoft советует вначале настроить PPTP соединение, получить и установить сертификат сервера, и если все в порядке, переходить уже на L2TP или SSTP. Будем придерживаться этой рекомендации. Для создания VPN вызываем Центр управления сетями и общим доступом и запускаем мастера по ссылке Настройка нового подключения или сети. Расписывать его смысла не вижу, в процессе выбираем аутентификацию при помощи смарт-карт или сертификата. Тип VPN настраивается в окне свойств соединения и во вкладке Безопасность в списке Тип VPN (Type of VPN). По умолчанию режим установлен в Автоматически , но в большинстве случаев его лучше зафиксировать, указав конкретный протокол, например SSTP (Secure Socket Tunneling Protocol).

Здравствуйте, друзья!

Одним из преимуществ ЛОЦМАН:ПГС является применение цифровых подписей достоверно подтверждающих личность и роль подписавшего документ. Для создания цифровых подписей необходимы сертификаты выданные удостоверяющим центром сертификации.

На этапе внедрения не всегда хватает опыта для установки и настройки центра сертификации, чтобы Вам не пришлось собирать крупицы информации по просторам интернета, мы предлагаем подробно рассмотреть установку и настройку центра сертификации.

В наших примерах мы будем использовать контроллер домена на Microsoft Windows Server 2008 и клиент Microsoft Windows 7.

1. Для начала нам нужно добавить роль (Службы сертификации Active Directory ) на контроллере домена. Откройте Server Manager и выполните команду «Add Role» («Добавить роли» ).
2. Откроется Add Roles Wizard (Мастер добавления ролей ). Нажмите Next .
   
   
3. Выберите роль Active Directory Certification Services (Службы сертификации Active Directory) . Нажмите Next .
   
   
4. Next .
   
   
5. Проверьте, что отмечена служба Certification Authority (Центр сертификации) .
   
   
6. Вариант установки должен быть указан «Enterprise» .
   
   
7. Тип центра сертификации Root CA (Корневой ЦС) .
   
   
8. Создайте новый приватный ключ.
   
   
9. Укажите параметры шифрования, например:
   
   
   Если Вы меняете параметры, рекомендуем Вам ознакомиться с советами компании Microsoft по безопасности в части выбираемой длины ключа.
10. Проверьте имя и суффиксы центра сертификации, например:
    
    
11. Задайте срок действия сертификата, например:
    
    
12. Next .
    
    
13. Install.
    
    
14. Процесс установки…
    
    
15. Установка завершена. Close .
    
    
    Центр сертификации установлен. Теперь нужно создать шаблон сертификатов.
16. Перейдите в Certificate Templates (Шаблоны сертификатов ) и выполните команду Duplicate Template (Скопировать шаблон ) на существующем шаблоне, например User .
    
    
17. Выберите версию Windows Server минимально поддерживаемую ЦС.
    
    
    Не выбирайте Windows Server 2008, иначе при подписании созданным сертификатом документов в программных продуктах использующих.NET Framework 4.0 Вы получите сообщение «Указан неправильный тип поставщика (mscorlib)». Иными словами Вы не сможете использовать сертификат.
18. В открывшихся свойствах шаблона укажите имя и отключите Publish certificate in Active Directory (Опубликовать сертификат в Active Directory ):
    
19. Перейдите на вкладку Request Handling (Обработка запроса ) и измените цель на «Signature» («Подпись» ).
    
20. Проверьте параметры на вкладке Subject Name (Имя субъекта ).
    
21. На вкладке Security (Безопасность ) для группы Authenticated Users (Прошедшие проверку ) разрешите Enroll (Заявка ).
    
22. На вкладке Extensions (Расширения ) скорректируйте Application Policies (Политика применения ) .
    Выберите Document Signing (Подписывание документа ).
    
    ОК.
    Шаблон сертификата создан, теперь необходимо его опубликовать.
23. Перейдите в Certificate Templates (Шаблоны сертификатов ) и выполните команду «New -> Certificate Template to Issue» («Новый -> Выдать шаблон сертификата» ).
    
    
24. Выберите ранее созданный шаблон. ОК.
    
    
    Установка и настройка шаблона сертификатов закончена. Перейдем на клиента и попробуем получить сертификат.
25. На клиенте запустите Certificate Manager Tool выполнив команду certmgr.msc .
    
    
26. Перейдите в Personal (Личное ) и создайте запрос на получение сертификата, выполнив Request New Certificate (Запросить новый сертификат ).
    
    
27. Next .
    
    
28. Выберите политику Active Directory. Next .
    
    
29. В типах сертификатов отметьте ранее созданный шаблон.
    
    
    Если планируется использование нескольких сертификатов для одного пользователя, желательно присвоить имя запрашиваемому сертификату. Откройте свойства заявки.
30. На вкладке General (Общие ) укажите Friendly name (Понятное имя ).
    
    Сохраните и закройте свойства.
31. Enroll.
    
    
32. Заявка успешно завершена, сертификат получен.
    
    
33. В Certificate Manager Tool можно посмотреть параметры сертификата.
    
    
    Мы получили сертификат только для одного пользователя, а когда пользователей много, такой способ не очень удобен. Для облегчения процесса давайте настроим автоматическую раздачу сертификатов групповой политикой.
34. Для начала необходимо изменить свойства, созданного ранее шаблона, сделать его доступным для автоматической выдачи. Найдите созданный шаблон в Server Manager и откройте свойства.
    
    
35. Перейдите на вкладку Security (Безопасность ) и для группы Authenticated Users (Прошедшие проверку ) разрешите Autoenroll (Автозаявка ).
    
36. Следующий шаг — настроить групповую политику автоматической регистрации сертификатов для домена. Можно изменить политику по-умолчанию, но лучше создать новую, так мы сможем ограничить круг пользователей, охватываемых политикой. На домене выполните команду Create a GPO in this domain, and Link it there… (Создать ОГП в документе и связать его… ).
    
    
37. Введите имя групповой политики, например:
    
38. Отредактируйте созданную политику.
    
    
39. Перейдите в раздел «User configuration — Policies — Widows Settings — Security Settings — Public Key Policies» (Конфигурация пользователя — Политики — Конфигурация Windows — Параметры безопасности — Политики открытого ключа ) и откройте свойства Certificate Services Client — Auto-Enrollment (Клиент службы сертификации — автоматическая регистрация ).
    
    
40. Включите автоматическую регистрацию сертификатов и флажки:
    • Обновлять сертификаты с истекшим сроком действия или в состоянии ожидания и удалять отозванные сертификаты;
    • Обновлять сертификаты, использующие шаблоны сертификатов.

    

41. Закройте редактор групповой политики и в Server Manager при необходимости ограничьте круг пользователей или компьютеров, на которые будет применена политика. Как пример, ниже показана политика, которая будет распространена только на ПК DOMAIN\COMPUTER.
    Групповая политика создана, проверим как она работает.
42. На клиенте откройте CMD.exe с правам администратора и выполните команду «gpupdate /force /boot /logoff» или перезапустите ПК.
    
    
43. Сертификат должен быть автоматически запрошен и получен. Полученный сертификат можно увидеть в Certificate Manager Tool (пункт 33) или в Control Panel — Internet Options , вкладка Content — Certificates — Personal (Панель управления — Свойства обозревателя, вкладка Содержание — Сертификаты — Личные ).
    
    
    Это всё, что мы хотели сказать про установку и настройку центра сертификации. Спасибо, что читаете наш блог, до свидания!