Översikt över nätverksprincipservern

NPS är Microsofts implementering av den RADIUS-standard som specificerats av Internet Engineering Task Force (IETF) i RFCs 2865 och 2866. Som en RADIUS-server utför NPS centraliserad anslutningsautentisering, auktorisering och redovisning för många typer av nätverksåtkomster, inklusive trådlösa anslutningar, autentiseringsväxlar, fjärranslutningar för uppringda nätverk och VPN samt router-to-router-anslutningar.

NPS gör det möjligt att använda en mängd olika utrustningar för trådlösa anslutningar, växelanslutningar, fjärranslutningar och VPN-anslutningar. Du kan använda NPS med tjänsten Routning och fjärråtkomst (RAS) som finns i Microsoft Windows 2000, Windows Server 2003, Standard Edition, Windows Server 2003, Enterprise Edition och Windows Server 2003, Datacenter Edition.

När en server som kör NAP är medlem i en Active Directory® Domain Services (AD DS)-domän använder NPS katalogtjänsten som användarkontodatabas och ingår i en lösning för enkel inloggning. Samma uppsättning autentiseringsuppgifter används till nätverksåtkomstkontroll (autentisering och auktorisering av tillgången till ett nätverk) som till inloggning i en AD DS-domän.

Internetleverantörer och organisationer som underhåller nätverksanslutningar måste hantera utmaningen i att hantera alla typer av nätverksanslutningar från en enda administrationspunkt, oavsett vilken typ av utrustning för nätverksanslutningen som används. RADIUS-standarden stöder denna funktion både i homogena och heterogena miljöer. RADIUS är ett klient-serverprotokoll som gör att utrustning för nätverksanslutning (används som RADIUS-klienter) kan skicka begäranden om autentisering och redovisning till en RADIUS-server.

En RADIUS-server har tillgång till användarkontoinformation och kan kontrollera autentiseringsuppgifterna för nätverksanslutningen. Om användarens autentiseringsuppgifter godkänns och anslutningsförsöket auktoriseras, auktoriserar RADIUS-servern användarens anslutning på grundval av de angivna villkoren och nätverksanslutningen loggas i en redovisningslogg. Tack vare RADIUS kan data om autentisering, auktorisering och redovisning av nätverksanvändarna samlas in och sparas på en central plats, istället för på varje åtkomstserver.

Mer information finns i avsnittet RADIUS-server.

Som RADIUS-proxy vidarebefordrar NPS autentiserings- och redovisningsmeddelanden till andra RADIUS-servrar.

Med hjälp av NPS kan organisationer också lägga ut infrastrukturen för fjärranslutningar på en leverantör och fortfarande behålla kontrollen över autentiseringen, auktoriseringen och redovisningen.

Det går att skapa olika NPS-konfigurationer för följande situationer:

• Trådlös åtkomst
  
  
• Fjärråtkomst via organisationens fjärranslutning eller VPN (virtuellt privat nätverk)
  
  
• Utkontrakterad fjärranslutning eller trådlös åtkomst
  
  
• Internetåtkomst
  
  
• Autentiserad åtkomst till extranätsresurser för affärspartner
  
  

Mer information finns i avsnittet RADIUS-proxy.

I följande exempel visas hur du kan konfigurera NPS som en RADIUS-server och en RADIUS-proxy.

NPS as a RADIUS server. I det här exemplet är NPS konfigurerad som en RADIUS-server, standardprincipen för anslutningsbegäran är den enda konfigurerade principen och alla anslutningsbegäranden bearbetas av den lokala NPS-servern. NPS-servern kan autentisera och auktorisera användare som har konton i domänen där NPS-servern finns och i betrodda domäner.

NPS as a RADIUS proxy. I det här exemplet är NPS-servern konfigurerad som en RADIUS-proxy som vidarebefordrar anslutningsbegäranden till fjärr-RADIUS-servergrupper i två domäner som inte är betrodda. Standardprincipen för anslutningsbegäranden har tagits bort och två nya principer för anslutningsbegäranden skapas för att kunna vidarebefordra begäranden till de båda ej betrodda domänerna. I det här exemplet bearbetar NPS inte anslutningsbegärandena på den lokala servern.

NPS as both RADIUS server and RADIUS proxy. Förutom standardprincipen för anslutningsbegäranden, som anger att anslutningsbegäranden ska bearbetas lokalt, skapas en ny princip för anslutningsbegäranden. I den nya principen anges att anslutningsbegäranden ska vidarebefordras till en NPS eller en annan RADIUS-server i en domän som inte är betrodd. Den nya principen kallas proxyprincip. I det här exemplet visas proxyprincipen först i principlistan. Om anslutningsbegäran överensstämmer med proxyprincipen vidarebefordras begäran till RADIUS-servern i fjärr-RADIUS-servergruppen. Om anslutningsbegäran inte överensstämmer med proxyprincipen, men med standardprincipen bearbetar NPS begäran på den lokala servern. Om anslutningsbegäran inte överensstämmer med någon princip avvisas den.

NPS as a RADIUS server with remote accounting servers. I det här exemplet är den lokala NPS-servern inte konfigurerad så att den utför redovisning, och standardprincipen för anslutningsbegäran ändras så att RADIUS-redovisningsmeddelanden vidarebefordras till en NPS-server eller annan RADIUS-server i en fjärr-RADIUS-servergrupp. Redovisningsmeddelanden vidarebefordras men inte meddelanden om autentisering och auktorisering, och den lokala NPS-servern utför dessa funktioner för den lokala domänen och alla betrodda domäner.

NPS with remote RADIUS to Windows user mapping. I det här exemplet fungerar NPS som både RADIUS-server och RADIUS-proxy för varje enskild anslutningsbegäran genom att vidarebefordra autentiseringsbegäran till en fjärr-RADIUS-server samtidigt som ett lokalt Windows-användarkonto används för auktorisering. Konfigurationen implementeras genom att attributet Mappning av fjärr-RADIUS till Windows-användare konfigureras som ett villkor i principen för anslutningsbegäranden. (Dessutom måste ett användarkonto skapas lokalt på RADIUS-servern och ha samma namn som fjärranvändarkontot som fjärr-RADIUS-servern autentiserar mot.)