讓域內用戶在外網通過公司×××連入內部而無須輸入用戶名與密碼

內網用戶在外網用×××登陸內網得需輸入用戶名與密碼，如果是在公共場合登陸的話用戶名與密碼很容易泄露造成不必要的損失。當然用智能卡可以不用輸入用戶名與密碼，但是成本還是有的。今天我做的這個試驗是隻需用戶在內網申請個用戶證書與公司內部的CA服務器證書把它導出到移動設備上，在外網用的時候導入用戶證書到計算機就可以直接通過VNP連接到公司內部而無須輸入賬號與密碼，用戶不用時在把用戶證書導出就可以了。零成本 (*^__^*) 嘻嘻……（注意：得需外網信任內網的CA服務器，如果在公共場合只需把公司的CA證書安裝上就可以了）

試驗目的：內網用戶在外網只需把證書導入到自己的的計算機，不用輸入用戶名與密碼就能通過×××連接到內網。

拓撲圖：

如拓撲圖所示：

Denver是contoso.com的域控制器，DNS服務器，CA服務器和Radius服務器，Beijing是ISA2006服務器，而且處在工作組環境，Istanbul是外網的一臺客戶機。

在我試驗的環境中，我已經可以具備了下列條件：

1 Denver上安裝了企業根CA服務器。（必須是企業根）

2 所有的實驗計算機都信任Denver上的CA服務器。

3 Beijing上已經配置成了×××服務器，支持用戶用PPTP或L2TP撥入。

4 Beijing可以利用Denver上的Radius服務器對域用戶進行身份驗證。

大概流程是：在域控制器上的CA證書頒發機構添加2個模板，並讓內網CA頒發機構給域管理員頒發註冊代理證書（有了這個註冊代理證書後，纔有資格爲其他用戶申請證書，顯然這是爲了防止隨意頒發證書而導致安全隱患）。在域控制器上給Radius服務器申請證書並配置讓它能夠進行驗證，在對ISA防火牆上的×××做下設置，讓防火牆的×××身份驗證方法支持使用證書來對身份進行驗證。最後在域內的stserver用戶申請用戶證書並通過導出導入到外網計算機上，在外網計算機上創建個連接讓在外網的域內用戶的不需要輸入用戶名與密碼選擇證書就能通過×××連接到內網。（注意：不用在外網計算機上創建與域內相同的用戶，打個比方我在外網是用的administration用戶登陸的，在使用stserver用戶證書登陸後在域內就顯示是域內用戶stserver登錄的）

第一步：在Denver上對CA服務器添加證書模板。

1．）在Denver的管理工具中打開證書頒發機構，選擇新建“要頒發的證書模板”。然後添加二個證書模板，分別是“註冊代理”，“註冊代理（計算機）”，點擊“確定”。

2.）在Win2003的CA服務器中，如果要爲用戶申請證書，那麼管理員必須先擁有一個註冊代理證書。要申請註冊代理證書，確保在Denver上是以域管理員身份登錄，然後運行MMC，如下圖所示，添加一個證書管理單元。

選擇使用定製的證書管理單元管理選擇我的用戶賬號

如下圖所示，在用戶證書管理工具中切換到個人－證書，選擇“申請新證書”。

出現證書申請向導，選擇“下一步”。

申請的證書類型選擇“註冊代理”。

如下圖所示，爲申請的註冊代理證書取個名字以及進行簡單描述直接下一步

點擊“完成”結束申請。管理員administrator已經獲得了CA頒發的註冊代理證書。

如上圖這樣域內管理員administrator就有資格爲用戶頒發證書了。

第二步：配置ISA服務器

在ISA服務器選擇管理器展開到虛擬專用網絡，在右側的任務面板中點擊“選擇身份驗證方法”上選擇“可擴展的身份驗證協議（EAP），使用智能卡或其他證書”。

第三步：在域控制器上給Radius服務器申請證書並配置

1.）我們在Radius服務器上申請一個服務器證書，這樣×××客戶機使用證書登錄時可以利用這個證書驗證Radius服務器的身份，避免登錄到了錯誤的服務器上，提高整體安全性。我們在Denver的瀏覽器中輸入 [url]http://denver/certsrv[/url]，如下圖所示，選擇“申請一個證書”。