Перед каждым администратором рано или поздно возникает необходимость обеспечить безопасный обмен информации через интернет, внешние и внутренние сети, а также проверку подлинности каждой из сторон, участвующих в обмене информацией. На помощь здесь приходит инфраструктура открытых ключей (PKI) и службы сертификации Windows.

Инфраструктура открытых ключей позволяет использовать цифровые сертификаты для подтверждения подлинности владельца и позволяет надежно и эффективно защищать трафик передаваемый по открытым сетям связи, а также осуществлять с их помощью аутентификацию пользователей. Основой инфраструктуры открытых ключей является центр сертификации, который осуществляет выдачу и отзыв сертификатов, а также обеспечивает проверку их подлинности.

Для чего это может быть нужно на практике? Цифровые сертификаты позволяют использовать шифрование на уровне приложений (SSL/TLS) для защиты веб-страниц, электронной почты, служб терминалов и т.п., регистрацию в домене при помощи смарт-карт, аутентификацию пользователей виртуальных частных сетей (VPN), шифрование данных на жестком диске (EFS), а также в ряде случаев обойтись без использования паролей.

Для создания центра сертификации нам понадобится сервер, работающий под управлением Windows Server, который может быть как выделенным, так и совмещать роль центра сертификации с другими ролями. Однако следует помнить, что после развертывания центра сертификации вы не сможете поменять имя компьютера и его принадлежность к домену (рабочей группе).

Центр сертификации (ЦС) может быть двух типов: ЦС предприятия и изолированный (автономный) ЦС, рассмотрим их отличительные особенности:

ЦС предприятия

• Требует наличия ActiveDirectory
• Автоматическое подтверждение сертификатов
• Автоматическое развертывание сертификатов
• Возможность запроса сертификатов через Web-интерфейс, мастер запросов и автоматическое развертывание

Изолированный (автономный) ЦС

• Не требует наличия ActiveDirectory
• Ручное подтверждение сертификатов
• Отсутствие возможности автоматического развертывания
• Запрос сертификатов только через Web-интерфейс

Методика развертывания ЦС для Windows Server 2003 и Windows Server 2008 несколько различаются, поэтому мы решили рассмотреть их в отдельности.

Windows Server 2003

Для возможности использования Web-интерфейса для выдачи сертификатов нам понадобится установленный web-сервер IIS. Установим его через диспетчер сервера: Пуск - Управление данным сервером - Добавить или удалить роль .
В списке ролей выбираем роль Сервера приложений . В следующем окне устанавливаем галочку Включить ASP.NET , если IIS уже установлен данный шаг можно пропустить.

После установки IIS приступим к развертыванию Центра сертификации, это делается через оснастку Установка и удаление программ - Установка компонентов Windows , где выбираем Службы сертификации .

Следующим шагом выберите тип ЦС и его подчиненность. Так как в нашем случае сеть не имеет доменной структуры, то ЦС Предприятия недоступен для выбора. Поскольку это первый (и пока единственный ЦС) следует выбрать корневой сервер, подчиненный тип следует выбирать для развертывания следующих ЦС, например для филиалов.

Далее вводим имя ЦС (должно совпадать с именем сервера) и пути размещения файлов. В процессе установки программа предложит перезапустить IIS и, если не была включена поддержка страниц ASP.NET, предложит ее включить, с чем следует согласиться.

Windows Server 2008 R2

В Windows Server 2008 (2008 R2) все настройки консолидированы в одном месте, что делает установку ЦС более простой и удобной. Выбираем Диспетчер сервера - Роли - Добавить роли , в списке ролей выбираем Службы сертификации Active Directory .

В следующем окне обязательно добавляем компонент Служба регистрации в центре сертификации через интернет . При этом будут автоматически определены необходимые службы ролей и компоненты (такие как IIS) и будет предложено их добавить.

Дальнейшая настройка аналогична Windows Server 2003. Вводим тип ЦС, его имя и место хранения файлов, подтверждаем выбор компонент и завершаем установку.

Проверка работы ЦС

Для первоначальной проверки работоспособности ЦС можете запустить оснастку Центр сертификации (Пуск - Администрирование - Центр Сертификации). Если все сделано правильно вы должны увидеть следующее окно:
Попробуем теперь получить сертификат для клиентского ПК. Запустим браузер, в адресной строке которого укажем адрес http://имя_сервера/certsrv , где имя_сервера - имя сервера ЦС. Вы попадете на главную страницу центра сертификации.
Прежде всего необходимо загрузить сертификат ЦС и поместить его в хранилище доверенных коренных центров сертификации. Если в вашей сети несколько ЦС следует загрузить и установить цепочку сертификатов. Для этого выбираем: Загрузка сертификата ЦС, цепочки сертификатов или CRL , затем или и сохраняем сертификат в любое удобное место.

Теперь перейдем к установке, для этого щелкнем правой кнопкой на файле сертификата и выберем Установить сертификат , откроется мастер импорта, в котором откажемся от автоматического выбора хранилища вручную выбрав Доверенные корневые центры сертификации , теперь данный ПК будет доверять всем сертификатам выданным данным ЦС.

Для получения клиентского сертификата снова откроем сайт ЦС и выберем Запрос сертификата - расширенный запрос сертификата - Создать и выдать запрос к этому ЦС . Заполняем форму запроса, в качестве имени указываем имя ПК или пользователя, в качестве типа сертификата указываем Сертификат проверки подлинности клиента и жмем кнопку Выдать .

При попытке создать запрос сертификата вы можете получить следующее предупреждение:

В этом случае можно добавить данный узел в зону Надежные узлы и установить низкий уровень безопасности для этой зоны. В Windows Server понадобится также разрешить загрузку неподписанных ActiveX.

Теперь на сервере откроем оснастку Центр сертификации и в разделе Запросы на ожидание найдем наш запрос и щелкнув на него правой кнопкой выберем Все задачи - Выдать .

Теперь вернемся на клиентский ПК и еще раз откроем сайт ЦС. На этот раз выберем Просмотр состояния ожидаемого запроса сертификата , вы увидите свой запрос, щелкнув на которой вы попадете на страницу Сертификат выдан и сможете сразу его установить.

Если все сделано правильно, то сертификат успешно установится в хранилище личных сертификатов.

По окончании проверки не забудьте удалить ненужные сертификаты с клиентского ПК и отозвать их в центре сертификации на сервере.

Служба сертификации Active Directory (AD CS) является очень удобным и полезным инструментом в доменной сети. Данный компонент входит в состав Windows Server 2012 R2, позволяет бесплатно выдавать ssl-сертификаты внутри вашего домена и управлять ими. Такие сертификаты могут понадобиться при работе с почтовым сервером Microsoft Exchange, сеансами удаленных рабочих столов и т. д.

Службу AD CS не рекомендуется устанавливать на контроллер домена. В данной статье в качестве примера будут использоваться 3 сервера под управлением операционной системы Windows Server 2012 R2: DC-01 (контроллер домена), FS-01 (сервер, на который будет установлена служба AD CS) и TS-00 (сервер, для которого мы будем получать ssl-сертификат).

1. Заходим в Диспетчер серверов на сервере FS-01:

Выбираем пункт «Управление» и далее «Добавить роли и компоненты».

2. Откроется Мастер добавления ролей и компонентов. На вкладке «Тип установки» выбираем пункт «Установка ролей и компонентов»:

Нажимаем «Далее».

3. На вкладке «Выбор сервера» отмечаем пункт «Выберите сервер из пула серверов» и в области «Пул серверов» выбираем конечный сервер для установки Active Directory Certificate Services:

В моем случае это локальный сервер FS-01 с ip-адресом 192.168.1.22. Нажимаем «Далее».

4. На вкладке «Роли сервера» выбираем роль «Службы сертификатов Active Directory»:

В новом окне предстоит добавить компоненты, необходимые для Службы сертификатов Active Directory:

Ставим галочку напротив пункта «Включить средства управления (если применимо)» и нажимаем кнопку «Добавить компоненты». После этого вновь откроется Мастер добавления ролей и компонентов на вкладке «Роли сервера», где необходимо нажать кнопку «Далее».

5. На вкладке «Компоненты» оставляем все настройки по умолчанию и нажимаем «Далее»:

6. Информационная вкладка Службы сертификации Active Directory:

На данной вкладке представлены краткие сведения о Службах сертификации Active Directory. В частности сообщается о том, что нельзя менять имя и параметры домена компьютера, на котором установлена AD CS. После прочтения информации нажимаем «Далее».

7. На вкладке «Службы ролей» выбираем службу «Центр сертификации»:

Нажимаем «Далее».

8. На вкладке «Подтверждение» можно ознакомиться со списком всех служб ролей и компонентов, которые будут установлены на данном сервере:

Для изменения настроек воспользуйтесь кнопкой «Назад». Если все правильно, нажимаем кнопку «Установить». Перед установкой рекомендую активировать пункт «Автоматический перезапуск конечного сервера, если потребуется», чтобы при необходимости сервер смог автоматически перезагрузиться в процессе установки службы сертификации AD CS.

9. Начнется установка службы сертификации AD CS и других служб ролей и компонентов:



Дождитесь завершения установки. Данное окно можно закрыть.

10. Когда установка AD CS завершится, перейдите в Диспетчер серверов, нажмите на «флажок» с восклицательным знаком в желтом треугольнике и выберите пункт «Настроить службы сертификатов Active Directory»:

11. Откроется окно «Конфигурация службы сертификатов Active Directory». На вкладке «Учетные данные» укажите учетные данные пользователя для настройки служб роли:

Обратите внимание, что для установки служб ролей «Автономный центр сертификации», «Служба регистрации в центре сертификации через Интернет» и «Сетевой ответчик» пользователь должен быть членом локальный группы «Администраторы». Для установки служб ролей «Центр сертификации предприятия», «Веб-служба политик регистрации сертификатов», «Веб-служба регистрации сертификатов» и «Служба регистрации на сетевых устройствах» пользователь должен быть членом доменной группы «Администраторы предприятия». Выберите пользователя при помощи кнопки «Изменить» и нажмите «Далее».

12. Выбор службы роли для настройки (Центр сертификации):

На вкладке «Службы ролей» выбираем «Центр сертификации» и нажимаем «Далее». Обратите внимание, что необходимо сначала настроить службу роли «Центр сертификации», а затем другие службы, т. е. одновременный выбор нескольких служб на данной вкладке не поддерживается.

13. Вариант установки Центра сертификации:

На вкладке «Вариант установки» выберите пункт «ЦС предприятия» и нажмите «Далее».

14. Тип Центра сертификации:

На вкладке «Тип ЦС» выбираем пункт «Корневой ЦС» и нажимаем «Далее».

15. Тип закрытого ключа:

На вкладке «Закрытый ключ» выбираем пункт «Создать новый закрытый ключ» и нажимаем «Далее».

16. Параметры шифрования:

На вкладке «Шифрование» предлагаю параметры «Поставщик служб шифрования» (RSA#Microsoft Software Key Storage Provider) и «Длина ключа» (2048) оставить по умолчанию, а значение «Хэш-алгоритма для подписывания сертификатов, выдаваемых этим ЦС» указать «SHA256». Нажимаем «Далее».

17. Имя Центра сертификации:

На вкладке «Имя ЦС» можно указать общее имя для этого центра сертификации, суффикс различающегося имени и предпросмотр различающегося имени. В моем случае все значения остаются по умолчанию. Нажимаем «Далее».

18. Срок действия сертификата:

На вкладке «Срок действия» необходимо указать период действия сертификата для данного Центра сертификации. Обратите внимание, что срок действия сертификата для Центра сертификации должен превышать срок действия сертификатов, которые он будет выдавать. Нажимаем «Далее».

19. Расположение базы данных сертификатов:

На вкладке «База данных сертификатов» укажите расположение базы данных сертификатов и журнала базы данных сертификатов. В моем случае значения остаются по умолчанию. Нажимаем «Далее».

20 Подтверждение установки Центра сертификации:

На данной вкладке можно ознакомиться со всеми выбранными настройками и при необходимости их изменить, воспользовавшись кнопкой «Назад». Если все правильно, нажимаем «Настроить».

21. Настройка Центра сертификации выполнена успешно:

Если процесс завершился без ошибок, нажимаем кнопку «Закрыть».

22. Переходим в Диспетчер серверов:

Установка Службы сертификации Active Directory (AD CS) выполнена успешно.

СОЗДАНИЕ ЦЕНТРА СЕРТИФИКАЦИИ (УДОСТОВЕРЯЮЩЕГО ЦЕНТРА) В WINDOWS SERVER 2008

Цель работы.

Приобретение практических навыков развертывания и настройки центра сертификации встроенными средствами Windows Server 2008.

Используемые программные средства.

Компьютер или виртуальная машина с ОС Windows Server 2008 и установленной и настроенной ролью Active Directory Domain Services (контроллер домена).

Описание работы.

Предыдущая лабораторная работа была посвящена вопросам использования цифровых сертификатов Х.509 конечными пользователями. В данной лабораторной работе рассматриваются возможности, которые предоставляет Windows Server 2008 по созданию собственно цензра сертификации (англ. Certification Authority, СА) в организации. Соответствующие службы присутствовали в серверных операционных системах семейства Windows, начиная с Windows 2000 Server.

В Windows Server 2008 для того, чтобы сервер смог работать как центр сертификации, требуется сначала добавить серверу роль Active Directory Certificate Services. Делается это с помощью оснастки Server Manager, которую можно запустить из раздела Administrative Tools в стартовом меню.

В Server Manager раскроем список ролей и выберем добавление роли (Add Roles), см. рис. 5.19.

Рис. 5.19.

В нашем примере роль добавляется серверу, являющемуся членом домена Windows. Так как это первый СА в домене, он в нашей сети будет играть роль корневого {англ. Root). Рассмотрим по шагам процедуру установки.

В списке доступных ролей выбираем требующуюся нам Active Directory Certificate Services и нажимаем Next (рис. 5.20). После этого запускается мастер, который сопровождает процесс установки.

В дополнение к обязательной службе «Certification Authority» могут быть установлены дополнительные средства, предоставляющие Web-интерфейс для работы пользователей с СА (рис. 5.21). Это может понадобиться, например, для выдачи сертификатов удаленным или внешним пользователям, не зарегистрированным в домене. Для выполнения данной лабораторной работы эта служба не понадобится.

Рис. 5.20.

Рис. 5.21.

Следующий шаг - определения типа центра сертификации. Он может быть корпоративным (англ. Enterprise) или отдельно стоящим (анг 7. Standalone), см. рис. 5.22. Разница заключается в том, что Enterprise СА может быть установлен только на сервер, являющийся членом домена, так как для его работы требуется служба каталога Active Directory. Standalone СА может работать вне домена, например, обрабатывая запросы пользователей, полученные через Web-интсрфсйс. Для выполнения лабораторной работы нужно выбрать версию Enterprise.

Рис. 5.22.

Следующее окно мастера позволяет определить, создается корневой (англ. Root) или подчиненный (англ. Subordinate) СА, см. рис. 5.23. В нашем примере развёртываемый СА является первым и единственным, поэтому выбираем вариант Root.

Рис. 5.23.

Рис. 5.24.

Создаваемый центр сертификации должен будет использовать при работе как минимум одну ключевую пару - открытый и секретный ключ (иначе он не сможет подписывать выпускаемые сертификаты). Поэтому для продолжения установки мастер запрашивает, нужно ли создать новый секретный ключ, или будет использоваться уже существующий (тогда надо будет указать, какой ключ использовать). В нашей лабораторной работе надо создать новый ключ. При этом потребуется выбрать «криптографический провайдер» (программный модуль, реализующий криптоалгоритмы) и алгоритм хеширования. Согласимся с настройками по умолчанию (рис. 5.24).

Задание 1.

На учебном сервере или виртуальной машине установите роль Active Directory Certificate Services с настройками, аналогичными рассмотренным выше.

Управлять работой СА можно из оснастки Certification Authority, которая должна появиться в разделе Administrative Tools (рис. 5.25).

Рис. 5.25.

Как видно на рис. 5.25, только что установленный Enterprise СА уже выпустил некоторое количество сертификатов для служебных целей, в частности, сертификаты для контроллеров домена. В свойствах данного сервера (пункт Properties контекстного меню) можно посмотреть сделанные настройки. Если выбрать закладку Policy Module и там нажать кнопку Properties, можно увидеть текущую настройку, определяющую порядок выдачи сертификатов (рис. 5.26).

Рис. 5.26.

В выбранном на рис. 5.26 случае, после запроса сертификат выдастся в соответствии с настройками шаблона сертификата (или автоматически, если настроек нет). Возможен вариант, когда запрос помещается в очередь ожидающих, и сертификат выпускается только после утверждения администратором.

Задание 2.

Ознакомьтесь с текущими настройками центра сертификации.

Опишите, какие шаблоны сертификатов {англ. Certificate Templates) определены, и для каких целей служит каждый тип сертификатов.

Посмотрите, какие сертификаты выпущены {англ. Issued Certificates), есть ли отозванные сертификаты (ангч. Revoked Certificates).

Теперь рассмотрим процесс получения цифрового сертификата. Сделать это можно с помощью оснастки Certificates, с которой мы познакомились в предыдущей работе. Если она не установлена, запустите консоль mmc и добавьте эту оснастку для текущей учетной записи.

Запустим оснастку, откроем раздел, посвященный сертификатам пользователя {англ. Personal) и запросим сертификат (рис. 5.27). Из перечня предложенных шаблонов сертификатов выберем User. Данный тип сертификатов может использоваться для шифрования файлов с помощью EFS (Encrypted File System - шифрующая файловая система), защиты электронной почты и аутентификации пользователей.

Рис. 5.27.

Для пользователя будет сгенерирована ключевая пара, и на основе данных, взятых из базы службы Active Directory и шаблона, будет выпущен сертификат, удостоверяющий открытый ключ. Этот ссртификат будет виден и в оснастке Certification Authority в списке выпущенных данным сервером.

Задание 3.

• 1. Запросите сертификат для одного из пользователей.
• 2. После получения изучите состав сертификата, его назначение.
• 3. Выполните экспорт сертификата (в оснастке Certificates выделите сертификат и в контекстном меню выберите All Tasks -> Export). Обратите внимание, что можно экспортировать только сертификат или сертификат вместе с секретным ключом (private key). Второй вариант надо использовать аккуратно, чтобы кто-нибудь не узнал ваш секретный ключ шифрования. Такой тип экспорта нужен, если вы хотите сохранить резервную копию ключевой пары и сертификата.

Установка центра сертификации

Установка AD CS в Windows Server 2008 R2

Для установки AD CS в Windows Server 2008 R2 вначале нужно выбрать сервер, который будет работать в качестве головного СА. Не забывайте о настоятельных рекомендациях, что это должен быть выделенный сервер, защищенный физически и выключенный большую часть времени для обеспечения целостности цепочки сертификатов.

После установки AD CS на сервере имя и доменный статус этого сервера изменять нель­зя. Например, его нельзя понизить с уровня контроллера домена или повысить до этого уровня, если это не так. Кроме того, нельзя изменять имя сервера, пока он выполняет функции СА.

1. Откройте Server Manager: Пуск-Все программы-Администрирование
2. В панели узлов выберите узел Roles (Роли), а затем щелкните на ссылке Add Roles (Создать роли) в панели задач.
3. На странице приветствия щелкните на кнопке Next (Далее).
4. На странице Select Server Roles (Выбор серверных ролей) установите флажок Active Directory Certificate Services (Служба сертификации Active Directory), а затем щелк­ните на кнопке Next.
5. На странице Introduction (Введение) просмотрите информацию об AD CS и щелкни­те на кнопке Next.
6. На странице Select Role Services (Выбор служб ролей), ука­жите нужные службы ролей. Для базовой установки нужна только роль Certificate Authority (Центр сертификации). Щелкните на кнопке Next.
7. На следующей странице укажите, нужно ли устанавливать центр сертификации пред­приятия (Enterprise СА), интегрированный с AD CS, или самостоятельный центр сертификации (Stand-alone СА). Щелкните на кнопке Next.
8. На странице Specify СА Туре (Укажите тип СА), выберите нужный тип СА. В данном случае мы устанавливаем на сервер головной СА (Root СА). Щелкните на кнопке Next.
9. На следующей странице Set Up Private Key (Создание секретного ключа) можно ука­зать либо создание нового секретного ключа с нуля, либо использование существую­щего ключа из предыдущей реализации СА. В данном примере мы создаем новый ключ. Щелкните на кнопке Next.
10. На странице Configure Cryptography for СА (Настройка криптографии для СА) вве­дите параметры шифрования секретным ключом. Обычно вполне годятся значения, предложенные по умолчанию, но бывают случаи, когда нужно изменить CSP, длину ключа и другие настройки. Щелкните на кнопке Next.
11. Выберите имя, которое будет использоваться для идентификации данного СА. Учтите, что это имя будет фигурировать на всех сертификатах, выпущенных данным СА. В на­шем примере мы ввели имя CompanyABC-CorpCA. Щелкните на кнопке Next.
12. Укажите срок годности сертификата, который будет установлен на данном сервере СА. Если это головной СА, сервер должен будет повторно выпустить цепочку серти­фикатов после истечения срока годности. Щелкните на кнопке Next.
13. Укажите место хранения базы данных сертификатов и местоположения для хране­ния журналов, а затем щелкните на кнопке Next.
14. На странице подтверждения просмотрите параметры предстоящей уста­новки и щелкните на кнопке Install (Установить).
15. После завершения работы мастера щелкните на кнопке Close (Закрыть).

Реализация VPN в Windows Server 2008R2 претерпела значительные изменения, теперь успех зависит в том числе и от умения управлять сертификатами.

Сегодня большая редкость, когда все части компании находятся в одном здании, чаще офисы территориально размещены ближе к заказчикам в разных районах города или регионам страны. Единственным безопасным способом объединить их в единую сеть и обеспечить прозрачный доступ к информации это использовать технологию виртуальных частных сетей (ВЧС, англ. Virtual Private Network, VPN). Последнее реализовать можно разными средствами и способами, используя как программные так и аппаратные решения. Не остались в стороне разработчики Microsoft, в последней серверной версии Windows Server 2008 R2 поддерживается четыре протокола VPN (PPTP, L2TP, IPsec и SSTP) плюс технология . Все они используют для аутентификации цифровые сертификаты. Например, аутентификация не считается сильной стороной PPTP, но в Windows Server 2008R2 поддерживается расширение EAP-TLS, обеспечивающее наибольшую безопасность для PPTP. Вот для его работы нам и потребуется сертификат сервера. В корпоративной среде таких сертификатов может насчитываться десятки и сотни, поэтому разворачивают инфраструктуру управления открытыми ключами (PKI — Public Key Infrustructure). Рассмотрим, как заставить работать вместе VPN и PKI.

Создание сертификата

Служба сертификации Active Directory (Active Directory Certificate Services, AD CS) является одним из компонентов Active Directory и обеспечивает создание и управление сертификатами, которые могут быть использованы для всех технологий и сервисов (VPN, EFS, защита доступа к сети и других). Начиная с Windows Server 2008 пользователи и компьютеры, входящие в домен, могут получать сертификат при помощи механизма автоматической выдачи, что очень упрощает администрирование, ведь не нужно беспокоиться о его доставке. Роль службы сертификации Active Directory устанавливается стандартно, просто отмечаем флажком одноименный пункт.

На этапе выбора службы ролей будет предложено 6 пунктов, отмечаем как минимум Центр сертификации и Служба регистрации в центре сертификации через Интернет , мастер предложит дополнительно установить роль Веб-сервер IIS с поддержкой технологии ASP. Выбираем тип центра сертификации (ЦС) — Предприятие (Enterprice CA) или Автономный ЦС (Standalone CA). Первый — для создания сертификатов использует шаблоны и возможности службы Active Directory, для их распространения задействуется групповые политики. Генерируем закрытый ключ, указав имя ЦС и домена. По умолчанию используется алгоритм шифрования SHA1 с длиной ключа 2048 бит, ключ будет действителен в течение 5 лет (то есть до этого срока будут действительны и все выданные ЦС сертификаты). В большинстве случаев этого достаточно. После установки управление сертификатами производится из вкладки в Диспетчере сервера , консолей Центр сертификации и Центра регистрации работоспособности, ярлыки для запуска которых находятся в меню Администрирование и консоли PKI предприятия (PKIView ). Кроме этого для управления сертификатами следует добавить оснастки MMC – Сертификаты и Шаблоны сертификатов (Файл — Добавить или удалить оснастку).
Для удобства создания сертификатов используются шаблоны доступ к которым производится из консоли Шаблоны сертификатов . В списке их более двух десятков, назначение их понятно из названия и краткого описания. В контексте статьи нас интересует IPSec (для IKEv2) или RAS и IAS сервер (для EAP PPTP). Хотя теоретически можно выбрать любой, затем копируем шаблон через контекстное меню и редактируем его свойства в соответствии с назначением, результат сохраняем под любым удобным именем, чтобы в дальнейшем шаблон можно было бы использовать повторно. В частности во вкладке свойств сразу прописываем название группы, члены которой будут подключаться через VPN. В разрешениях обязательно ставим флажок “Автоматическая подача заявок ”
Теперь осталось запросить сертификат с VPN сервера. Это можно сделать через оснастку MMC Сертификаты или веб-интерфейс службы регистрации в центре сертификации (https://сайт/certsrv ). В процессе работы мастера выбираем шаблон сертификата, при необходимости редактируем свойства и нажимаем кнопку Заявка . В случае Enterprice CA сертификат автоматически устанавливается на сервер.

Разворачиваем службу маршрутизации и удаленного доступа

Типичная инфраструктура, необходимая для создания VPN на базе Windows Server 2008 R2 состоит из , сервера сертификатов, серверов RRAS (Routing and Remote Access, маршрутизации и удаленного доступа) и политики сети (NPS, Network Policy Server). Конкретное размещение этих компонентов зависит от топологии сети и предполагаемой нагрузки (количества пользователей). Все сервисы кроме контроллера домена Active Directory, который должен быть “спрятан” и хорошо защищен, вполне могут работать на одном компьютере. Сервер с ролью RRAS, должен обязательно иметь две сетевые карты. Кроме него для аутентификации можно задействовать любой внешний RADIUS сервер. Раздача внутренних IP-адресов для клиентов VPN клиентам производится средствами RRAS сервера или при помощи отдельного DHCP сервера. В последнем случае следует помнить, что RRAS может арендовать на DHCP сервере до 10 адресов одновременно.
Для пользователей, которые будут подключаться через VPN, создается отдельная группа в службе каталогов, а все серверы с перечисленными ролями должны быть подключены к домену. В свойствах учетной записи (консоль Active Directory – пользователи и компьютеры) следует активировать пункт Управление на основе политик удаленного доступа (Control Access Through NPS Network Policy) или Разрешить доступ (Allow Access) в меню Входящие звонки (Dial-in).
Сервер RRAS является одной из служб ролей Службы политики сети и доступа (NPS, Network Policy and Access Services). Отмечаем последний в окне установки роли в Диспетчере сервера, затем на этапе выбора служб роли ставим флажок в Роль службы маршрутизации и удаленного доступа. Если планируется использовать IPSec то следует активировать пункт Центр регистрации работоспособности (Health Registration Authority, HRA) компонент NAP, обеспечивающим безопасность для соединений по этому протоколу.
По окончании установки во вкладке Роли в Диспетчере сервера появится новый пункт. Также в меню Администрирование появится ярлык для запуска консолей Сервер политики сети и Маршрутизация и удаленный доступ .
Сервис установлен, но не настроен. В начале нужно его активировать. Запускаем консоль. По умолчанию подключение производится к локальной системе, к удаленной системе подсоединяемся выбрав ссылку Добавить сервер .
Выбираем в контекстном меню пункт Настроить и включить маршрутизацию и удаленный доступ (Configure and Enable Routing and Remote Access), появляется мастер предлагающий активировать один из пяти вариантов преднастройки сервера, четыре из них предоставляют готовые установки. По умолчанию предлагается пункт Удаленный доступ (VPN или модем) (Remote access (dial-up or VPN)), который подходит для большинства ситуаций применения VPN. Остальные “отвечают” за активацию сервиса NAT, связки VPN+NAT, соединение между двумя сетями и выборочную настройку. Если внешние клиенты должны получать доступ к серверу сертификации, может потребоваться и NAT, иначе SSTP соединение работать не будет. В таком случае выбираем Доступ к виртуальной частной сети (VPN) и NAT (Virtual Private Network (VPN) access and NAT).
Далее отмечаем внешний сетевой интерфейс, к которому будут подключаться VPN клиенты. После чего мастер предложит определиться с тем, как назначать IP-адреса клиентам: автоматически или вручную. Вариант Автоматически подходит для тех случаев, когда в сети имеется установленный и настроенный DHCP сервер. Иначе указываем Из заданного диапазона адресов (From a specified range of addresses) и вводим диапазон IP-адресов. Если в сети не используется RADIUS сервер, то аутентификацию пользователей можно производить средствами RRAS, для этого следующем окне оставляем значение Нет, использовать службу маршрутизации и удаленного доступа … (No, use Routing and Remote Access Server …). По окончании настроек появится сообщение, говорящее о том, что выбранный режим распределения IP-адресов потребует наличия агента DHCP-ретрансляции (DHCP Relay Agent). Просто принимаем это к сведению, никаких действий больше производить не нужно.
В окне консоли Маршрутизация и удаленный доступ стали доступны дополнительные вкладки, в которых настраивается маршрутизация (IPv4 и IPv6) и сетевые интерфейсы, список подключившихся клиентов и состояние портов и другие. Выбрав свойства сервера RRAS, мы получим еще ряд настроек на 7 вкладках. Здесь найдем все что установлено при помощи мастера, назначение большинства должно быть понятно, стоит просто пройтись по пунктам, чтобы разобраться со всеми возможностями сервера.
Самой интересной является вклада Безопасность . В частности в списке Поставщик службы проверки подлинности указывается RADIUS серверы (если используются). По умолчанию для PPTP используются механизмы проверки подлинности EAP и MS-CHAPv2, которые являются наиболее защищенными и поэтому рекомендуемыми. В случае необходимости, нажав кнопку Методы проверки подлинности, можно добавить поддержку PAP, CHAP, IKEv2 или разрешить анонимный вход (без проверки подлинности). Для протокола SSTP следует активировать флажок Использование HTTP и указать сертификат при помощи раскрывающегося списка Сертификат . Сертификата пока у нас нет, мы его сгенерируем далее.

Чтобы разрешить HTTP и HTTPS запросы на сервер сертификации, выбираем IPv4 -Преобразование сетевых адресов (NAT) и в контекстном меню, всплывающем по щелчку мышки на внешнем сетевом интерфейсе, выбираем его свойства. Теперь переходим в окно Службы и порты (Services and Ports) и устанавливаем флажки в пункты Веб-сервер (HTTP) и Безопасный веб-сервер (HTTPS). В диалоговом окне Изменить службу вводим IP-адрес сервера сертификации, находящегося во внутренней сети.

Создание политики NPS

Теперь нужно создать политики NPS в консоль управления Сервер политики сети . Это можно сделать несколькими способами — самый простой выбрать нужную конфигурацию в списке Стандартная конфигурация на заглавной странице. В контексте статьи это пункт RADIUS-сервер для подключений удаленного доступа или VPN , запустится очередной мастер. Самый важный шаг – правильный выбор позиции в списке Способ сетевого подключения (Network Connection method). В нашем случае “Подключение к виртуальной частной сети (VPN)”, в поле внизу вводим его имя. Затем следует указать расположение RADIUS клиентов (серверов сетевого доступа). После чего переходим к выбору методов аутентификации. По умолчанию здесь активирован только MS-CHAPv2, его отключаем и отмечаем флажок “Расширенный протокол проверки подлинности (EAP) ” и в списке Введите “Microsoft сертификат или смарт-карта” и нажав кнопку Настроить выбираем из списка сертификат. На следующем шаге указываем группы пользователей, которые будут участвовать в соединении через VPN. Настройки RRAS позволяют ограничить тип отправляемого/получаемого трафика, все они настраиваются на шаге “Задайте IP-фильтры”. Далее выбор механизма шифрования. Из трех вариантов представленных в списке, лучше всего оставить один MPPE 128 бит, который поддерживается всеми современными ОС. Настройки на шаге “Укажите имя Сферы” позволяют подменять имя домена учетной записи указанным значением. Это все настройки. Подтверждаем нажатием кнопки Готово.
Более тонко политики доступа задаются уже в отдельных меню. В результате своей работы мастер сгенерирует три вида политик: запросов на подключение, сетевые и работоспособности. Выбираем в каждой созданную политику и проверяем свойства.

Подключение клиентом

Теперь сервер готов подключению клиентов. Настройка клиентской части как в Windows Server 2008 R2, так и Windows Vista и 7 практически совпадает и очень проста. Документация Microsoft советует вначале настроить PPTP соединение, получить и установить сертификат сервера, и если все в порядке, переходить уже на L2TP или SSTP. Будем придерживаться этой рекомендации. Для создания VPN вызываем Центр управления сетями и общим доступом и запускаем мастера по ссылке Настройка нового подключения или сети. Расписывать его смысла не вижу, в процессе выбираем аутентификацию при помощи смарт-карт или сертификата. Тип VPN настраивается в окне свойств соединения и во вкладке Безопасность в списке Тип VPN (Type of VPN). По умолчанию режим установлен в Автоматически , но в большинстве случаев его лучше зафиксировать, указав конкретный протокол, например SSTP (Secure Socket Tunneling Protocol).