Sử dụng Group Policy Filtering để tạo chính sách thực thi DHCP cho NAP - Phần 2 pot

Sử dụng Group Policy
Filtering để tạo chính
sách thực thi DHCP cho
NAP - Phần 2


Thomas Shinder
Quản trị mạng - Trong phần đầu của loạt bài này, chúng tôi đã
giới thiệu một số kiến thức cơ bản về cách làm việc của NAP, sau
đó đã cài đặt các dịch vụ DHCP và NPS trên máy chủ NAP
policy. Trong phần này, chúng tôi sẽ giới thiệu về cách sử dụng
NAP policy wizard để tạo tự động các chính sách Network, Health
và Connection nhằm kiểm sốt sự truy cập cho mạng của bạn.
Sử dụng NAP Wizard để tạo một chính sách thực thi NAP
DHCP
Lúc này chúng ta có thể bắt đầu cho phần chính - tạo chính sách
thực thi NAP DHCP. Sau khi chạy wizard, wizard sẽ tạo các
chính sách sau:


Health Policies



Connection Request Policies



Network Policies



Remediation Server Group policies

Chúng ta hãy xem xét kỹ hơn về mỗi chính sách này sau khi kết
thúc wizard.
Mở giao diện điều khiển Network Policy Server từ
menu Administrative Tools. Từ đây, bạn sẽ thấy ở giữa giao diện
xuất hiện trang Getting Started. Trong phần Standard
Configuration, hãy chọn tùy chọn Network Access Protection
(NAP) từ Select a configuration scenario from the list and then
click the link below to open the scenario wizard.
Kích vào liên kết Configure NAP.


Hình 1
Trên trang Select Network Connection Method For Use with
NAP, phần Network connection method, bạn hãy chọn tùy
chọn Dynamic Host Configuration Protocol (DHCP) từ danh
sách. Nhớ rằng, khi sử dụng NAP thì chúng ta phải chọn một


phương pháp thực thi và đó là những gì chúng ta đang thực hiện ở
đây. DHCP server trở thành “network access server” trong kịch
bản này và DHCP server chịu trách nhiệm cho mức truy cập mạng
mà NAP client có.
Hộp văn bản Policy name sẽ tự động được cư trú với NAP
DHCP, phần tên (name) được nối thêm vào một số các chính sách
đã tạo bởi wizard. Chúng ta sẽ thấy điều này sau khi kết thúc NAP
wizard.

Kích Next.


Hình 2
Trên trang Specify NAP Enforcement Server Running DHCP
Server, bạn có thể gộp địa chỉ IP của DHCP server sẽ chịu trách
nhiệm máy chủ truy cập mạng. Sử dụng tùy chọn này khi DHCP
server và NPS server cấu hình các chính sách NAP khơng nằm


trên cùng máy chủ.
Nếu muốn bổ sung thêm các máy chủ thi hành DHCP NAP từ xa,
chúng phải được cấu hình như các RADIUS client, điều đó có
nghĩa rằng bạn cần cấu hình các máy này như NPS server. Sự
khác biệt ở đây là NPS server này khơng cấu hình các thiết lập
chính sách NAP. Chúng chỉ ủy quyền các yêu cầu RADIUS đến
NPS server đang cấu hình các thiết lập chính sách NAP. Cấu hình
đó nên sử dụng trong môi trường sản xuất lớn, nơi DHCP server
và NAP server cả hai đều tương đối bận. Thêm vào đó, rất có thể
sẽ có nhiều DHCP server trong cơng ty bạn, trong khi đó bạn lại
muốn tất cả đều có thể truyền thơng với máy chủ chính sách NAP
hoặc các máy chủ.
Trong ví dụ này, mạng mà chúng tơi đặt các máy chủ DHCP và
NPS nằm trên cùng một máy tính, vì vậy chúng ta sẽ khơng cần
bổ sung thêm các máy chủ DHCP từ xa vào danh sách.
Kích Next.


Hình 3
Bạn có một tùy chọn để kích hoạt NAP khi sử dụng thực thi

DHCP. Nếu không muốn sử dụng chính sách thực thi NAP đối
với tất cả các phạm vi DHCP thì bạn có thể nhập vào phạm vi
trong đó muốn chính sách NAP áp dụng cho trong trang Specify


DHCP Scopes. Trong mạng ví dụ của chúng tơi, chúng tơi muốn
kích hoạt chính sách NAP trên mọi phạm vi, vì vậy chúng tơi
khơng nhập vào các phạm vi cụ thể trên trang này. Kích Next.

Hình 4
Bạn có thể cho phép hoặc từ chối truy cập vào các nhóm người


dùng nào đó hoặc các máy tính trong chính sách NAP. Trong ví
dụ này, chúng tơi áp dụng chính sách cho tất cả các máy và người
dùng. Kích Next.

Hình 5
Tất cả các máy tính đều cần truy cập vào các máy chủ nào đó


trong mạng. Chúng cần đến các máy chủ sở hạ tầng chẳng hạn
như Active Directory, DNS, DHCP và WINS server. Tất cả các
máy tính cần sự truy cập tới các máy chủ sửa lỗi, đây là các máy
mà máy tính khơng thỏa mãn u cầu có thể truy cập để đạt được
sự đồng thuận.
Trong trang Specify a NAP Remediation Server Group and
URL, bạn kích nút Group để mở hộp thoại New Remediation
Server Group. Trong hộp thoại New Remediation Server
Group, hãy nhập vào tên nhóm trong hộp văn bản Group Name.

Trong ví dụ này, chúng tơi đặt tên nhóm là Network Services.
Kích nút Add trong hộp thoại New Remediation Server Group.
Khi đó bạn sẽ thấy hộp thoại Add New Server xuất hiện. Trong
hộp thoại Add New Server, hãy nhập vào tên máy chủ trong
hộp Friendly name. Trong ví dụ này chúng tơi nhập vào một tên
cho domain controller, chính vì vậy chúng tôi sẽ nhập DC vào hộp
văn bản này. Địa chỉ IP của domain controller là 10.0.0.2, chính vì
vậy chúng ta sẽ nhập địa chỉ đó vào hộp văn bảnIP address or


DNS name. Nếu biết tên của máy chủ DNS thì bạn có thể nhập
vào tên đó trong hộp văn bản và sau đó kích nút Resolve.
Kích OK trong hộp thoại Add New Server.


Hình 6
Lúc này bạn sẽ thấy tên của nhóm máy chủ sửa lỗi và địa chỉ IP
của máy chủ mà bạn đã bổ sung vào nhóm. Nhớ rằng, mục đích
của nhóm này là remove nó khỏi những hạn chế của chính sách
NAP. Domain controller trong ví dụ này là một máy tính mà tất cả
các thành viên miền cần truyền thơng với nó để đăng nhập. Nếu
bạn khơng cho phép các máy khách NAP của mình, dù đồng
thuận hay khơng, kết nối với domain controller thì chúng sẽ
khơng thể đăng nhập vào mạng để trở thành đồng thuận sau khi
đăng nhập.
Kích OK trong hộp thoại New Remediation Server Group.


Hình 7
Kích Next trên trang Specify a NAP Remediation Server Group

and URL. Lưu ý rằng chúng ta cũng có thể nhập
vào Troubleshooting URL trên trang này. Chúng tôi không sử
dụng nào trong ví dụ này, nhưng đơi khi bạn dùng nếu muốn trỏ


người dùng đến trang hiển thị cho họ cách trở thành đồng thuận
sau khi máy tính của họ rơi vào tình trạng khơng đồng thuận và
khơng thể tự sửa lỗi.

Hình 8
Trên trang Define NAP Health Policy, bạn có thể chọn chính


sách hợp lệ sức khỏe hệ thống (System Health Validator) nào mà
bạn muốn để định nghĩa một chính sách sức khỏe cho mạng
(Health Policy). Mặc định chỉ có một chính sách System Health
Validator có trong Windows Server 2008, chính sách này
là Windows Security Health Validator. Các hãng phần mềm
khác cũng có thể nhóm các sản phẩm System Health Validator
của họ mà bạn cài đặt vào máy chủ NAP policy.
Bảo đảm rằng có một dấu kiểm trong hộp kiểm Windows
Security Health Validator. Cũng cần tích một dấu kiểm trong
hộp chọn Enable auto-remediation of client computers. Tùy
chọn này cho phép các thành phần của NAP client có thể tự sửa
lỗi một số vấn đề. Với ví dụ này, nếu Windows Firewall bị vơ
hiệu hóa thì NAP agent sẽ tự kích hoạt Windows Firewall.
Trong Network Access restrictions for NAP-ineligible client
computers, bạn xác định những gì muốn thực hiện với các máy
tính khơng có khả năng NAP. Bạn có hai tùy chọn:



Deny full network access to NAP-ineligible client

computers. Allow access to a restricted network only


Từ chối toàn bộ truy cập mạng cho các máy khách NAP

không đủ tư cách. Chỉ cho phép truy cập vào mạng bị hạn chế.


Allow full network access to NAP-ineligible client

computers


Cho phép truy cập vào các máy khách NAP khơng đủ tư

cách
Tùy chọn đầu tiên an tồn hơn tùy chọn kia, còn tùy chọn thứ hai
là tùy chọn tỏ ra hào phóng hơn. Sự lựa chọn của bạn phụ thuộc
vào mục tiêu thiết kế cho NAP. Bạn có thể cho phép các máy tính
khơng có khả năng NAP truy cập vào mạng trong suốt quá trình
triển khai NAP và sau đó, khi q trình triển khai hồn tất, bạn sẽ
chuyển và thi hành cho các máy đồng thuận NAP.
Kích Next trong trang Define NAP Health Policy.

Hình 9
Trên trang Completing NAP Enforcement Policy and RADIUS
Client Configuration, bạn có thể thấy Health
Policies, Connection Request Policy, Network
Policies và Remediation Server Group sẽ được tạo bởi wizard.


Chúng ta sẽ xem xét sâu hơn về các chính sách này.

Hình 10
Lưu ý rằng chỉ có một liên kết Configuration Details. Khi bạn
kích vào liên kết này, nó sẽ xuất hiện trang cung cấp các thông tin
chi tiết về mỗi chính sách sẽ được tạo bởi wizard.


Hình 11
Kết luận


Trong phần 2 này, chúng tôi đã giới thiệu cho các bạn về NAP
policy wizard và giải thích mỗi tùy chọn được wizard này cung
cấp. Chúng ta đã thấy được rằng NAP policy wizard giúp đơn
giản hơn rất nhiều trong việc tạo một chính sách NAP tồn diện
trong q trình tạo một số chính sách Network, Health và
Connection để kiểm sốt những máy tính có thể tham gia vào
mạng. Trong phần tiếp theo của loạt bài này, chúng ta sẽ xem xét
một cách chi tiết hơn đến các rule và giải thích về chức năng cũng
như nhân tố cơ bản sau mỗi rule này.