Tutorial: Configurar modelos da Autoridade de Certificação para VPN Always On

Este tutorial mostra como configurar os modelos de AC (Autoridade de Certificação) para a implantação de VPN Always On. Ele continua a série para implantar a VPN Always On em um ambiente de exemplo. Anteriormente na série, você implantou uma infraestrutura de exemplo.

Os modelos de AC são usados para emitir certificados para o servidor VPN, servidor NPS e usuários. Os certificados são usados para autenticar o servidor VPN e o servidor NPS para clientes e autenticar usuários no servidor VPN.

Neste tutorial, você:

Aqui está uma descrição dos diferentes modelos:

Para saber mais sobre a VPN Always On, incluindo integrações com suporte, recursos de segurança e conectividade, consulte a Visão geral da VPN Always On.

Pré-requisitos

Para concluir as etapas neste tutorial, você precisa:

• Para concluir todas as etapas do tutorial anterior: implantar a Infraestrutura vpn Always On.

• Um dispositivo cliente Windows que executa uma versão com suporte do Windows para se conectar à VPN Always On que está ingressada no domínio do Active Directory.

Criar o modelo de autenticação do usuário

1. No servidor com os Serviços de Certificados do Active Directory instalados, que neste tutorial é o controlador de domínio, abra o snap-in da Autoridade de Certificação.

2. No painel esquerdo, clique com o botão direito do mouse em Modelos de Certificado e selecione Gerenciar.

3. Na console Modelos de Certificado, clique com o botão direito do mouse em Usuário e selecione Duplicar Modelo. Não selecione Aplicar ou OK até concluir a inserção de informações para todas as guias. Algumas opções só podem ser configuradas na criação do modelo; se você selecionar esses botões antes de inserir todos os parâmetros, não poderá alterá-los, caso contrário, precisará excluir o modelo e recriá-lo.

4. Na caixa de diálogo Propriedades do Novo Modelo , na guia Geral , conclua as seguintes etapas:

   1. No nome de exibição do modelo, insira Autenticação de Usuário VPN.

   2. Desmarque a caixa de seleção Publicar certificado no Active Directory .

5. Na guia Segurança , conclua as seguintes etapas:

   1. Selecione Adicionar.

   2. Na caixa de diálogo Selecionar Usuários, Computadores, Contas de Serviço ou Grupos, insira Usuários VPN e selecione OK.

   3. Em Nomes de grupo ou de usuário, selecione Usuários vpn.

   4. Em Permissões para Usuários de VPN, marque as caixas de seleção Registrar e Registrar Automaticamente na coluna Permitir .

      Importante

      Certifique-se de manter a caixa de seleção de permissão de leitura selecionada. Você precisa de permissões de leitura para registro.

   5. Em Nomes de grupo ou de usuário, selecione Usuários de Domínio e, em seguida, selecione Remover.

6. Na guia Compatibilidade , conclua as seguintes etapas:

   1. Na Autoridade de Certificação, selecione Windows Server 2016.

   2. Na caixa de diálogo Alterações Resultantes , selecione OK.

   3. No destinatário do Certificado, selecione Windows 10/Windows Server 2016.

   4. Na caixa de diálogo Alterações Resultantes , selecione OK.

7. Na guia Tratamento de Solicitações , desmarque Permitir que a chave privada seja exportada.

8. Na guia Criptografia , conclua as seguintes etapas:

   1. Na Categoria do Provedor, selecione Provedor de Armazenamento de Chaves.

   2. Selecione Solicitações devem usar um dos provedores a seguir.

   3. Selecione o Provedor de Criptografia da Plataforma Microsoft e o Provedor de Armazenamento de Chaves de Software da Microsoft.

9. Na guia Nome da Entidade , desmarque o nome incluir email no nome da entidade e nonome do email.

10. Selecione OK para salvar o modelo de certificado de Autenticação de Usuário vpn.

11. Feche o console de Modelos de Certificado.

12. No painel esquerdo do snap-in da Autoridade de Certificação, clique com o botão direito do mouse em Modelos de Certificado, selecione Novo e selecione Modelo de Certificado para Emitir.

13. Selecione Autenticação de Usuário vpn e, em seguida, selecione OK.

Criar o modelo de autenticação do servidor VPN

1. No painel esquerdo do snap-in da Autoridade de Certificação, clique com o botão direito do mouse em Modelos de Certificado e selecione Gerenciar para abrir o console de Modelos de Certificado.

2. No console de Modelos de Certificado, clique com o botão direito do mouse em RAS e servidor IAS e selecione Modelo duplicado. Não selecione Aplicar ou OK até concluir a inserção de informações para todas as guias. Algumas opções só podem ser configuradas na criação do modelo; se você selecionar esses botões antes de inserir todos os parâmetros, não poderá alterá-los, caso contrário, precisará excluir o modelo e recriá-lo.

3. Na caixa de diálogo Propriedades do Novo Modelo , na guia Geral , no nome de exibição modelo, insira a Autenticação do Servidor VPN.

4. Na guia Extensões , conclua as seguintes etapas:

   1. Selecione Políticas de Aplicativo e, em seguida, selecione Editar.

   2. Na caixa de diálogo Editar Extensão de Políticas de Aplicativo , selecione Adicionar.

   3. Na caixa de diálogo Adicionar Política de Aplicativo , selecione IKE intermediário de segurança ip e, em seguida, selecione OK.

   4. Selecione OK para retornar à caixa de diálogo Propriedades do Novo Modelo .

5. Na guia Segurança , conclua as seguintes etapas:

   1. Selecione Adicionar.

   2. Na caixa de diálogo Selecionar Usuários, Computadores, Contas de Serviço ou Grupos , insira servidores VPN e selecione OK.

   3. Em nomes de grupo ou de usuário, selecione Servidores VPN.

   4. Em Permissões para Servidores VPN, selecione Registrar na coluna Permitir .

   5. Em Nomes de grupo ou de usuário, selecione Servidores RAS e IAS, em seguida, selecione Remover.

6. Na guia Nome da Entidade , conclua as seguintes etapas:

   1. Selecione Fornecer na Solicitação.

   2. Na caixa de diálogo de aviso Modelos de Certificado , selecione OK.

7. Selecione OK para salvar o modelo de certificado do servidor VPN.

8. Feche o console de Modelos de Certificado.

9. No painel esquerdo do snap-in da Autoridade de Certificação, clique com o botão direito do mouse em Modelos de Certificado. Selecione Novo e selecione Modelo de Certificado para Emitir.

10. Selecione Autenticação do Servidor VPN e, em seguida, selecione OK.

11. Reinicie o servidor VPN.

Criar o modelo de autenticação do servidor NPS

1. No painel esquerdo do snap-in da Autoridade de Certificação, clique com o botão direito do mouse em Modelos de Certificado e selecione Gerenciar para abrir o console de Modelos de Certificado.

2. No console de Modelos de Certificado, clique com o botão direito do mouse em RAS e servidor IAS e selecione Modelo duplicado. Não selecione Aplicar ou OK até concluir a inserção de informações para todas as guias. Algumas opções só podem ser configuradas na criação do modelo; se você selecionar esses botões antes de inserir todos os parâmetros, não poderá alterá-los, caso contrário, precisará excluir o modelo e recriá-lo.

3. Na caixa de diálogo Propriedades do Novo Modelo, na guia Geral, no nome de Exibição do Modelo, insira Autenticação do Servidor NPS.

4. Na guia Segurança , conclua as seguintes etapas:

   1. Selecione Adicionar.

   2. Na caixa de diálogo Selecionar Usuários, Computadores, Contas de Serviço ou Grupos , insira servidores NPS e selecione OK.

   3. Em nomes de grupo ou de usuário, selecione Servidores NPS.

   4. Em Permissões para Servidores NPS, selecione Registrar na coluna Permitir .

   5. Em Nomes de grupo ou de usuário, selecione Servidores RAS e IAS, em seguida, selecione Remover.

5. Selecione OK para salvar o modelo de certificado do servidor NPS.

6. Feche o console de Modelos de Certificado.

7. No painel esquerdo do snap-in da Autoridade de Certificação, clique com o botão direito do mouse em Modelos de Certificado. Selecione Novo e selecione Modelo de Certificado para Emitir.

8. Selecione Autenticação de Servidor NPS e, em seguida, selecione OK.

Agora você criou os modelos de certificado necessários para registrar e validar os certificados.

Registrar e validar o certificado do usuário

A Política de Grupo é configurada para registrar automaticamente certificados de usuário, portanto, depois que a política é aplicada a dispositivos cliente Windows, eles registram automaticamente a conta de usuário para o certificado correto. Em seguida, você pode validar o certificado no console de Certificados no dispositivo local.

Para verificar se a política é aplicada e o certificado está registrado:

1. Entre no dispositivo cliente Windows como o usuário que você criou para o grupo usuários de VPN .

2. Abra o Prompt de Comando e execute o comando a seguir. Como alternativa, reinicie o dispositivo cliente Windows.

   gpupdate /force
   

3. No menu Iniciar, digite certmgr.msc e pressione ENTER.

4. No snap-in de Certificados, em Pessoal, selecione Certificados. Seus certificados aparecem no painel de detalhes.

5. Clique com o botão direito do mouse no certificado que tem o nome de usuário do domínio atual e selecione Abrir.

6. Na guia Geral, confirme se a data listada sob Valid from é a data de hoje. Se não estiver, talvez você tenha selecionado o certificado errado.

7. Selecione OK e feche o snap-in de Certificados.

Registrar e validar o certificado do servidor VPN

Para registrar o certificado do servidor VPN:

1. No menu Iniciar do servidor de VPN, digite certlm.msc para abrir o snap-in de Certificados e pressione ENTER.

2. Clique com o botão direito do mouse em Pessoal, selecione Todas as Tarefas e selecione Solicitar Novo Certificado para iniciar o Assistente de Registro de Certificado.

3. Na página Antes de Começar, selecione Avançar.

4. Na página Selecionar Política de Registro de Certificado, selecione Avançar.

5. Na página Solicitar Certificados, selecione Autenticação do Servidor VPN.

6. Na caixa de seleção do servidor VPN, selecione Mais informações necessárias para abrir a caixa de diálogo Propriedades do Certificado.

7. Selecione a guia Assunto e insira as seguintes informações na seção Nome da Entidade :

   1. Para Tipo , selecione Nome Comum.
   2. Para Valor, insira o nome do domínio externo que os clientes usam para se conectar à VPN (por exemplo, vpn.contoso.com).
   3. Selecione Adicionar.

8. Selecione OK para fechar as Propriedades do Certificado.

9. Selecione Registrar.

10. Selecione Concluir.

Para validar o certificado do servidor VPN:

1. No snap-in de Certificados, em Pessoal, selecione Certificados. Seus certificados listados devem aparecer no painel de detalhes.

2. Clique com o botão direito do mouse no certificado que tem o nome do servidor VPN e selecione Abrir.

3. Na guia Geral, confirme se a data listada sob Valid from é a data de hoje. Se não estiver, talvez você tenha selecionado o certificado errado.

4. Na guia Detalhes , selecione Uso Avançado de Chave e verifique se a IKE de segurança ip intermediária e a Autenticação de Servidor são exibidas na lista.

5. Selecione OK para fechar o certificado.

Registrar e validar o certificado NPS

Para registrar o certificado NPS:

1. No menu Iniciar do servidor NPS, digite certlm.msc para abrir o snap-in de Certificados e pressione Enter.

2. Clique com o botão direito do mouse em Pessoal, selecione Todas as Tarefas e selecione Solicitar Novo Certificado para iniciar o Assistente de Registro de Certificado.

3. Na página Antes de Começar, selecione Avançar.

4. Na página Selecionar Política de Registro de Certificado, selecione Avançar.

5. Na página Solicitar Certificados, selecione Autenticação de Servidor NPS.

6. Selecione Registrar.

7. Selecione Concluir.

Para validar o certificado NPS:

1. No snap-in de Certificados, em Pessoal, selecione Certificados. Seus certificados listados devem aparecer no painel de detalhes.

2. Clique com o botão direito do mouse no certificado que tem o nome do servidor NPS e selecione Abrir.

3. Na guia Geral, confirme se a data listada sob Valid from é a data de hoje. Se não estiver, talvez você tenha selecionado o certificado errado.

4. Selecione OK e feche o snap-in de Certificados.

Próxima etapa

Agora que você criou os modelos de certificado e registrou os certificados, pode configurar um dispositivo cliente Windows para usar a conexão VPN AlwaysOn.