Руководство. Развертывание AlwaysOn VPN — настройка инфраструктуры для AlwaysOn VPN
В этом руководстве описано, как развернуть VPN-подключения AlwaysOn для клиентских компьютеров Windows, присоединенных к удаленному домену. Вы создадите пример инфраструктуры, которая показывает, как реализовать процесс VPN-подключения AlwaysOn. Процесс состоит из следующих шагов:
VPN-клиент Windows использует общедоступный DNS-сервер для выполнения запроса разрешения имен для IP-адреса VPN-шлюза.
VPN-клиент использует IP-адрес, возвращенный DNS, для отправки запроса на подключение к VPN-шлюзу.
VPN-сервер также настроен как клиент службы пользователей удаленной проверки подлинности (RADIUS); КЛИЕНТ VPN RADIUS отправляет запрос подключения на сервер NPS для обработки запросов на подключение.
Сервер NPS обрабатывает запрос на подключение, включая авторизацию и проверку подлинности, и определяет, следует ли разрешить или запретить запрос на подключение.
Сервер NPS перенаправит ответ Access-Accept или Access-Deny на VPN-сервер.
Подключение инициируется или завершается на основе ответа, полученного VPN-сервером от сервера NPS.
Необходимые компоненты
Чтобы выполнить действия, описанные в этом руководстве, выполните следующие действия.
Вам потребуется доступ к четырем физическим компьютерам или виртуальным машинам (виртуальным машинам).
Убедитесь, что учетная запись пользователя на всех компьютерах является членом администраторов или эквивалентна.
Внимание
Использование удаленного доступа в Microsoft Azure не поддерживается, включая VPN удаленного доступа и DirectAccess. Дополнительные сведения см. в статье о поддержке программного обеспечения сервера Майкрософт для виртуальных машин Microsoft Azure.
Создание контроллера домена
Установите Windows Server на компьютере, на котором будет запускаться контроллер домена.
Установите службы домен Active Directory (AD DS). Подробные сведения о том, как установить AD DS, см. в разделе "Установка служб домен Active Directory".
Повышение уровня windows Server до контроллера домена. В этом руководстве вы создадите новый лес и домен в этом новом лесу. Подробные сведения об установке контроллера домена см. в разделе "Установка AD DS".
Установите и настройте центр сертификации (ЦС) на контроллере домена. Подробные сведения об установке ЦС см. в разделе "Установка центра сертификации".
Создание групповой политики Active Directory
В этом разделе описано, как создать групповую политику на контроллере домена, чтобы члены домена автоматически запрашивали сертификаты пользователей и компьютеров. Эта конфигурация позволяет VPN-пользователям запрашивать и получать сертификаты пользователей, которые автоматически проходят проверку подлинности VPN-подключений. Эта политика также позволяет серверу NPS автоматически запрашивать сертификаты проверки подлинности сервера.
На контроллере домена откройте раздел "Управление групповой политикой".
В области слева щелкните правой кнопкой мыши домен (например, corp.contoso.com). Выберите " Создать объект групповой политики" в этом домене и свяжите его здесь.
В диалоговом окне "Создать объект групповой политики" введите "Имя" введите политику автоматической регистрации. Нажмите ОК.
В левой области щелкните правой кнопкой мыши политику автоматической регистрации. Выберите "Изменить", чтобы открыть редактор управления групповыми политиками.
В редакторе управления групповыми политиками выполните следующие действия, чтобы настроить автоматическую регистрацию сертификата компьютера:
На левой панели перейдите в раздел "Политики>конфигурации>компьютеров>>" Параметры безопасности параметров безопасности политик открытого ключа.
В области сведений щелкните правой кнопкой мыши клиент служб сертификатов — автоматическая регистрация. Выберите Свойства.
В диалоговом окне "Свойства автоматической регистрации" в клиенте служб сертификатов выберите "Включена модель конфигурации".
Выберите параметры Обновлять сертификаты с истекшим сроком действия или в состоянии ожидания и удалять отозванные сертификаты и Обновлять сертификаты, использующие шаблоны сертификатов.
Нажмите ОК.
В редакторе управления групповыми политиками выполните следующие действия, чтобы настроить автоматическую регистрацию сертификата пользователя:
В левой области перейдите к политикам>политики конфигурации>пользователей параметров>безопасности параметров>открытого ключа.
В области сведений щелкните правой кнопкой мыши клиент служб сертификатов — автоматическая регистрация и выберите свойства.
В диалоговом окне "Свойства автоматической регистрации" в модели конфигурации выберите "Включена" в клиенте служб сертификатов.
Выберите параметры Обновлять сертификаты с истекшим сроком действия или в состоянии ожидания и удалять отозванные сертификаты и Обновлять сертификаты, использующие шаблоны сертификатов.
Нажмите ОК.
Закройте редактор управления групповыми политиками.
Закройте Управление групповой политикой.
Создание сервера NPS
Установите Windows Server на компьютере, на котором будет запускаться сервер NPS.
На сервере NPS установите роль политики сети и службы Access (NPS). Подробные сведения об установке NSP см. в разделе "Установка сервера политики сети".
Зарегистрируйте сервер NPS в Active Directory. Сведения о регистрации сервера NPS в Active Directory см. в разделе "Регистрация NPS" в домен Active Directory.
Убедитесь, что брандмауэры разрешают трафик, необходимый для правильной работы подключений VPN и RADIUS. Дополнительные сведения см. в разделе "Настройка брандмауэров для трафика RADIUS".
Создайте группу серверов NPS:
На контроллере домена откройте Пользователи и компьютеры Active Directory.
В домене щелкните правой кнопкой мыши компьютеры. Выберите "Создать", а затем выберите "Группа".
В имени группы введите NPS-серверы, а затем нажмите кнопку "ОК".
Щелкните правой кнопкой мыши NPS-серверы и выберите пункт "Свойства".
На вкладке "Члены" диалогового окна "Свойства серверов NPS" нажмите кнопку "Добавить".
Выберите "Типы объектов", установите флажок "Компьютеры ", а затем нажмите кнопку "ОК".
Введите имена объектов, которые нужно выбрать, введите имя компьютера сервера NPS. Нажмите ОК.
Закройте окно "Пользователи и компьютеры Active Directory".
Создание VPN-сервера
Установите Windows Server на компьютере, на котором будет запущен VPN-сервер. Убедитесь, что на компьютере установлены два физических сетевых адаптера: один для подключения к Интернету, а один — для подключения к сети, в которой находится контроллер домена.
Определите, какой сетевой адаптер подключается к Интернету и какой сетевой адаптер подключается к домену. Настройте сетевой адаптер, подключенный к Интернету, с общедоступным IP-адресом, а адаптер, который сталкивается с интрасетью, может использовать IP-адрес из локальной сети.
Для сетевого адаптера, подключающегося к домену, задайте предпочтительный IP-адрес DNS для IP-адреса контроллера домена.
Присоединение VPN-сервера к домену. Сведения о присоединении сервера к домену см. в статье "Присоединение сервера к домену".
Откройте правила брандмауэра, чтобы разрешить UDP-портам 500 и 4500 входящий трафик во внешний IP-адрес, примененный к общедоступному интерфейсу на VPN-сервере.
В сетевом адаптере, подключаемом к домену, включите следующие порты: UDP1812, UDP1813, UDP1645 и UDP1646.
Создайте группу VPN-серверов:
На контроллере домена откройте Пользователи и компьютеры Active Directory.
В домене щелкните правой кнопкой мыши компьютеры. Выберите "Создать", а затем выберите "Группа".
В имени группы введите VPN-серверы, а затем нажмите кнопку "ОК".
Щелкните правой кнопкой мыши VPN-серверы и выберите "Свойства".
На вкладке "Члены" диалогового окна "Свойства VPN-серверов" нажмите кнопку "Добавить".
Выберите "Типы объектов", установите флажок "Компьютеры ", а затем нажмите кнопку "ОК".
Введите имена объектов, которые нужно выбрать, введите имя компьютера VPN-сервера. Нажмите ОК.
Закройте окно "Пользователи и компьютеры Active Directory".
Выполните действия, описанные в разделе "Установка удаленного доступа в качестве VPN-сервера " для установки VPN-сервера.
Откройте средство маршрутизации и удаленного доступа из диспетчер сервера.
Щелкните правой кнопкой мыши VPN-сервер и выберите пункт "Свойства".
В свойствах выберите вкладку "Безопасность" , а затем:
Выберите поставщик проверки подлинности и выберите RADIUS Authentication.
Выберите "Настроить", чтобы открыть диалоговое окно проверки подлинности RADIUS.
Нажмите кнопку "Добавить", чтобы открыть диалоговое окно "Добавить сервер RADIUS".
В поле "Имя сервера" введите полное доменное имя сервера NPS. В этом руководстве сервер NPS является сервером контроллера домена. Например, если имя NetBIOS сервера NPS и сервера контроллера домена — dc1, а доменное имя — corp.contoso.com, введите dc1.corp.contoso.com.
В общем секрете выберите "Изменить", чтобы открыть диалоговое окно "Изменить секрет".
В поле "Новый секрет" введите текстовую строку.
В поле "Подтверждение нового секрета" введите ту же текстовую строку, а затем нажмите кнопку "ОК".
Сохраните этот секрет. Это потребуется при добавлении этого VPN-сервера в качестве клиента RADIUS далее в этом руководстве.
Нажмите кнопку "ОК ", чтобы закрыть диалоговое окно "Добавить сервер RADIUS".
Нажмите кнопку "ОК ", чтобы закрыть диалоговое окно проверки подлинности radius.
В диалоговом окне свойств VPN-сервера выберите методы проверки подлинности....
Выберите Разрешить проверку подлинности сертификата компьютера для IKEv2.
Нажмите ОК.
Для поставщика учета выберите "Учет Windows".
Нажмите кнопку "ОК ", чтобы закрыть диалоговое окно "Свойства".
Диалоговое окно предложит перезапустить сервер. Выберите Да.
Создание VPN-клиента Windows
Установите Windows 10 или более поздней версии на компьютере, который будет vpn-клиентом.
Присоединение VPN-клиента к домену. Сведения о присоединении компьютера к домену см. в статье "Присоединение компьютера к домену".
Создание пользователя и группы VPN
Создайте VPN-пользователя, выполнив следующие действия.
На контроллере домена откройте Пользователи и компьютеры Active Directory.
В домене щелкните правой кнопкой мыши "Пользователи". Выберите Создать. В поле "Имя входа пользователя" введите любое имя входа. Выберите Далее.
Выберите пароль для пользователя.
При следующем входе пользователь должен изменить пароль. установлен флажок Срок действия пароля не ограничен.
Выберите Готово. Оставайтесь открытыми Пользователи и компьютеры Active Directory.
Создайте группу пользователей VPN, выполнив следующие действия.
В домене щелкните правой кнопкой мыши "Пользователи". Выберите "Создать", а затем выберите "Группа".
В имени группы введите VPN-пользователей, а затем нажмите кнопку "ОК".
Щелкните правой кнопкой мыши VPN-пользователей и выберите "Свойства".
На вкладке "Члены" диалогового окна "Свойства пользователей VPN" нажмите кнопку "Добавить".
В диалоговом окне "Выбор пользователей" добавьте созданного VPN-пользователя и нажмите кнопку "ОК".
Настройка VPN-сервера в качестве клиента RADIUS
На сервере NPS откройте правила брандмауэра, чтобы разрешить входящий трафик портов UDP 1812, 1813, 1645 и 1646.
В консоли NPS дважды щелкните radius-клиенты и серверы.
Щелкните правой кнопкой мыши "Клиенты RADIUS" и выберите "Создать ", чтобы открыть диалоговое окно "Новый клиент RADIUS".
Убедитесь, что установлен флажок "Включить этот клиент RADIUS".
В понятном имени введите отображаемое имя VPN-сервера.
В поле Address (IP или DNS) введите IP-адрес или полное доменное имя VPN-сервера.
Если ввести полное доменное имя, выберите "Проверить , правильно ли имя" и сопоставляется с допустимым IP-адресом.
В общем секрете:
Убедитесь, что выбрано руководство .
Введите секрет, созданный в разделе "Создание VPN-сервера".
Для подтверждения общего секрета повторно введите общий секрет.
Нажмите ОК. VPN-сервер должен отображаться в списке клиентов RADIUS, настроенных на сервере NPS.
Настройка NPS-сервера в качестве сервера RADIUS
Примечание.
В этом руководстве сервер NPS устанавливается на контроллере домена с ролью ЦС; и нам не нужно регистрировать отдельный сертификат сервера NPS. Однако в среде, в которой сервер NPS установлен на отдельном сервере, необходимо зарегистрировать сертификат сервера NPS, прежде чем можно будет выполнить эти действия.
В консоли NPS выберите NPS(Local).
В стандартной конфигурации убедитесь, что выбран сервер RADIUS для подключений по телефону или VPN .
Выберите "Настроить VPN" или "Телефонный подключение", чтобы открыть мастер настройки VPN или телефонного подключения.
Выберите подключения виртуальной частной сети (VPN) и нажмите кнопку "Далее".
В поле "Указать телефонный или VPN-сервер" в клиентах RADIUS выберите имя VPN-сервера.
Выберите Далее.
В разделе "Настройка методов проверки подлинности" выполните следующие действия.
Снимите флажок Microsoft Encrypted Authentication версии 2 (MS-CHAPv2).
Выберите расширяемый протокол проверки подлинности.
Для типа выберите Microsoft: Protected EAP (PEAP) (PEAP). Затем нажмите кнопку "Настроить", чтобы открыть диалоговое окно "Свойства защищенного EAP".
Выберите "Удалить ", чтобы удалить защищенный пароль (EAP-MSCHAP версии 2) EAP.
Выберите Добавить. Откроется диалоговое окно "Добавить EAP".
Нажмите кнопку "Смарт-карта" или другой сертификат, а затем нажмите кнопку "ОК".
Нажмите кнопку "ОК", чтобы закрыть свойства защищенного EAP.
Выберите Далее.
В разделе "Указание групп пользователей" выполните следующие действия.
Выберите Добавить. Откроется диалоговое окно выбора пользователей, компьютеров, учетных записей служб или групп.
Введите VPN-пользователей, а затем нажмите кнопку "ОК".
Выберите Далее.
В поле "Указать IP-фильтры" нажмите кнопку "Далее".
В разделе "Указание параметров шифрования" нажмите кнопку "Далее". Не вносите никаких изменений.
В поле "Указать имя области" нажмите кнопку "Далее".
Выберите Готово, чтобы закрыть мастер.
Следующие шаги
Теперь вы создали образец инфраструктуры, которую вы готовы настроить центр сертификации.