6.2.6 JaCarta PKI для VPN Windows Server 2016

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Аннотация

Настоящий документ содержит сведения о настройке двухфакторной аутентификации по электронным ключам JaCarta PKI к защищённому VPN-соединению для безопасного доступа из вне или во внутреннюю сеть предприятия.

О технологии VPN

VPN (Virtual Private Network) — обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети (например, Интернет). Несмотря на то, что коммуникации осуществляются по сетям с меньшим или неизвестным уровнем доверия (например, по публичным сетям), уровень доверия к построенной логической сети не зависит от уровня доверия к базовым сетям благодаря использованию средств криптографии (шифрования, аутентификации, инфраструктуры открытых ключей, средств для защиты от повторов и изменений, передаваемых по логической сети сообщений).

Компания Microsoft имеет собственную реализацию VPN-технологии в рамках ОС Windows Server, а компания “Аладдин Р.Д.” предоставляет реализацию двухфакторной аутентификации на VPN-шлюзе. Это обеспечивает дополнительную безопасность пользователей, работающих в виртуальной сети.

Сотрудников, желающих использовать личные устройства, такие как ноутбуки, портативные ПК и планшеты, для подключения к корпоративным сетям, когда они не присоединены к домену, становится с каждый днем всё больше и крайне важно обеспечить защиту подключений в корпоративную сеть извне. Возможность подключения к виртуальной частной сети (VPN), открывающей удалённый доступ к корпоративной сети, предусмотрена для всех устройств на базе ОС Windows. Настоящий документ в полном объёме описывает настройку VPN-шлюза и доступа в защищённую сеть с использованием электронного ключа JaCarta PKI.

О JaCarta

Для аутентификации на VPN-шлюзе подойдёт вся линейка электронных ключей JaCarta PKI, в любом форм-факторе, включая и биометрические токены, и смарт-карты, где в дополнение или вместо ввода PIN-кода в качестве фактора аутентификации используется отпечаток пальца. .

JaCarta PKI — USB-токен или смарт-карта для строгой двухфакторной аутентификации пользователей при доступе к защищённым информационным ресурсам предприятия, безопасного хранения ключей, ключевых контейнеров программных СКЗИ с использованием инфраструктуры открытых ключей (PKI) на основе зарубежных криптоалгоритмов.

Описание демо-стенда

Демо-стенд состоит из следующих компонентов.

Сервер

Windows Server 2016 Datacenter с установленным программным обеспечением Единый Клиент JaCarta и настроенными ролями серверов Active Directory и Active Directory Certificate Services.

Роль шлюза VPN будет настроена на этом же сервере в рамках настоящего документа. Опционально можно установить на отдельный от AD и CS сервер.

Подробное руководство об установке и настройке Active Directory Certificate Services доступно в документе “JaCarta PKI для домена Windows Server 2016 (AD CS)”.

Клиент

Невходящая в домен рабочая станция — Windows 10, с установленным программным обеспечением Единый Клиент JaCarta.

Ход настройки

1. Настройка происходит на сервере и клиенте, делится на следующие этапы.

На сервере:

• установка роли IIS (web-сервер);
• запрос сертификата для IIS сервера;
• установка и настройка компонентов Удалённый доступ, Маршрутизация;
• назначение прав на удалённый доступ для пользователей.

На клиенте:

• создание VPN-подключения;
• проверка работоспособности.

Установка роли IIS (web-сервер) и запрос сертификата для IIS сервера

Для организации VPN-соединения с аутентификацией по смарт-картам необходима роль Web-сервера и сертификат для этого сервера.

Важно, чтобы сертификат был выпущен до установки и настройки.

маршрутизации, политик сети и доступа.

Если ранее на сервере была установлена роль IIS, перейдите к следующему разделу. В противном случае, установите компонент. Для этого выполните следующие действия.

1. Нажмите Пуск -> Диспетчер серверов.

2. В отобразившемся окне выберите Управление -> Добавить роли и компоненты.

   

3. Отобразится окно мастера добавления ролей и компонентов, для продолжения нажмите Далее.

   

4. В следующем окне выберите Установка ролей и компонентов.

   

5. Отобразится окно добавления новых ролей, выберите B еб-сервер (IIS) и нажмите Далее.

   

6. В отобразившемся окне нажмите Добавить компоненты.

   

7. В отобразившемся окне нажмите Далее.

   

   

В отобразившемся окне Службы ролей выбранные параметры можно оставить по умолчанию. Нажмите Далее.

8. Отметьте Автоматический перезапуск конечного сервера и нажмите Установить.

   

   

Окно мастера теперь можно закрыть.

9. Откройте диспетчер служб IIS через Пуск -> Средства администрирования. В основном меню, в центре, выберите Сертификаты сервера.

10. В меню Действия, справа выберите Создать сертификат домена.

11. В полном имени укажите имя будущего VPN-соединения и заполните остальные поля так, как это требуется.

12. В поле Центр сертификации нажмите Выбрать и укажите центр сертификации. В поле Понятное имя укажите короткое имя сертификата, которое будет отображаться в поле Имя, в диспетчере IIS. В настоящем примере имя — VPN.

13. Убедитесь, что сертификат создан.

Установка и настройка компонентов Удалённый доступ и Маршрутизация

1. Нажмите Пуск -> Диспетчер серверов.

   

2. В отобразившемся окне выберите Управление -> Добавить роли и компоненты.

   

3. Отобразится окно мастера добавления ролей и компонентов, для продолжения нажмите Далее.

   

4. В следующем окне выберите Установка ролей и компонентов.

   

5. Отобразится окно добавления новых ролей, выберите Удалённый доступ и Службы политики сети и доступа (если не установлено ранее) и нажмите Далее.

   

6. В отобразившемся окне нажмите Далее.

   

7. В отобразившихся службах ролей выберите DirectAccess VPN и Маршрутизация, нажмите Далее.

   

8. Отметьте Автоматический перезапуск конечного сервера и нажмите Установить.

   

9. На этом мастер добавления ролей можно закрыть.

   

10. Откройте оснастку Маршрутизация и удалённый доступ через Пуск -> Средства администрирования.

В отобразившейся оснастке в левом меню кликните правой кнопкой нужный сервер и нажмите Настроить и включить маршрутизацию и удалённый доступ.

11. Отобразится мастер установки сервера маршрутизации и удалённого доступа. Нажмите Далее.

12. Выберите Доступ к виртуальной частной сети (VPN) и NAT.

13. Выберите интерфейс сети, который подключает данный шлюз к сети.

Для реализации VPN на сервере должно быть, как минимум 2 сетевых интерфейса.

14. В следующем окне выберите способ назначения IP-адресов — автоматически или из заданного диапазона.

15. В настоящем примере используется заданный диапазон.

16. Выберете требуется ли данному серверу работать с RADIUS, в настоящем примере это не требуется, выберите Нет.

17. По завершении нажмите Готово.

18. Перейдите в оснастку Маршрутизация и удалённый доступ, откройте свойства сервера.

19. Перейдите во вкладку Безопасность -> методы проверки подлинности, отметьте Протокол EAP, остальное оставьте пустым. Нажмите ОК, нажмите Применить.

В оснастке Маршрутизация и удалённый доступ выберите Сервер-> IPv4 -> Преобразование сетевых адресов (NAT). В отобразившемся окне откройте свойства сетевого интерфейса, который ранее указывался в мастере настройки маршрутизации.

20. В отобразившемся окне перейдите во вкладку Службы и порты, отметьте Безопасный веб-сервер(HTTPS), нажмите Применить, затем ОК.

21. Подключаться к сети через VPN-соединения могут только те пользователи, учётные записи которых настроены для таких подключений. Для назначения пользователю таких прав выполните следующие действия.

22. Откройте оснастку Active Directory — Пользователи и компьютеры. Откройте свойства пользователя которому необходимо назначить права на VPN-соединения. Во вкладке Входящие звонки выберите Разрешить доступ, нажмите Применить, затем OK.

Проверка работоспособности

1. Для того чтобы подключаться к сети через VPN-соединение, необходимо настроить соответствующее подключение на рабочей станции и осуществить это подключение с использованием электронного ключа JaCarta.

   

2. Перейдите на клиентскую рабочую станцию.

3. Откройте Центр управления сетями и общим доступом, выберите Создание и настройка нового подключения к сети.

4. В отобразившемся окне выберите Подключение к рабочему месту.

   

5. Выберите Использовать моё подключение к Интернету (VPN).

   

6. Отобразится следующее окно, выберите Настроить.

   

7. В следующем окне укажите адрес, имя подключения. Отметьте пункт использовать смарт-карту.

   

8. Нажмите Создать.

9. Щёлкните вновь созданное соединение.

   

10. Введите PIN-код.

11. Если всё настроено верно, соединение произойдёт успешно. Статус Connected.

12. Также и в свойствах подключения отображено успешное подключение.

13. На этом настройка и проверка окончена.