Bảo mật lưu lượng mạng không dây ppsx

Bảo mật lưu lượng mạng
không dây
Trong phần tiếp theo này, chúng tôi sẽ giới thiệu cho các bạn cách triển
khai máy chủ chính sách và cách kết nạp chứng chỉ cũng như đăng ký
Active Directory cho máy chủ đó.
Trong phần trước của loạt bài này, chúng ta đã biết rằng một trong những
cách tốt nhất bảo mật lưu lượng mạng không dây là coi chúng như một mạng
không được bảo vệ. Ý tưởng ở đây là xác thực bất cứ ai sử dụng mạng
không dây theo cách mà bạn xác thực người dùng kết nối với VPN của
mình. Windows Server 2008 có thể được cấu hình để cung cấp hành động
xác thực như vậy. Để thực hiện điều này, bạn phải cấu hình Windows làm
việc như một máy chủ chính sách mạng (NPS).
Trước khi bắt đầu
Trước khi giới thiệu cách cấu hình máy chủ chính sách mạng, chúng tôi
muốn cung cấp cho các bạn một số điều kiện tiên quyết. Như đã giải thích
trong phần trước, quá trình xác thực chủ yếu dựa trên chứng chỉ. Chính vì
vậy bạn cần phải triển khai CA doanh nghiệp trên mạng theo cách được mô
tả trong phần trước hoặc thu thập chứng chỉ từ tổ chức thương mại.
Ngoài ra, chúng ta cũng phải thiết lập môi trường Active Directory và máy
chủ sẽ cấu hình làm máy chủ NPS là thành viên miền. Thêm vào đó mạng
cũng sẽ yêu cầu máy chủ DNS (giống như tất cả các môi trường Active
Directory) và cần phải có thêm máy chủ DHCP.
Cuối cùng, tuy không nhất thiết yêu cầu nhưng chúng ta nên cài đặt Network
Policy Server trên một máy tính chuyên biệt (có thể là vật lý hoặc có thể là
máy ảo). Ý tưởng ở đây là, nếu Network Policy Server có bị thỏa hiệp thì
hacker cũng không thể tăng truy cập vào các dịch vụ mạng khác.
Triển khai máy chủ chính sách mạng
Để triển khai máy chủ chính sách mạng, các bạn hãy mở Server
Manager và kích mục Roles. Tiếp theo, kích liên kết Add Roles, Windows
sẽ mở Add Roles Wizard. Sau khi Wizard xuất hiện, kích Next để băng qua
màn hình chào. Tại đây, bạn sẽ thấy màn hình yêu cầu bạn chọn role máy

chủ. Chọn Network Policy and Access Services và kích Next.
Lúc này bạn sẽ thấy màn hình giới thiệu về role Network Policy and Access
Services. Kích Next một lần nữa bạn sẽ thấy nhắc nhở chọn dịch vụ role cần
triển khai. Chọn dịch vụ Network Policy Server như thể hiện trong hình A
và kích Next.

Hình A: Chọn dịch vụ Network Policy Server và kích Next.
Màn hình tiếp theo sẽ hiển thị bảng tóm tắt các tùy chọn cài đặt mà bạn đã
chọn. Hãy thẩm định lại các tùy chọn tên màn hình và sau đó kích
nút Install. Khi quá trình triển khai hoàn tất, kích Close.
Yêu cầu chứng chỉ
Cho đến đây chúng ta đã cài đặt xong các dịch vụ chính sách mạng, bước
tiếp theo cần thực hiện là cung cấp cho nó một chứng chỉ để sử dụng trong
quá trình xác thực. Do chúng ta đã thiết lập CA doanh nghiệp trong phần
trước nên chúng tôi sẽ giới thiệu cho các bạn cách phát hành yêu cầu từ CA
đó. Thủ tục cần thực hiện ở đây được thực hiện trên Windows Server 2008
R2. Các bước thực hiện cụ thể có thể khác biệt đôi chút nếu bạn sử dụng
Windows Server 2008.
Bắt đầu quá trình bằng cách nhập lệnh MMC tại nhắc lệnh Run của máy
chủ. Khi đó máy chủ sẽ load một giao diện quản lý trống. Chọn Add /
Remove Snap-in từ menu File và sau đó Certificates từ danh sách các
snap-in có sẵn, tiếp theo kích nút Add. Khi gặp nhắc nhở, hãy thiết lập sử
dụng snap-in để quản lý chứng chỉ cho tài khoản máy tính. Kích Next, sau
đó chọn tùy chọn Local Computer và kích Finish.
Khi kích OK, bạn sẽ thấy giao diện Certificates. Điều hướng qua cây giao
diện để đến mục Certificates (Local Computer) | Personal như thể hiện
trong hình B.

Hình B: Điều hướng đến mục Certificates (Local Computer) | Personal
Kích phải vào mục Personal và chọn All Tasks | Request New

Certificate từ menu xuất hiện. Lúc đó Windows sẽ khởi chạy Certificate
Enrollment Wizard. Kích Next để băng qua màn hành chào, và bạn sẽ
được đưa đến màn hình yêu cầu chọn chính sách kết nạp chứng chỉ. Hãy sử
dụng giá trị mặc định (Active Directory Enrollment Policy) và kích Next.
Màn hình dưới đây sẽ yêu cầu bạn cung cấp kiểu chứng chỉ mà bạn muốn
yêu cầu. Chọn tùy chọn Computernhư thể hiện trong hình C và kích
nút Enroll.

Hình C: Chọn tùy chọn Computer và kích nút Enroll
Đăng ký máy chủ chính sách mạng
Máy chủ chính sách mạng đã được cung cấp chứng chỉ cần thiết, lúc này
chúng ta hãy đi đăng ký máy chủ trong cơ sở dữ liệu Active Directory. Để
thực hiện điều đó, hãy vào Administrative Tools và mở giao diện quản
lý Network Policy Server. Kích phải vào nút (NPS (Local)) và
chọn Register Server trong lệnh Active Directory từ menu chuột phải, xem
thể hiện trong hình D.

Hình D: Bạn phải đăng ký máy chủ chính sách mạng trong Active Directory
Khi đăng ký máy chủ trong Active Directory, bạn sẽ thấy thông báo xuất
hiện như trong hình E, đây là thông báo giải thích cho bạn biết rằng, để máy
chủ chính sách mạng được sử dụng cho mục đích xác thực thì nó phải được
phép đọc thuộc tính “dial in” của người dùng trong miền. Hộp thoại này sẽ
hỏi bạn có muốn cung cấp cho máy chủ chính sách mạng sự cho phép. Hãy
cấp phép và kích OK. Sau khi thực hiện xong bạn sẽ thấy một thông báo
như thể hiện trong hình F báo cho bạn biết rằng máy chủ chính sách hiện
được phép đọc các thuộc tính “dial in” của người dùng từ miền hiện có. Mặc
dù vậy, nếu cần xác thực người dùng từ các miền khác, máy chủ chính sách
mạng phải là thành viên miền của nhóm các máy chủ RAS / NPS cho các
miền đó.

Hình E: Máy chủ chính sách mạng phải có khả năng đọc thuộc tính “dial-in”
của người dùng từ Active Directory

Hình F: Máy chủ chính sách mạng chỉ được phép đọc các thuộc tính “dial-in
của người dùng từ miền hiện hành
Kết luận
Cho đến đây, chúng ta đã đăng ký được chính sách mạng bên trong Active
Directory và có thể bắt đầu việc cấu hình nó để xác thực truy cập không dây.
Chúng tôi sẽ giới thiệu cho các bạn quá trình đó trong phần tiếp theo của loạt
bài. Cũng trong phần tiếp theo đó, chúng ta sẽ đi cấu hình máy chủ chính
sách mạng để nó coi điểm truy cập không dây của bạn như một máy khách
RADIUS. Một phần của quá trình sẽ liên quan đến việc thiết lập các bí mật
được dùng chung bởi máy chủ chính sách mạng và điểm truy cập không dây.