4 — Usługi zasad sieciowych i dostępu sieciowego

Wprowadzenie do NPS (Network Policy Server):

Rola: Serwer zasad sieciowych, będący implementacją protokołu RADIUS (Remote Authentication Dial-In User Service) w systemie Windows Server.

Funkcje: Uwierzytelnianie, autoryzacja i accounting (AAA) dla użytkowników łączących się z siecią.

Zastosowania: Centralne zarządzanie dostępem do sieci bezprzewodowej (Wi-Fi 802.1X), dostępu VPN, dostępu dla urządzeń przełączników (switchy) obsługujących RADIUS.

Kluczowe pojęcia:

Klient RADIUS: Urządzenie (np. punkt dostępowy Wi-Fi, przełącznik, serwer VPN), które przekazuje żądania dostępu do serwera NPS (RADIUS) w celu weryfikacji. Musi być skonfigurowany na serwerze NPS i posiadać wspólny klucz tajny (shared secret).

Zasady sieciowe (Network Policies): Reguły określające warunki dostępu (np. członkostwo w grupie AD, pora dnia, typ połączenia) oraz ustawienia dostępu (zezwól/odmów, czas trwania sesji, parametry tunelu VPN).

Zasady zdrowia (Health Policies): Używane z Network Access Protection (NAP) - przestarzała technologia do weryfikacji "zdrowia" klienta (posiadanie aktualnych aktualizacji, włączona zapora) przed przyznaniem dostępu.

Proces uwierzytelniania RADIUS:

Klient (użytkownik) łączy się z klientem RADIUS (np. Access Point).

Serwer NPS weryfikuje żądanie względem skonfigurowanych klientów RADIUS (adres IP, shared secret).

NPS sprawdza zasady dostępu i próbuje uwierzytelnić użytkownika (zwykle wobec Active Directory).

Jeśli wszystko się powiedzie, NPS wysyła do klienta RADIUS odpowiedź "Access-Accept", która może zawierać dodatkowe atrybuty (np. przypisaną VLAN). W przeciwnym razie wysyła "Access-Reject".

Ćwiczenia praktyczne:

Instalacja roli NPS:

W Menadżerze serwera dodaj rolę Serwer zasad sieciowych i dostępu. Instalacja jest szybka i nie wymaga dodatkowych komponentów.

Konfiguracja klienta RADIUS:

Otwórz konsolę Network Policy Server.

Rozwiń Klienci RADIUS i serwery, kliknij prawym przyciskiem na Klienci RADIUS -> Nowy.

Wpisz przyjazną nazwę (np. "AP-Sala24"), adres IP twoj punktu dostępowego (lub innej maszyny testowej) oraz wspólny klucz tajny (skomplikowany, zapisz go!). Kliknij OK.

Tworzenie zasad sieciowych dla dostępu Wi-Fi:

W konsoli NPS kliknij prawym przyciskiem na Zasady sieciowe -> Nowy.

Kreator nowych zasad:

Nazwa zasad: "Dostęp WiFi - Pracownicy".

Warunki: Dodaj warunek Grupy systemu Windows -> Dodaj -> wybierz grupę z AD (np. "WiFi-Users"). Dodaj warunek Typ dostępu sieciowego -> Beprzewodowy.

Uprawnienia dostępu: Wybierz Udziel dostępu (możesz później ustawić bardziej zaawansowane opcje).

Metody uwierzytelniania: Zostaw domyślne (np. Microsoft: Protected EAP (PEAP)).

Atrybuty: Opcjonalnie możesz dodać atrybuty, np. aby przypisać użytkownika do konkretnej VLAN (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Pvt-Group-ID).

Zakończ kreator.

Testowanie konfiguracji:

Skonfiguruj klienta RADIUS: Na fizycznym punkcie dostępowym lub na drugiej maszynie wirtualnej (używając np. oprogramowania hostapd lub innego soft-AP) skonfiguruj sieć Wi-Fi z zabezpieczeniami WPA2-Enterprise i wskaż adres IP twojego serwera NPS jako serwer RADIUS, podając skonfigurowany wcześniej klucz tajny.

Skonfiguruj klienta Wi-Fi: Na komputerze z systemem Windows (lub innej maszynie wirtualnej) spróbuj połączyć się z nową siecią. Powinieneś zostać poproszony o podanie poświadczeń domeny (użytkownika należącego do grupy "WiFi-Users"). Po pomyślnym uwierzytelnieniu powinieneś uzyskać dostęp do sieci.