NAP IPSEC配置与管理详解
好久没有写文章了，呵呵，惰性啊，今天一起聊聊Windows Server 2008中NAP的IPSEC的配置与实现等东东，首先我们了解下IPSEC NAP大致的工作过程，首先看以下简图：
图表 1
图表 2 一、对应的文字阐述如下： 1、 IPSEC EC发送当前健康状态至HRA（健康注册颁发机构）； 2、 HRA发送客户端的健康状态至NAP 健康策略服务器（NPS）； 3、 NAP 健康策略服务器评估客户端的当前健康状态信息，以决定其是否符合健康策略，并把结果发回给SHA，如果不符合，在发回的消息中也包含健康Remediation 的指令； 4、 如果符合健康策略，则HRA为客户端分发健康证书，则客户端可以使用此证书与其他符合健康策略的计算机开始初始化IPSEC连接； 5、 如果不符合健康策略，HRA通知NAP客户如何校正其健康状态并不发给客户端健康证书，因此客户端不能初始化IPSEC连接，但是客户端可以与补救服务器通信，以校正客户端的健康状态； 6、 NAP 客户端发送相关的更新请求至补救服务器； 7、 补救服务器提供符合健康策略的更新给NAP 客户端，NAP客户端更新其健康状态； 8、 NAP客户端发送其更新过的健康状态信息至SHA，SHA发送客户端的健康状态信息至NAP健康策略服务器； 9、 假设其符合健康状态策略，则发送结果至SHA，并颁发健康证书给客户端，客户端可以使用此证书开始IPSEC通信。 二、配置过程如下： 以下是这次的实验环境配置： 计算机名 角色 IP地址 操作系统 NYC-SRV-01 NPS,域成员服务器,HRA 192.168.1.21 Windows Server 2008 NYC-DC-01 DC，CA 192.168.1.1 Windows Server 2008 NYC-CLI-01 Client，域客户端 192.168.1.11 Windows Vista NYC-CLI-02 Client，域客户端 192.168.1.12 Windows Vista 1、必须要把NYC-DC-01的计算机提升为域woodgrovebank.com的DC，并在此计算机上安装证书服务，用来颁发证书，并创建一个全局组为IPSEC NAP Exemption，因为在IPSEC NAP的网络环境中把网络可以从逻辑上划分为三个网络，安全网络（有健康证书且要求IPSEC安全通信的计算机所在的网络，如CA）、边界网络（有健康证书但是不要求IPSEC安全通信的计算机所在的网络,如HRA,补救服务器），、受限网络（没有健康证书的计算机所在的网络），通常全局组IPSEC NAP Exemption的成员就为边界网络中的计算机，这样不管当前计算机的健康状态是什么，都能够获得一个健康证书，并能够与网络中的任何一台计算机进行通信。所以呢，我们在此次测试中就应该把NYC-SRV-01这台计算机添加为此全局组的成员。
2、在DC上面安装CA并配置CA。此CA用来向 HRA和IPSEC NAP Exemption组成员发布健康证书。所以安装企业根CA，配置CA证书模板，并发布至活动目录中：证书颁发机构右键选择“证书模板”管理复制“WorkStation Authentication”模板，设置以下参数：模板名称为：System Health Authentication,并选中下面的“发布证书至活动目录中”，如下图所示：
|
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
