Installation du rôle NPS (Network Policy Server)

Transcription

1 Installation du rôle NPS (Network Policy Server) Ouvrir une session avec un compte du domaine ayant les privilèges Administrateur. Ouvrir le Gestionnaire de serveur Gérer Ajouter des rôles et fonctionnalités Cliquer sur Suivant Cocher Installation basée sur un rôle ou une fonctionnalité Cliquer sur Suivant

2 Cocher : Sélectionner un serveur du pool de serveurs Sélectionner le serveur sur lequel vous voulez installer le rôle NPS Cliquer sur Suivant Cocher : Service de stratégie et d'accès réseau Cliquer sur Ajouter des fonctionnalités Cliquer sur Suivant

3 On n'installe pas de fonctionnalités supplémentaires. Cliquer sur Suivant Cliquer sur Suivant

4 Cocher : Serveur NPS (Network Policy Server) Cliquer sur Suivant Cocher : Redémarrer automatiquement le serveur de destination, si nécessaire (suivant vos impératifs) Cliquer sur Installer

5 Cliquer sur Fermer

6 Vérification du compte utilisateur Active Directory Je vérifie que mon compte utilisateur dispose bien de l'autorisation d'accès réseau Contrôler l'accès via la Stratégie d'accès à distance

7 Configure NPS CertificateTemplate and Autoenrollment a. Open Server Manager b. Expand Roles > Active Directory Certificate Services > Certificate Templates. Select RAS and IAS Server. Right Click and choose Duplicate Template. c. Select to Duplicate Template using your Domain Functional Level (from AD Directory Services Install). If uncertain, choose default Windows Server 2003 Enterprise. Click

8 OK. d. Type a Template Display Name that you will recognize for NPS. Adjust validity period to desired duration. Check Publish certificate in Active Directory. e. Click the Security tab. In Group or user names, click RAS and IAS Servers. f. In Permissions for RAS and IAS servers, under Allow, select the Enroll and Autoenroll permission check boxes. Click OK.

9 g. From Server Manager. Select Roles > Active Directory Certificate Services > Your CA > Certificate Templates. Right Click in Certificate Templates task pane. Select New > Certificate Template to Issue.

10 h. Choose the name of the Certificate Template created previously. Click OK. i. Open Group Policy Editor. Click Start > Administrative Tools > Group Policy Editor. Expand Forest > Domains > $yourdomain > Group Policy Objects. Right Click Default Domain Policy. Click Edit. j. Open Computer Configuration, Policies, Windows Settings, Security Settings, and then select Public Key Policies. k. In the details pane, double-click Certificate Services Client - Auto-Enrollment. The Certificate Services Client - Auto-Enrollment Properties dialog box opens. l. Change Configuration Model to Enabled. m. Select Renew expired certificates, update pending certificates, and remove revoked certificates n. Select Update certificates that use certificate templates

11 o. Click OK. p. Register NPS in Active Directory. In Server Manager. Navigate to Roles > Network Policy and Access Services > NPS (Local). Right Click NPS (Local) and choose Register server in Active Directory. Review authorization notification. Click OK. Computer now Authorized. Click OK.

12 q. Force Group Policy Update. Click Start > Run. Type gpupdate /force. Allow update to finish.

13 r. Review Issued Certificates. Navigate to Roles > Active Directory Certificates Services > Your CA > Issued Certificates. We can now see the NPS Certificate has been issued to our machine RCDNCALO\W2K8-STATIC$. This was autoenrolled after registering NPS with Active Directory and forcing a Group Policy Update. This will be the Server side certificate used for applicable EAP Authentication Methods.

14 Configuration du rôle NPS (Network Policy Server) Ajout d'un nouveau client RADIUS Panneau de configuration - Outils d'administration - Serveur NPS (Network Policy Server) Clients et serveurs RADIUS - Clients RADIUS - Nouveau Cocher : Activer ce client RADIUS Nom convivial : Nom pour identifier le client (utiliser ce champ comme une description) Adresse (IP ou DNS) : Saisir l'ip du client ou son nom DNS (le serveur NPS doit pouvoir le résoudre) Secret partagé : Indiquer un code qui sera partagé par le client et le serveur RADIUS Cliquer sur OK

15 Création d'une nouvelle stratégie réseau Dans mon exemple, je vais autoriser un groupe de sécurité à s'authentifié sur le serveur Radius NPS (local) - Stratégies - Stratégies réseau - Cliquer droit Nouveau Nom de la stratégie : Indiquer le nom de votre stratégie Cliquer sur Suivant

16 Sélectionner Groupes d'utilisateurs Cliquer sur Ajouter Cliquer sur Ajouter si vous désirez ajouter des conditions, pour mon exemple j en rajouterai quelques-uns (Type de port NAS et type d authentification) Cliquer donc sur Ajouter

17 Type d authentification : Type de port NAS :

18 Cocher : Accès accordé Cliquer sur Suivant Cocher comme ma Capture d'écran Cliquer sur Suivant

19 Cliquer sur Suivant Cliquer sur Suivant

20 Cliquer sur Terminer La nouvelle stratégie est bien crée Pour finir la configuration, nous devons inscrire ce serveur NPS dans le domaine Active Directory

21 /!\ N'oubliez pas de configurer votre par feu Windows pour autoriser les connexions des clients!!! /!\

22 Configuration du contrôleur WIFI Chaque configuration va dépendre du matériel actif/contrôleur. Se connecter sur votre borne wifi. Sur celle que j utilise (Fortinet) il faut tout d abords ajouter le serveur RADIUS avant de pouvoir configurer le nouveau nom SSID pour me permettre d utiliser 802.1X Ensuite créer le nouvelle SSID avec le mode de sécurité WPA2-Only-Entreprise avec l authentification Serveur RADIUS

23 ATTENTION : Ne pas oublier de configurer également les règles de pare feu

24 Poste client : Service NAP Le service Wired AutoConfig (DOT3SVC) est responsable de l exécution de l authentification IEEE 802.1X sur les interfaces

25 Service Protection EAP

26 Joindre le réseau WIFI Pour pouvoir joindre le réseau wifi, il est nécessaire de faire quelques modifications. Allez dans Panneau de configuration, puis Réseau et Internet, Gérer les réseaux sans fil et cliquer sur Ajouter (pour ajouter un réseau sans fil) : Puis Créer un profil réseau manuellement et entrez les informations nécessaires (nom réseau, type de sécurité, type de chiffrement et la clé de sécurité) x

27 Lorsque les informations sont entrées, il est nécessaire de modifier les paramètres de connexion :

28 Dans l onglet Sécurité de la fenêtre «Propriétés du réseau sans fil», vous devez vous rendre dans Paramètres (pour la méthode d authentification réseau). Une nouvelle fenêtre fait son apparition, vous devez alors décocher la case «Valider le certificat du serveur» (cocher par défaut) et sélectionner la méthode d authentification : Mot de passe sécurisé (EAP-MSCHAP version 2) : Ensuite cliquer sur Configurer et décocher la case «Utiliser automatiquement mon nom et mon mot de passe Windows» puis OK et enfin revenez sur la fenêtre «Propriétés du réseau sans fil» :

29 Rendez vous maintenant dans «Paramètres avancés», une nouvelle fenêtre s ouvre, cocher «Spécifier le mode d authentification» et choisissez «Authentification de l utilisateur» :

30 Enfin Windows vous demande une authentification, c est à ce moment qu il faut entrer les données de l utilisateur crée auparavant (l utilisateur erduan dans notre cas) : Vous êtes désormais connecter à la borne wifi Erduan avec le protocole RADIUS :

31 Pour préparer le réseau pour soutenir l'authentification IEEE 802.1x, plusieurs étapes peuvent être faites à l'avant. L'étape suivante consiste à créer des groupes de sécurité Active Directory pour autorisé La mise en œuvre! IEEE! 802.1x! Pour! Wired! Accès aux réseaux et l'inscription du certificat. Créer des groupes de sécurité suivants dans Active Directory (Microsoft, 2000) Inscription automatique certificat d'authentification serveur NPS: Les membres de ce groupe reçoivent automatiquement un certificat de serveur. Ce certificat est utilisé pour authentifier le serveur RADIUS et de créer le tunnel PEAP. Typiquement les serveurs RADIUS seront ajoutés dans ce groupe. Après la création de ce groupe de sécurité, ajouter le compte d'ordinateur ADDEVDC04 en tant que membre de ce groupe. Inscription automatique certificat client d'authentification: Les membres de ce groupe reçoivent automatiquement un certificat d'ordinateur. Ce certificat est utilisé pour authentifier l'ordinateur client. Typiquement les ordinateurs clients seront ajoutés dans ce groupe. Après la création de ce groupe de sécurité, ajouter ordinateur compte ADDEVWKS01 en tant que membre de ce groupe