IPsec Server và Domain Isolation bằng Windows Server 2008 Group Policy

Chia sẻ: Rer Erer | Ngày: | Loại File: PDF | Số trang:21

Thêm vào BST

Báo xấu

89
lượt xem 12
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

IPsec Server và Domain Isolation bằng Windows Server 2008 Group Policy Trong bài này chúng tôi sẽ giới thiệu cho các bạn cách test các máy khách và cách các chứng chỉ bảo mật được gán, được gỡ bỏ tự động cũng như cách các máy khách được kết nối hoặc hủy kết nối với mạng như thế nào.Trong phần 3 của loạt bài gồm 4 phần về cấu hình NAP bằng thực thi chính sách Ipsec, chúng ta đã cấu hình chính sách NAP Ipsec và sau đó đã cấu hình các máy khách cho việc test thử. Trong phần...

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: IPsec Server và Domain Isolation bằng Windows Server 2008 Group Policy

IPsec Server và Domain Isolation bằng Windows Server 2008 Group Policy Trong bài này chúng tôi sẽ giới thiệu cho các bạn cách test các máy khách và cách các chứng chỉ bảo mật được gán, được gỡ bỏ tự động cũng như cách các máy khách được kết nối hoặc hủy kết nối với mạng như thế nào.Trong phần 3 của loạt bài gồm 4 phần về cấu hình NAP bằng thực thi chính sách Ipsec, chúng ta đã cấu hình chính sách NAP Ipsec và sau đó đã cấu hình các máy khách cho việc test thử. Trong phần cuối cùng này, chúng ta sẽ tiến hành test các máy khách và nghiên cứu cách các chứng chỉ bảo mật được gán hay được gỡ bỏ một cách tự động cũng như nghiên cứu cách máy khách được kết nối và hủy kết nối với mạng như thế nào. Chúng ta sẽ tập trung vào 2 nhiệm vụ chính sau: Test Health Certificate và Auto-remediation configuration  Thẩm định sự thực thi chính sách NAP trên VISTASP1  Test Health Certificate và Auto-remediation Configuration Trong phần này chúng ta sẽ thực hiện các nhiệm vụ dưới đây:
Xác nhận rằng cả hai VISTASP1 và VISTASP1-2 đều có các chứng chỉ  sức khỏe (Health Certificate) Nhập VISTASP1-2 vào Domain  Thẩm định Auto-remediation trên VISTASP1  Xác nhận cả VISTASP1 và VISTASP1-2 đều có Health Certificate Sử dụng thủ tục dưới đây để thẩm định sự kết nạp chứng chỉ sức khỏe của VISTASP1 trong môi trường miền đã được thẩm định và VISTASP1-2 trong môi trường nhóm làm việc (workgroup). Thực hiện các bước dưới đây trên cả VISTASP1 và VISTASP1-2: 1. Mở hộp thoại Run và nhập mmc, sau đó nhấn ENTER. 2. Trên menu File, kích Add/Remove Snap-in. 3. Kích Certificates, kích Add và chọn Computer account, sau đó kích Next. 4. Thẩm định rằng Local computer: (the computer this console is running on) được chọn, kích Finish, và sau đó kích OK.
5. Trong panel bên trái của giao diện điều khiển, kích đúp vào Certificates (Local Computer), kích đúp Personal, sau đó kích Certificates. 6. Trong panel chi tiết, bên dưới Issued By, thẩm định CA cấp dưới, msfirewall-WIN2008SRV1-CA, được hiển thị. Thẩm định rằng Intended Purposes hiển thị System Health Authentication. Vì VISTASP1-2 chưa được thẩm định đối với miền msfirewall.org, nên tên máy khách sẽ không được hiển thị bên dưới Issued To, và ý nghĩa chứng chỉ của Client Authentication không xuất hiện. Thẩm định rằng chứng chỉ trên VISTASP1-2 có Intended Purposes của System Health Authentication. Đây là một chứng chỉ sức khỏe NAP hợp lệ cho các máy khách trong môi trường nhóm làm việc. Một chứng chỉ sức khỏe miền đã được thẩm định tương tự như chứng chỉ đạt được tên VISTASP1.
Hình 1
Hình 2 7. Đóng giao diện Certificates Nhập VISTASP1-2 vào miền
Sử dụng thủ tục tương tự như bạn đã sử dụng ở trên để nhập VISTASP1 và miền msfirewall.org, nhập VISTASP1-2 vào miền msfirewall.org. Đăng nhập với đặc quyền quản trị viên miền sau khi máy tính khởi động lại. Thẩm định Auto-remediation trên VISTASP1 NAP Ipsec với chính sách mạng HRA Noncompliant chỉ rõ rằng các máy tính không đồng thuận (Noncompliant) sẽ tự động được điều đình lại. Thủ tục dưới đây sẽ thẩm định rằng VISTASP1 được điều đình lại tự động khi Windows Firewall bị tắt. 1. Trên VISTASP1, mở hộp thoại Run và nhập vào firewall.cpl, sau đó nhấn ENTER. 2. Trong panel điều khiển của Windows Firewall, kích hange settings, kích Off (not recommended), sau đó kích OK. 3. Bạn có thể thấy một tin trong vùng thông báo chỉ thị rằng máy tính không có đủ các yêu cầu sức khỏe. Tin này được hiển thị vì Windows Firewall đã bị tắt. Kích vào tin này để xem thêm các thông tin chi tiết về trạng thái sức khỏe của of VISTASP1. Xem ví dụ bên dưới.
Hình 3 4. Máy khách NAP sẽ tự động bật Windows Firewall để trở thành đồng thuận với các yêu cầu về sức khỏe của mạng. Tin dưới đây sẽ xuất hiện trong vùng thông báo: This computer meets the requirements of this network.
Hình 4 5. Do Suto-remediation xuất hiện khá nhanh nên bạn có thể không thấy các tin này. Để xem lại biểu tượng thông báo NAP, bạn hãy đánh napstat tại nhắc lệnh, sau đó nhấn ENTER. Thẩm định sự thực thi chính sách NAP trên VISTASP1
Chúng ta hãy xem cách thẩm định sự thực thi chính sách NAP đang được sử dụng trên hệ thống khách như thế nào. Bắt đầu bằng cách test với VISTASP1. Để thực hiện bài test, chúng ta thực hiện các thủ tục dưới dây: Cấu hình Windows SHV ở mức hạn chế hơn bằng cách yêu cầu các  máy tính phải cài đặt các phần mềm chống virus. Khi chúng ta chưa cài đặt bất kỳ phần mềm chống virus nào trên các máy khách nên các máy khách sẽ không có đủ yêu cầu này. Refresh SoH (tuyên bố sức khỏe) trên VISTAP1. Thao tác này sẽ làm  cho máy khách gửi một Statement of Health mới đến Health Registration Authority và sẽ báo cáo rằng máy khách không có được sự đồng thuận. Xác nhận rằng chứng chỉ sức khỏe của máy khách được gỡ bỏ. Health  Certificate được gỡ bỏ vì máy khách không có đủ sự đồng thuận. Khôi phục chính sách sức khỏe về trạng thái ít hạn chế hơn để máy  khách có thể đồng thuận. Chúng ta sẽ gỡ bỏ yêu cầu phần mềm chống virus để máy khách trở thành đồng thuận trở lại. Refresh SoH trên VISTASP1 sẽ hiển thị máy tính hiện đã đồng thuận  với chính sách mới.
Xác nhận rằng chứng chỉ sức khỏe máy khách được khôi phục.  Cấu hình WSHV để yêu cầu ứng dụng chống virus Trước hết, cấu hình chính sách NAP để yêu cầu ứng dụng chống virus, làm cho CLIENT1 trở nên không đồng thuận. Thực hiện theo các bước dưới đây trên WIN2008SRV1: 1. Trên WIN2008SRV1, kích Start, kích Run, đánh nps.msc và nhấn ENTER. 2. Trong panel bên trái của giao diện điều khiển, mở Network Access Protection, sau đó kích System Health Validators.
Hình 5 3. Trong panel chi tiết, kích đúp vào Windows Security Health Validator, sau đó kích Configure.
Hình 6 4. Trong hộp thoại Windows Security Health Validator, bên dưới Virus Protection, chọn hộp kiểm bên cạnh An antivirus application is on.
Hình 7 5. Kích OK và sau đó kích OK lần nữa để đóng cửa sổ Windows Security Health Validator Properties. 6. Để mở giao diện NPS cho các thủ tục sau. Refresh SoH trên VISTASP1 Vì các chính sách sức khỏe đã được thay đổi sau khi VISTASP1 nhận một chứng chỉ sức khỏe nên chúng ta cần phải kích hoạt việc gửi đi một tuyên bố sức khỏe (SoH) mới từ VISTASP1 để đánh giá với các chính sách sức khỏe
hạn chế hơn. Vấn đề này sẽ xuất hiện khi chứng chỉ sức khỏe trên VISTASP1 hết hạn, hoặc khi một sự thay đổi trong trạng thái sức khỏe của máy khách bị xóa. Chúng ta có thể tạo một thay đổi trong trạng thái sức khỏe bằng cách tắt Windows Firewall. Thực hiện các bước dưới đây trên VISTASP1: 1. Trên VISTASP1, kích Start, sau đó kích Control Panel. 2. Kích Security, kích Windows Firewall, sau đó kích Change settings. 3. Trong hộp thoại Windows Firewall Settings, kích Off (not recommended), sau đó kích OK.
Hình 8
4. Windows Firewall được bật trở lại tự động vì auto-remediation được kích hoạt. Mặc dù vậy, do các chính sách NAP hiện yêu cầu ứng dụng chống virus nên VISTASP1 sẽ xuất hiện trong trạng thái không đồng thuận và sẽ không thể đạt được chứng chỉ sức khỏe. Xác nhận chứng chỉ sức khỏe đã bị gỡ bỏ Tiếp đến, xem các chứng chỉ máy tính trên CLIENT1 để thẩm định chứng chỉ sức khỏe đã bị gỡ bỏ. 1. Trên VISTASP1, mở hộp thoại Run và đánh mmc, sau đó nhấn ENTER. 2. Trên menu File, kích Add/Remote Snap-in 3. Kích Certificates, kích Add, chọn Computer account, sau đó kích Next 4. Thẩm định rằng Local computer: (the computer this console is running on) được chọn, kích Finish, sau đó kích OK. 5. Trong cây giao diện, mở Certificates (Local Computer)\Personal. 6. Thẩm định rằng không có chứng chỉ sức khỏe nào được hiện diện.
Hình 9 7. Để giao diện Certificates mở để thực hiện các thủ tục sau. Gỡ bỏ yêu cầu sức khỏe chống virus để VISTASP1 trở thành đồng thuận Thay đổi các chính sách NAP để VISTASP1 trở thành đồng thuận. 1. Trên WIN2008SRV1, trong panel trái của giao diện NAP, mở Network Access Protection, sau đó kích System Health Validators.
2. Kích đúp vào Windows Security Health Validator và kích Configure. 3. Trong hộp thoại Windows Security Health Validator, bên dưới Virus Protection, xóa hộp kiểm bên cạnh An antivirus application is on. Hình 10 4. Kích OK và sau đó kích OK lần nữa để đóng cửa sổ Windows Security Health Validator Properties. 5. Đóng giao diện NPS.
Refresh SoH trên VISTASP1 Thực hiện thủ tục trước để refresh SoH trên VISTASP1 bằng cách tắt Windows Firewall. Một SoH mới sẽ được kích hoạt và Windows Firewall sẽ được bật. Vì VISTASP1 lúc này đồng thuận với các chính sách NAP nên nó sẽ được dự trữ sẵn một chứng chỉ sức khỏe. Xem các chứng chỉ máy tính trên VISTASP1 để thẩm định rằng chứng chỉ sức khỏe đã được khôi phục. 1. Trên VISTASP1, trong giao diện điều khiển , cây giao diện, kích Personal. 2. Kích chuột phải vào panel chi tiết và sau đó kích Refresh. Thẩm định rằng chứng chỉ sức khỏe đã hiện diện.
Hình 11 Hình 12 Kết luận Trong loạt bài này chúng tôi đã cung cấp cho các bạn nhiều phần có liên quan đến giải pháp thực thi NAP Ipsec. Như những gì các bạn được giới thiệu