Triển khai IPsec Server và Domain Isolation bằng Windows Server 2008 Group Policy - Phần 4

• Test Health Certificate và Auto-remediation configuration
• Thẩm định sự thực thi chính sách NAP trên VISTASP1

• Xác nhận rằng cả hai VISTASP1 và VISTASP1-2 đều có các chứng chỉ sức khỏe (Health Certificate)
• Nhập VISTASP1-2 vào Domain
• Thẩm định Auto-remediation trên VISTASP1

1. Mở hộp thoại Run và nhập mmc, sau đó nhấn ENTER.
2. Trên menu File, kích Add/Remove Snap-in.
3. Kích Certificates, kích Add và chọn Computer account, sau đó kích Next.
4. Thẩm định rằng Local computer: (the computer this console is running on) được chọn, kích Finish, và sau đó kích OK.
5. Trong panel bên trái của giao diện điều khiển, kích đúp vào Certificates (Local Computer), kích đúp Personal, sau đó kích Certificates.
6. Trong panel chi tiết, bên dưới Issued By, thẩm định CA cấp dưới, msfirewall-WIN2008SRV1-CA, được hiển thị. Thẩm định rằng Intended Purposes hiển thị System Health Authentication. Vì VISTASP1-2 chưa được thẩm định đối với miền msfirewall.org, nên tên máy khách sẽ không được hiển thị bên dưới Issued To, và ý nghĩa chứng chỉ của Client Authentication không xuất hiện. Thẩm định rằng chứng chỉ trên VISTASP1-2 có Intended Purposes của System Health Authentication. Đây là một chứng chỉ sức khỏe NAP hợp lệ cho các máy khách trong môi trường nhóm làm việc. Một chứng chỉ sức khỏe miền đã được thẩm định tương tự như chứng chỉ đạt được tên VISTASP1.

Hình 1

Hình 2

7. Đóng giao diện Certificates

1. Trên VISTASP1, mở hộp thoại Run và nhập vào firewall.cpl, sau đó nhấn ENTER.
2. Trong panel điều khiển của Windows Firewall, kích hange settings, kích Off (not recommended), sau đó kích OK.
3. Bạn có thể thấy một tin trong vùng thông báo chỉ thị rằng máy tính không có đủ các yêu cầu sức khỏe. Tin này được hiển thị vì Windows Firewall đã bị tắt. Kích vào tin này để xem thêm các thông tin chi tiết về trạng thái sức khỏe của of VISTASP1. Xem ví dụ bên dưới.

4. Máy khách NAP sẽ tự động bật Windows Firewall để trở thành đồng thuận với các yêu cầu về sức khỏe của mạng. Tin dưới đây sẽ xuất hiện trong vùng thông báo: This computer meets the requirements of this network.

5. Do Suto-remediation xuất hiện khá nhanh nên bạn có thể không thấy các tin này. Để xem lại biểu tượng thông báo NAP, bạn hãy đánh napstat tại nhắc lệnh, sau đó nhấn ENTER.

• Cấu hình Windows SHV ở mức hạn chế hơn bằng cách yêu cầu các máy tính phải cài đặt các phần mềm chống virus. Khi chúng ta chưa cài đặt bất kỳ phần mềm chống virus nào trên các máy khách nên các máy khách sẽ không có đủ yêu cầu này.
• Refresh SoH (tuyên bố sức khỏe) trên VISTAP1. Thao tác này sẽ làm cho máy khách gửi một Statement of Health mới đến Health Registration Authority và sẽ báo cáo rằng máy khách không có được sự đồng thuận.
• Xác nhận rằng chứng chỉ sức khỏe của máy khách được gỡ bỏ. Health Certificate được gỡ bỏ vì máy khách không có đủ sự đồng thuận.
• Khôi phục chính sách sức khỏe về trạng thái ít hạn chế hơn để máy khách có thể đồng thuận. Chúng ta sẽ gỡ bỏ yêu cầu phần mềm chống virus để máy khách trở thành đồng thuận trở lại.
• Refresh SoH trên VISTASP1 sẽ hiển thị máy tính hiện đã đồng thuận với chính sách mới.
• Xác nhận rằng chứng chỉ sức khỏe máy khách được khôi phục.

1. Trên WIN2008SRV1, kích Start, kích Run, đánh nps.msc và nhấn ENTER.
2. Trong panel bên trái của giao diện điều khiển, mở Network Access Protection, sau đó kích System Health Validators.

3. Trong panel chi tiết, kích đúp vào Windows Security Health Validator, sau đó kích Configure.

4. Trong hộp thoại Windows Security Health Validator, bên dưới Virus Protection, chọn hộp kiểm bên cạnh An antivirus application is on.

5. Kích OK và sau đó kích OK lần nữa để đóng cửa sổ Windows Security Health Validator Properties.
6. Để mở giao diện NPS cho các thủ tục sau.

1. Trên VISTASP1, kích Start, sau đó kích Control Panel.
2. Kích Security, kích Windows Firewall, sau đó kích Change settings.
3. Trong hộp thoại Windows Firewall Settings, kích Off (not recommended), sau đó kích OK.

4. Windows Firewall được bật trở lại tự động vì auto-remediation được kích hoạt. Mặc dù vậy, do các chính sách NAP hiện yêu cầu ứng dụng chống virus nên VISTASP1 sẽ xuất hiện trong trạng thái không đồng thuận và sẽ không thể đạt được chứng chỉ sức khỏe.

1. Trên VISTASP1, mở hộp thoại Run và đánh mmc, sau đó nhấn ENTER.
2. Trên menu File, kích Add/Remote Snap-in
3. Kích Certificates, kích Add, chọn Computer account, sau đó kích Next
4. Thẩm định rằng Local computer: (the computer this console is running on) được chọn, kích Finish, sau đó kích OK.
5. Trong cây giao diện, mở Certificates (Local Computer)\Personal.
6. Thẩm định rằng không có chứng chỉ sức khỏe nào được hiện diện.

7. Để giao diện Certificates mở để thực hiện các thủ tục sau.

1. Trên WIN2008SRV1, trong panel trái của giao diện NAP, mở Network Access Protection, sau đó kích System Health Validators.
2. Kích đúp vào Windows Security Health Validator và kích Configure.
3. Trong hộp thoại Windows Security Health Validator, bên dưới Virus Protection, xóa hộp kiểm bên cạnh An antivirus application is on.

4. Kích OK và sau đó kích OK lần nữa để đóng cửa sổ Windows Security Health Validator Properties.
5. Đóng giao diện NPS.

1. Trên VISTASP1, trong giao diện điều khiển , cây giao diện, kích Personal.
2. Kích chuột phải vào panel chi tiết và sau đó kích Refresh. Thẩm định rằng chứng chỉ sức khỏe đã hiện diện.

Hình 11

Hình 12

Kết luận

Trong loạt bài này chúng tôi đã cung cấp cho các bạn nhiều phần có liên quan đến giải pháp thực thi NAP Ipsec. Như những gì các bạn được giới thiệu trong bài, có nhiều thành phần trong giải pháp và mỗi một thành phần đó phải được cấu hình đúng cách để giải pháp làm việc. Nhiều quản trị viên Windows lo ngại về sự phức tạp của NAP với sự thực thi chính sách Ipsec và do đó đã không áp dụng công nghệ bảo mật hiệu quả và mạnh này. Trước khi thực hiện thử nghiệm các bạn hãy tạo một bản sao minh chứng của mình trong phòng thứ nghiệm trước khi thực hiện thực thi này tên mạng sản xuất.