Добавление пользователей и компьютеров в группы автоматической подачи заявок на сертификаты

Пользователи и компьютеры смогут подтвердить свою подлинность и получить доступ к беспроводной сети только при наличии выданных сертификатов пользователей и компьютеров. Процесс выдачи и обновления этих сертификатов прозрачен для пользователей благодаря ранее настроенным группам автоматической подачи заявок на сертификаты.

Для добавления пользователей и их компьютеров в группы автоматической подачи заявок на сертификаты воспользуйтесь оснасткой консоли управления «Active Directory — пользователи и компьютеры». Добавьте учетные записи пользователей в группу AutoEnroll Client Authentication — User Certificate, а их компьютеры — в группу AutoEnroll Client Authentication — Computer Certificate. В результате эти пользователи после перезагрузки своих компьютеров и повторного входа в сеть получат сертификаты пользователей и компьютеров.

Примечание.   В рассматриваемом решении для контроля над тем, какие пользователи и компьютеры могут получить сертификаты, применяются пользовательские группы. Если нужно, чтобы все пользователи и компьютеры имели сертификаты, просто добавьте пользователей домена (Domain Users) в группу AutoEnroll Client Authentication — User Certificate, а компьютеры домена (Domain Computers) — в группу AutoEnroll Client Authentication —Computer Certificate.

Конфигурирование инфраструктуры доступа к беспроводной сети

Для основного сервера службы проверки подлинности в Интернете нужно задать политику удаленного доступа и параметры запроса подключения, определяющие процессы проверки подлинности и авторизации клиентов при доступе к беспроводной сети. Затем эти параметры нужно воспроизвести на других серверах службы проверки подлинности в Интернете, после чего каждый сервер службы проверки подлинности в Интернете нужно по отдельности сконфигурировать для приема соединений клиентов RADIUS, таких как точки беспроводного доступа. Далее сами точки беспроводного доступа нужно настроить для использования сервера службы проверки подлинности в Интернете в качестве поставщика услуг проверки подлинности и авторизации в беспроводной сети стандарта 802.1X.

Создание политики удаленного доступа службы проверки подлинности в Интернете для беспроводной сети

Запустите оснастку консоли управления «Служба проверки подлинности в Интернете» на основном сервере службы проверки подлинности в Интернете и настройте эту службу с помощью политики удаленного доступа, следуя приведенным ниже инструкциям.

Чтобы создать политику удаленного доступа, выполните следующие действия.

1. Щелкните правой кнопкой мыши папку «Политика удаленного доступа» и выберите пункт «Создать политику удаленного доступа».

2. Назначьте новой политике имя Allow Wireless Access и укажите мастеру настроить типовую политику для общего сценария.

3. Выберите в качестве метода доступа «Беспроводной доступ».

4. Предоставьте доступ на основе групп и воспользуйтесь группой безопасности Remote Access Policy — Wireless Access.

5. Выберите тип «Смарт-карта или иной сертификат для протокола EAP», а затем — серверный сертификат проверки подлинности, установленный для службы проверки подлинности в Интернете.

6. Завершите работу мастера.

7. Откройте свойства политики Allow Wireless Access и щелкните «Изменить профиль».

8. На вкладке «Дополнительно» добавьте атрибут Ignore-User-Dialin-Properties и присвойте ему значение True, после чего добавьте атрибут Termination-Action со значением RADIUS Request.

Примечание.   Политику Allow Wireless Access можно использовать вместе с другими пользовательскими политиками или политиками доступа по умолчанию, но чтобы политика удаленного доступа по умолчанию работала корректно, она должна быть указана в папке «Политики удаленного доступа» после политики Allow Wireless Access.

Чтобы добавить клиенты RADIUS в конфигурацию сервера службы проверки подлинности в Интернете, выполните следующие действия.

Точки доступа и прокси-серверы RADIUS должны быть добавлены в конфигурацию сервера службы проверки подлинности в Интернете как клиенты RADIUS — только после этого они смогут использовать службы проверки подлинности и учета по протоколу RADIUS.

Процесс добавления клиентов RADIUS в конфигурацию сервера службы проверки подлинности в Интернете

1. Запустите оснастку консоли управления «Сервер службы проверки подлинности в Интернете».

2. Щелкните правой кнопкой мыши папку «Клиенты RADIUS» и выберите пункт «Новый клиент RADIUS».

3. Введите описательное имя и IP-адрес точки беспроводного доступа.

4. Укажите «RADIUS Standard» в качестве атрибута «Клиент-вендор» и введите совместно используемый секрет для конкретной точки доступа. Затем выберите атрибут «Запрос должен содержать атрибут проверки подлинности сообщения».

Примечание.   Этот процесс следует повторить на каждом сервере службы проверки подлинности в Интернете, чтобы гарантировать, что каждый сервер будет иметь уникальный набор клиентов и совместно используемых секретов точек доступа. Для упрощения этого процесса к данному руководству прилагается сценарий, который можно использовать для создания совместно используемых секретов. Эти секреты можно затем сохранить в надежном месте на случай возникновения необходимости в восстановлении системы. Чтобы выполнить этот сценарий, просто введите в командной строке следующую команду:

Копировать код

Cscript //job:GenPWD C:\MSSScripts\wl_tools.wsf /client:ClientName