DHCP và NPS trên máy chủ NAP policy. potx

DHCP và NPS trên máy chủ NAP policy

Trong phần đầu của loạt bài này, chúng tôi đã giới thiệu một số kiến thức cơ
bản về cách làm việc của NAP, sau đó đã cài đặt các dịch vụ DHCP và NPS
trên máy chủ NAP policy. Trong phần này, chúng tôi sẽ giới thiệu về cách sử
dụng NAP policy wizard để tạo tự động các chính sách Network, Health và
Connection nhằm kiểm soát sự truy cập cho mạng của bạn.
Sử dụng NAP Wizard để tạo một chính sách thực thi NAP DHCP
Lúc này chúng ta có thể bắt đầu cho phần chính - tạo chính sách thực thi
NAP DHCP. Sau khi chạy wizard, wizard sẽ tạo các chính sách sau:
 Health Policies
 Connection Request Policies
 Network Policies
 Remediation Server Group policies
Chúng ta hãy xem xét kỹ hơn về mỗi chính sách này sau khi kết thúc wizard.
Mở giao diện điều khiển Network Policy Server từ menu Administrative
Tools. Từ đây, bạn sẽ thấy ở giữa giao diện xuất hiện trang Getting Started.
Trong phần Standard Configuration, hãy chọn tùy chọn Network Access
Protection (NAP) từ Select a configuration scenario from the list and
then click the link below to open the scenario wizard.
Kích vào liên kết Configure NAP.

Hình 1
Trên trang Select Network Connection Method For Use with NAP, phần
Network connection method, bạn hãy chọn tùy chọn Dynamic Host
Configuration Protocol (DHCP) từ danh sách. Nhớ rằng, khi sử dụng NAP

thì chúng ta phải chọn một phương pháp thực thi và đó là những gì chúng ta
đang thực hiện ở đây. DHCP server trở thành “network access server” trong
kịch bản này và DHCP server chịu trách nhiệm cho mức truy cập mạng mà
NAP client có.
Hộp văn bản Policy name sẽ tự động được cư trú với NAP DHCP, phần tên
(name) được nối thêm vào một số các chính sách đã tạo bởi wizard. Chúng ta
sẽ thấy điều này sau khi kết thúc NAP wizard.
Kích Next.

Hình 2
Trên trang Specify NAP Enforcement Server Running DHCP Server, bạn
có thể gộp địa chỉ IP của DHCP server sẽ chịu trách nhiệm máy chủ truy cập
mạng. Sử dụng tùy chọn này khi DHCP server và NPS server cấu hình các
chính sách NAP không nằm trên cùng máy chủ.
Nếu muốn bổ sung thêm các máy chủ thi hành DHCP NAP từ xa, chúng phải
được cấu hình như các RADIUS client, điều đó có nghĩa rằng bạn cần cấu
hình các máy này như NPS server. Sự khác biệt ở đây là NPS server này
không cấu hình các thiết lập chính sách NAP. Chúng chỉ ủy quyền các yêu
cầu RADIUS đến NPS server đang cấu hình các thiết lập chính sách NAP.
Cấu hình đó nên sử dụng trong môi trường sản xuất lớn, nơi DHCP server và
NAP server cả hai đều tương đối bận. Thêm vào đó, rất có thể sẽ có nhiều
DHCP server trong công ty bạn, trong khi đó bạn lại muốn tất cả đều có thể
truyền thông với máy chủ chính sách NAP hoặc các máy chủ.
Trong ví dụ này, mạng mà chúng tôi đặt các máy chủ DHCP và NPS nằm
trên cùng một máy tính, vì vậy chúng ta sẽ không cần bổ sung thêm các máy
chủ DHCP từ xa vào danh sách. Kích Next.

Hình 3
Bạn có một tùy chọn để kích hoạt NAP khi sử dụng thực thi DHCP. Nếu
không muốn sử dụng chính sách thực thi NAP đối với tất cả các phạm vi

DHCP thì bạn có thể nhập vào phạm vi trong đó muốn chính sách NAP áp
dụng cho trong trang Specify DHCP Scopes. Trong mạng ví dụ của chúng
tôi, chúng tôi muốn kích hoạt chính sách NAP trên mọi phạm vi, vì vậy
chúng tôi không nhập vào các phạm vi cụ thể trên trang này. Kích Next.

Hình 4
Bạn có thể cho phép hoặc từ chối truy cập vào các nhóm người dùng nào đó
hoặc các máy tính trong chính sách NAP. Trong ví dụ này, chúng tôi áp dụng
chính sách cho tất cả các máy và người dùng. Kích Next.

Hình 5
Tất cả các máy tính đều cần truy cập vào các máy chủ nào đó trong mạng.
Chúng cần đến các máy chủ sở hạ tầng chẳng hạn như Active Directory,
DNS, DHCP và WINS server. Tất cả các máy tính cần sự truy cập tới các
máy chủ sửa lỗi, đây là các máy mà máy tính không thỏa mãn yêu cầu có thể
truy cập để đạt được sự đồng thuận.
Trong trang Specify a NAP Remediation Server Group and URL, bạn kích
nút Group để mở hộp thoại New Remediation Server Group. Trong hộp
thoại New Remediation Server Group, hãy nhập vào tên nhóm trong hộp
văn bản Group Name. Trong ví dụ này, chúng tôi đặt tên nhóm là Network
Services.
Kích nút Add trong hộp thoại New Remediation Server Group. Khi đó bạn
sẽ thấy hộp thoại Add New Server xuất hiện. Trong hộp thoại Add New
Server, hãy nhập vào tên máy chủ trong hộp Friendly name. Trong ví dụ
này chúng tôi nhập vào một tên cho domain controller, chính vì vậy chúng tôi
sẽ nhập DC vào hộp văn bản này. Địa chỉ IP của domain controller là
10.0.0.2, chính vì vậy chúng ta sẽ nhập địa chỉ đó vào hộp văn bản IP
address or DNS name. Nếu biết tên của máy chủ DNS thì bạn có thể nhập
vào tên đó trong hộp văn bản và sau đó kích nút Resolve.
Kích OK trong hộp thoại Add New Server.

Hình 6
Lúc này bạn sẽ thấy tên của nhóm máy chủ sửa lỗi và địa chỉ IP của máy chủ
mà bạn đã bổ sung vào nhóm. Nhớ rằng, mục đích của nhóm này là remove
nó khỏi những hạn chế của chính sách NAP. Domain controller trong ví dụ
này là một máy tính mà tất cả các thành viên miền cần truyền thông với nó để
đăng nhập. Nếu bạn không cho phép các máy khách NAP của mình, dù đồng
thuận hay không, kết nối với domain controller thì chúng sẽ không thể đăng
nhập vào mạng để trở thành đồng thuận sau khi đăng nhập.
Kích OK trong hộp thoại New Remediation Server Group.

Hình 7
Kích Next trên trang Specify a NAP Remediation Server Group and URL.
Lưu ý rằng chúng ta cũng có thể nhập vào Troubleshooting URL trên trang
này. Chúng tôi không sử dụng nào trong ví dụ này, nhưng đôi khi bạn dùng
nếu muốn trỏ người dùng đến trang hiển thị cho họ cách trở thành đồng thuận
sau khi máy tính của họ rơi vào tình trạng không đồng thuận và không thể tự
sửa lỗi.

Hình 8
Trên trang Define NAP Health Policy, bạn có thể chọn chính sách hợp lệ
sức khỏe hệ thống (System Health Validator) nào mà bạn muốn để định nghĩa
một chính sách sức khỏe cho mạng (Health Policy). Mặc định chỉ có một
chính sách System Health Validator có trong Windows Server 2008, chính
sách này là Windows Security Health Validator. Các hãng phần mềm khác
cũng có thể nhóm các sản phẩm System Health Validator của họ mà bạn cài
đặt vào máy chủ NAP policy.
Bảo đảm rằng có một dấu kiểm trong hộp kiểm Windows Security Health
Validator. Cũng cần tích một dấu kiểm trong hộp chọn Enable auto-
remediation of client computers. Tùy chọn này cho phép các thành phần

của NAP client có thể tự sửa lỗi một số vấn đề. Với ví dụ này, nếu Windows
Firewall bị vô hiệu hóa thì NAP agent sẽ tự kích hoạt Windows Firewall.
Trong Network Access restrictions for NAP-ineligible client computers,
bạn xác định những gì muốn thực hiện với các máy tính không có khả năng
NAP. Bạn có hai tùy chọn:
 Deny full network access to NAP-ineligible client computers. Allow
access to a restricted network only
 Từ chối toàn bộ truy cập mạng cho các máy khách NAP không đủ tư
cách. Chỉ cho phép truy cập vào mạng bị hạn chế.
 Allow full network access to NAP-ineligible client computers
 Cho phép truy cập vào các máy khách NAP không đủ tư cách
Tùy chọn đầu tiên an toàn hơn tùy chọn kia, còn tùy chọn thứ hai là tùy chọn
tỏ ra hào phóng hơn. Sự lựa chọn của bạn phụ thuộc vào mục tiêu thiết kế
cho NAP. Bạn có thể cho phép các máy tính không có khả năng NAP truy
cập vào mạng trong suốt quá trình triển khai NAP và sau đó, khi quá trình
triển khai hoàn tất, bạn sẽ chuyển và thi hành cho các máy đồng thuận NAP.
Kích Next trong trang Define NAP Health Policy.

Hình 9
Trên trang Completing NAP Enforcement Policy and RADIUS Client
Configuration, bạn có thể thấy Health Policies, Connection Request
Policy, Network Policies và Remediation Server Group sẽ được tạo bởi
wizard. Chúng ta sẽ xem xét sâu hơn về các chính sách này.

Hình 10
Lưu ý rằng chỉ có một liên kết Configuration Details. Khi bạn kích vào liên
kết này, nó sẽ xuất hiện trang cung cấp các thông tin chi tiết về mỗi chính
sách sẽ được tạo bởi wizard.

Hình 11

Kết luận
Trong phần 2 này, chúng tôi đã giới thiệu cho các bạn về NAP policy wizard
và giải thích mỗi tùy chọn được wizard này cung cấp. Chúng ta đã thấy được
rằng NAP policy wizard giúp đơn giản hơn rất nhiều trong việc tạo một chính
sách NAP toàn diện trong quá trình tạo một số chính sách Network, Health và
Connection để kiểm soát những máy tính có thể tham gia vào mạng. Trong
phần tiếp theo của loạt bài này, chúng ta sẽ xem xét một cách chi tiết hơn đến
các rule và giải thích về chức năng cũng như nhân tố cơ bản sau mỗi rule này.
v