Настройка брандмауэра ISA для поддержки аутентификации EAP-TLS на основе сертификатов (часть 2)
Если вы пропустили другие части этой серии статей, прочтите:
- Настройка брандмауэра ISA для поддержки аутентификации EAP-TLS на основе сертификатов (часть 1)
- Настройка брандмауэра ISA для поддержки аутентификации EAP-TLS на основе сертификатов (часть 3)
В первой статье этой серии об использовании проверки подлинности сертификата EAP-TLS для клиентских подключений VPN мы начали обсуждение с настройки сервера RADIUS и закончили настройкой политик удаленного доступа и изменением функционального уровня домена. В этой статье мы рассмотрим, как настроить VPN-сервер ISA Firewall для поддержки наших клиентских подключений EAP/TLS VPN, а затем запросим сертификат для ISA Firewall.
Обсудить эту статью |
Включите VPN-сервер на брандмауэре ISA Server 2004 и настройте поддержку RADIUS.
После настройки RADIUS и политик удаленного доступа мы можем приступить к настройке VPN-сервера ISA Server 2004. Сначала мы включим VPN-сервер, а затем настроим VPN-сервер для поддержки аутентификации RADIUS.
Выполните следующие шаги, чтобы включить VPN-сервер и настроить его для поддержки RADIUS:
- В консоли управления Microsoft Internet Security and Acceleration Server 2004 разверните имя сервера и щелкните узел Виртуальные частные сети (VPN).
- Перейдите на вкладку «Задачи» на панели задач. Щелкните ссылку Включить доступ к VPN-клиенту.
фигура 1
- Щелкните ссылку Настроить доступ к VPN-клиенту.
- В диалоговом окне «Свойства VPN-клиентов» щелкните вкладку «Группы». На вкладке «Группы» нажмите кнопку «Добавить».
- В диалоговом окне «Выбор групп» нажмите кнопку «Местоположения». В диалоговом окне Locations щелкните запись msfirewall.org и нажмите OK.
- В диалоговом окне « Выбор групп » введите «Пользователи домена» в диалоговом окне «Введите имена объектов для выбора ». Нажмите кнопку Проверить имена. Группа будет подчеркнута, когда она будет найдена в Active Directory. Нажмите ОК.
фигура 2
- Группа домена появится на вкладке Группа.
Рисунок 3
- Перейдите на вкладку Протоколы. Поставьте галочку в поле Включить L2TP/IPSec.
Рисунок 4
- Щелкните страницу сопоставления пользователей. Поставьте галочку в поле «Включить сопоставление пользователей». Поставьте галочку в поле Если имя пользователя не содержит домен, использовать этот домен. В текстовом поле Имя домена введите домен внутренней сети msfirewall.org. Нажмите «Применить», а затем нажмите «ОК».
Рисунок 5
- Нажмите ссылку «Указать конфигурацию RADIUS» на вкладке «Задачи».
Рисунок 6
- На вкладке RADIUS установите флажок Использовать RADIUS для аутентификации.
Рисунок 7
- Нажмите кнопку Серверы RADIUS. В диалоговом окне RADIUS нажмите кнопку «Добавить».
Рисунок 8
- В диалоговом окне «Добавить сервер RADIUS» введите имя сервера IAS в текстовом поле «Имя сервера ». В этом примере имя сервера IAS — EXCHANGE2003BE.msfirewall.org. Введите описание сервера в текстовое поле Описание сервера. В этом примере введите описание IAS Server. Нажмите кнопку Изменить.
Рисунок 9
- В диалоговом окне общего секрета введите Новый секрет, а затем Подтвердите новый секрет. Убедитесь, что это тот же секрет, который вы ввели в конфигурации сервера IAS на сервере IAS. Нажмите ОК.
Обсудить эту статью |
Рисунок 10
- Нажмите OK в диалоговом окне Добавить сервер RADIUS.
- Нажмите OK в диалоговом окне Серверы RADIUS.
Рисунок 11
- Перейдите на вкладку «Аутентификация» в диалоговом окне «Свойства виртуальных частных сетей (VPN)». Снимите флажок с флажка Зашифрованная проверка подлинности Майкрософт версии 2 (MS-CHAPv2). Установите флажок Расширяемый протокол аутентификации (EAP) со смарт-картой или другим сертификатом.
Рисунок 12
- Нажмите «Применить» в диалоговом окне «Свойства виртуальной частной сети (VPN)». Нажмите OK в диалоговом окне ISA Server 2004, информируя вас о том, что служба маршрутизации и удаленного доступа может быть перезапущена. Нажмите «ОК» в диалоговом окне «Свойства виртуальной частной сети (VPN)».
- Нажмите «Применить», чтобы сохранить изменения и обновить политику брандмауэра.
- Нажмите «ОК» в диалоговом окне «Применить новую конфигурацию».
- Перезапустите компьютер с брандмауэром ISA Server 2004 и войдите в систему как администратор.
Создайте правило доступа, разрешающее VPN-клиентам доступ к внутренней сети
Брандмауэр ISA Server 2004 сможет принимать входящие VPN-подключения после перезапуска. Однако клиенты VPN не могут получить доступ ни к каким ресурсам во внутренней сети, поскольку нет правил доступа, разрешающих такой доступ. Вы должны создать правило доступа, которое разрешает членам сети VPN-клиентов доступ к внутренней сети. В отличие от других комбинированных VPN-серверов с брандмауэром, VPN-сервер с брандмауэром ISA Server 2004 применяет средства управления доступом для сетевого доступа к VPN-клиентам.
В этом примере вы создадите правило доступа, позволяющее всему трафику проходить из сети VPN-клиентов во внутреннюю сеть. В производственной среде вы должны создать более строгие правила доступа, чтобы пользователи в сети VPN-клиентов имели доступ только к тем ресурсам, которые им необходимы.
Выполните следующие шаги, чтобы создать правило доступа VPN-клиентов с неограниченным доступом:
- В консоли управления Microsoft Internet Security and Acceleration Server 2004 разверните имя сервера и щелкните узел Политика брандмауэра. Щелкните правой кнопкой мыши узел «Политика брандмауэра», выберите « Создать» и щелкните «Правило доступа».
- На странице Добро пожаловать на страницу мастера нового правила доступа введите имя правила в текстовом поле Имя правила доступа. В этом примере мы назовем правило VPN Client to Internal. Нажмите «Далее».
- На странице «Действие правила» выберите параметр «Разрешить» и нажмите «Далее».
- На странице Протоколы выберите параметр Все исходящие протоколы в списке Это правило применяется к. Нажмите «Далее».
Рисунок 13
- На странице «Источники правил доступа» нажмите кнопку «Добавить». В диалоговом окне «Добавить сетевые объекты» щелкните папку «Сети» и дважды щелкните VPN-клиенты. Щелкните Закрыть.
Рисунок 14
- Нажмите «Далее» на странице «Источники правил доступа».
- На странице «Назначения правил доступа» нажмите кнопку «Добавить». В диалоговом окне «Добавить сетевые объекты» щелкните папку «Сети» и дважды щелкните «Внутренние». Щелкните Закрыть.
- На странице «Наборы пользователей» примите значение по умолчанию « Все пользователи» и нажмите «Далее».
Рисунок 15
- Нажмите «Готово» на странице «Завершение работы мастера создания нового правила доступа».
- Нажмите «Применить», чтобы сохранить изменения и обновить политику брандмауэра.
- Нажмите «ОК» в диалоговом окне «Применить новую конфигурацию». Политика клиента VPN теперь является первым правилом доступа в списке политики доступа.
Рисунок 16
Выдача сертификатов брандмауэру ISA Server 2004 и VPN-клиентам
Вы можете значительно повысить уровень безопасности вашего VPN-подключения, используя протокол L2TP/IPSec VPN. Протокол шифрования IPSec обеспечивает ряд преимуществ в плане безопасности по сравнению с протоколом Microsoft Point-to-Point Encryption (MPPE), используемым для защиты соединений PPTP. Хотя VPN брандмауэра ISA Server 2004 поддерживает использование предварительного общего ключа для поддержки процесса шифрования IPSec, это следует рассматривать как вариант с низким уровнем безопасности, и его следует по возможности избегать. Безопасное решение IPSec заключается в использовании компьютерных сертификатов на VPN-сервере и VPN-клиентах.
По умолчанию брандмауэр ISA Server 2004 заблокирован с помощью строгого контроля доступа. Вам потребуется включить правило системной политики, которое позволяет внутреннему брандмауэру обмениваться данными с ЦС предприятия во внутренней сети.
Выполните следующие шаги, чтобы включить правило системной политики на внутреннем брандмауэре ISA Server 2004:
- В консоли управления Microsoft Internet Security and Acceleration Server 2004 разверните имя сервера и щелкните узел Политика брандмауэра.
- Щелкните правой кнопкой мыши узел «Политика брандмауэра», выберите « Просмотр» и выберите «Показать правила системной политики».
- В списке «Правила системной политики» дважды щелкните «Разрешить HTTP от ISA Server ко всем сетям для загрузки CRL».