r 11

[ Pobierz całość w formacie PDF ]
.Aby zobaczyć aktualny status domeny,użyj polecenia Netsh ras show domain access.Aby w domenie włączyć uwierzytelnianieserwerów dostępu zdalnego, pracujących pod kontrolą systemu Windows NT 4, użyj poleceniaNetsh ras set domain access.Automatyczne uzyskiwanie certyfikatukomputeraStosowanie certyfikatów komputerów do uwierzytelniania klientów VPN i serwerów VPN napoziomie komputerów jest wymagane w przypadku połączeń korzystających z protokołu L2TP wIPSec (L2TP over IPSec).Aby utworzyć połączenie L2TP over IPSec na komputerze-kliencieVPN i komputerze-serwerze VPN muszą zostać zainstalowane certyfikaty komputerów.Można tozrobić na dwa sposoby:" skonfigurowanie komputerom w domenie systemu Windows 2000 automatycznegoprzydzielania certyfikatów komputerów," użycie Menedżera Certyfikatów (Certificate Manager) do uzyskania certyfikatu komputera.W przypadku dużej liczby klientów VPN metoda druga, ręczna, może być nużąca i bywastosowana tylko, jeśli jednostka certyfikująca przedsiębiorstwa (enterprise CA) nie jest dostępna wdomenie.Konfigurowanie automatycznych żądań certyfikatów dla komputerów, opróczkonfigurowania jednostki certyfikującej i instalowania certyfikatów jednostki (CA certificates),omówiono szczegółowo w rozdziale 7.Skrócony opis zamieszczono poniżej:Rozwiązania pokrewne zobacz na stronie:Konfigurowanie automatycznego żądania certyfikatów dla komputerów1.Edytuj obiekt zasad grupowych (GPO) Domyslne Zasady Domeny (Default Domain Policy).2.Rozwiń gałąz Konfiguracja Komputera/Ustawienia Systemu Windows/UstawieniaZabezpieczeń/Zasady Klucza Publicznego (Computer Configuration/WindowsSettings/Security Settings/Public Key Policies) i prawym przyciskiem myszki kliknij pozycjęUstawienia Automatycznego %7łądania Certyfikatu (Automatic Certificate Request Settings).3.Z menu kontekstowego wybierz pozycję Nowy (New) i zaznacz Automatyczne %7łądanieCertyfikatu.Uruchomiony zostanie Kreator Instalacji Automatycznego %7łądania Certyfikatu(Automatic Certificate Request Setup Wizard).Naciśnij przycisk Dalej (Next).4.Wybierz szablon certyfikatu (certificate template) Komputer (Computer) i naciśnij Dalej.5.Wybierz jednostkę certyfikującą przedsiębiorstwa (enterprise CA) zazwyczaj na liście jesttylko jedna i naciśnij Dalej.6.Aby utworzyć automatyczne żądanie certyfikatu, wybierz Zakończ (Finish).Aby edytowaćobiekt zasad grupowych (GPO) Domyslne Zasady Domeny, naciśnij przycisk OK.7.Aby utworzyć certyfikat komputera dla serwera lub klienta VPN, uruchom ponowniekomputer lub w wierszu poleceń systemu Windows 2000 wpisz:secedit /refreshpolicy machine_policy.Rozwiązania pokrewne zobacz na stronie:Konfigurowanie jednostki certyfikującej (Certification Authority)Instalowanie certyfikatów jednostki certyfikującej (CA certificates)Zastosowanie polecenia seceditDodawanie portów L2TP i PPTPDomyślnie dla przesyłania danych za pomocą protokołu L2TP lub PPTP włączonych jest 128portów.Jeśli jest więcej niż 128 klientów VPN, konieczna jest większa liczba portów.Poniżej zamieszczono procedurę dodawania portów protokołów PPTP lub L2TP:1.Zaloguj się do serwera VPN jako administrator.2.Z menu Narzędzia administracyjne (Administrative tools) wybierz pozycję Ruting i DostępZdalny (Routing And Remote Access).3.Rozwiń gałąz Nazwa Serwera, prawym przyciskiem myszki zaznacz pozycję Porty (Ports) i zmenu wybierz Właściwości (Properties).4.W zależności od stosowanego protokołu wybierz opcję WAN Miniport (PPTP) lub WANMiniport (L2TP).Naciśnij przycisk Konfiguruj (Configure).5.W polu Maksymalna Liczba Portów (Maximum Ports) wpisz liczbę portów (maksymalnie do30 000) i naciśnij przycisk OK.6.Naciśnij OK i zamknij przystawkę (snap-in) konsoli MMC.Konfigurowanie serwera usługi RADIUSSerwer usługi RADIUS korzysta z usługi uwierzytelnienia internetowego (Internet AuthenticationService IAS), aby zapewnić uwierzytelnianie i rozliczanie (accounting support) w sieciach, wktórych występuje wiele serwerów RRAS i VPN.Usługa RADIUS może być stosowana nawet wsieciach rozległych (WAN) i zaimplementowana w systemie Windows 2000 Advanced Server, naktórym także musi być uruchomiona usługa IIS.W niniejszym podrozdziale krótko omówionoinstalowanie i konfigurowanie serwera usługi RADIUS.Pełne omówienie tego zagadnieniastworzyłoby osobną książkę.Poniżej zamieszczono procedurę instalowania serwera usługi RADIUS:1.Zaloguj się do serwera IIS w domenie jako administrator.2.Zainstaluj usługę IAS za pomocą polecenia Dodaj/Usuń programy (Add/Remove programs)znajdującego się w Panelu Sterowania (Control Panel), o ile nie została wcześniejzainstalowana.Zwróć uwagę, że usługa IAS jest składnikiem Usług Sieciowych (NetworkingServices).3.Z menu Narzędzia administracyjne (Administrative tools) wybierz pozycję UsługaUwierzytelniania Internetowego (Internet AS).4.Prawym przyciskiem myszki kliknij usługę Usługa Uwierzytelniania Internetowego i z menuwybierz Właściwości (Properties).5.W oknie zakładki Usługa (Service) zaznacz obydwie opcje dziennika zdarzeń.6.W oknie zakładki RADIUS określ porty UDP uwierzytelniania i obsługi kont usługi RADIUS.7.Jeśli nazwy obszarów (realm names) stosowane u usługodawców internetowych (ISPs) douzyskania dostępu do sieci przedsiebiorstwa różnią się od tych, które są konieczne douzyskania dostępu do domen przedsiebiorstwa (corporate domains), w oknie zakładki Obszary(Realms) określ reguły zamiany tekstu (text replacement rules) dla manipulowania przynazwach obszarów.8.Naciśnij przycisk OK.W drzewie konsoli prawym przyciskiem myszki wybierz pozycjęKlienty (Clients) i opcję Nowy Klient (New Client).9.Postępuj zgodnie z komunikatami wyświetlanymi przez system i podaj informacje o każdym zklientów usługi RADIUS.Wskazówka: Jeśli dany serwer usługi RADIUS jest osiągalny tylko za pomocą interfejsuinternetowego, dodaj filtr wejściowy i filtr wyjściowy do interfejsu internetowego dla portu UDP1812 (lub w przypadku starszej wersji usługi RADIUS portu UDP 1645) dlauwierzytelniania usługi RADIUS.Dla obsługi kont usługi RADIUS (RADIUS accounting) dodajfiltr wejściowy lub wyjściowy do interfejsu internetowego dla portu UDP 1813 (lub portu UDP1646 w przypadku starszych wersji serwerów RADIUS) [ Pobierz całość w formacie PDF ]

Podstrony