Принудительная защита доступа к сети для политик IPSec брандмауэра Windows развертывается с использованием сервера сертификации работоспособности, сервера центра регистрации работоспособности, сервера политики сети и клиента принудительной защиты IPSec. Сервер сертификации работоспособности выдает клиентам защиты доступа к сети сертификаты X.509, подтверждающие, что эти клиенты достигли соответствия. Впоследствии эти сертификаты используются для проверки подлинности клиентов защиты доступа к сети, когда они инициируют обмен данными по протоколу IPsec с другими клиентами защиты доступа к сети, находящимися во внутренней сети.

Применение IPsec ограничивает обмен данными в сети соответствующими клиентами и обеспечивает наиболее строгую реализацию защиты доступа к сети. Поскольку в этом методе применения используется протокол IPsec, можно определить требования к безопасному взаимодействию как для IP-адресов, так и для номеров TCP/UDP-портов.

Требования

Для развертывания защиты доступа к сети с IPsec и центром регистрации работоспособности необходимо выполнить следующие действия:

  • На сервере сетевых политик необходимо настроить политику запросов на подключение, сетевую политику и политику работоспособности защиты доступа к сети. Можно настроить эти политики по отдельности с помощью консоли сервера политики сети или воспользоваться мастером Новая политика защиты доступа к сети.

  • Включить клиент применения защиты доступа к сети по протоколу EAP и службу NAP на клиентских компьютерах с поддержкой защиты доступа к сети.

  • Установить центр регистрации работоспособности на локальном или удаленном компьютере.

  • Установить и настроить службы сертификации Active Directory® и шаблоны сертификатов.

  • Настроить групповую политику и другие параметры, требуемые для развертывания.

  • В зависимости от конфигурации защиты доступа к сети настроить средство проверки работоспособности системы безопасности Windows или установить и настроить другие агенты работоспособности системы и средства проверки работоспособности системы.

Если центр регистрации работоспособности не установлен на локальном компьютере, необходимо также выполнить следующие действия:

  • Установить сервер политики сети на компьютере, где выполняется центр регистрации работоспособности.

  • Настроить сервер политики сети на удаленном сервере с сервером политики сети и центром регистрации работоспособности в качестве RADIUS-прокси для перенаправления запросов на подключение на локальный сервер политики сети.

Для получения дополнительных сведений о центре регистрации работоспособности откройте консоль этого центра, нажмите клавишу F1 и изучите справку.

Содержание