PKI erstellen für Intranet und DMZ

[mathschut 0]

Hallo,

 

ich plane aktuell eine interne PKI für unser Haus. Diese PKi soll im Intranet/AD betrieben werden. Darüber sollen Zertifikate für interne Server ausgerollt werden und sie soll auch Zertifikate für unser neue VPN-Lösung bereitstellen. Da sich in unserer DMZ-Zone viele Clients/Server befinden, haben wir dort ein eigenes AD. Ich wollte jetzt eine offline Root-CA bauen und eine SUB-Ca im AD, damit ich Vorlagen für Zertifikate bauen kann. Was mir noch nicht so klar ist, wo veröffentliche in die Sperrlisteninformationen, dass auch die Clients aus der DMZ daran kommen. Macht es Sinn die gesamte PKI in der DMZ zu bauen und die internen Clients auf die externe CA/Sperrlisten zu lassen? 

 

Ich danke euch schon mal für die Hilfe und ich hoffe ihr könnt mir ein bisschen helfen.

[NorbertFe 2.034]

Eine CA hat meiner Meinung nach nichts in einer DMZ zu suchen. Jedenfalls nicht bei deiner Struktur. Die SPerrliste veröffentlichst du dort, wo interne und externe hinkommen. WO das ist, kannst du ja in die "Vorlage" schreiben. ;)

[mathschut 0]

Hi und danke für deine Antwort. Wie kann ich die Sperrlisten dann in die DMZ replizieren oder wie verteile ich die Sperrlisten in der DMZ?

[NilsK 2.934]

Moin,

 

da es sich dann um eine Datei handelt, richtest du einen Job ein, der diese an den Zielort kopiert.

 

Gruß, Nils

[mathschut 0]

Trage ich dann zwei Zielserver auf der Root-PKI zur Verteilung ein und betreibe einen extra Webserver in der DMZ, wo ich diese Datei hinkopiere? 

[NilsK 2.934]

Moin,

 

das ist eine Designfrage, die zu 100% von deinen Anforderungen abhängt. Designfragen lassen sich in einem Forum nicht sinnvoll klären.

 

Gruß, Nils

[mathschut 0]

Danke für deine Antwort. Gibt es dazu irgendwo Beispiele oder Anleitung wie man welchen Weg am besten gehen kann?

 

Grüße

 

Mathias

[Dunkelmann 96]

Moin,

 

es gibt von Brian Komar ein schönes Buch: PKI & Certificate Security

ISBN-10: 0735625166
ISBN-13: 978-0735625167

[NorbertFe 2.034]

Buch==Wälzer ;)

[ChrisRa 42]

Hier mal ein schickes Video:

 

http://ichkanngarnix.de/index.php/faqs-mainmenu-32/44-pki/227-installationsvideos-fuer-eine-3-stufige-pki

​