Network Access Protection (NAP) là một tính năng truy cập mạng mới trong Windows Server 2008 doc

Cho ví dụ, có một số NAP Enforcement Client điều khiển sự truy cập vào mạng dựa trên thông tin địa chỉ IP, hoặc dựa trên máy khách có chứng chỉ trạng thái tốt để cho phép nó có thể kết n

Network Access Protection (NAP) là một tính năng

truy cập mạng mới trong Windows Server 2008

Network Access Protection (NAP) là một tính năng truy cập mạng mới trong Windows Server 2008 NAP cho phép bạn điều khiển được máy tính nào có thể tham gia vào mạng Khả năng tham gia vào mạng được xác định bởi máy khách NAP có hội tụ đủ các yếu tố bảo mật cần thiết cho các chính sách của NAP của bạn hay không

NAP có một số các “phần động”, các thành phần này làm cho nó phức tạp trong việc cấu hình Thêm vào đó là vấn đề về kiểu thi hành của NAP mà bạn muốn kích hoạt Cho ví dụ, có một số NAP Enforcement Client điều khiển sự truy cập vào mạng dựa trên thông tin địa chỉ IP, hoặc dựa trên máy khách có chứng chỉ trạng thái tốt để cho phép nó có thể kết nối với mạng hay không

Trong bài này chúng tôi sẽ giúp các bạn thực hiện một giải pháp thi hành DHCP NAP đơn giản Khi bạn sử dụng sự thi hành DHCP NAP, máy chủ DHCP sẽ trở thành máy chủ truy cập mạng Điều này có nghĩa rằng nó sẽ chịu trách nhiệm là máy chủ DHCP để cung cấp cho các máy khách NAP các thông tin tương xứng với mức thi hành của chúng Nếu máy khách NAP có đầy đủ tiêu chuẩn, nó sẽ nhận các thông tin định địa chỉ IP để cho phép kết nối với máy tính khác trong mạng Trong trường hợp nếu máy khách NAP không có đủ tiêu chuẩn với chính sách sức khỏe mạng của bạn thì máy khách

NAP sẽ được gán các thông tin định địa chỉ IP để hạn khả năng kết nối của máy tính này Điển hình, chính sách NAP của bạn cho phép các máy tính không có đủ tiêu chuẩn sẽ kết nối với các domain controller và máy chủ cơ sở

hạ tầng mạng, cũng như các máy sẽ cho phép các máy tính không đủ tiêu chuẩn điều đình lại và như vậy sẽ trở thành đủ tiêu chuẩn

Trong kịch bản thi hành DHCP NAP, các dịch vụ khác cũng được yêu cầu Nếu máy chủ DHCP là máy chủ truy cập mạng trong kịch bản thì phải cần đến một máy chủ RADIUS để chứa các chính sách NAP Có một số chính sách được lưu trong máy chủ RADIUS tương thích NAP, chẳng hạn như chính sách sức khỏe, chính sách mạng, chính sách yêu cầu kết nối Trong Windows Server 2008, Network Policy Server (NPS) được sử dụng như một máy chủ RADIUS để chứa các chính sách NAP Máy chủ NPS sẽ làm việc với máy chủ DHCP và khai báo máy chủ DHCP của bạn xem máy khách có

đủ tiêu chuẩn NAP với các chính sách của bạn hay không

Để thiết lập chính sách sức khỏe, bạn cần tối thiểu cài đặt Security Health Validator (SHV) trên máy chủ NPS Mặc định, Windows Server 2008 sẽ cung cấp cho bạn bộ Security Health Validator của Windows để bạn có thể sử dụng nhằm thiết lập chính sách sức khỏe cho mạng của mình

Trên phía trình khách, có hai thành phần mà bạn cần kích hoạt đó là - NAP Agent và máy khách thi hành NAP NAP Agent sẽ thu thập các thông tin về trạng thái bảo mật của máy khách NAP, còn NAP Enforcement Agent được

sử dụng để thi hành chính sách NAP, điều này phụ thuộc vào kiểu thi hành NAP mà bạn chọn Trong kịch bản sẽ sử dụng trong loạt bài này, chúng ta sẽ kích hoạt NAP Enforcement Agent.Mạng ví dụ là một mạng rất đơn giản Nó gồm có ba máy:

 Windows Server 2008 Domain Controller Không có dịch vụ nào khác được cài đặt trên máy chủ này Địa chỉ IP được gán cho máy tính tính

là 10.0.0.2, máy tính này là một domain controller trong miền

msfirewall.org

 Thành viên Windows Server 2008 trong miền msfirewall.org Địa chỉ

IP của máy tính này là 10.0.0.3 Máy tính này sẽ được cài đặt các dịch

vụ DHCP và NPS, đây là hai dịch vụ chúng ta sẽ thực hiện trong suốt loạt bài này

 Máy khách Windows Vista là một thành viên của msfirewall.org

 Trong loạt bài này, chúng ta sẽ thực thiện theo các thủ tục dưới đây:

 Tạo nhóm bảo mật để các máy khách NAP sẽ được thiết lập đúng cách

 Cài đặt các dịch vụ NPS và DHCP trên máy chủ thành viên

 Sử dụng NAP wizard để tạo chính sách thi hành NAP DHCP

 Xem lại chính sách yêu cầu kết nối

 Xem lại các chính sách mạng

 Xem lại các chính sách sức khỏe

 Cấu hình máy chu DHCP để truyền thông với máy chủ NPS nằm thực thi NAP

 Cấu hình các thiết lập NAP trong Group Policy

 Nhập máy tính Vista vào nhóm các máy tính thực thi NAP

 Kiểm tra giải pháp

Tạo nhóm bảo mật cho các máy khách NAP

Thứ đầu tiên mà chúng ta sẽ thực hiện là tạo một nhóm bảo mật cho các máy

tính có sử dụng chính sách NAP Mở giao diện điều khiển Active Directory

Users and Computers, sau đó kích chuột phải vào nút Users Trỏ tới New

và kích Group

Hình 1

Trong hộp thoại New Object – Group, bạn hãy nhập NAP Enforced

Computers trong hộp nhập liệu Group Name Chọn tùy chọn Global từ

danh sách Group scope và chọn tùy chọn Security từ danh sách Group

type Kích OK

Hình 2

Cài đặt NPS và DHCP trên máy chủ NPS

Máy tính NPS sẽ duy trì các role Network Policy Server và DHCP server Lưu ý rằng, bạn có thể thiết lập máy chủ DHCP trên máy tính khác thay cho máy chủ NPS sẽ cấu hình các chính sách NAP, nhưng bạn sẽ vẫn cần phải cấu hình máy chủ DHCP “remote” đó như máy chủ DHCP và máy chủ NPS,

và sau đó cấu hình máy chủ NPS để gửi các yêu cầu thẩm định đến máy chủ NAP Để bảo đảm mọi thứ được dễ dàng hơn, chúng ta chỉ cần thiết lập máy chủ NPS và DHCP trên cùng một máy

Trong giao diện Server Manager, kích nút Roles, sau đó kích vào liên kết

Add Roles, xem những gì thể hiện trong hình bên dưới

Hình 3

Kích Next trong trang Before You Begin

Hình 4

Trong trang, hãy tích vào các hộp kiểm trong DHCP Server and Network

Policy and Access Services Kích Next

Hình 5

Đọc các thông tin trong trang Network Policy and Access Services, sau đó kích Next

Hình 6

Chúng ta không cần tất cả các dịch vụ role được cung cấp bởi Network

Policy and Access Services role mà chỉ cần đến role RADIUS (Network

Policy Server) Hãy tích vào hộp kiểm Network Policy Server Không chọn bất cứ tùy chọn nào khác, sau đó kích Next

Hình 7

Đọc các thông tin trong trang DHCP Server và kích Next

Hình 8

Server Manager sẽ làm chọn bạn cảm thấy dễ dàng hơn so với các trình

quản lý trước đây, nó cho phép bạn cấu hình máy chủ DHCP trong suốt quá

trình cài đặt Trong trang Select Network Connection Bindings, chọn địa

chỉ IP mà bạn muốn máy chủ DHCP kiểm tra Sự lựa chọn mà bạn thực hiện

ở đây phụ thuộc vào độ phức tạp của môi trường DHCP vì bạn có thể cấu hình một trong nhiều chuyển tiếp DHCP trong tổ chức, và như vậy sẽ có nhiều địa chỉ IP được gán cho một máy chủ DHCP Tuy nhiên điều đó không

nằm trong kịch bản này vì chúng ta chỉ có một địa chỉ IP gán cho máy tính

này Hãy tích vào hộp kiểm trong hộp địa chỉ IP, sau đó kích Next

Hình 9

Trong trang Specify IPv4 DNS Server Settings, bạn có thể thay đổi cấu hình một số tùy chọn DHCP Nhập tên miền vào hộp văn bản Parent Domain và nhập vào địa chỉ IP của máy chủ DNS trong hộp văn bản Preferred DNS

Server IPv4 Address Trong ví dụ này, tên miền của chúng ta là

msfirewall.org vì vậy chúng ta sẽ nhập vào tên miền đó Địa chỉ IP của máy

chủ DNS là 10.0.0.2, do đó chúng ta sẽ nhập địa chỉ IP này Do chúng ta không có máy chủ DNS luôn phiên trong ví dụ này nên hãy kích Next

Hình 10

Chúng ta không có máy chủ WINS trong mạng ví dụ này nên sẽ không nhập

vào bất cứ thứ gì trong trang Specify IPv4 WINS Server Settings Chỉ chọn tùy chọn WINS is not required for applications on this network và kích

Next

Hình 11

Trong trang Add or Edit DHCP Scopes, kích nút Add Trong hộp thoại Add

Scope, hãy nhập vào Scope Name, Starting IP Address, Ending IP

Address, Subnet Mask, Default Gateway, và chọn khoảng thời gian phóng

thích Hình bên dưới thể hiện các entry của chúng ta cho các tùy chọn trong

mạng ví dụ này Kích OK trong hộp thoại Add Scope

Hình 12

Kích Next trong hộp thoại Add or Edit DHCP Scopes

Hình 13

Chúng ta sẽ không sử dụng IPv6 trong mạng ví dụ này, chính vì vậy hãy chọn

tùy chọn Disable DHCPv6 stateless mode for this server và kích Next

Hình 14

Để hoạt động trong miền của chúng ta, máy chủ DHCP này cần được thẩm

định trong Active Directory Chọn tùy chọn Use current credentials nếu bạn

đăng nhập với tư cách là quản trị viên miền Nếu không, hãy chọn tùy chọn

Use alternate credentials và kích Specify Trong ví dụ này, chúng tôi đã

đăng nhập với tư cách một quản trị viên miền và vì vậy sẽ chọn tùy chọn Use

current credentials và tiếp đến kích Next

Hình 15

Xem lại các thiết lập của bạn trong trang Confirm Installation Selections và kích Install

Hình 16

Kích Close trong trang Installation Results sau khi bạn đã thấy quá trình cài

đặt các máy chủ NPS và DHCP đã được thực hiện thành công

Hình 17

Kết luận

Trong phần một của loạt bài sử dụng sự thi hành của NAP DHCP này, chúng tôi đã giới thiệu cho các bạn một số các khái niệm NAP cơ bản Sau đó đã hướng dấn tạo một nhóm bảo mật cho các máy khách NAP và kết thúc bằng việc cài đặt các thành phần máy chủ NPS và DHCP trong giải pháp Trong phần thứ hai của loạt bài này, chúng tôi sẽ sử dụng NAP wizard để tạo một chính sách thực thi NAP DHCP, sau đó giới thiệu sâu hơn về các thiết lập được tạo bởi wizard