NPS - RADIUS - аутентификация Active Directory

Я думаю, вам понадобится некоторый опыт работы с протоколом RADIUS Remote Authentication Dial In User Service), чтобы понять его роль в аутентификации.

RADIUS изначально был разработан и развернут для аутентификации (а также авторизации и учетной записи) доступ пользователей - функции, о которых я не буду здесь говорить) пользователи, подключающиеся к модемным пулам. Представьте себе пул модемов, принимающих входящие вызовы, и базу данных, содержащую учетные данные пользователей, авторизованных для дозвона. RADIUS - это протокол, который позволил оборудованию, на котором запущен модемный пул, выгружать запросы аутентификации на сервер, тем самым освобождая оборудование модемного пула от необходимости иметь какие-либо «знания» учетных данных (и политики аутентификации и т. Д.).

механика протокола включает сервер RADIUS (то есть, сервер, который выполняет разрешенную / запрещенную аутентификацию пользователя), получающий запросы от клиента RADIUS (то есть аппаратное обеспечение модемного пула, принимающее входящий вызов) от имени пользователя, набирающего номер.

Протокол RADIUS является достаточно общим и адаптирован для использования в 802.1x и других протоколах, требующих аутентификации. Вот почему вы видите много упоминаний о «сетевой аутентификации». Тем не менее, поскольку RADIUS является общим протоколом, у вас вполне может быть приложение, поддерживающее аутентификацию пользователей по протоколу RADIUS. В этом случае приложение является клиентом RADIUS. Серверу RADIUS (службе Windows NPS) нужно будет сообщить IP-адрес, что приложение будет отправлять свои запросы RADIUS с в качестве IP-адреса клиента RADIUS.

Протокол RADIUS требует общего секретного значения (называемого Authenticator ) для проверки того, что входящие запросы действительно поступают от авторизованного клиента (а не только злоумышленника, пытающегося использовать сервер RADIUS для перебора. пароли). Точно так же аутентификатор используется клиентами RADIUS для проверки того, что ответы действительно поступают от сервера RADIUS (а не злоумышленник, подделывающий личность сервера). Вам также необходимо настроить это значение.

Вам необходимо будет настроить службу Windows NPS с политикой для поддержки необходимого протокола аутентификации (PAP, как вы заявляете), который требуется приложению. Служба Windows NPS не имеет конфигурации, относящейся к «LDAP», потому что она использует встроенные API проверки подлинности Windows, которые являются серверной частью Active Directory. В основном, вы получаете аутентификацию в Active Directory «бесплатно» с помощью службы Windows NPS.

Обязательно ознакомьтесь со статьей Википедии о RADIUS для получения более подробной информации о протоколе и Документация Microsoft для службы NPS для получения справочной информации по настройке стороны Windows Server.

Изменить:

Вот такое ощущение.

Я нашел эту документацию Seimens «Модуль безопасности» , в которой описывается конфигурация аутентификации RADIUS для некоторых из их продуктов Ethernet с «интегрированной безопасностью». Эти штуки выглядят как маленькие межсетевые экраны с IPSEC, NAT и т.д.

Я подозреваю, что «Инструмент настройки безопасности» используется для настройки «модулей безопасности». Для загрузки конфигураций в модуль безопасности (и, без сомнения, для выполнения других административных действий) пользователю потребуется пройти аутентификацию в модуле безопасности. Вот тут-то и появляется конфигурация RADIUS.

Схема на странице 80 этого документа выглядит именно так, как я ожидал - аутентификация пользователя в модуле безопасности перенаправляется на сервер RADIUS, который возвращает разрешение / отказать в решении модулю безопасности. Клиентский компьютер вообще не участвует в RADIUS-части аутентификации.

Это выглядит довольно просто, хотя я и говорю, что у меня был большой опыт использования RADIUS. Что касается подробностей использования сервера Microsoft NPS RADIUS (и вашего запроса относительно: «... коммутируемое соединение, VPN, беспроводное и проводное подключение ...»), все, что я могу сказать, это то, что я бы отказался от использования «мастера» , чтобы настроить службу NPS и выполнить настройку вручную. Опять же, имея большой опыт работы с RADIUS, для меня это выглядит как упражнение методом проб и ошибок, но, вероятно, для вас это будет немного сложнее. Я определенно не могу дать вам "рецепт" по щелчку мыши, потому что у меня нет одного из этих устройств (хотя мне бы очень хотелось его увидеть - похоже, было бы весело сделать оценка их безопасности).