Überprüfen der NPS-Konfiguration

Klicken Sie auf Start, klicken Sie auf Ausführen, geben Sie nps.msc ein, und drücken Sie dann die EINGABETASTE.

Doppelklicken Sie in der NPS-Konsolenstruktur auf RADIUS-Clients und -Server, und klicken Sie dann auf RADIUS-Clients.

Doppelklicken Sie im Detailbereich auf den Anzeigenamen eines RADIUS-Clients, der einem HRA-Server entspricht, auf dem NPS installiert und der als RADIUS-Proxy konfiguriert ist. Wenn kein RADIUS-Clienteintrag vorhanden ist, erstellen Sie mithilfe des folgenden Verfahrens einen neuen RADIUS-Client. Dieses Verfahren gilt nur dann, wenn HRA-Remoteserver für die Weiterleitung von Verbindungsanfragen an den lokalen Server konfiguriert sind, auf dem NPS ausgeführt wird.

1. Klicken Sie mit der rechten Maustaste auf RADIUS-Clients, und klicken Sie dann auf Neu.
   
   
2. Geben Sie unter Anzeigename einen Namen für den RADIUS-Client ein (z. B. HRA-1).
   
   
3. Geben Sie unter Adresse (IP oder DNS) die IP-Adresse oder den DNS-Namen des HRA-Remoteservers ein, klicken Sie auf Überprüfen, und klicken Sie dann auf Auflösen.
   
   
4. Überprüfen Sie, ob die angezeigte IP-Adresse dem richtigen Remote-Integritätsregistrierungsstellen-Server entspricht, und klicken Sie dann auf OK.
   
   
5. Geben Sie unter Gemeinsamer geheimer Schlüssel und Gemeinsamen geheimen Schlüssel bestätigen den geheimen Schlüssel ein, der in den Einstellungen der Remote-RADIUS-Servergruppen auf dem Remote-Integritätsregistrierungsstellen-Server konfiguriert ist.
   
   
6. Wenn auf dem Remote-Integritätsregistrierungsstellen-Server in den Konfigurationseinstellungen der Remote-RADIUS-Servergruppe das Message-Authenticator-Attribut aktiviert ist, aktivieren Sie das Kontrollkästchen "Access-Request"-Nachrichten müssen das Attribut "Message-Authenticator" beinhalten. Wenn diese Option auf dem Remote-Integritätsregistrierungsstellen-Server nicht aktiviert ist, überprüfen Sie, ob dieses Kontrollkästchen deaktiviert ist.
   
   
7. Aktivieren Sie das Kontrollkästchen RADIUS-Client ist NAP-fähig, und klicken Sie dann auf OK.
   
   
8. Setzen Sie das aktuelle Verfahren fort, um die Konfiguration des neuen RADIUS-Clients zu überprüfen.
   
   

Überprüfen Sie im Fenster Eigenschaften, ob das Kontrollkästchen RADIUS-Client aktivieren aktiviert ist.

Überprüfen Sie, ob das Kontrollkästchen RADIUS-Client ist NAP-fähig aktiviert ist.

Wenn der Remote-Integritätsregistrierungsstellen-Server so konfiguriert ist, dass das Message-Authenticator-Attribut in den Zugriffsanforderungen enthalten sein muss, überprüfen Sie, ob das Kontrollkästchen "Access-Request"-Nachrichten müssen das Attribut "Message-Authenticator" beinhalten aktiviert ist. Stellen Sie andernfalls sicher, dass das Kontrollkästchen deaktiviert ist.

Überprüfen Sie, ob neben Herstellername die Option RADIUS-Standard ausgewählt ist.

Überprüfen Sie, ob unter Adresse (IP oder DNS) der aufgelistete DNS-Name bzw. die aufgelistete IP-Adresse dem richtigen Remote-Integritätsregistrierungsstellen-Server entspricht, und klicken Sie dann auf Überprüfen.

Klicken Sie im Dialogfeld Client überprüfen auf Auflösen.

Überprüfen Sie, ob unter IP-Adresse die aufgelistete IP-Adresse einem HRA-Server entspricht, der für die Weiterleitung von Anforderungen an den lokalen Server konfiguriert ist, auf dem NPS ausgeführt wird, und dass dieser lokale Server über Netzwerkkonnektivität mit dieser IP-Adresse verfügt.

Klicken Sie auf OK. Geben Sie bei Verdacht einer Nichtübereinstimmung in Bezug auf den gemeinsamen geheimen Schlüssel den geheimen Schlüssel neben Gemeinsamer geheimer Schlüssel und Gemeinsamen geheimen Schlüssel bestätigen ein, und klicken Sie dann auf OK.

Wiederholen Sie dieses Verfahren für alle HRA-Server im Netzwerk, die für die Weiterleitung von Verbindungsanforderungen zu deren Verarbeitung an den lokalen Server konfiguriert sind, auf dem NPS ausgeführt wird.

Doppelklicken Sie in der NPS-Konsolenstruktur auf Richtlinien, und klicken Sie dann auf Verbindungsanforderungsrichtlinien.

Doppelklicken Sie im Detailbereich auf die Verbindungsanforderungsrichtlinie, die zum Authentifizieren eingehender Netzwerkzugriffsanforderungen von IPsec-geschützten NAP-Clients verwendet wird. Wenn diese Richtlinie nicht vorhanden ist, erstellen Sie mithilfe der folgenden Schritte eine Verbindungsanforderungsrichtlinie.

1. Klicken Sie mit der rechten Maustaste auf Verbindungsanforderungsrichtlinien, und klicken Sie dann auf Neu.
   
   
2. Geben Sie unter Richtlinienname einen Namen für die Verbindungsanforderungsrichtlinie ein (z. B. NAP-IPsec mit HRA).
   
   
3. Wählen Sie unter Typ des Netzwerkzugriffsservers die Option Integritätsregistrierungsstelle aus, und klicken Sie dann auf Weiter.
   
   
4. Für Verbindungsanforderungsrichtlinien muss mindestens eine Bedingung angegeben werden. Wenn Sie eine Bedingung hinzufügen möchten, von der keine eingehenden Zugriffsanforderungen verweigert werden, klicken Sie auf der Seite Bedingungen angeben auf Hinzufügen.
   
   
5. Klicken Sie im Fenster Bedingung auswählen auf Tag- und Uhrzeiteinschränkungen, und klicken Sie dann auf Hinzufügen.
   
   
6. Wählen Sie im Fenster Uhrzeiteinschränkungen die Option Zugelassen aus. Überprüfen Sie, ob alle Tage und Uhrzeiten zugelassen sind, klicken Sie auf OK, und klicken Sie dann auf Weiter.
   
   
7. Wenn der lokale Server, auf dem NPS ausgeführt wird, ein NAP-Integritätsrichtlinienserver ist, stellen Sie sicher, dass die Option Anforderungen auf diesem Server authentifizieren ausgewählt ist, klicken Sie dreimal auf Weiter, und klicken Sie dann auf Fertig stellen. Wenn mithilfe des lokalen Servers, auf dem NPS ausgeführt wird, Anforderungen zur Evaluierung an einen anderen Server weitergeleitet werden, finden Sie die entsprechenden Informationen unter Überprüfen der NPS-Proxykonfiguration.
   
   

Überprüfen Sie auf der Registerkarte Übersicht, ob das Kontrollkästchen Richtlinie aktiviert aktiviert ist.

Überprüfen Sie auf der Registerkarte Übersicht, ob für Typ des Netzwerkzugriffsservers entweder Integritätsregistrierungsstelle oder Nicht angegeben festgelegt ist. Weitere Informationen zum Angeben eines Zugriffsservertyps finden Sie weiter unten in diesem Thema unter "Weitere Überlegungen".

Klicken Sie auf die Registerkarte Bedingungen, und stellen Sie sicher, dass für alle konfigurierten Bedingungen sowohl entsprechende kompatible als auch nicht kompatible NAP-Clients vorhanden sind. Beispielsweise kann Tag- und Uhrzeiteinschränkungen so konfiguriert werden, dass der Netzwerkzugriff nur an angegebenen Tagen zu angegebenen Uhrzeiten zulässig ist.

Klicken Sie auf die Registerkarte Einstellungen. Klicken Sie unter Erforderliche Authentifizierungsmethoden auf Authentifizierungsmethoden, und überprüfen Sie, ob das Kontrollkästchen Netzwerkrichtlinien-Authentifizierungseinstellungen außer Kraft setzen deaktiviert ist.

Klicken Sie unter Weiterleitungsverbindungsanforderung auf Authentifizierung.

Wenn Sie den lokalen Server, auf dem NPS ausgeführt wird, als NAP-Integritätsrichtlinienserver aktivieren möchten, stellen Sie sicher, dass die Option Anforderungen auf diesem Server authentifizieren ausgewählt ist.

Klicken Sie auf OK, um das Eigenschaftenfenster zu schließen.

Doppelklicken Sie in der NPS-Konsolenstruktur auf Richtlinien, und klicken Sie dann auf Netzwerkrichtlinien.

Überprüfen Sie im Detailbereich, ob mindestens eine Richtlinie für kompatible Computer und eine Richtlinie für nicht kompatible Computer vorhanden ist, und ob der Wert für Status dieser Richtlinien Aktiviert lautet. Klicken Sie zum Aktivieren einer Richtlinie mit der rechten Maustaste auf den Richtliniennamen, und klicken Sie dann auf Aktivieren. Wenn diese Richtlinien nicht vorhanden sind, erstellen Sie mithilfe der folgenden Schritte eine Netzwerkrichtlinie.

1. Klicken Sie mit der rechten Maustaste auf Netzwerkrichtlinien, und klicken Sie dann auf Neu.
   
   
2. Geben Sie unter Richtlinienname einen Namen für die Netzwerkrichtlinie ein (z. B. Kompatibel für NAP-IPsec mit HRA oder Nicht kompatibel für NAP-IPsec mit HRA).
   
   
3. Wählen Sie unter Typ des Netzwerkzugriffsservers die Option Integritätsregistrierungsstelle aus, und klicken Sie dann auf Weiter.
   
   
4. Klicken Sie auf der Seite Bedingungen angeben auf Hinzufügen.
   
   
5. Klicken Sie unter Bedingung auswählen auf Integritätsrichtlinien, und klicken Sie dann auf Hinzufügen.
   
   
6. Wenn diese Netzwerkrichtlinie für kompatible Clientcomputer gelten soll, wählen Sie unter Integritätsrichtlinien eine Integritätsrichtlinie aus, die so konfiguriert ist, dass sie dem Integritätsstatus eines kompatiblen Clients entspricht, und klicken Sie dann auf OK.
   
   
7. Wenn diese Netzwerkrichtlinie für nicht kompatible Clientcomputer gelten soll, wählen Sie unter Integritätsrichtlinien eine Integritätsrichtlinie aus, die so konfiguriert ist, dass sie dem Integritätsstatus eines nicht kompatiblen Clients entspricht, und klicken Sie dann auf OK.
   
   
8. Klicken Sie auf Weiter, wählen Sie Zugriff gewährt aus, und klicken Sie dann auf Weiter.
   
   
9. Aktivieren Sie auf der Seite Authentifizierungsmethoden konfigurieren das Kontrollkästchen Nur Computerintegritätsprüfung ausführen, und klicken Sie dann zweimal auf Weiter.
   
   
10. Klicken Sie auf der Seite Einstellungen konfigurieren auf NAP-Erzwingung.
    
    
11. Wählen Sie einen Erzwingungsmodus für diese Richtlinie aus. Weitere Informationen dazu finden Sie weiter unten in diesem Thema unter NAP-Erzwingungsmodi.
    
    
12. Aktivieren Sie das Kontrollkästchen Automatische Wartung von Clientcomputern aktivieren, um die automatische Wartung nicht kompatibler Clients zu aktivieren. Deaktivieren Sie dieses Kontrollkästchen, wenn die automatische Wartung nicht aktiviert werden soll.
    
    
13. Klicken Sie auf Weiter, und klicken Sie dann auf Fertig stellen.
    
    
14. Setzen Sie das aktuelle Verfahren fort, um die Konfiguration der neuen Netzwerkrichtlinie zu überprüfen.
    
    

Überprüfen Sie im Detailbereich, ob Verarbeitungsreihenfolge für Richtlinien ordnungsgemäß für Ihre Bereitstellung konfiguriert ist. Spezifischere Richtlinien werden vor allgemeineren Richtlinien verarbeitet. Wenn Sie die Reihenfolge der Richtlinien ändern möchten, klicken Sie mit der rechten Maustaste auf den Richtliniennamen, und klicken Sie dann auf Nach oben oder Nach unten.

Überprüfen Sie im Detailbereich, ob sowohl die kompatiblen als auch die nicht kompatiblen NAP-Richtlinien mit dem Wert Zugriff gewähren für Zugriffstyp konfiguriert sind. Klicken Sie zum Konfigurieren von Zugriffsberechtigungen mit der rechten Maustaste auf den Richtliniennamen, klicken Sie auf Eigenschaften, klicken Sie auf die Registerkarte Übersicht, und wählen Sie dann Zugriff gewähren aus.

Überprüfen Sie im Detailbereich, ob für Quelle der Richtlinien zum Verarbeiten von IPsec-geschützten NAP-Clients entweder Integritätsregistrierungsstelle oder Nicht angegeben ausgewählt ist. Weitere Informationen zum Angeben eines Zugriffsservertyps finden Sie weiter unten in diesem Thema unter "Weitere Überlegungen".

Doppelklicken Sie im Detailbereich auf den Namen einer Netzwerkrichtlinie, die als Entsprechung kompatibler Clients verwendet wird, und klicken Sie dann auf die Registerkarte Bedingungen.

Überprüfen Sie, ob mindestens eine der angegebenen Bedingungen Integritätsrichtlinie lautet und ob Wert einer Integritätsrichtlinie entspricht, die Sie so konfiguriert haben, dass sie dem Integritätsstatus eines kompatiblen Clients entspricht. Wenn diese Bedingung nicht vorhanden ist, führen Sie die folgenden Schritte aus.

1. Klicken Sie auf Hinzufügen, klicken Sie auf Integritätsrichtlinien, und klicken Sie dann auf Hinzufügen.
   
   
2. Wählen Sie unter Integritätsrichtlinien eine Richtlinie aus, die dem Integritätsstatus eines kompatiblen Clients entspricht, und klicken Sie dann auf OK. Wenn keine Integritätsrichtlinien verfügbar sind, überprüfen Sie die Integritätsrichtlinien, und wiederholen Sie dieses Verfahren.
   
   

Klicken Sie auf die Registerkarte Einschränkungen, und klicken Sie dann auf Authentifizierungsmethoden.

Überprüfen Sie, ob das Kontrollkästchen Nur Computerintegritätsprüfung ausführen aktiviert ist.

Klicken Sie auf die Registerkarte Einstellungen, und klicken Sie dann auf NAP-Erzwingung.

Überprüfen Sie, ob die Option Vollständigen Netzwerkzugriff zulassen für diese kompatible Netzwerkrichtlinie ausgewählt ist, und klicken Sie dann auf OK. Damit ist die Überprüfung einer kompatiblen Netzwerkrichtlinie abgeschlossen.

Doppelklicken Sie im Detailbereich auf den Namen einer Netzwerkrichtlinie, die als Entsprechung nicht kompatibler Clients verwendet wird, und klicken Sie dann auf die Registerkarte Bedingungen.

Überprüfen Sie, ob mindestens eine der angegebenen Bedingungen Integritätsrichtlinie lautet und ob Wert einer Integritätsrichtlinie entspricht, die Sie so konfiguriert haben, dass sie dem Integritätsstatus eines nicht kompatiblen Clients entspricht. Wenn diese Bedingung nicht vorhanden ist, führen Sie die folgenden Schritte aus.

1. Klicken Sie auf Hinzufügen, klicken Sie auf Integritätsrichtlinien, und klicken Sie dann auf Hinzufügen.
   
   
2. Wählen Sie unter Integritätsrichtlinien eine Richtlinie aus, die dem Integritätsstatus eines nicht kompatiblen Clients entspricht, und klicken Sie dann auf OK. Wenn keine Integritätsrichtlinien verfügbar sind, überprüfen Sie die Integritätsrichtlinien, und wiederholen Sie dieses Verfahren.
   
   

Klicken Sie auf die Registerkarte Einschränkungen, und klicken Sie dann auf Authentifizierungsmethoden.

Stellen Sie sicher, dass das Kontrollkästchen Nur Integritätsprüfung für Computer ausführen aktiviert ist.

Klicken Sie auf die Registerkarte Einstellungen, und klicken Sie dann auf NAP-Erzwingung.

• Überprüfen Sie, ob die Option Eingeschränkten Zugriff gewähren für diese nicht kompatible Netzwerkrichtlinie ausgewählt ist, wenn der Netzwerkzugriffsschutz in einem Erzwingungsvollmodus bereitgestellt wird.
  
  
• Überprüfen Sie, ob die Option Für begrenzten Zeitraum vollständigen Netzwerkzugriff gewähren für diese nicht kompatible Netzwerkrichtlinie ausgewählt ist, wenn der Netzwerkzugriffsschutz im Modus für zurückgestellte Erzwingung bereitgestellt wird.
  
  
• Überprüfen Sie, ob die Option Vollständigen Netzwerkzugriff zulassen für diese nicht kompatible Netzwerkrichtlinie ausgewählt ist, wenn der Netzwerkzugriffsschutz im Berichterstellungsmodus bereitgestellt wird.
  
  
• Wenn Sie die automatische Wartung nicht kompatibler NAP-Clients aktivieren möchten, überprüfen Sie, ob das Kontrollkästchen Automatische Wartung von Clientcomputern aktivieren aktiviert ist.
  
  

Klicken Sie auf OK.

Wiederholen Sie diese Schritte bei Bedarf, um die Konfiguration der Netzwerkrichtlinien zu überprüfen, die zur Evaluierung von Zugriffsanforderungen von IPsec-geschützten NAP-Clients verwendet werden.

Doppelklicken Sie in der NPS-Konsole auf Richtlinien, und klicken Sie dann auf Integritätsrichtlinien.

Doppelklicken Sie im Detailbereich unter Richtlinienname auf den Namen einer kompatiblen Integritätsrichtlinie. Wenn diese Richtlinie nicht vorhanden ist, erstellen Sie mithilfe der folgenden Schritte eine kompatible Integritätsrichtlinie.

1. Klicken Sie mit der rechten Maustaste auf Integritätsrichtlinien, und klicken Sie dann auf Neu.
   
   
2. Geben Sie unter Richtlinienname einen Namen für die kompatible Integritätsrichtlinie ein (z. B. Kompatibel für NAP-IPsec mit HRA).
   
   
3. Wählen Sie unter Client-Systemintegritätsprüfungen die Option Client besteht alle Systemintegritätsprüfungen aus, um eine strenge Integritätsrichtlinie zu erstellen, oder wählen Sie die Option Client besteht mindestens eine Systemintegritätsprüfung aus, um eine weniger strenge Integritätsrichtlinie zu erstellen.
   
   
4. Aktivieren Sie unter In der Integritätsrichtlinie verwendete SHVs das Kontrollkästchen neben der jeweiligen Systemintegritätsprüfung (System Health Validator, SHV), die zur Evaluierung der Clientintegrität verwendet wird. Die Windows-Sicherheitsintegritätsprüfung ist standardmäßig verfügbar. Andere Systemintegritätsprüfungen sind verfügbar, wenn sie installiert wurden.
   
   
5. Klicken Sie auf OK.
   
   

Überprüfen Sie unter Client-Systemintegritätsprüfungen, ob entweder Client besteht alle Systemintegritätsprüfungen oder Client besteht mindestens eine Systemintegritätsprüfung ausgewählt ist. Diese Bedingungen werden verwendet, um kompatible Richtlinien zu erstellen, die entweder mehr oder weniger restriktiv sind.

Stellen Sie unter In der Integritätsrichtlinie verwendete SHVs sicher, dass die Kontrollkästchen neben den installierten Systemintegritätsprüfungen aktiviert sind, die zur Evaluierung der Integrität auf IPsec-geschützten NAP-Clientcomputern verwendet werden, und klicken Sie dann auf OK.

Doppelklicken Sie im Detailbereich unter Richtlinienname auf den Namen einer nicht kompatiblen Integritätsrichtlinie. Wenn diese Richtlinie nicht vorhanden ist, erstellen Sie mithilfe der folgenden Schritte eine nicht kompatible Integritätsrichtlinie.

1. Klicken Sie mit der rechten Maustaste auf Integritätsrichtlinien, und klicken Sie dann auf Neu.
   
   
2. Geben Sie unter Richtlinienname einen Namen für die nicht kompatible Integritätsrichtlinie ein (z. B. Nicht kompatibel für NAP-IPsec mit HRA).
   
   
3. Wählen Sie unter Client-Systemintegritätsprüfungen die Option Client besteht mindestens eine Systemintegritätsprüfung nicht aus, um eine strenge Integritätsrichtlinie zu erstellen, oder wählen Sie die Option Client besteht keine Systemintegritätsprüfungen aus, um eine weniger strenge Integritätsrichtlinie zu erstellen.
   
   
4. Aktivieren Sie unter In der Integritätsrichtlinie verwendete SHVs das Kontrollkästchen neben der jeweiligen Systemintegritätsprüfung (System Health Validator, SHV), die zur Evaluierung der Clientintegrität verwendet wird. Die Windows-Sicherheitsintegritätsprüfung ist standardmäßig verfügbar. Andere Systemintegritätsprüfungen sind verfügbar, wenn sie installiert wurden.
   
   
5. Klicken Sie auf OK.
   
   

Überprüfen Sie unter Client-Systemintegritätsprüfungen, ob entweder Client besteht mindestens eine Systemintegritätsprüfung nicht oder Client besteht keine Systemintegritätsprüfungen ausgewählt ist. Diese Bedingungen werden verwendet, um nicht kompatible Richtlinien zu erstellen, die entweder mehr oder weniger restriktiv sind.

Stellen Sie unter In der Integritätsrichtlinie verwendete SHVs sicher, dass die Kontrollkästchen neben den installierten Systemintegritätsprüfungen aktiviert sind, die zur Evaluierung der Integrität auf IPsec-geschützten NAP-Clientcomputern verwendet werden, und klicken Sie dann auf OK.

Wiederholen Sie diese Schritte für alle Integritätsrichtlinien, die zur Evaluierung IPsec-geschützter NAP-Clientcomputer verwendet werden.

Doppelklicken Sie in der NPS-Konsole auf Netzwerkzugriffsschutz, und klicken Sie dann auf Systemintegritätsprüfungen.

Doppelklicken Sie im Detailbereich unter Name auf den Namen einer installierten Systemintegritätsprüfung.

Die Konfiguration von Systemintegritätsprüfungen ist je nach Implementierung unterschiedlich. Wenn Sie die Windows-Sicherheitsintegritätsprüfung verwenden, klicken Sie auf Konfigurieren.

• Klicken Sie zum Konfigurieren von Integritätsanforderungen für Computer unter Windows Vista auf die Registerkarte Windows Vista.
  
  
• Klicken Sie zum Konfigurieren von Integritätsanforderungen für Computer unter Windows XP mit Service Pack 3 auf die Registerkarte Windows XP.
  
  

Aktivieren Sie die Integritätsanforderungen, indem Sie die Kontrollkästchen neben den Integritätskomponenten aktivieren. Deaktivieren Sie diese Kontrollkästchen, um Anforderungen zu deaktivieren. Zu den bei Verwendung der Windows-Sicherheitsintegritätsprüfung (Windows Security Health Validator, WSHV) verfügbaren Integritätsanforderungen zählen: Firewall, Virenschutz, Spywareschutz, Automatische Updates und Sicherheitsupdateschutz.

Klicken Sie auf OK, und konfigurieren Sie Fehlercodeauflösungen für Ihre Bereitstellung. Mit Fehlercodeauflösungen wird bestimmt, wie Clients unter den aufgelisteten Fehlerbedingungen evaluiert werden. Sie können für jede Bedingung festlegen, ob der Status Kompatibel oder Nicht kompatibel zurückgegeben wird.

Klicken Sie auf OK, und schließen Sie die NPS-Konsole.