Autoridad Certificadora:

Transcripción

1 Ejercicio configurar VPN enforcement para que los host que van a conectarse a la red local desde internet usando una vpn tengan que cumplir con las politicas de salud definidas por la empresa. Esta politica de salud establece que los hosts deben tener el firewall activado. La autentificacion de la VPN sera EAP. LON-DC1: DC y CA (vmnet2) LON-RTR: RRAS y NPS LON-CL1 Cliente NAP y VPN (vmnet3) Autoridad Certificadora: Es un servidor que emite certificados. Los certificados son de muchos tipos y para diferentes usos: - Certificados de equipo. Autenticar un servidor - Certificados de Usuario. Autenticar un usuario - Certificados de Servicio. Autenticar un servicio, como IIS para SSL - Certificados de salud. Para clientes NAP compliant -. Si se usan para autenticacion, un certificado demuestra que el usuario, equipo, servicio,, es quien dice ser. La CA es quien garantiza la identidad del certificado. La autoridad certificadora debe ser confiable para los que los destinatarios acepten los certificados que emiten. En Microsoft hay dos tipos de Cas: - Enterprise: Integrada en el directorio activo - Stand-alone: No integrada en el directorio activo Si es Enterprise, podemos configurar todos los equipos y usuarios del dominio para que soliciten de forma automatica su certificado y la CA se lo entregue (auto-enrollment) Instalacion del Rol AD CS

2 Una vez instalado el rol ya no se puede cambiar el nombre, despromocionar o casi cualquir cosa Configuracion del AD CS IMPORTANTE!

3

4

5

6

7 Y asi se veria en la herramientas Cambiar propiedades de las plantillas (dar permisos para que usuarios soliciten certificados)

8

9 Para que se aplique hay que reiniciar el servicio AD CS Ahora configuramos una GPO para que todas los equipos del dominio pidan su certificado.

10

11 Y la enlazamos al dominio Ahora desde una mmc vamos a ver si al propio servidor le esta dando certificado Como es un certificado de equipo

12 Y ya vemos los certificados que nos ha dado la CA Y vemos que ya tiene los certificados instalados Ahora metemos LON-RTR en el dominio para que le genere su certificado Vemos que la autoridad certificadora aparece Vamos a solicitar un nuevo certificado de equipo para LON-RTR

13

14

15 Y ya lo tendriamos Hacemos lo mismo con LON-CL1 IMPORTANTE PARA EL EXAMEN DIFERENCIA ENTRE SHV de windows vista en adelante a XP A partir de windows Vista Se puede solicitar Spyware En windows XP no aparece esta opcion Vamos a instalar el ROL NPS en LON-RTR Configuramos el NPS en LON-RTR solo chequeo de firewall Lo primero registramos NPS en el DA

16 Hay que pedir un certificado de usuario para hacer login en la VPN Configuracion de las politicas de salud

17 Ahora politica de RED Primero la compliant como condicion ponemos la Health policy compliant que creamos antes

18

19 El check en Perform machine health check only sirve para que una vez conectado a la VPN siga comprobando que cumple los requisitos del NAP y echarlo en cuanto NO los cumpla. Y como es compliant dejamos el forzado de NAP en permitir full network access

20 Ahora para los non Compliant

21

22

23 Y asi quedan las 2 Ahora creamos la politica de conexión

24

25 GRE antiguo no seguro ESP El mas seguro IPSec escapsula trafico L2TP seguro se suele combinar con IPSec PPTP No muy seguro aun se usa SSTP utilizan puertos especificos 443 y obliga a certificado de servidor web

26 El propio servidor va autenticar por esta esta metido en dominio si no estubiera tendriamos que configurar un servidor RADIUS Al añadir el PEAP estamos configurando la autenticacion de la maquina con certificado de equipo tambien forzamos NAP

27 Y ahora ponemos tambien EAP-MSCHAP v2 para autenticar tambien al usuario con certificado de usuario Y ya estaria

28 Ahora vamos a configurar el RTR como VPN

29 Volver a comprobar las politicas de conexión en el NPS porque automaticamente activa una nueva despues de configurar el VPN Vamos a crear una regla en el firewall para permitir el ping en LON-RTR

30 Vamos a configurar el NAP en el cliente NAPCLCFG.MSC (Se puede hacer por politicas)

31 Comprobamos que el servicio esta iniciado en el Cliente Tambien comprobamos si es Security center esta habilitado para que la autoremediacion funcione por GPO o gpedit.msc Ahora vamos a crear la conexión a la VPN en el cliente Modificamos la configuracion de autenticacion de la VPN para que pida certificado de equipo

32

33 Quitamos fast reconnect para que no almacene las contraseñas en cache