NPS-configuratie verifiëren

Klik op Start, klik op Uitvoeren, typ nps.msc en druk op Enter.

Dubbelklik in de NPS-consolestructuur op RADIUS-clients en -servers en klik op RADIUS-clients.

Dubbelklik in het detailvenster op de beschrijvende naam van een RADIUS-client die overeenkomt met een HRA-server waarop NPS is geïnstalleerd en geconfigureerd als RADIUS-proxy. Als geen RADIUS-clientvermelding aanwezig is, voert u de volgende procedure uit om een nieuwe RADIUS-client te maken. Deze procedure is uitsluitend van toepassing als u externe HRA-servers hebt geconfigureerd om verbindingsaanvragen door te sturen naar de lokale server met NPS.

1. Klik met de rechtermuisknop op RADIUS-clients en klik vervolgens op Nieuw.
   
   
2. Geef onder Beschrijvende naam een naam op voor de RADIUS-client, bijvoorbeeld HRA-1.
   
   
3. Typ bij Adres (IP of DNS) het IP-adres of de DNS-naam van de externe HRA-server, klik op Controleren en klik op Omzetten.
   
   
4. Controleer of het weergegeven IP-adres overeenkomt met de juiste externe HRA-server en klik op OK.
   
   
5. Typ onder Gedeeld geheim en Bevestig het gedeelde geheim het geheim dat is geconfigureerd in de instellingen voor de externe RADIUS-servergroep op de externe HRA-server.
   
   
6. Als op de externe HRA-server het berichtverificatiekenmerk is ingeschakeld in de configuratie-instellingen van de externe RADIUS-servergroep, schakelt u het selectievakje In Access-Request aanvragen moet het kenmerk Message-Authenticator zijn opgenomen in. Als deze optie niet is ingeschakeld op de externe HRA-server, controleert u of dit selectievakje is uitgeschakeld.
   
   
7. Schakel het selectievakje RADIUS-client heeft NAP-functies in en klik op OK.
   
   
8. Hervat de huidige procedure om de configuratie van de nieuwe RADIUS-client te valideren.
   
   

Schakel in het venster Eigenschappen het selectievakje Deze RADIUS-client inschakelen in.

Controleer of het selectievakje RADIUS-client heeft NAP-functies is ingeschakeld.

Als de externe HRA-server is geconfigureerd om te vereisen dat toegangsaanvragen het berichtverificatiekenmerk bevatten, controleert u of het selectievakje In Access-Request aanvragen moet het kenmerk Message-Authenticator zijn opgenomen is ingeschakeld. Zorg er anders voor dat dit selectievakje is uitgeschakeld.

Controleer of RADIUS-standaard naast Leveranciersnaam is geselecteerd.

Controleer of het IP-adres of de DNS-naam onder Adres (IP of DNS) overeenkomt met de juiste externe HRA-server en klik op Controleren.

Klik op Omzetten in het dialoogvenster Client controleren.

Controleer of het IP-adres onder IP-adres overeenkomt met een HRA-server die is geconfigureerd om aanvragen door te sturen naar de lokale server met NPS, en of de lokale server met NPS netwerkverbinding heeft met dit IP-adres.

Klik op OK. Als u wilt controleren of het gedeelde geheim overeenkomt, typt u het geheim naast Gedeeld geheim en Bevestig het gedeelde geheim en klikt u op OK.

Herhaal deze procedure voor elke HRA-server in uw netwerk die is geconfigureerd om verbindingsaanvragen voor verwerking door te sturen naar de lokale server met NPS.

Dubbelklik in de NPS-consolestructuur op Beleid en klik op Beleid voor verbindingsaanvragen.

Dubbelklik in het detailvenster op het beleid voor verbindingsaanvragen dat wordt gebruikt voor de verificatie van binnenkomende aanvragen voor netwerktoegang van met IPsec beveiligde NAP-clients. Als dit beleid niet aanwezig is, voert u de volgende stappen uit om een beleid voor verbindingsaanvragen te maken.

1. Klik met de rechtermuisknop op Beleid voor verbindingsaanvragen en klik vervolgens op Nieuw.
   
   
2. Typ onder Beleidsnaam een naam voor het beleid voor verbindingsaanvragen, bijvoorbeeld NAP IPsec met HRA.
   
   
3. Selecteer Statusregistratieautoriteit onder Type netwerktoegangsserver en klik op Volgende.
   
   
4. Voor een verbindingsaanvraagbeleid moet ten minste één voorwaarde worden opgegeven. U voegt een voorwaarde toe die geen inkomende toegangsaanvragen weigert, door te klikken op Toevoegen op de pagina Voorwaarden opgeven.
   
   
5. Klik in het venster Voorwaarde selecteren op Dag- en tijdsbeperkingen en klik op Toevoegen.
   
   
6. Selecteer Toegestaan in het venster Tijd van de dag-beperkingen. Controleer of alle dagen en tijden worden toegestaan, klik op OK en klik op Volgende.
   
   
7. Als de lokale server met NPS een NAP-statusbeleidsserver is, controleert u of Aanvragen op deze server verifiëren is geselecteerd, klikt u driemaal op Volgende en klikt u vervolgens op Voltooien. Zie Configuratie NPS-proxy verifiëren als de lokale server met NPS aanvragen ter evaluatie naar een andere server doorstuurt.
   
   

Controleer of het selectievakje Beleid is ingeschakeld is geselecteerd op het tabblad Overzicht.

Controleer of Type netwerktoegangsserver op het tabblad Overzicht is ingesteld op Statusregistratieautoriteit of op Niet opgegeven. Zie Aanvullende overwegingen voor meer informatie over het opgeven van een type netwerktoegangsserver verderop in dit onderwerp.

Open het tabblad Voorwaarden en controleer of er door zowel compatibele als niet-compatibele NAP-clients aan alle geconfigureerde voorwaarden wordt voldaan. Dag- en tijdsbeperkingen kan bijvoorbeeld zijn geconfigureerd om alleen op bepaalde dagen en tijdstippen netwerktoegang toe te staan.

Open het tabblad Instellingen. Klik onder Vereiste verificatiemethoden op Verificatiemethoden en controleer of het selectievakje Verificatie-instellingen voor netwerkbeleid negeren is uitgeschakeld.

Klik onder Verbindingsaanvraag wordt doorgestuurd op Verificatie.

Controleer of Aanvragen op deze server verifiëren is geselecteerd als u NPS op de lokale server wilt laten uitvoeren als een NAP-statusbeleidsserver.

Klik op OK om het eigenschappenvenster te sluiten.

Dubbelklik in de NPS-consolestructuur op Beleid en klik op Netwerkbeleid.

Controleer in het detailvenster of ten minste één netwerkbeleidsregel aanwezig is voor compatibele computers en ten minste één netwerkbeleidsregel voor niet-compatibele computers. Controleer tevens of de Status van deze beleidsregels is ingesteld op Ingeschakeld. U kunt een beleidsregel inschakelen door met de rechtermuisknop op het beleid te klikken en vervolgens op Inschakelen te klikken. Als deze beleidsregels niet aanwezig zijn, voert u de volgende stappen uit om een netwerkbeleid te maken.

1. Klik met de rechtermuisknop op Netwerkbeleid en klik vervolgens op Nieuw.
   
   
2. Typ onder Beleidsnaam een naam voor het netwerkbeleid, bijvoorbeeld NAP IPsec met compatibele HRA of NAP IPsec met niet-compatibele HRA.
   
   
3. Selecteer Statusregistratieautoriteit onder Type netwerktoegangsserver en klik op Volgende.
   
   
4. Klik op de pagina Voorwaarden opgeven op Toevoegen.
   
   
5. Klik in het venster Voorwaarde selecteren op Statusbeleid en klik vervolgens op Toevoegen.
   
   
6. Als dit netwerkbeleid moet worden toegepast op compatibele clientcomputers, selecteert u onder Statusbeleid een statusbeleid dat is geconfigureerd voor een compatibele clientstatus, en klikt u op OK.
   
   
7. Als dit netwerkbeleid moet worden toegepast op niet-compatibele clientcomputers, selecteert u onder Statusbeleid een statusbeleid dat is geconfigureerd voor een niet-compatibele clientstatus, en klikt u op OK.
   
   
8. Klik op Volgende, selecteer Toegang verleend en klik op Volgende.
   
   
9. Schakel op de pagina Verificatiemethoden configureren het selectievakje Alleen computerstatuscontrole uitvoeren in en klik tweemaal op Volgende.
   
   
10. Klik op de pagina Instellingen configureren op NAP afdwingen.
    
    
11. Selecteer een methode voor afdwingen voor dit beleid. Zie Modi voor het afdwingen van NAP verderop in dit onderwerp voor meer informatie.
    
    
12. Schakel het selectievakje Automatisch herstellen van clientcomputers inschakelen in om automatisch herstellen van niet-compatibele clients in te schakelen. Als u automatisch herstellen niet wilt inschakelen, schakelt u dit selectievakje uit.
    
    
13. Klik op Volgende en vervolgens op Voltooien.
    
    
14. Hervat de huidige procedure om de configuratie van het nieuwe netwerkbeleid te valideren.
    
    

Controleer in het detailvenster of de Verwerkingsvolgorde van beleid juist is geconfigureerd voor uw implementatie. De meer specifieke beleidsregels worden verwerkt vóór de meer algemene beleidsregels. Als u de volgorde van beleidsuitvoering wilt wijzigen, klikt u met de rechtermuisknop op de naam van het beleid en klikt u vervolgens op Omhoog of Omlaag.

Controleer in het detailvenster of het Toegangstype voor zowel het beleid voor compatibele computers als het beleid voor niet-compatibele computers is ingesteld op Toegang verlenen. Als u toegangsmachtigingen wilt configureren, klikt u met de rechtermuisknop op de naam van het beleid, klikt u op Eigenschappen, klikt u op het tabblad Overzicht en selecteert u Toegang verlenen.

Controleer in het detailvenster of de Bron van uw beleidsregels voor verwerking van met IPsec beveiligde NAP-clients is ingesteld op Statusregistratieautoriteit of op Niet opgegeven. Zie Aanvullende overwegingen voor meer informatie over het opgeven van een type netwerktoegangsserver verderop in dit onderwerp.

Dubbelklik in het detailvenster met de rechtermuisknop op de naam van het netwerkbeleid voor compatibele clients en klik vervolgens op het tabblad Voorwaarden.

Controleer of ten minste één van de opgegeven voorwaarden Statusbeleid is en of de Waarde overeenkomt met een statusbeleidsregel die u hebt geconfigureerd voor een compatibele clientstatus. Als deze voorwaarde niet aanwezig is, voert u de volgende stappen uit:

1. Klik op Toevoegen, klik op Statusbeleid en klik vervolgens op Toevoegen.
   
   
2. Selecteer onder Statusbeleid een beleidsregel die overeenkomt met een compatibele clientstatus en klik op OK. Als er geen statusbeleid aanwezig is, controleert u Statusbeleid en herhaalt u deze procedure.
   
   

Klik op het tabblad Beperkingen en klik vervolgens op Verificatiemethoden.

Controleer of het selectievakje Alleen computerstatuscontrole uitvoeren is ingeschakeld.

Open het tabblad Instellingen en klik vervolgens op NAP afdwingen.

Controleer of Volledige netwerktoegang toestaan is geselecteerd voor dit compatibele netwerkbeleid en klik op OK. De verificatie van compatibel netwerkbeleid is hiermee voltooid.

Dubbelklik in het detailvenster met de rechtermuisknop op de naam van het netwerkbeleid voor niet-compatibele clients en klik vervolgens op het tabblad Voorwaarden.

Controleer of ten minste één van de opgegeven voorwaarden Statusbeleid is en of de Waarde overeenkomt met een statusbeleidsregel die u hebt geconfigureerd voor een niet-compatibele clientstatus. Als deze voorwaarde niet aanwezig is, voert u de volgende stappen uit:

1. Klik op Toevoegen, klik op Statusbeleid en klik vervolgens op Toevoegen.
   
   
2. Selecteer onder Statusbeleid een beleidsregel die overeenkomt met een niet-compatibele clientstatus en klik op OK. Als er geen statusbeleid aanwezig is, controleert u Statusbeleid en herhaalt u deze procedure.
   
   

Klik op het tabblad Beperkingen en klik vervolgens op Verificatiemethoden.

Controleer of het selectievakje Alleen computerstatuscontrole uitvoeren is ingeschakeld.

Open het tabblad Instellingen en klik vervolgens op NAP afdwingen.

• Controleer of Beperkte toegang toestaan is geselecteerd voor dit netwerkbeleid voor niet-compatibele clients als u NAP hebt geïmplementeerd in een modus voor volledige uitvoering.
  
  
• Controleer of Volledige netwerktoegang toestaan voor een beperkte tijd is geselecteerd voor dit netwerkbeleid voor niet-compatibele clients als u NAP hebt geïmplementeerd in een modus voor uitgestelde uitvoering.
  
  
• Controleer of Volledige netwerktoegang toestaan is geselecteerd voor dit netwerkbeleid voor niet-compatibele clients als u NAP hebt geïmplementeerd in de rapportagemodus.
  
  
• Controleer of het selectievakje Automatisch herstellen van clientcomputers inschakelen is ingeschakeld als u automatisch herstellen van niet-compatibele NAP-clients wilt inschakelen.
  
  

Klik op OK.

Herhaal deze stappen indien nodig om de configuratie te controleren van de beleidsregels die worden gebruikt voor het evalueren van toegangsaanvragen van met IPsec beveiligde NAP-clients.

Dubbelklik in de NPS-console op Beleid en klik op Statusbeleid.

Dubbelklik in het detailvenster onder Beleidsnaam op de naam van een compatibel statusbeleid. Als dit beleid niet aanwezig is, voert u de volgende stappen uit om een compatibel statusbeleid te maken.

1. Klik met de rechtermuisknop op Statusbeleid en klik vervolgens op Nieuw.
   
   
2. Typ onder Beleidsnaam een naam voor het compatibele statusbeleid, bijvoorbeeld NAP IPsec met HRA.
   
   
3. Selecteer onder SHV-controles voor client de optie Alle systeemstatuscontroles voor de client zijn geslaagd om een strict statusbeleid te maken of de optie Een of meer systeemstatuscontroles voor de client zijn geslaagd om een soepeler statusbeleid te maken.
   
   
4. Schakel onder SHV's die worden gebruikt in dit gezondheidsbeleid het selectievakje in voor elke SHV die wordt gebruikt voor het evalueren van de clientstatus. De SHV Windows Controle van beveiligingsstatus is standaard beschikbaar. Andere SHV's zijn beschikbaar indien geïnstalleerd.
   
   
5. Klik op OK.
   
   

Controleer onder SHV-controles voor client of de optie Alle systeemstatuscontroles voor de client zijn geslaagd of de optie Een of meer systeemstatuscontroles voor de client zijn geslaagd is geselecteerd. Deze voorwaarden worden gebruikt om compatibel beleid te maken dat respectievelijk meer of minder beperkend is.

Controleer of onder SHV's die worden gebruikt in dit gezondheidsbeleid de selectievakjes zijn ingeschakeld voor alle SHV's die worden gebruikt voor het evalueren van de status op uw met IPsec beveiligde NAP-clientcomputers, en klik op OK.

Dubbelklik in het detailvenster onder Beleidsnaam op de naam van een niet-compatibel statusbeleid. Als dit beleid niet aanwezig is, voert u de volgende stappen uit om een niet-compatibel statusbeleid te maken.

1. Klik met de rechtermuisknop op Statusbeleid en klik vervolgens op Nieuw.
   
   
2. Typ onder Beleidsnaam een naam voor het niet-compatibele statusbeleid, bijvoorbeeld NAP IPsec met HRA.
   
   
3. Selecteer onder SHV-controles voor client de optie Een of meer systeemstatuscontroles voor de client zijn mislukt om een strict statusbeleid te maken of de optie Alle SHV-controles voor de client zijn mislukt om een soepeler statusbeleid te maken.
   
   
4. Schakel onder SHV's die worden gebruikt in dit gezondheidsbeleid het selectievakje in voor elke SHV die wordt gebruikt voor het evalueren van de clientstatus. De SHV Windows Controle van beveiligingsstatus is standaard beschikbaar. Andere SHV's zijn beschikbaar indien geïnstalleerd.
   
   
5. Klik op OK.
   
   

Controleer of onder SHV-controles voor client de optie Een of meer systeemstatuscontroles voor de client zijn mislukt of de optie Alle SHV-controles voor de client zijn mislukt is geselecteerd. Deze voorwaarden worden gebruikt om niet-compatibel beleid te maken dat respectievelijk meer of minder beperkend is.

Controleer of onder SHV's die worden gebruikt in dit gezondheidsbeleid de selectievakjes zijn ingeschakeld voor alle SHV's die worden gebruikt voor het evalueren van de status op uw met IPsec beveiligde NAP-clientcomputers, en klik op OK.

Herhaal deze stappen voor alle statusbeleidsregels die worden gebruikt voor het evalueren van uw met IPsec beveiligde NAP-clientcomputers.

Dubbelklik in de NPS-console op Beveiliging van netwerktoegang en klik op Systeemstatuscontroles.

Dubbelklik in het detailvenster onder Naam op de naam van een geïnstalleerde SHV.

De configuratie van SHV's verschilt al naar gelang de implementatie. Als u de Windows Controle van beveiligingsstatus gebruikt, klikt u op Configureren.

• Klik op het tabblad Windows Vista om statusvereisten te configureren voor computers met Windows Vista.
  
  
• Klik op het tabblad Windows XP om statusvereisten te configureren voor computers met Windows XP Service Pack 3.
  
  

Schakel de statusvereisten in door de selectievakjes naast de statusonderdelen in te schakelen. Schakel deze selectievakjes uit om vereisten uit te schakelen. De beschikbare statusvereisten wanneer u Windows Controle van beveiligingsstatus gebruikt, zijn: Firewall, Virusbeveiliging, Spywarebeveiliging, Automatische updates en Bescherming beveiligingsupdate.

Klik op OK en configureer de foutcode-omzettingen voor uw implementatie. Foutcode-omzettingen bepalen hoe clients worden geëvalueerd onder de vermelde foutcondities. U kunt voor elke voorwaarde de status Compatibel of Niet-compatibel selecteren.

Klik op OK en sluit NPS-console.