## 3. Создание консоли управления сертификатами
### На компьютере SERVER-CA (под пользователем user-AdminCA)
1. Нажмите правой кнопкой мыши на **Пуск** → **Выполнить**, в появившемся окне введите `mmc`, нажмите **ОК**.
2. Выберите **Файл** → **Добавить или удалить оснастку**, выберите **Сертификаты**, нажмите **Добавить**, выберите **Моей учётной записи пользователя**, **Готово**.
3. Снова нажмите **Добавить**, выберите **Учётной записи компьютера**, **Далее**, **Готово**, **ОК**.
4. Выберите **Файл**, сохраните консоль как `Консоль1` (консоль будет добавлена во **Все программы** → **Администрирование**).
5. Разверните дерево каталогов (для компьютера), разверните **Личное**, выберите **Сертификаты**.
> [!note] Примечание
> Данная оснастка позволяет работать с сертификатами: запрашивать, устанавливать, удалять, импортировать, экспортировать.
6. Правой кнопкой мыши выберите **Все задачи** → **Запросить новый сертификат**, **Далее**, **Далее**, отметьте галочкой **Показать все шаблоны**. В появившемся списке указано состояние шаблонов выдачи, **Закрыть**.
## 4. Создание шаблона сертификата IPSec для сервера (SERVER-CA)
### На компьютере SERVER-CA
1. Загрузите консоль **Центра сертификации**, выделите правой кнопкой мыши **Шаблоны сертификатов** и выберите пункт **Управление**.
2. Нажмите на шаблон **IPsec** правой кнопкой мыши и выберите пункт **Скопировать шаблон**.
3. На вкладке **Общие** измените отображаемое имя шаблона на `VPNReconnect`.
4. На вкладке **Обработка запроса** выберите **Разрешить экспортировать закрытый ключ**.
5. На вкладке **Имя субъекта** выберите **Предоставляется в запросе** (сертификат на предъявителя) и согласитесь с предупреждением.
6. Во вкладке **Расширения** выберите пункт **Политики применения** и нажмите кнопку **Изменить**. В появившемся окне нажмите кнопку **Добавить**, выберите политику **Проверка подлинности сервера**, **ОК**. Таким образом, сформированы две политики: **IKE-посредник IP безопасности** и **Проверка подлинности сервера**. Нажмите **ОК**.
7. Во вкладке **Расширения** выберите пункт **Использование ключа** и нажмите кнопку **Изменить**. Убедитесь, что вариант **Цифровая подпись** отмечен, и нажмите **Отмена**, **ОК**.
8. Закройте консоль **Шаблонов сертификатов**.
9. В консоли службы **Центра сертификации** нажмите правой кнопкой мыши на пункте **Шаблоны сертификатов**.
10. Выберите **Создать** → **Выдаваемый шаблон сертификатов**.
11. В окне выберите шаблон с названием `VPNReconnect`, нажмите **ОК**. Закройте консоль **Центра сертификации**.
12. В **Консоли1** (Все программы, Администрирование) выпустите созданный шаблон `VPNReconnect` для **Локального компьютера** (!). Для этого выберите **Сертификаты (локального компьютера)**, **Личное**, правой кнопкой мыши щёлкните **Сертификаты**, **Все задачи**, **Запросить новый сертификат**, **Далее**, **Далее**.
13. Появится предупреждение, поставьте галочку на шаблоне `VPNReconnect` и нажмите на предупреждение (знак `!`). В появившемся окне введите в поле **Дополнительное имя**, **Тип** выберите **IP-адрес (v.4)**, а в поле значение — внешний **IP-адрес** компьютера `SERVER-CA` (`131.107.0.10`), нажмите **Добавить**, **ОК**, **Заявка**, **Готово**.
> [!summary] Простыми словами
> Мы создали специальный шаблон сертификата для VPN-сервера, который включает необходимые расширения для IPSec и аутентификации сервера. Сертификат выпущен для локального компьютера с указанием его внешнего IP-адреса.
## 5. Создание шаблона сертификата IPSec для удалённого клиента (CLIENT-RA)
### На компьютере SERVER-CA
1. Загрузите консоль **Центра сертификации**, выделите правой кнопкой мыши **Шаблоны сертификатов** и выберите пункт **Управление**.
2. Нажмите на шаблон **IPsec автономный запрос** правой кнопкой мыши и выберите пункт **Скопировать шаблон**.
3. На вкладке **Общие** измените отображаемое имя шаблона на `VPNReconnect2`.
4. На вкладке **Обработка запроса** выберите **Разрешить экспортировать закрытый ключ**.
5. На вкладке **Имя субъекта** выберите **Предоставляется в запросе** (сертификат на предъявителя).
6. Во вкладке **Расширения** выберите пункт **Политики применения** и нажмите кнопку **Изменить**. В появившемся окне нажмите кнопку **Добавить**, выберите политику **Проверка подлинности клиента**, **ОК**. Таким образом, сформированы две политики: **IKE-посредник IP безопасности** и **Проверка подлинности клиента**. Нажмите **ОК**.
7. Во вкладке **Расширения** выберите пункт **Использование ключа** и нажмите кнопку **Изменить**. Убедитесь, что вариант **Цифровая подпись** отмечен, и нажмите **Отмена**.
8. Во вкладке **Безопасность** добавьте пользователя `user-vpn` и наделите его правами **Чтение** и **Заявка**, **ОК**. Закройте консоль **Шаблонов сертификатов**.
9. В консоли службы **Центра сертификации** нажмите правой кнопкой мыши на пункте **Шаблоны сертификатов**.
10. Выберите **Создать** → **Выдаваемый шаблон сертификатов**.
11. В окне выберите шаблон с названием `VPNReconnect2`, нажмите **ОК**. Закройте консоль **Центра сертификации**.
> [!attention] Важно
> Шаблон `VPNReconnect2` предназначен только для удалённых клиентов. Убедитесь, что пользователь `user-vpn` имеет права **Чтение** и **Заявка**, иначе он не сможет запросить сертификат через веб-интерфейс.