При развертывании подключений удаленного доступа или виртуальной частной сети (virtual private network, VPN) с сервером политики сети, выступающим в качестве RADIUS-сервера, необходимо выполнить следующие действия:

  • Установить и настроить серверы доступа к сети в качестве RADIUS-клиентов.

  • Развернуть компоненты для методов проверки подлинности.

  • Настроить сервер политики сети в качестве RADIUS-сервера.

Установка и настройка серверов доступа к сети (RADIUS-клиентов)

Чтобы развернуть удаленный доступ, необходимо установить и настроить службу маршрутизации и удаленного доступа в качестве сервера удаленного доступа. Чтобы развернуть доступ VPN, необходимо установить и настроить службу маршрутизации и удаленного доступа в качестве VPN-сервера.

Важно!

Клиентские компьютеры, такие как портативные компьютеры с беспроводным подключением и другие компьютеры с клиентскими операционными системами, не являются клиентами RADIUS. Клиенты RADIUS представляют собой серверы сетевого доступа (такие как точки беспроводного доступа, коммутаторы с поддержкой 802.1X, серверы виртуальных частных сетей (VPN), а также серверы удаленного доступа к сети), поскольку они используют протокол RADIUS для взаимодействия с RADIUS-серверами, такими как серверы политики сети.

Службу маршрутизации и удаленного доступа можно установить как на локальном сервере политики сети, так и на удаленном компьютере.

Развертывание компонентов для методов проверки подлинности

Для VPN можно использовать следующие методы проверки подлинности:

  • Протокол EAP в сочетании с протоколом TLS, что носит название EAP-TLS.

  • Протокол PEAP в сочетании с протоколом MS-CHAP v2, что носит название PEAP-MS-CHAP v2.

  • Протокол PEAP в сочетании с протоколом TLS, что носит название PEAP-TLS.

При использовании методов EAP-TLS и PEAP-TLS необходимо развернуть инфраструктуру публичного ключа путем установки и настройки служб сертификации Active Directory®, которые будут осуществлять выдачу сертификатов включенным в домен клиентским компьютерам и серверам политики сети. Эти сертификаты используются при выполнении проверки подлинности в качестве доказательства подлинности как клиентских компьютеров, так и серверов политики подлинности. При необходимости вместо использования сертификатов компьютера можно развернуть смарт-карты. В этом случае необходимо выдать сотрудникам организации смарт-карты и устройства считывания смарт-карт.

При использовании метода PEAP-MS-CHAP v2 можно развернуть собственный центр сертификации со службами сертификации Active Directory для выдачи сертификатов серверам политики сети или приобрести сертификаты сервера у публичного доверенного корневого центра сертификации, обладающего доверием клиентов, такого как VeriSign.

Дополнительные сведения см. в разделах Обзор протокола EAP и Общие сведения о протоколе PEAP.

Настройка сервера политики сети в качестве RADIUS-сервера.

При настройке сервера политики сети в качестве RADIUS-сервера необходимо настроить RADIUS-клиентов, политику сети и RADIUS-учет.

Настройка RADIUS-клиентов

Настройка RADIUS-клиентов выполняется в два этапа:

  • Настройка физического RADIUS-клиента, такого как сервер виртуальной частной сети или удаленного доступа, путем указания сведений, которые позволят серверу доступа к сети взаимодействовать с серверами политики сети. К таким сведениям относится настройка IP-адреса сервера политики сети и общего секрета в интерфейсе пользователя сервера виртуальной частной сети или удаленного доступа.

  • Добавление нового RADIUS-клиента на сервере политики сети. На сервере политики сети следует добавить в качестве RADIUS-клиента каждый сервер виртуальной частной сети или удаленного доступа. На сервере политики сети можно указать понятное имя для каждого RADIUS-клиента, а также IP-адрес этого RADIUS-клиента и общий секрет.

Дополнительные сведения см. в разделе Добавление RADIUS-клиента.

Настройка политик сети

Политики сети представляют собой наборы условий, ограничений и параметров, которые позволяют назначить пользователей, имеющих полномочия на подключение к сети, а также обстоятельства, при которых им разрешено или запрещено подключаться.

Дополнительные сведения см. в разделе Сетевые политики.

Настройка RADIUS-учета

RADIUS-учет позволяет регистрировать запросы проверки подлинности пользователей и учета в локальном файле журнала или в базе данных сервера Microsoft® SQL Server® на локальном или удаленном компьютере.

Содержание