Sử dụng Group Policy

Filtering để tạo chính

sách thực thi DHCP cho

NAP - Phần 2

Thomas Shinder

Quản trị mạng - Trong phần đầu của loạt bài này, chúng tôi đã

giới thiệu một số kiến thức cơ bản về cách làm việc của NAP, sau

đó đã cài đặt các dịch vụ DHCP và NPS trên máy chủ NAP

policy. Trong phần này, chúng tôi sẽ giới thiệu về cách sử dụng

NAP policy wizard để tạo tự động các chính sách Network, Health

và Connection nhằm kiểm soát sự truy cập cho mạng của bạn.

Sử dụng NAP Wizard để tạo một chính sách thực thi NAP

DHCP

Lúc này chúng ta có thể bắt đầu cho phần chính - tạo chính sách

thực thi NAP DHCP. Sau khi chạy wizard, wizard sẽ tạo các

chính sách sau:

Health Policies

Connection Request Policies

Network Policies

Remediation Server Group policies

Chúng ta hãy xem xét kỹ hơn về mỗi chính sách này sau khi kết

thúc wizard.

Mở giao diện điều khiển Network Policy Server từ

menu Administrative Tools. Từ đây, bạn sẽ thấy ở giữa giao diện

xuất hiện trang Getting Started. Trong phần Standard

Configuration, hãy chọn tùy chọn Network Access Protection

(NAP) từ Select a configuration scenario from the list and then

click the link below to open the scenario wizard.

Kích vào liên kết Configure NAP.

Hình 1

Trên trang Select Network Connection Method For Use with

NAP, phần Network connection method, bạn hãy chọn tùy

chọn Dynamic Host Configuration Protocol (DHCP) từ danh

sách. Nhớ rằng, khi sử dụng NAP thì chúng ta phải chọn một

phương pháp thực thi và đó là những gì chúng ta đang thực hiện ở

đây. DHCP server trở thành “network access server” trong kịch

bản này và DHCP server chịu trách nhiệm cho mức truy cập mạng

mà NAP client có.

Hộp văn bản Policy name sẽ tự động được cư trú với NAP

DHCP, phần tên (name) được nối thêm vào một số các chính sách

đã tạo bởi wizard. Chúng ta sẽ thấy điều này sau khi kết thúc NAP

wizard.

Kích Next.

Hình 2

Trên trang Specify NAP Enforcement Server Running DHCP

Server, bạn có thể gộp địa chỉ IP của DHCP server sẽ chịu trách

nhiệm máy chủ truy cập mạng. Sử dụng tùy chọn này khi DHCP

server và NPS server cấu hình các chính sách NAP không nằm

trên cùng máy chủ.

Nếu muốn bổ sung thêm các máy chủ thi hành DHCP NAP từ xa,

chúng phải được cấu hình như các RADIUS client, điều đó có

nghĩa rằng bạn cần cấu hình các máy này như NPS server. Sự

khác biệt ở đây là NPS server này không cấu hình các thiết lập

chính sách NAP. Chúng chỉ ủy quyền các yêu cầu RADIUS đến

NPS server đang cấu hình các thiết lập chính sách NAP. Cấu hình

đó nên sử dụng trong môi trường sản xuất lớn, nơi DHCP server

và NAP server cả hai đều tương đối bận. Thêm vào đó, rất có thể

sẽ có nhiều DHCP server trong công ty bạn, trong khi đó bạn lại

muốn tất cả đều có thể truyền thông với máy chủ chính sách NAP

hoặc các máy chủ.

Trong ví dụ này, mạng mà chúng tôi đặt các máy chủ DHCP và

NPS nằm trên cùng một máy tính, vì vậy chúng ta sẽ không cần

bổ sung thêm các máy chủ DHCP từ xa vào danh sách.

Kích Next.

Hình 3

Bạn có một tùy chọn để kích hoạt NAP khi sử dụng thực thi

DHCP. Nếu không muốn sử dụng chính sách thực thi NAP đối

với tất cả các phạm vi DHCP thì bạn có thể nhập vào phạm vi

trong đó muốn chính sách NAP áp dụng cho trong trang Specify

DHCP Scopes. Trong mạng ví dụ của chúng tôi, chúng tôi muốn

kích hoạt chính sách NAP trên mọi phạm vi, vì vậy chúng tôi

không nhập vào các phạm vi cụ thể trên trang này. Kích Next.

Hình 4

Bạn có thể cho phép hoặc từ chối truy cập vào các nhóm người

dùng nào đó hoặc các máy tính trong chính sách NAP. Trong ví

dụ này, chúng tôi áp dụng chính sách cho tất cả các máy và người

dùng. Kích Next.

Hình 5

Tất cả các máy tính đều cần truy cập vào các máy chủ nào đó

trong mạng. Chúng cần đến các máy chủ sở hạ tầng chẳng hạn

như Active Directory, DNS, DHCP và WINS server. Tất cả các

máy tính cần sự truy cập tới các máy chủ sửa lỗi, đây là các máy

mà máy tính không thỏa mãn yêu cầu có thể truy cập để đạt được

sự đồng thuận.

Trong trang Specify a NAP Remediation Server Group and

URL, bạn kích nút Group để mở hộp thoại New Remediation

Server Group. Trong hộp thoại New Remediation Server

Group, hãy nhập vào tên nhóm trong hộp văn bản Group Name.

Trong ví dụ này, chúng tôi đặt tên nhóm là Network Services.

Kích nút Add trong hộp thoại New Remediation Server Group.

Khi đó bạn sẽ thấy hộp thoại Add New Server xuất hiện. Trong

hộp thoại Add New Server, hãy nhập vào tên máy chủ trong

hộp Friendly name. Trong ví dụ này chúng tôi nhập vào một tên

cho domain controller, chính vì vậy chúng tôi sẽ nhập DC vào hộp

văn bản này. Địa chỉ IP của domain controller là 10.0.0.2, chính vì

vậy chúng ta sẽ nhập địa chỉ đó vào hộp văn bảnIP address or

DNS name. Nếu biết tên của máy chủ DNS thì bạn có thể nhập

vào tên đó trong hộp văn bản và sau đó kích nút Resolve.

Kích OK trong hộp thoại Add New Server.

Hình 6

Lúc này bạn sẽ thấy tên của nhóm máy chủ sửa lỗi và địa chỉ IP

của máy chủ mà bạn đã bổ sung vào nhóm. Nhớ rằng, mục đích

của nhóm này là remove nó khỏi những hạn chế của chính sách

NAP. Domain controller trong ví dụ này là một máy tính mà tất cả

các thành viên miền cần truyền thông với nó để đăng nhập. Nếu

bạn không cho phép các máy khách NAP của mình, dù đồng

thuận hay không, kết nối với domain controller thì chúng sẽ

không thể đăng nhập vào mạng để trở thành đồng thuận sau khi

đăng nhập.

Kích OK trong hộp thoại New Remediation Server Group.

Hình 7

Kích Next trên trang Specify a NAP Remediation Server Group

and URL. Lưu ý rằng chúng ta cũng có thể nhập

vào Troubleshooting URL trên trang này. Chúng tôi không sử

dụng nào trong ví dụ này, nhưng đôi khi bạn dùng nếu muốn trỏ

người dùng đến trang hiển thị cho họ cách trở thành đồng thuận

sau khi máy tính của họ rơi vào tình trạng không đồng thuận và

không thể tự sửa lỗi.

Hình 8

Trên trang Define NAP Health Policy, bạn có thể chọn chính

sách hợp lệ sức khỏe hệ thống (System Health Validator) nào mà

bạn muốn để định nghĩa một chính sách sức khỏe cho mạng

(Health Policy). Mặc định chỉ có một chính sách System Health

Validator có trong Windows Server 2008, chính sách này

là Windows Security Health Validator. Các hãng phần mềm

khác cũng có thể nhóm các sản phẩm System Health Validator

của họ mà bạn cài đặt vào máy chủ NAP policy.

Bảo đảm rằng có một dấu kiểm trong hộp kiểm Windows

Security Health Validator. Cũng cần tích một dấu kiểm trong

hộp chọn Enable auto-remediation of client computers. Tùy

chọn này cho phép các thành phần của NAP client có thể tự sửa

lỗi một số vấn đề. Với ví dụ này, nếu Windows Firewall bị vô

hiệu hóa thì NAP agent sẽ tự kích hoạt Windows Firewall.

Trong Network Access restrictions for NAP-ineligible client

computers, bạn xác định những gì muốn thực hiện với các máy

tính không có khả năng NAP. Bạn có hai tùy chọn:

Deny full network access to NAP-ineligible client

computers. Allow access to a restricted network only

Từ chối toàn bộ truy cập mạng cho các máy khách NAP

không đủ tư cách. Chỉ cho phép truy cập vào mạng bị hạn chế.

Allow full network access to NAP-ineligible client

computers

Cho phép truy cập vào các máy khách NAP không đủ tư

cách

Tùy chọn đầu tiên an toàn hơn tùy chọn kia, còn tùy chọn thứ hai

là tùy chọn tỏ ra hào phóng hơn. Sự lựa chọn của bạn phụ thuộc

vào mục tiêu thiết kế cho NAP. Bạn có thể cho phép các máy tính

không có khả năng NAP truy cập vào mạng trong suốt quá trình

triển khai NAP và sau đó, khi quá trình triển khai hoàn tất, bạn sẽ

chuyển và thi hành cho các máy đồng thuận NAP.

Kích Next trong trang Define NAP Health Policy.

Hình 9

Trên trang Completing NAP Enforcement Policy and RADIUS

Client Configuration, bạn có thể thấy Health

Policies, Connection Request Policy, Network

Policies và Remediation Server Group sẽ được tạo bởi wizard.

Chúng ta sẽ xem xét sâu hơn về các chính sách này.

Hình 10

Lưu ý rằng chỉ có một liên kết Configuration Details. Khi bạn

kích vào liên kết này, nó sẽ xuất hiện trang cung cấp các thông tin

chi tiết về mỗi chính sách sẽ được tạo bởi wizard.

Hình 11

Kết luận

Trong phần 2 này, chúng tôi đã giới thiệu cho các bạn về NAP

policy wizard và giải thích mỗi tùy chọn được wizard này cung

cấp. Chúng ta đã thấy được rằng NAP policy wizard giúp đơn

giản hơn rất nhiều trong việc tạo một chính sách NAP toàn diện

trong quá trình tạo một số chính sách Network, Health và

Connection để kiểm soát những máy tính có thể tham gia vào

mạng. Trong phần tiếp theo của loạt bài này, chúng ta sẽ xem xét

một cách chi tiết hơn đến các rule và giải thích về chức năng cũng

như nhân tố cơ bản sau mỗi rule này.