为***客户配置NAP

 

 

实施拓扑：

拓扑说明：

     出于安全考虑，公司为***远程连接的用户计算机进行检查，若远程连接客户端的计算机不符合健康要求，则不能通过***服务器连接进公司内网进行资源访问，若符合NPS服务器设置的健康要求，通过了的客户端，NPS服务器则会颁发一张健康证书给远程的客户端，远程客户端就可以用这张证书来证明自己是健康的，我们在公司的一台装了windows server 2008 的计算机上安装***和NPS角色，在NYC-DC1上面安装主域控制器进行身份验证，同时安装证书颁发机构为客户端颁发证书；然后安装一台测试客户端NYC-CL1;

 

任务描述：

l  将NYC-DC1配置为企业根CA

l  将 NYC-SVR1 配置成 NPS 健康策略服务器

l  配置 NYC-SVR1 路由和远程访问服务 （RRAS），配置成 *** 服务器

l  将 NYC-CL1 配置为*** 和 NAP 客户端

 

 

功能实施：

  将 NYC-DC1 配置为 企业 根 CA

---

 

1.         安装“Active Directory 证书服务” 角色服务。CA 类型。选择“根CA”

2.         配置““证书模板””。添加“Authenticated Users”组的用户有“注册”的权限。

3.         刷新组策略，NYC-DC1也申请一张证书。

 

  将 NYC-SVR1 配置成 NPS 健康策略服务器

---

 

1.         首先刷新组策略

2.         获得计算机证书，用于服务器端 PEAP 认证：

3.         安装 NPS 服务器角色：安装选择“网络策略服务器”和“远程访问服务”

4.         将 NPS 配置成 NAP 健康策略服务器：只是选择在“Windows Vista”选项卡中“已为所有网络连接启用防火墙”。

 

 

5.         配置健康策略。新建健康策略1，策略名称“Compliant”，在“客户端 SHV 检查”，验证已经选择了“客户端通过了所有SHV检查”。在“此健康策略中使用的SHV”中选择“Windows 安全健康验证程序”复选框。

6.         配置健康策略。新建健康策略2，策略名称“NonCompliant”，在“客户端 SHV 检查”，验证已经选择了“客户端未能通过了一个或者多个SHV检查”。在“此健康策略中使用的SHV”中选择“Windows 安全健康验证程序”复选框。

 

7.         为符合计算机配置网络策略：首先禁用两个默认策略，新建“网络策略”，策略名称“Compliant-Full-Access”，指定条件为Compliant，指定访问权限是“已授予访问权限”。NAP 强制是“允许完全网络访问”。

8.         为不符合计算机配置网络策略：新建网络策略，策略名称“Noncompliant-Restricted”，指定条件Noncompliant，“指定访问权限”选择“已授予访问权限”，“NAP 强制”选择“允许受限访问”，“启用客户端计算机的自动更新功能”已选定。

9.         IP 筛选器。在 IPv4 下单击“输入筛选器”，新建“添加 IP 筛选器”，选择“目标网络”。IP 地址“10.10.0.10”，子网掩码“255.255.255.255”。入站筛选器中选择“仅允许下面列出的数据包”。单击“输出筛选器”，IP 地址“10.10.0.10”，子网掩码“255.255.255.255”。然后在“出站筛选器”对话框选择“仅允许下面列出的数据包”。

 

10.  配置连接请求策略：禁用默认策略，新建“连接请求策略”，策略名称“*** connections”。在“网络访问服务器的类型”下选择“远程访问服务器（***-Dial up）”，指定条件“隧道类型”，选择 PPTP 和L2TP，指定连接请求转发功能，选择“在此服务器上对请求进行身份验证”，

 

 

11.     指定身份验证方法，选择“改写网络策略身份验证设置”。EAP 类型，添加“Microsoft：受保护的 EAP (PEAP)”，和“Microsoft：安全密码 (EAP-MSCHAP v2)”，验证“启用隔离检查”已经选择。

 

  配置 NYC-SVR1 路由和远程访问服务 （RRAS），配置成 *** 服务器

---

1.         远程访问 (拨号或 ***)为 IP地址为 192.168.1.10 的网络接口，IP 地址分配范围10.10.0.100~10.10.0.110。

 

2.         禁用Microsoft 路由和远程访问服务策略。

 

 

  允许 NYC-SVR1 上的 ping

---

1.         在nyc-svr1上，在高级安全Windows 防火墙里新建“入站规则”，规则是允许“特定 ICMP 类型”的 “回显请求”，

 

 

  将 NYC-CL1 配置为*** 和 NAP 客户端

---

 

1.         配置 NYC-CL1 启用安全中心：输入“gpedit.msc”，在组策略里启用“启用安全中心（仅限域 PC）”。

2.         启用远程访问隔离强制客户端：输入“napclcfg.msc”，打开启用“远程访问隔离强制客户端”

3.         启用并启动 NAP 代理服务：

 

4.         配置 NYC-CL1 的Internet网段：ip 192.168.1.20  255.255.255.0  dns10.10.0.10，

5.         验证 NYC-CL1的网络连接性：ping 192.168.1.10

6.         配置 *** 连接：Internet地址“192.168.1.10”。目标名称“Woodgrovebank”。用户名“Administrator”，密码“Pa$$w0rd” 域“Woodgrovebank”，

 

7.         右键单击“WoodGroveBank”，选择属性“登录安全”，选择“使用可扩展的身份验证协议 (EAP)”，然后选择“ 受保护的EAP (PEAP) (启用加密)”。选择身份验证方法“安全密码 (EAP-MSCHAP v2)”。

 

 

 

 

1.         测试 *** 连接：

 

第一次使用 *** 连接时，会弹出“验证服务器证书”窗口。

 

2.         等待建立 *** 连接。

 

3.         在命令行输入“ipconfig /all” 查看 IP 配置，系统隔离状态应该是“未限制”。

 

4.         “ping 10.10.0.10”。应该成功。

 

 

5.         “ping 10.10.0.24”。这也应该成功。

 

 

6.         先断开ＶＰＮ连接，配置 Windows 安全健康验证程序要求病毒防护：再进行连接．会在通知区域看到一条消息说此计算机不符合该网络的要求。该消息因为没有开启防火墙而显示。

 

7.         在命令行输入“ipconfig /all” 查看 IP 配置，系统隔离状态应该是“受限的”。

 

8.         尝试 ping 10.10.0.24。应该不成功。

 

 

9.   尝试 ping 10.10.0.10。这是策略允许访问的惟一服务器。