Защита доступа к сети Network Access Protection (NAP) в Windows 2008 Server

Один из аспектов сетевой безопасности, который расстраивает многих администраторов, заключается в том, что у них нет контроля над конфигурацией удаленных компьютеров. Хотя корпоративная сеть может иметь очень безопасную конфигурацию, в настоящий момент ничто не может помешать удаленному пользователю подключиться к корпоративной сети с помощью компьютера, который заражен вирусами, или который не содержит необходимых обновлений. Инструмент операционной системы Windows 2008 Server под названием Network Access Protection (защита доступа к сети, NAP) позволит изменить такую ситуацию. В этой статье я расскажу вам об инструменте NAP и покажу, как он работает.

Когда я работал сетевым администратором, одна из вещей, которая меня очень расстраивала, заключалась в том, что у меня был очень слабый контроль над удаленными пользователями. Согласно бизнес требованиям моей организации, у удаленных пользователей должна была существовать возможность подключения к корпоративной сети из любого места вне офиса. Проблема заключалась в том, что хотя я предпринимал экстремальные меры для защиты корпоративной сети, у меня не было абсолютно никакого контроля над компьютерами, который пользователи могли бы использовать для удаленного подключения к сети. В конце концов, домашний компьютер сотрудника не является собственностью компании.

Причина, по которой это так сильно меня расстраивало, заключалась в том, что я никогда не знал, в каком состоянии находится компьютер пользователя. Иногда, удаленные пользователи могли подключаться к сети с помощью компьютера, который заражен вирусами. Иногда, компьютер удаленного пользователя мог работать на устаревшей версии операционной системы Windows. Хотя я предпринимал шаги по защите корпоративной сети, я всегда боялся, что удаленный пользователь с неадекватной защитой может инфицировать файлы в сети вирусом, или случайно открыть важную корпоративную информацию, потому что его компьютер может быть заражен трояном.

Однако несколько лет назад появился луч надежды. Компания Microsoft подготовилась к выпуску операционной системы Windows Server 2003 R2, в которой велся разговор о новом инструменте под названием NAP. Чтобы немного сократить историю, расскажу лишь, что чтобы настроить безопасность сети с помощью более ранних версий этого инструмента, необходимо было иметь ученую степень в области компьютерной безопасности. И поэтому инструмент NAP был удален из окончательной версии R2.

Компания Microsoft проделала большой объем работы по усовершенствованию инструмента NAP с того времени, и теперь инструмент NAP одним из основных инструментов для безопасности в операционной системе Windows 2008 Server. Хотя версия инструмента NAP для операционной систем Windows 2008 будет гораздо более простой в настройке, чем невышедшая версия для Windows Server 2003, она по-прежнему остается весьма сложной. Поэтому целью написания этой статьи было то, чтобы предоставить вам описание инструмента NAP, а также показать вам, как он работает еще до выхода официальной версии операционной системы Windows 2008 Server.

Для начала

Перед тем как я продолжу, я хочу объяснить еще одну вещь относительно инструмента NAP. Назначение инструмента NAP заключается в том, чтобы убедиться, что компьютер удаленного пользователя удовлетворяет требованиям безопасности вашей организации. NAP ничего не делает, чтобы предотвратить неавторизованный доступ к вашей сети. Если у злоумышленника есть компьютер, который удовлетворяет требованиям по безопасности вашей компании, то NAP ничего не сделает, чтобы попытаться остановить злоумышленника. Защита от злоумышленников, которые пытаются получить доступ к сетевым ресурсам – это задача других механизмов безопасности. NAP спроектирован для того, чтобы просто запретить вход в вашу сеть разрешенным пользователям, которые используют небезопасные компьютеры.

Еще одну вещь, о которой я хочу упомянуть, перед тем как продолжить свой рассказ дальше, заключается в том, что инструмент NAP отличается от инструмента Network Access Quarantine Control, который присутствует в операционной системе Windows Server 2003. Инструмент Network Access Quarantine Control использует ограниченные политики для контроля удаленных компьютеров, но он подчиняется NAP.

 

Основы защиты доступа к сети

Инструмент NAP спроектирован, чтобы расширить корпоративный VPN. Процесс начинается, когда клиент устанавливает VPN сессию с сервером Windows 2008, на котором запущена служба Routing and Remote Access (маршрутизация и удаленный доступ). После того, как пользователь устанавливает соединение, сервер сетевой политики проверяет состояние удаленной системы. Это обеспечивается путем сравнения конфигурации удаленного компьютера с политикой сетевого доступа, которая определена администратором. Что происходит дальше, зависит от того, что администратор прописал в этой политике.

У администратора есть настройка для конфигурации либо политики мониторинга (monitoring only policy), либо политики изоляции (isolation policy). Если включена только политика мониторинга, то любой пользователь с правильным правами получит доступ к сетевым ресурсам, вне зависимости от того, удовлетворяет ли его компьютер корпоративной политике безопасности или нет. Хотя политика мониторинга не запрещает любому компьютеру доступ в вашу сеть, результат сравнения конфигурации удаленного компьютера с корпоративными требованиями записывается в специальный журнал.

На мой взгляд, политика мониторинга лучше всего подходит для перехода в среду NAP. Подумайте на секунду, если у вас есть удаленные пользователи, которым необходим доступ к ресурсам, находящимся в вашей корпоративной сети, для выполнения из работы, то вы, вероятней всего, не захотите изначально включать NAP в изоляционном режиме. Если вы все же захотите сделать так, то велик шанс того, что ни один из ваших удаленных пользователей не сможет получить доступ к вашей корпоративной сети. Вместо этого вы можете настроить NAP для использования политики мониторинга. Это позволит вам оценить влияние ваших политик доступа к сети без случайного запрета выполнять кому-то его работу. После такого тестирования вы сможете включить политику в изоляционном режиме.

Как вы, вероятно, уже догадались, в режиме изоляции компьютеры, который не удовлетворяют корпоративной политике безопасности, помещаются в сетевой сегмент, который изолирован от ресурсов промышленной сети. Конечно, это очень общее заявление. Это полностью на усмотрение администратора, решить, что делать с пользователем, компьютер которого не удовлетворяет корпоративной политике. Обычно, администратор предоставляет пользователям, компьютеры которых не удовлетворяют корпоративной политике, доступ к изолированному сетевому сегменту, о котором я говорил выше. Также у администратора есть возможность ограничения доступа к одному ресурсу или к всем сетевым ресурсам.

Вы можете удивиться, какое может быть преимущество в предоставлении доступа компьютерам, которые не соответствуют требованиям корпорации, к изолированному сетевому сегменту. Если компьютер, который не соответствует требованиям, подключается к сети, и инструмент NAP запущен в изоляционном режиме, то такому компьютеру закрыт доступ в промышленную сеть. Обычно такой карантин продолжается, пока пользователь подключен к сети. Простой карантин компьютеров, которые не удовлетворяют политикам компании, позволяет избежать вирусного заражения или использования брешей в безопасности в вашей сети, но не закрывает для пользователя много всего полезного. В конце концов, если пользователь не может получить доступ к сетевым ресурсам, то он не может выполнять свою работу.

Тут как раз и приходит на помощь изолированный сетевой сегмент. Администратор может поместить специальный набор обновлений и антивирусов в этот изолированный сегмент. Такие ресурсы позволяет привести компьютер удаленного пользователя в соответствие с требованиями компании. Например, на таких серверах могут содержаться обновления для безопасности или для антивирусной программы.

Очень важно обратить внимание на то, что инструмент NAP не содержит каких-либо механизмов, которые способны проверить состояние удаленного компьютера и установку на нем обновлений. Это уже будет работа агентов состояния системы и валидатора состояния систем. По слухам, эти компоненты будут интегрированы в следующую версию SMS Server.

Реализация защиты доступа к сети (Network Access Protection) требует использования нескольких серверов, каждый из которых выполняет определенную роль. Как может выглядеть такая простая реализация, вы можете увидеть на рисунке 1.

Как вы можете увидеть из диаграммы, клиент с операционной системой Windows Vista подключается к серверу Windows 2008 Server, на котором запущена служба удаленного доступа Remote Access (RRAS). Этот сервер работает как сервер VPN server для сети. Клиент с Windows Vista устанавливает соединение с этим сервером VPN server обычным способом.

Когда удаленный пользователь подключается к серверу VPN server, контроллер домена проверяет права пользователя. В обязанности сервера сетевых политик входит определение, какие политики необходимо задействовать, и что случиться, если удаленный клиент не имеет полномочий. В тестовой среде необходимо использовать один физический сервер для выполнения ролей службы маршрутизации и удаленного доступа, а также для роли сервера сетевых политик. В реальной ситуации сервера VPN server располагаются по периметру сети, и размещение сервера сетевых политик по периметру сети очень плохая идея.

 

Контроллер домена

Если вы посмотрите на диаграмму, изображенную на рисунке A, то вы увидите, что один из требуемых серверов – это контроллер домена. Не думайте, что это всего лишь единственный сервер – это вся инфраструктура Active Directory infrastructure. Как, я уверен, вы знаете, Active Directory не может работать без сервера DNS server. Именно поэтому, если бы эта диаграмма представляла собой буквально описание реальной сети, то тогда контроллер домена использовал бы для своей работы службы DNS services. Конечно, в реальной ситуации организации обычно используют несколько контроллеров домена и специальные DNS.

Еще необходимо также рассмотреть тот фактор, который может быть не таким очевидным из диаграммы, что также необходимы корпоративные сертификаты. В случае этой диаграммы, службы сертификатов можно легко разместить на контроллере домена. В реальной ситуации часто используется специальный сервер для сертификатов, т.к. природа цифровых сертификатов очень чувствительна.

В том случае, если вас это удивляет, то причина, по которой необходим корпоративный сертификат, заключается в том, что сервер VPN server использует протокол PEAP-MSCHAPv2 для аутентификации. А протокол PEAP для своей работы использует сертификаты. Сервер VPN server будет использовать сертификаты с серверной машины, в свою очередь удаленные клиенты будут использовать пользовательские сертификаты.

 

Установка корпоративного сертификата

Процедура установки корпоративного сертификата может отличаться в зависимости от того, устанавливаете ли вы службы на сервере Windows 2003 или же на сервер Windows 2008. Т.к. одной из целей написания этой статьи было познакомить вас с операционной системой Windows 2008 Server, то следующая процедура будет описывать установку служб для сертификатов для операционной системы Windows 2008 Server.

Перед тем, как я покажу вам, как устанавливать службы для сертификатов, вы должны запомнить две вещи. Первое, операционная система Windows 2008 Server по-прежнему находится в бета тестировании. Поэтому, всегда существует шанс, что то, о чем я вам сейчас рассказываю, изменится к моменту выхода окончательной версии, хотя очень сильные изменения на этом этапе очень нежелательны.

Другая вещь, о которой также необходимо помнить, заключается в том, что вы должны предпринять экстренные меры для обеспечения безопасности вашего корпоративного сертификата. Ко всему прочему, если кто-то завладеет вашим корпоративным сертификатом, то он завладеет вашей сетью. Т.к. эта статья сфокусирована на защите доступа к сети, то я собираюсь показать вам, что необходимо сделать для того, чтобы установить и запустить ваши службы сертификатов. На практике вы должны лучше подумать о конфигурации сервера.

Начнем процесс установки с открытия менеджера сервера операционной системы Windows 2008 Server Manager и выбора настройки Управление ролями из дерева консоли. Далее нажмите на ссылку Добавить роли, которую можно найти в разделе Roles Summary в консоли. В результате этих действий Windows запустит мастера по добавлению ролей. Нажмите на кнопку Next, чтобы пропустить окно приветствия мастера. Теперь вы увидите список всех доступных ролей. Выберите параметр Active Directory Certificate Server из списка. Роли могут располагаться не в алфавитном порядке, поэтому, если это необходимо, прокрутите список до конца, чтобы найти необходимую службу. Для продолжения нажмите на кнопку Next.

После этого вы увидите экран, на котором представлены службы сертификатов и некоторые предупреждения. Нажмите на кнопку Next для того, чтобы пропустить этот экран и перейти к другому окну, на котором вам предлагают выбрать устанавливаемые компоненты. Выберите Certification Authority, а также Certificate Authority Web Enrollment, а затем нажмите на кнопку Next.

После этого вы увидите экран, на котором вас спрашивают, хотите ли вы создать корпоративный сертификат или отдельно стоящий сертификат. Выберите параметр Enterprise Certificate Authority и нажмите на кнопку Next. Далее вас спросят, будет ли этот сервер работать как корневой Root CA или же, как дополнительный Subordinate CA. Т.к. это первый (и единственный) сертификат в вашей лаборатории, то вы должны выбрать параметр Root CA. Для продолжения нажмите на кнопку Next.

Далее мастер спросит вас, хотите ли вы создать новый закрытый ключ или использовать существующий закрытый ключ. Т.к. это всего лишь тестовая установка, поэтому выбираем параметр для создания нового закрытого ключа и нажимает для продолжения на кнопку Next.

В следующем окне вы должны будете выбрать поставщика услуг для шифрования, длину ключ, а также алгоритм хеширования. На практике вы должны с осторожностью подойти к выбору этих параметров. Т.к. мы создаем этот сертификат исключительно в демонстрационных целях, то оставьте все по умолчанию и нажмите на кнопку Next.

На следующем экране у вас будет возможность определить общее название, а также различающийся суффикс для сертификата. Опять оставьте все по умолчанию и нажмите на кнопку Next.

Далее вы увидите окно, в котором вы должны задать срок действия сертификата. По умолчанию этот период составляет 5 лет, что великолепно подходит для наших целей, поэтому просто нажмите на кнопку Next. Далее откроется окно, в котором вы должны указать, где будут располагаться базы данных сертификатов и соответствующие им журналы транзакций (transaction log). В промышленной среде этот выбор необходимо сделать с особой осторожностью в плане безопасности и отказоустойчивости. Т.к. это всего лишь тестовая лаборатория, то просто нажмите на кнопку Next.

Далее вы увидите окно, на котором будут описаны, все выбранные вами настройки. Нажмите на кнопку Install (установить) и операционная система Windows скопирует все необходимы файлы и настроит все службы.

 

Основные задачи по конфигурации

Перед тем, как я покажу вам, как настроить этот сервер для работы в качестве сервера VPN server, вы должны выполнить некоторые основные задачи по конфигурации. В основном, это означает, что вы должны установить операционную систему Windows 2008 Server и настроить ее на использование статического IP адреса. Этот IP адрес должен попадать в тот же интервал, в котором работает контроллер домена, которые мы настроили ранее. В качестве предпочитаемого сервера Preferred DNS Server в его конфигурации TCP/IP configuration должен быть указан контроллер домена, который вы установили ранее в этой статье, т.к. он также работает в качестве сервера DNS server. После того, как вы закончите с начальной конфигурацией сервера VPN, вы должны использовать команду PING для того, чтобы проверить, что сервер VPN server может взаимодействовать с контроллером домена.

Подключение к домену

Теперь, когда вы указали TCP/IP конфигурацию компьютера и проверили, что к нему можно подключиться, пришло время приступить к настоящим задачам по конфигурации. Первое, что вы должны сделать – это подключить сервер к домену, который вы создали ранее в этой статье. Процесс подключения к домену в операционной системе Windows 2008 Server очень похож на тот же процесс в операционной системе Windows Server 2003. Щелкните правой кнопкой на команде Computer, которая находится в меню Start сервера. В результате этого действия Windows 2008 запустит апплет System из Control Panel. Теперь нажмите на кнопку Change Settings (изменить настройки), которая располагается в разделе Computer Name, Domain, and Workgroup Settings этого окна. В результате этого появится окно системных свойств (System Properties). Окно системных свойств очень похоже на аналогичное окно в операционной системе Windows Server 2003. Нажмите на кнопку Change (изменить), чтобы появилось диалоговое окно Computer Name Changes. Теперь выберите кнопку Domain, которая располагается в разделе Member of. Введите название вашего домена в поле Domain и нажмите на кнопку OK.

Теперь появится окно для ввода ваших прав. Введите имя пользователя (username) и пароль (password) для учетной записи администратора домена и нажмите на кнопку Submit (принять). После короткой паузу вы должны увидеть диалоговое окно, приветствующее вас в домене. Нажмите на кнопку OK, и вы увидите другое диалоговое окно, сообщающее вaм, что вы должны перегрузить ваш компьютер. Нажмите на кнопку OK еще раз, а затем нажмите на кнопку Close (закрыть). После перезагрузки компьютера вы станете членом домена, который вы указали.

 

Установка маршрутизации и удаленного доступа

Теперь пришло время установить службу маршрутизации и удаленного доступа (Routing and Remote Access service). Затем мы настроим эту службу, чтобы наш сервер работал в роли сервера VPN. Начнем процесс с запуска менеджера сервера. Вы можете найти ярлык для менеджера сервера в меню Администрирование. После запуска менеджера сервера перейдите в раздел Roles Summary, который можно найти в окне подробно. Теперь нажмите на ссылку Add Roles (добавить роли) для запуска мастера по добавлению ролей Add Roles Wizard.

После запуска мастера нажмите на кнопку Next для того, чтобы пропустить окно приветствия. Теперь вы увидите окно, спрашивающее вас о том, какие роли вы хотите установить на сервере. Выберите ссылку, соответствующую Network Access Services (службы сетевого доступа). Нажмите на кнопку Next (далее) и вы увидите экран, который представляет собой введение в службы сетевого доступа (Network Access Services). Нажмите на кнопку Next еще раз, и вы увидите экран, на котором вы можете выбрать компоненты службы сетевого доступа Network Access Services, которые вы хотите установить. Отметьте позиции, соответствующие службам Network Policy Server, и Routing and Remote Access Services.

Если вы выберите поле для службы Routing and Remote Access Services, то автоматически будут выбраны служба удаленного доступа (Remote Access Service), служба маршрутизации (Routing), а также набор Connection Manager Administration Kit. Вы должны оставить выбранным поле для службы удаленного доступа Remote Access Service, т.к. вместе с ней будут установлены компоненты, необходимые для работы нашего сервера в качестве сервера VPN. Другие два поля дополнительные. Если вы хотите, чтобы сервер работал, как маршрутизатор NAT router или использовал протоколы маршрутизации, такие как IGMP proxy или RIP, то вы должны оставить выбранным также поле Routing. В противном случае вы можете не выбирать ее.

Нажмите на кнопку Next (далее) и вы увидите экран, который отобразит общую информацию о службах, которые вы собираетесь установить. Предполагая, что все в порядке, нажимаем на кнопку Install (установить), чтобы приступить к процессу установки. Никто не знает, сколько будет длиться процесс установки на финальной версии операционной системы Windows 2008 Server. Однако, на моем тестовом сервере, который работает под управлением бета версии операционной системы Windows 2008, процесс установки занял несколько минут. На деле, возникает иллюзия, что сервер заблокирован на время процесса установки. После завершения процесса установки нажмите на кнопку Close (закрыть).

После установки служб сетевого доступа, необходимо настроить службы маршрутизации и удаленного доступа Routing and Remote Access Services для работы с VPN соединениями. Начните с ввода команды MMC в командной строке сервера. В результате такого действия откроется пустая консоль управления Microsoft Management console. Выберите команду Add/Remove Snap-in из меню файл (File). Windows отобразит список доступных дополнений. Выберите Routing and Remote Access Snap-in из списка и нажмите на кнопку Add (добавить), а затем на кнопку OK. Дополнение для маршрутизации и удаленного доступа загрузится в консоль.

Щелкните правой кнопкой мыши на контейнер Server Status (статус сервера в консоли) и выберите команду Add Server (добавить сервер) из контекстного меню. Затем выберите настройку This Computer (этот компьютер) и нажмите на кнопку OK. Теперь в консоли должен отобразиться список для вашего сервера. Щелкните правой кнопкой мыши на списке для сервера и выберите команду Configure and Enable Routing and Remote Access (настроить и подключить маршрутизацию и удаленный доступ) из контекстного меню. В результате этого Windows запустит мастера Routing and Remote Access Server Setup Wizard.

Нажмите на кнопку Next (далее), для того чтобы пропустить экран приветствия мастера. Теперь вы увидите экран, на котором вас спросят, какую конфигурацию вы хотите использовать. Выберите Remote Access (удаленный доступ - dial-up или VPN) и нажмите на кнопку Next (далее). В следующем окне вы сможете выбрать между настройкой dial-up или VPN доступом. Выберите поле VPN и нажмите на кнопку Next (далее).

Теперь помощник откроет перед вами окно с параметрами VPN соединения. Выберите сетевой интерфейс (network interface), который будут использовать клиенты для подключения к серверу VPN и уберите галочку напротив поля Enable Security on the Selected Interface by Setting up Static Packet Filters. Нажмите на кнопку Next (далее), а затем выберите настройку From a Specified Address и снова нажмите на кнопку Next (далее).

После этого вы увидите окно, в котором вам необходимо ввести интервал IP адресов, которые можно назначать клиентам VPN. Нажмите на кнопку New (Новый) и введите начальный и конечный адреса для интервала IP адресов. Нажмите на кнопку OK, а затем на кнопку Next. В результате этого Windows откроет окно Managing Multiple Remote Access Server.

На следующем этапе необходимо выбрать Yes для настройки сервера для работы с сервером Radius server. Теперь вам необходимо будет ввести IP адрес для сервера Radius server. Т.к. NPS будет работать на том же самом компьютере, на котором работают службы маршрутизации и удаленного доступа, то просто введите IP адрес вашего сервера в качестве основного и дополнительного адреса сервера Radius. Вам также необходимо будет ввести shared secret. В демонстрационных целях просто введите rras в качестве shared secret. Нажмите на кнопку Next (далее), а затем на кнопку Finish (завершить). Теперь вы увидите пару предупреждающих сообщений. Нажмите на кнопку OK для закрытия каждого из сообщений.

Последний этап в процессе конфигурации RRAS заключается в настройке схемы аутентификации. Для этого нажмите правой кнопкой мыши на список для вашего сервера и выберите команду Properties (свойства) из контекстного меню. Когда вы увидите окно свойств сервера перейдите на закладку Security (безопасность). Теперь добавьте EAP-MSCHAPv2 и PEAP в разделе Authentication Methods и нажмите на кнопку OK.

Проверка состояния системы (system health validator)

Системная политика состояния диктует, что необходимо компьютеру для того, чтобы его состояние считалось нормальным и чтобы он смог подключиться к сети.

В реальном мире, системная политика состояния требует, чтобы рабочая станция работала под управлением операционной системы, на которую установлены все последние обновления для безопасности. Вне зависимости от того, какие критерии вы выберите для определения нормальности состояния рабочей станции, вы должны будете выполнить некоторую работу. Критерии нормального состояния очень сильно меняются от компании к компании, поэтому компания Microsoft оставила механизм проверки нормальности системного состояния пустым (по крайней мере, в текущей бета версии). А раз так, то вам необходимо будет настроить эти критерии нормальности системного состояния.

В демонстрационных целях, я создам очень простой механизм для проверки системного состояния, который просто позволяет проверить, подключен ли брандмауэр Windows firewall. Если брандмауэр подключен, то мы будем считать, что состояние системы нормальное.

Как я уже упоминал ранее в этой статье, в реальном мире вы не должны размещать сервер сетевых политик на том же самом компьютере, на котором располагается ваш VPN сервер. Сервер VPN открыт для внешнего мира, и размещение на нем сервера сетевых политик может привести к большим проблемам. В операционной системе Windows нет ничего, что запретит вам использовать один и тот же сервер, как для компонентов VPN components, так и для компонентов сервера сетевых политик, поэтому в демонстрационных целях (и из-за нехватки аппаратного обеспечения) я буду использовать один и тот же компьютер для обоих компонентов.

Мы начнем процесс настройки с того, что введем команду MMC в командной строке Run, в результате чего откроется пустая консоль управления Microsoft Management Console. После открытия консоли выберите пункт Add / Remove Snap-in из меню File (Файл). В результате этого действия на экране появится диалоговое окно Add or Remove Snap-Ins. Выберите параметр Network Policy Server (сервер сетевой политики) из списка доступных элементов, и нажмите на кнопку Add (добавить). Теперь вы увидите окно, в котором вам предложат выбрать, каким компьютером вы хотите управлять – локальным или каким-то другим. Убедитесь, что выбран параметр Local Computer (локальный компьютер) и нажмите на кнопку OK. Нажмите на кнопку OK еще раз, и откроется компонент Network Policy Server (сервер сетевой политики).

После этого вы должны перейти в дереве консоли к NPS (Local) | Network Access Protection | System Health Validators, что изображено на рисунке 1. Теперь, щелкните правой кнопкой мыши на объекте Windows System Health Validators (контроль системного состояния), который можно найти в центральной части консоли, и выберите команду Properties из контекстного меню. В результате этого действия откроется окно Windows Security Health Validator Properties, которое изображено на рисунке 2.

В диалоговом окне нажмите на кнопку Configure (настроить), в результате чего откроется диалоговое окно Windows Security Health Validator, которое изображено на рисунке 3. Как вы можете увидеть из рисунка, это диалоговое окно позволяет вам задать параметры для политики контроля состояния вашей системы. По умолчанию, это диалоговое окно настроено так, что необходимо подключение брандмауэра Windows firewall, необходимо подключение обновления Windows update, а также необходимо, чтобы на рабочей станции было установлено антивирусное и антишпионское программное обеспечение и, чтобы оно было современным. Т.к. мы заинтересованы лишь в том, чтобы был подключен лишь брандмауэр Windows firewall, то поставьте галочку напротив поля A Firewall is Enabled for all Network Connections (брандмауэр включен для всех сетевых соединений) и уберите все остальные галочки. Нажмите два раза на кнопку OK для продолжения.

Теперь, когда вы настроили контроль за состоянием системы, Вы должны настроить шаблон для контроля за состоянием системы. Шаблоны для контроля за состоянием системы описывают результаты контроля состояния системы. Обычно, это означает, что произойдет в результате проверки клиента на удовлетворение условиям проверки.

Для настройки шаблонов для контроля состояния Network Policy Server, нажмите правой кнопкой мыши на контейнере System Health Validator Template и выберите команду New (создать) из выпадающего контекстного меню. После этого появится диалоговое окно под названием Create New SHV Template, которое изображено на рисунке 4.

Как вы можете увидеть из рисунка, в диалоговом окне вы должны задать название для нового шаблона. Введите слово Compliant в поле Name (название). Теперь убедитесь, что в выпадающем списке Template Type (тип шаблона) выбран пункт Client Passes all SHV Checks (клиент проходит все проверки). Поставьте галочку напротив поля Windows System Health Validator и нажмите на кнопку OK.

Сейчас мы создали шаблон, который описывает то, что называется compliant (совпадение, удовлетворение). Теперь мы должны создать второй шаблон, который описывает то состояние, когда мы не удовлетворяем условиям. Для этого нажмите правой кнопкой мыши на контейнере System Health Validator Templates container и выберите команду New (создать) из контекстного меню. Теперь вы должны увидеть то же самый экран, с которым вы работали мгновение назад.

На этот раз название шаблона будет NonCompliant. Установите тип шаблона (Template Type) в Client Fails one or More SHV Checks (клиент не удовлетворяет одной или нескольким проверкам). Теперь поставьте галочку напротив поля Windows Security Health Validator и нажмите на кнопку OK. Если вы вернетесь в главную консоль сервера сетевых политик и выберите контейнер System health Validator Templates container, то вы сможете увидеть, что оба шаблона Compliant и NonCompliant отображены в центральном окне консоли, что показано на рисунке 5.

Если вы вернетесь в главное окно консоли сервера сетевых политик и выберите контейнер System health Validator Templates (шаблоны для контроля за состоянием системы), то вы увидите, что оба шаблона Compliant и NonCompliant template, отображены в центральном окне консоли.

 

Политики авторизации состояния (health authorization policies)

Политики авторизации состояния – это такие политики, которые контролируют, что произойдет в том случае, если клиент удовлетворяет политикам сетевого состояния, или что случиться, если система, которая запрашивает доступ к сети, признана неудовлетворительной. Именно эти политики задают, какой уровень доступа получит клиент после того, как ему будет разрешено войти в сеть.

Начнем процесс с открытия консоли сервера сетевых политик (Network Policy Server), если она еще не открыта, а затем выберем контейнер под названием Authorization Policies (политики авторизации). После этого посмотрите на окно Details (Общие), чтобы увидеть, были ли уже созданы политики авторизации. На моей тестовой системе уже существовали четыре ранее созданных политики авторизации, но кто знает, будут ли эти политики существовать в итоговой версии операционной системы Windows 2008 Server. Если у вас существуют какие-либо политики, то удалите их, щелкнув на них правой кнопкой и выбрав команду Delete (удалить) из выпадающего контекстного меню.

Теперь, когда вы удалили ранее существовавшие политики, вы можете приступить к созданию новой политики авторизации (authorization policy). Для этого щелкните правой кнопкой мыши на контейнере Authorization Policy и выберите New | Custom commands из выпадающего контекстного меню. В результате этого отобразиться таблица свойств для новой политики авторизации New Authorization Policy Properties.

Первое, что вы должны сделать, это присвоить название для политики. Давайте назовем это политику Compliant-Full-Access. Вы можете ввести название политики в поле Policy Name (название политики), которое находится на закладке Overview (обзор). Теперь, установите параметр на Grant Access (разрешить доступ), как показано на рисунке A. Установка типа политики на Grant Access не предоставляет пользователям полный доступ к сети. Все, что это значит, что запросы, попадающие под действие этой политики, будут направлены на дальнейшую обработку.

Теперь выберите закладку Conditions (условия). Как следует из названия, закладка Conditions (условия) позволяет вам задать условия, которым должен удовлетворять компьютер клиента, чтобы применилась данная политика. Перекрутите список возможных условий до позиции Network Access Protection (защита доступа к сети), а затем выберите параметр SHV Templates, который расположен под ним. После этого в окне details появится выпадающий список Existing Templates (существующие шаблоны). Выберите параметр Compliant (удовлетворяет) из выпадающего списка и нажмите на кнопку Add (добавить). Условия, которые используются в этом окне политик теперь покажут, что состояние компьютера (Computer Health) соответствует “Compliant”, что показано на рисунке B. Это значит, что для того чтобы попасть под действие этой политики компьютеры клиентов должны удовлетворять критериям, описанным в политике Compliant, которую вы создали в предыдущей части этой статьи. Более конкретно, это значит, что на компьютере клиента должен быть включен брандмауэр Windows.

Теперь выберите закладку Settings (настройки) на странице свойств. Закладка Settings (настройки) содержит различные настройки, которые необходимо применить к компьютерам, чтобы они удовлетворяли условиям, описанным ранее. Т.к. эта политика будет применяться для компьютеров, которые удовлетворяют политике сетевой безопасности (network security policy), то мы должны убрать все ограничения из настроек, чтобы компьютеры могли получить доступ к сети.

Для этого перейдите в дереве консоли к Network Access Protection | NAP Enforcement. Теперь выберите кнопку Do Not Enforce, как показано на рисунке C. Это закроет совместимым компьютерам доступ к сетевым ресурсам.

После того, как вы выбрали параметр Do Not Enforce, перейдите в дереве консоли к Constraints | Authentication Method. В окне details сразу же появится набор полей, каждое из которых соответствует различному методу аутентификации (authentication method). Продолжайте и уберите галочки из всех полей, но оставьте галочку в поле EAP. Поставьте галочку напротив поля EAP Methods и нажмите на кнопку Add (добавить). Выберите параметр Secured Password (EAP-MSCHAP v2) и дважды нажмите на кнопку OK, чтобы закрыть различные диалоговые окна, которые откроются в процессе. Нажмите на кнопку OK еще раз, чтобы сохранить шаблон, который вы создали.

Итак, мы создали шаблон для компьютеров, которые удовлетворяют условиям, теперь мы должны создать аналогичный шаблон для компьютеров, которые не удовлетворяют условиям. Для этого щелкните правой кнопкой в дереве консоли на контейнере Authorization Policies (политики авторизации) и выберите команду New | Custom из выпадающего контекстного меню. В результате этого откроется уже знакомое окно свойств New Authorization Policy Properties.

Как и в предыдущем случае, первое, что нам необходимо сделать – это ввести название для создаваемой вами политики. Давайте назовем эту политику Noncompliant-Restricted. Хотя мы и создаем ограничивающую политику, вы все равно должны выбрать тип политики Grant Access (открыть доступ). Помните, что это не гарантирует доступа к сети, а лишь позволяет продолжить обработку политики.

Теперь выберите закладку Conditions (условия). Когда мы создавали политику авторизации для компьютеров, которые удовлетворяют условиям, мы создали условие, согласно которому компьютеру было достаточно удовлетворять требованиям шаблона (compliant template), который мы создали в предыдущей статье. Т.к. эта политика для компьютеров, которые не удовлетворяют условиям, то вы должны убедиться, что конфигурация клиентского компьютера соответствует условиям, описанным в шаблоне NonCompliant template. А именно, это означает, что на клиентском компьютере выключен брандмауэр Windows.

Выберите из списка доступных условий Network Access Protection (защита доступа к сети), а затем выберите контейнер SHV Templates. Выберите параметр NonCompliant из списка существующих шаблонов, а затем нажмите на кнопку Add (добавить).

Далее, выберите закладку Settings (настройки) и перейдите в дереве консоли к Constraints | Authentication Method. В окне details вы сможете увидеть набор полей, каждое из которых соответствует конкретному методу аутентификации (authentication method). Уберите галочки из всех полей, но оставьте галочку в поле EAP. Поставьте галочку в поле EAP Methods, а затем нажмите на кнопку Add (добавить). Выберите параметр Secured Password (EAP-MSCHAP v2) и дважды нажмите на кнопку OK, чтобы закрыть все ненужные диалоговые окна.

Итак, все, что мы сделали для политики для компьютеров, которые не удовлетворяют условиям, было полностью идентично политики, которую мы создали для компьютеров, которые удовлетворяют условиям, кроме указания другого шаблона SHV template. Если мы оставим эту политику в том виде, в котором она сейчас, то компьютеры, которые не удовлетворяют условиям, также получат доступ к сети. Т.к. мы не хотим, чтобы это случилось, то мы должны использовать усиление NAP для закрытия доступа к сети.

Для этого выберите контейнер NAP Enforcement, который можно найти в списке доступных настроек Available Settings. После этого в окне Details вы сможете увидеть различные настройки. Выберите настройку Enforce, а затем поставьте галочку напротив поля Update Non Compliant Computers Automatically, как показано на рисунке D. Нажмите на кнопку OK, что сохранить созданную вами политику.