Esercitazione: Distribuire l'infrastruttura VPN Always On

Vpn Always On è una soluzione di accesso remoto in Windows Server che offre connettività facile e sicura per gli utenti remoti alle reti aziendali. Supporta metodi di autenticazione avanzati e si integra con l'infrastruttura esistente, offrendo un'alternativa moderna alle soluzioni VPN tradizionali. Questa esercitazione inizia la serie per distribuire vpn Always On in un ambiente di esempio.

Questa esercitazione illustra come distribuire un'infrastruttura di esempio per le connessioni VPN Always On per computer client Windows aggiunti a un dominio remoto. Per creare un'infrastruttura di esempio, è possibile:

Per altre informazioni sulla VPN Always On, incluse le integrazioni supportate, le funzionalità di sicurezza e connettività, vedere Panoramica della VPN Always On.

Prerequisites

Per completare i passaggi di questa esercitazione, è necessario soddisfare i prerequisiti seguenti:

• Tre server (fisici o virtuali) che eseguono una versione supportata di Windows Server. Questi server sono il controller di dominio, il server NPS e il server VPN.

• Il server NPS richiede due schede di rete fisiche installate: una per connettersi a Internet e una per connettersi alla rete in cui si trova il controller di dominio.

• A user account on all machines that is a member of the local Administrators security group, or equivalent.

Creare il controller di dominio

1. Sul server che si desidera sia il controller di dominio, installare Active Directory Domain Services (AD DS). Per informazioni dettagliate su come installare AD DS, vedere Installare Active Directory Domain Services.

2. Promuovere Windows Server a controller di dominio. Per questa esercitazione creerai una nuova foresta e il dominio per tale nuova foresta. Per informazioni dettagliate su come installare il controller di dominio, vedere Installazione di AD DS.

3. Installare e configurare l'autorità di certificazione (CA) nel controller di dominio. Per informazioni dettagliate su come installare la CA, vedere Installare l'autorità di certificazione.

Configurare Criteri di gruppo per la registrazione automatica dei certificati

In questa sezione vengono creati criteri di gruppo nel controller di dominio in modo che i membri del dominio richiedano automaticamente i certificati utente e computer. Questa configurazione consente agli utenti VPN di richiedere e recuperare i certificati utente che autenticano automaticamente le connessioni VPN. Inoltre, questo criterio consente al server dei criteri di rete (NPS) di richiedere automaticamente i certificati di autenticazione del server.

1. Sul controller di dominio, aprire la console Gestione Criteri di Gruppo.

2. Nel riquadro sinistro fare clic con il pulsante destro del mouse sul dominio, ad esempio corp.contoso.com. Seleziona Crea un oggetto Criteri di gruppo in questo dominio e crea qui un collegamento.

3. On the New GPO dialog box, for Name, enter Autoenrollment Policy. Select OK.

4. In the left pane, right-click Autoenrollment Policy. Select Edit to open the Group Policy Management Editor.

5. In Editor Gestione Criteri di gruppo completare la procedura seguente per configurare la registrazione automatica del certificato del computer:

   1. Navigate to Computer Configuration>Policies>Windows Settings>Security Settings>Public Key Policies.

   2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse su Client Servizi certificati - Registrazione automatica. Select Properties.

   3. Nella finestra di dialogo Client Servizi certificati - Proprietà registrazione automatica, in Modello di configurazione, selezionare Abilitato.

   4. Selezionare Rinnova i certificati scaduti, aggiorna quelli in sospeso e rimuovi i certificati revocati e Aggiorna i certificati che utilizzano modelli di certificato.

   5. Select OK.

6. Nel Editor Gestione dei Criteri di Gruppo, completare la procedura seguente per configurare l'autoiscrizione del certificato utente:

   1. Navigate to User Configuration>Policies>Windows Settings>Security Settings>Public Key Policies.

   2. Nel riquadro dei dettagli, fare clic con il pulsante destro del mouse su Servizi certificato Client - Registrazione automatica e selezionare Proprietà.

   3. Nella finestra di dialogo Client Servizi certificati - Proprietà registrazione automatica in Modello di configurazione selezionare Abilitato.

   4. Selezionare Rinnova i certificati scaduti, aggiorna quelli in sospeso e rimuovi i certificati revocati e Aggiorna i certificati che utilizzano modelli di certificato.

   5. Select OK.

   6. Chiudere l'Editor di Gestione Criteri di gruppo.

7. Applicare i Criteri di gruppo a utenti e computer nel dominio.

8. Chiudere la console Gestione dei criteri di gruppo.

Creare il server dei criteri di rete

1. Sul server che desideri configurare come server NPS, installa il ruolo Criteri di rete e servizi di accesso. Per informazioni dettagliate su come installare Server dei criteri di rete, vedere la sezione Installare Server dei criteri di rete.

2. Registrare il Server NPS in Active Directory. Per informazioni su come registrare il server dei criteri di rete in Active Directory, vedere Registrare un server dei criteri di rete in un dominio di Active Directory.

3. Assicurarsi che i firewall consentano il corretto funzionamento del traffico necessario per le comunicazioni VPN e RADIUS. Per altre informazioni consultare Configurare i firewall per il traffico RADIUS.

4. Creare il gruppo di server dei criteri di rete:

   1. Nel controller di dominio aprire Utenti e computer di Active Directory.

   2. Under your domain, right-click Computers. Select New, then select Group.

   3. In Group name, enter NPS Servers, then select OK.

   4. Right-click NPS Servers and select Properties.

   5. On the Members tab of the NPS Servers Properties dialog box, select Add.

   6. Select Object Types, select the Computers check box, then select OK.

   7. In Immettere i nomi degli oggetti da selezionare, immettere il nome host del server NPS (Network Policy Server). Select OK.

   8. Chiudere Utenti e computer di Active Directory.

Creare il server VPN

1. Per il server che esegue il server VPN, assicurarsi che nel computer siano installate due schede di rete fisiche: una per connettersi a Internet e una per connettersi alla rete in cui si trova il controller di dominio.

2. Identificare quale scheda di rete si connette a Internet e quale si connette al dominio. Configurare la scheda di rete con connessione Internet con un indirizzo IP pubblico, mentre la scheda con connessione Intranet può usare un indirizzo IP dalla rete locale.

3. Per la scheda di rete che si connette al dominio, impostare l'indirizzo IP preferito DNS all'indirizzo IP del controller di dominio.

4. Aggiungere il server VPN al dominio. Per informazioni su come aggiungere un server a un dominio, vedere Per aggiungere un server a un dominio.

5. Configura le regole del firewall per consentire il traffico in ingresso alle porte UDP 500 e 4500 all'indirizzo IP esterno associato all'interfaccia pubblica del server VPN. Per la scheda di rete che si connette al dominio, consentire le porte UDP seguenti: 1812, 1813, 1645 e 1646.

6. Creare il gruppo di server VPN:

   1. Nel controller di dominio aprire Utenti e computer di Active Directory.

   2. Under your domain, right-click Computers. Select New, then select Group.

   3. In Group name, enter VPN Servers, then select OK.

   4. Right-click VPN Servers and select Properties.

   5. On the Members tab of the VPN Servers Properties dialog box, select Add.

   6. Select Object Types, select the Computers check box, then select OK.

   7. In Immettere i nomi degli oggetti da selezionare immettere il nome host del server VPN. Select OK.

   8. Chiudere Utenti e computer di Active Directory.

7. Seguire la procedura descritta in Installare Accesso remoto come server VPN per installare il server VPN.

8. Aprire Routing e accesso remoto da Server Manager.

9. Right-click the name of the VPN server, and then select Properties.

10. In Properties, select the Security tab and then:

    1. Select Authentication provider and select RADIUS Authentication.

    2. Select Configure to open the RADIUS Authentication dialog.

    3. Select Add to open the Add RADIUS Server dialog.

       1. In Server name, enter the Fully Qualified Domain Name (FQDN) of the NPS server, which is also a RADIUS server. Ad esempio, se il nome NetBIOS del server NPS e del controller di dominio è nps1 e il nome di dominio è corp.contoso.com, inserire nps1.corp.contoso.com.

       2. In Shared secret, select Change to open the Change Secret dialog box.

       3. In New secret, enter a text string.

       4. In Conferma nuovo segreto immettere la stessa stringa di testo, quindi selezionare OK.

       5. Salvare il segreto. È necessario quando si aggiunge questo server VPN come client RADIUS più avanti in questa esercitazione.

    4. Select OK to close the Add RADIUS Server dialog.

    5. Select OK to close the RADIUS Authentication dialog.

11. On the VPN server Properties dialog, select Authentication Methods....

12. Selezionare Consenti l'autenticazione del certificato del computer per IKEv2.

13. Select OK.

14. For Accounting provider, select Windows Accounting.

15. Select OK to close the Properties dialog.

16. Una finestra di dialogo richiede di riavviare il server. Select Yes.

Creare un utente e un gruppo VPN

1. Creare un utente VPN seguendo questa procedura:

   1. Nel controller di dominio aprire la console Utenti e computer di Active Directory .
   2. Under your domain, right-click Users. Select New. In Nome accesso utente immettere qualsiasi nome. Select Next.
   3. Scegliere una password per l'utente.
   4. Deselezionare Cambiamento obbligatorio password all'accesso successivo. Selezionare Password senza scadenza.
   5. Select Finish. Tenere aperti Utenti e Computer di Active Directory.

2. Creare un gruppo di utenti VPN seguendo questa procedura:

   1. Under your domain, right-click Users. Select New, then select Group.
   2. In Group name, enter VPN Users, then select OK.
   3. Right-click VPN Users and select Properties.
   4. On the Members tab of the VPN Users Properties dialog box, select Add.
   5. On the Select Users dialog box, add the VPN user that you created and select OK.

Configurare il server VPN come client RADIUS

1. Nel server NPS, aprire le regole del firewall per consentire in ingresso le porte UDP 1812, 1813, 1645 e 1646, inclusi i firewall di Windows.

2. Aprire la console server dei criteri di rete .

3. Nella console Server dei criteri di rete, fare doppio clic su Client e server RADIUS.

4. Right-click RADIUS Clients and select New to open the New RADIUS Client dialog box.

5. Verificare che sia selezionata la casella di controllo Abilita questo client RADIUS.

6. In Friendly name, enter a display name for the VPN server.

7. In Indirizzo (IP o DNS) immettere l'indirizzo IP o il nome di dominio completo del server VPN.

   If you enter the FQDN, select Verify if you want to verify that the name is correct and maps to a valid IP address.

8. In Shared secret:

   1. Ensure that Manual is selected.
   2. Immettere il segreto creato nella sezione Creare il server VPN.
   3. Per Confirm shared secret (Conferma segreto condiviso) immettere nuovamente il segreto condiviso.

9. Select OK. Il server VPN dovrebbe essere visualizzato nell'elenco dei client RADIUS configurati nel server NPS.

Configurare il server NPS come server RADIUS

1. Registrare un certificato del server per il server NPS, con un certificato che soddisfi i requisiti descritti in Configurare i modelli di certificato per i requisiti PEAP e EAP. Per verificare che i server dei criteri di rete (NPS) siano iscritti con un certificato del server dall'autorità di certificazione (CA), consultare Verificare l'iscrizione del certificato del server.

2. In the NPS console, select NPS (Local).

3. In Standard Configuration, ensure that RADIUS server for Dial-Up or VPN Connections is selected.

4. Selezionare Configura VPN o Connessione remota per aprire la procedura guidata Configura VPN o Connessione remota.

5. Selezionare Connessioni di rete privata virtuale (VPN) e quindi selezionare Avanti.

6. In Specificare la connessione remota o il server VPN, in client RADIUS selezionare il nome del server VPN.

7. Select Next.

8. In Configura metodi di autenticazione completare la procedura seguente:

   1. Deselezionare Microsoft Encrypted Authentication versione 2 (MS-CHAPv2).

   2. Selezionare Extensible Authentication Protocol.

   3. For Type, select Microsoft: Protected EAP (PEAP). Then select Configure to open the Edit Protected EAP Properties dialog box.

   4. Select Remove to remove the Secured Password (EAP-MSCHAP v2) EAP type.

   5. Select Add. Si apre la finestra di dialogo Aggiungi EAP.

   6. Selezionare Smart card o altro certificato, quindi OK.

   7. Select OK to close Edit Protected EAP Properties.

9. Select Next.

10. In Specificare gruppi di utenti completare la procedura seguente:

    1. Select Add. Verrà visualizzata la finestra di dialogo Seleziona utenti, computer, account di servizio o gruppi .

    2. Enter VPN Users, then select OK.

    3. Select Next.

11. In Specifica filtri IP selezionare Avanti.

12. In Specifica impostazioni di crittografia selezionare Avanti. Non apportare modifiche.

13. In Specifica un nome dell'area di autenticazione selezionare Avanti.

14. Select Finish to close the wizard.

Next step

Dopo aver creato l'infrastruttura di esempio, è possibile iniziare a configurare l'autorità di certificazione.