5.8 Добавление информации о t2ru – vpn –srv на t2ru – Server2012

Политики сетевого доступа для VPN-клиентов на сервере NPS созданы, но для того, чтобы VPN-сервер мог обращаться к серверу RADIUS как к поставщику аутентификации и обрабатываться созданными политиками.

Рисунок 26 – Добавление VPN – сервера в качестве RADIUS – клиента

Теперь нам нужно выполнить настройку VPN-сервера для использования RADIUS аутентификации, выполнив привязку к ранее настроенному RADIUS-серверу.

После выполнения всех необходимых настроек, проверим подключение по PPTP к корпоративной сети. Результат подключения представлен на рисунке 28. Как видно на ниже представленном рисунке, тип VPN – PPTP, клиент получил IP – адрес из выделенного пула адресов.

Рисунок 27 – Подключение по PPTP

Далее необходимо выписать необходимые сертификаты.

6 Работа с сертификатами

Перед нами стоит задача автоматически распределить сертификаты между пользователями, это позволит не устанавливать сертификат туда, где он не нужен.

Откроем оснастку «Управление групповой политикой» и создадим новую политику в контейнере «Объекты групповой политики.

Политика позволяет устанавливать как один, так и несколько сертификатов одновременно. Создание для каждого сертификата своей политики позволяет более гибко менять правила их применения. После чего перетаскиваем политику на контейнер filial, что позволит применить ее к данному подразделению.

Далее изменяем политику: в открывшемся редакторе групповых политик последовательно разворачиваем «Конфигурация компьютера» - «Конфигурация Windows» - «Параметры безопасности» - «Политики открытого ключа» - «Доверенные корневые центры сертификации» и импортируем сертификат.

Политика создана, теперь проверяем правильность ее применения. Необходимо выполнить моделирование групповой политики. Большинство параметров можно оставить по умолчанию, единственное что следует задать - это пользователя и компьютер для которых будет выполняться проверка политики. Выполнив моделирование, можем убедиться, что политика успешно применяется к указанному компьютеру.

Рисунок 28 – Моделирование групповой политики для пользователя Marya Frank

После чего проверяем работу политики на клиентском ПК, обновив политики вручную, запустив командную строку «CMD» и выполнив команду: gpupdate.

На рисунке показано, что после обновления групповой политики, пользователь получает корневой сертификат центра сертификации автоматически.

Рисунок 29 – Автоматическое получение корневого сертификата центра сертификации

Следующим этапом подготавливаем VPN-сервер и VPN-клиентов к использованию протокола L2TP/IPSec. Генерируем цифровые сертификаты, которые будут использоваться для установления шифрованного соединения между клиентом и сервером. Как на VPN-сервер, так и на VPN-клиента нужно установить сертификат компьютера, полученный от общего доверенного центра сертификации. В процессе настройки VPN – сервера корневой сертификат центра сертификации будет автоматически установлен на него.

6.1 Создание сертификата vpn-сервера

Первоначально нужно на T2RU – Server2012 создать шаблон сертификата, который позволит выполнить проверку подлинности сервера, клиента и подключение по IPSec.

Рисунок 30 – Политика применения шаблона сертификата для VPN - сервера

Для генерации запроса на получение сертификата от центра сертификации, создаём во временном каталоге конфигурационный файл с содержимым, представленным на рисунке 31.

Рисунок 31 – Содержимое конфигурационного файла

Теперь необходимо сгенерировать файл запроса на основе конфигурационного файла. Для этого необходимо открыть командную строку «CMD» и ввести туда следующую команду: certreq –new –f “C:\Temp\RequestConfigVPNServer.inf” “C:\Temp\RequestConfigVPNServer.req”, где RequestConfigVPNServer.inf – конфигурационный файл, а RequestConfigVPNServer.req – файл запроса. После выполнения данной команды, в папке C:\Temp появится файл RequestConfigVPNServer.req, который необходимо отправить центру сертификации. Для этого необходимо в командной строке ввести следующую команду: certreq –submit –f –config “t2ru-server2012.corp.t2ru.ru\corp-t2ru-server2012-ca” “C:\Temp\RequestBinaryVPNServer.req”.

В ответ мы должны получить сообщение об успешной загрузке сертификата. Полученный сертификат представлен на рисунке 32.

Рисунок 32 – Полученный сертификат для VPN – сервера