Создание и установка сертификата проверки подлинности сервера

Сертификат проверки подлинности сервера нужен для того, чтобы компьютер CLIENT1 смог проверить подлинность компьютера VPN1. Перед установкой этого сертификата следует разрешить публикацию сертификатов в настройках обозревателя Internet Explorer.

Настройка обозревателя Internet Explorer

1. На компьютере VPN1 нажмите кнопку Start, щелкните правой кнопкой мыши запись Internet Explorer и выберите пункт Run as administrator (запуск от имени администратора). 2. В случае вывода оповещения фильтра фишинга выберите пункт Turn off automatic Phishing Filter (отключить автоматический фильтр фишинга) и нажмите кнопку OK. 3. Откройте меню Tools (сервис) и выберите команду Internet Options (свойства обозревателя). 4. Откройте вкладку Security (безопасность) диалогового окна Internet Options. 5. В области Select a zone to view or change security settings (выберите зону для настройки ее параметров безопасности) выберите пункт Local intranet (местная интрасеть). 6. Снизьте уровень безопасности в местной интрасети с Medium-low (ниже среднего) до Low (низкий) и нажмите кнопку OK. Примечание В рабочей среде вместо снижения уровня безопасности следует настроить отдельные параметры элементов управления ActiveX®, нажав кнопку Custom level (другой). Рисунок 7. Диалоговое окно Internet Options.

Теперь следует отправить запрос на получение сертификата проверки подлинности сервера средствами обозревателя Internet Explorer.

Отправка запроса на получение сертификата проверки подлинности сервера

1. В адресной строке обозревателя Internet Explorer на компьютере VPN1 введите адрес http://localhost/certsrv и нажмите клавишу ВВОД. 2. В области Select a task (выберите действие) выберите пункт Request a certificate (запросить сертификат). 3. В области Request a Certificate выберите пункт advanced certificate request (расширенный запрос сертификата). 4. В области Advanced Certificate Request выберите пункт Create and submit a request to this CA (создать и выдать запрос этому ЦС). 5. Чтобы разрешить элемент управления ActiveX, нажмите кнопку Yes. Рисунок 8. Страница Advanced Certificate Request. 6. В поле Name (имя) в области Identifying Information (идентифицирующие сведения) введите vpn1.contoso.com, а в поле Country/Region (страна или регион) – введите US. Примечание Под именем подразумевается имя субъекта сертификата. Оно должно совпадать с Интернет-адресом в параметрах подключения по протоколу SSTP, которые вам предстоит настроить позже. 7. В области Type of Certificate Needed (тип требуемого сертификата) выберите пункт Server Authentication Certificate (сертификат проверки подлинности сервера). 8. Установите флажок Mark keys as exportable (пометить ключ как экспортируемый) в области Key Options (параметры ключа) и нажмите кнопку Submit (отправить). 9. Нажмите кнопку Yes в диалоговом окне подтверждения.

Теперь сертификат проверки подлинности сервера находится в состоянии ожидания. Для того, чтобы сертификат можно было установить, он должен быть выдан.

Выдача и установка сертификата проверки подлинности сервера

1. На компьютере VPN1 нажмите кнопку Start и выберите пункт Run. 2. Введите команду mmc в поле Open и нажмите кнопку OK. 3. При появлении оснастки Console1 откройте меню File (файл) и выберите команду Add/Remove Snap-in (добавить или удалить оснастку). 4. В списке Available snap-ins (доступные оснастки) выберите пункт Certification Authority (центр сертификации) и нажмите кнопку Add. 5. Чтобы согласиться с предложенным по умолчанию параметром Local computer (локальный компьютер), нажмите кнопку Finish. 6. Чтобы закрыть диалоговое окно Add or Remove Snap-ins (добавление и удаление оснастки), нажмите кнопку OK. 7. В левой области свежесозданной консоли MMC дважды щелкните пункт Certification Authority (Local) (центр сертификации (локальный)). 8. Дважды щелкните запись contoso-VPN1-CA, а затем выберите пункт Pending Requests (запросы в ожидании). Рисунок 9. Консоль Certification Authority. 9. Щелкните правой кнопкой мыши ожидающий запрос, указанный в средней области консоли, а затем последовательно выберите команды All Tasks (все задачи) и Issue (выдать). 10. На странице Certificate Pending (ожидаемый сертификат) в обозревателе выберите пункт Home (главная). Если эта страница не отображается, введите в адресной строке адрес http://localhost/certsrv. 11. В области Select a task выберите пункт View the status of a pending certificate request (просмотр состояния ожидаемого запроса сертификата). 12. В области View the Status of a Pending Certificate Request выберите сертификат, который был только что выдан. 13. Чтобы разрешить элемент управления ActiveX, нажмите кнопку Yes. 14. В области Certificate Issued (сертификат выдан) нажмите кнопку Install this certificate (установить сертификат). 15. Нажмите кнопку Yes в диалоговом окне подтверждения.

Следующая задача заключается в том, чтобы переместить установленный сертификат из хранилища, в которое он был помещен по умолчанию.

Перемещение сертификата

1. В ранее созданной консоли MMC на компьютере VPN1 откройте меню File и выберите пункт Add/Remove Snap-in. 2. В списке Available snap-ins выберите пункт Certificates (сертификаты) и нажмите кнопку Add. Рисунок 10. Диалоговое окно Certificates snap-in. 3. Чтобы согласиться с предложенным по умолчанию параметром My user account (моей учетной записи пользователя), нажмите кнопку Finish. 4. Нажмите кнопку Add, выберите пункт Computer account (учетной записи компьютера), а затем нажмите кнопку Next. 5. Чтобы согласиться с предложенным по умолчанию параметром Local computer, нажмите кнопку Finish в диалоговом окне Select Computer (выбор компьютера). 6. Чтобы закрыть диалоговое окно Add or Remove Snap-ins, нажмите кнопку OK. 7. Дважды щелкните запись Certificates - Current User (сертификаты – текущий пользователь) в области дерева консоли, дважды щелкните запись Personal (личные), а затем выберите пункт Certificates. 8. В средней области просмотра щелкните правой кнопкой мыши запись сертификата vpn1.contoso.com, после чего последовательно выберите команды All Tasks и Export (экспорт). 9. На странице Welcome (приветствие) нажмите кнопку Next. 10. Выберите пункт Yes, export the private key (да, экспортировать закрытый ключ) и нажмите кнопку Next. 11. Чтобы согласиться с предложенным по умолчанию форматом файла, нажмите кнопку Next. 12. Введите P@ssword в обоих текстовых полях и нажмите кнопку Next. 13. На странице File to Export (имя файла экспорта) нажмите кнопку Browse (обзор). 14. Введите строку vpn1cert в текстовом поле File name (имя файла), а затем нажмите кнопку Browse Folders (обзор папок). 15. Чтобы сохранить сертификат на рабочем столе, выберите пункт Desktop (рабочий стол) в области Favorite Links (избранные ссылки), а затем нажмите кнопку Save (сохранить). 16. На странице File to Export нажмите кнопку Next. 17. Чтобы закрыть мастер Certificate Export Wizard (мастер экспорта сертификатов), нажмите кнопку Finish. Затем нажмите кнопку OK в диалоговом окне подтверждения. 18. Последовательно дважды щелкните записи Certificates (Local Computer) (сертификаты (локальный компьютер)) и Personal. 19. Выберите и щелкните правой кнопкой мыши пункт Certificates, после чего последовательно выберите команды All Tasks и Import (импорт). 20. На странице Welcome нажмите кнопку Next. 21. На странице File to Import (импортируемый файл) нажмите кнопку Browse. 22. В области Favorite Links выберите пункт Desktop, а затем укажите тип файла Personal Information Exchange (файл обмена личной информацией) в раскрывающемся списке. Рисунок 11. Мастер Certificate Import Wizard. 23. Дважды щелкните сертификат vpn1cert в средней области просмотра. 24. На странице File to Import нажмите кнопку Next. 25. Введите P@ssword в текстовом поле Password и нажмите кнопку Next. 26. Чтобы согласиться с предложенным хранилищем личной информации, нажмите кнопку Next на странице Certificate Store (хранилище сертификатов). 27. Чтобы закрыть мастер Import Export Wizard (мастер импорта-экспорта), нажмите кнопку Finish. Затем нажмите кнопку OK в диалоговом окне подтверждения. Рисунок 12. Расположение сертификата проверки подлинности сервера.

Внимание!

В случае несоблюдения последовательности процедур, изложенных в настоящем документе, не исключено возникновение проблем, связанных с наличием универсального сертификата (contoso-VPN1-CA). Чтобы обеспечить привязку SSTP-прослушивателя к сертификату проверки подлинности сервера (vpn1.contoso.com), удалите сертификат contoso-VPN1-CA из локального хранилища.

Удаление универсального сертификата

1. Дважды щелкните запись Certificates в средней области просмотра, щелкните правой кнопкой мыши запись contoso-VPN1-CA и выберите пункт Delete (удалить). 2. Нажмите кнопку Yes в диалоговом окне подтверждения.