הגדרת NAP - שרת בריאות
פרקי ההרצאה: הגדרת NAP - שרת בריאות
תמלול ההרצאה: הגדרת NAP - שרת בריאות
הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת NAP - שרת בריאות» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
בסרטון זה אנחנו נדגים איך לעשות nap דרך VPN וההדגמה הזאת היא בעצם נלקחה לפי המדריך של מיקרוסופט type by step guide של מיקרוסופט איך לעשות VPN nap אני אוסיף ל-45 עמודים של מיקרוסופט גם הסברים על כל אופציה בעצם שאנחנו נפגוש בדרך אז הסרטון הזה הולך להיות די ארוך אז בוא נעבור למכונות הווירטואליות שלנו
המכונה הווירטואלית הראשונה שרת הראשון זה זה בעצם שרת ה-DC יש עליו הוא דומיין קונטרולר יש עליו דומיין ובתוך דומיין יש לנו בעצם שרת השני השרת השלישי והווינדוס 7 שעליו אנחנו הולכים לבדוק השרת השני הולך להיות שרת רדיוס השרת השלישי הולך להיות
שרת VPN שיש לו כרטיס רשת אחד בחיצוני באינטרנט וכרטיס רשת שני בתוך הרשת והווינדוס 7 שהולך להתחבר בעזרת VPN דרך חייגן VPN לשרת השלישי ולעבור את כל הבדיקות של הבריאות דרך השרת השני ולהיכנס לתוך הרשת אז זה שרת רדיוס שבודק בריאות זה שרת VPN שמאפשר התחברות ומחבר את האינטרנט לתוך הארגון
בווינדוס 7 שבעצם נמצא בבית אוקיי אנחנו נתחיל מזה שבשרת הראשון חוץ מאקטיב דירקטוריוס נוסיף עוד role עוד תפקיד של סרטיפיקט סרוויסס מחלק תעודות דיגיטליות שהוא יהיה ה-CA אני מתקין הכל לפי הדיפולט אני לא נכנס פה רק את השם אני אחליף שיהיה לי כאן לזהות אותו לא אני CA שיהיה לי כאן לזהות אותו אני החלפתי
לו רק את השם כל שאר ההגדרות הן דיפולטיות אני לא נכנס להסברים על CA וזה היה בסרטונים הקודמים אוקיי, אנחנו מתקינים עכשיו על השרת הראשון את ה-CA בשביל לבקש תודה דיגיטלית ממנו.
אם לא היינו מבקשים ממנו תודה דיגיטלית היינו צריכים לקנות בכסף. זה יהיה כל התפקידים של השרת הראשון, טומן קונטרולר וסרטיפיקט סרוויסס.
בואו נעבור לשרת השני שזה המעניין, זה שרת רדיוס. שרת רדיוס תפקידו לקבל בקשות מסוויץ', מווי-פיי, משרת VPN, בקשות התחברות של אנשים, לקבל החלטה האם מותר לבן אדם הזה להיכנס או אסור להיכנס, האם מותר להכניס את המחשב הזה, את היוזר הזה או אסור,
זה בעצם המוח שמקבל את ההחלטה. כמו שאתם מבינים בתוך סוויץ' או בתוך access point או בתוך נתב אלחוטי, ראוטר אלחוטי שיש לכם בבית אפילו, אין אופציה להכניס את כל המשתמשים של אקטיב דירקטורי ואין לו תוכנה שיודעת לדבר עם אקטיב דירקטורי. אז מה שעשו תקן לכל התקינים הפשוטים
להעביר את בקשות ההתחברות שלהם לשרת רדיוס המרכזי החכם והוא זה שיקבל את ההחלטות. בין היתר הוא גם יבדוק את הבריאות של התחלה. אז שרת רדיוס זה בעצם תקן לא רק של מייקרוסופט זה כאילו תקן עולמי בשביל שכל ההתקנים הפשוטים ידעו לדבר איתו כרגע לשרת השני שהוא שרת רדיוס אין שום תפקיד מי עושה לו אד רול מייקרוסופט
קראו לשרת רדיוס בשם מסחרי היא Network Policy Server NPS Network Policy הוא נותן פוליסה לרשת למי מותר להתחבר למי אסור להתחבר זה השם הם החליפו אותו מ2003 זה שם של 2008 אוקיי Network Policy Server זה בעצם הרדיוס אנחנו יכולים פה לראות פה הסבר קצר על זה אבל לא מספיק לנו בעצם רק שהוא יהיה רדיוס הוא יוכל לקבל החלטה אני
צריך גם שהוא ידע לבדוק את המצב בריאות של התחנה זאת אומרת, זו תוספת תוכנתית, Health Registration Authority, זה תוספת תוכנתית בנוסף לרדיוס הרגיל, שחוץ מלבדוק שם וסיסמה או סרטיפיקייט או תעודה דיגיטלית, הוא גם בודק את הבריאות של התחנה.
זאת אופציה חדשה שקיימת רק ב-2008, ב-2003 היא לא הייתה, זה חדש הדרוגים הגדולים של 2008. בעולם חוץ מהעולם של מיקרוסונק בסיסקו זה כבר קיים המון המון שנים.
אז השרת הזה הולך להיות רדיוס ושרת בודק בריאות, זה בעצם התוספת לרדיוס. ראוטינג ורימוט אקסס זה בעצם שרת שעושה ראוטינג, ורימוט אקסס זה שרת שעושה VPN, זה בעצם הולך להיות השרת השלישי.
לא חייבים להפריד את זה לשרתים נפרדים, אפשר להתקין הכל על אותו שרת. פשוט בשביל ההדגמה שתהיה הרבה יותר ברורה מה עושה כל תפקיד ומה עושה כל תוכנה, אני הפרדתי את זה.
ורוב החברות הקטנות יש להן מחשב אחד או שתיים, שרת אחד או שתיים אז שמים הכל על אותו מחשב. נקסט עכשיו הוא שואל אותי בשביל כל הקטע של הבריאות צריכים תעודות דיגיטליות.
עם איזה CA אתה רוצה לעבוד? אתה רוצה להתקין פה CA או שיש לך CA? אני כבר התקנתי CA כמו שאתם זוכרים בשרת הראשון ואני אומר לו שאני רוצה את ה-CA שנמצאת בשרת הראשון בשם יוני CA.
איך הוא ידע שבשרת הראשון יש CA? כי ה-CA ההיא היא אנטרפרייז והיא חלק מדומיין בגלל שהיא חלק מדומיין היא רשומה באקטיב דרדק.
והוא קרא את זה בעצם מתוך הכתיב דירקטוריום זומריון ECA שנמצאת בשבת הראשונה. נקסט עכשיו הוא שואל אותי תגיד לי הלקוחות שיעברו להתחבר אליי עם כל הקטע של הבריאות האם לדרוש מהם שיהיו חברים בו דומיין או לא לדרוש אז אם הם ידרוש שהם יהיו חברים בו דומיין אז יותר מובטח וזה יותר מומלץ אבל אז זה לא יעבוד על ה-VPN קליינס על האנשים שבבית שלהם התקינו VPN על המחשב הביתי שלהם.
זה כמובן שהמלצה של מייקרוסופט כמה שיותר מאובטח שכולם יהיו בדומיין בחיים האמיתיים מי שמתחבר דרך VPN לרוב זה אנשים שהלכו הביתה ורוצים לעבוד מהבית על המחשב הביתי שלהם.
אנחנו נעשה פה לפי המלצה של מייקרוסופט ונעשה שאצלנו כל הקליינט עם כל התחנות העבודה שמתחברות מהבית הם כולם בדומיין אם התחנה לא בדומיין אתם תצטרכו לעשות כל מיני הגדרות ידניות בתחנה נגיע לזה בהמשך.
עכשיו השאלה איזה תעודה דיגיטלית להציג ללקוחות שבאים להתחבר מהבית זאת אומרת שהלקוח שבא להתחבר מהבית רוצה לבדוק שהוא התחבר לשרת הנכון השרת מזדהה במראה תעודה דיגיטלית ללקוח בשביל להוכיח שהוא שרת האמיתי שאליו התכוון הלקוח להתחבר ולא גנבו את הזהות של השרת את הIP של השרת לגנוב IP של השרת זה יחסית די פשוט
ואם מישהו מחובר לאותו סוויץ' הוא יכול בעצם לנתב את התעבורה עליו. אנחנו לא ניכנס עכשיו לכל הקטע של החאקינג, אבל יש רדיוס בעצם עימות הדדי, לא רק שהשרת מבקש ממך שם וסיסמה בשביל שאתה תיכנס אליו, אלא גם הלקוח רוצה לבדוק לאיזה שרת הוא התחבר.
אז זאת התעודה הדיגיטלית שמאמתת את הזהות של השרת. שימו לב, אין לי כרגע פה תעודות הדיגיטליות ואין לי פה אופציה לבקש. רואים יש לי אימפורט אם הייתה לי תעודה אז אני נאלץ לפתוח בעצם את ה-MMC אני פותח MMC נכנס ל-MAP Certificates בוחר את הסרטיפיקט לא של היוזר של הקומפיוטר כסרטיפיקט של היוזר בעצם מטיילים איתו לכל מחשב שהוא נכנס קומפיוטר שמורים קבוע במחשב
אני רוצה תעודה דיגיטלית שהמחשב יזדהה איתה לי לא שום קשר איזה יוזר נכנס לתוכנית כאלה גם אם הרגולים נכנסים אז תעודות דיגיטליות של המחשב בפרסום אלינו אף תעודה אני עושה right click on task request new certificate לבקש תעודה חדשה נקסט תעודה שתיזהה בעצם את המחשב יש עוד הרבה טמפליטים אחרים
תלויי תעודות אבל בגלל שאני מבקש מטעם המחשב הזה יש לי רק תעודה אחת של מחשב אם יש פה כל מיני פרטים לכמה ימים אני מבקש את התעודה כל 365 ימים אני צריך להחליף אותה ועוד הרבה שדות נוספים עליהם אנחנו מדברים בסרטון של תעודות הדיגיטליות בפרופר תספור לשנות כל מיני סודות שאתם רוצים.
אני לא נכנס עכשיו לכל הנושא של תעודות הדיגיטליות, זה היה בסרטונים הקודמים. אני מבקש סמבי ליד קומפיוטון ומבקש תעודה דיגיטלית ומקבל אותה אונליין ושם אני מקבל אותה.
יכול לראות פה שיש לי תעודה דיגיטלית שמזהה את המחשב ויש לי את הפרייבט קינג והכל בסדר. בואו נריץ שוב את הוויזרד, נבוא לרונים, אד רון ובתוך רונים נתקין את השרת הרדיוס NPS נטרוק פוליסי סרבר אתם חייבים לזכור את זה למבחן נטרוק פוליסי סרבר זה רדיוס Health Registration Authority זה תוספת תוכנתית
לרדיוס בודקת בריאות של המתחבר באיזה CA אנחנו נשתמש לצורך בנושא של הבריאות כל ההצהרות בריאות מוצפנות בעצם בתעודות דיגיטליות האם אנחנו נדרוש מהמתחבר מהמציג של תעודת בריאות להיות חבר בדומיין או שלא נדרוש את זה לפי המלצה של מייקרוסופט דורשים את זה ביום יום לפי דעתי אנחנו לא נדרוש את זה חוץ מזה יש בעיה שצריך להפעיל כל מיני דברים בתחנה בשביל שהדבר הזה יעבוד אנחנו נעשה את
זה דרגו פוליסי אבל אם בן אדם הוא לא חבר בדומיין צריך ממש להסביר לו מה לעשות בצורה ידנית וזה קצת מסובך לאנשים בבית אוקיי השאלה הבאה עכשיו איזה תעודה דיגיטלית נציג למי שבא להתחבר איך השרת מציג את הזהות שלו בפני מתחבר להוכיח שהוא שרת האמיתי שאליו התכוונו להתחבר ולא מישהו שגנב את הזהות הוא מציג
תעודה דיגיטלית שכרגע ביקשנו יש self sign self sign זה אומר שאתה לא קיבלת את זה מ-CA אלא אתה יצרת לעצמך תעודה בלי אמא בלי אבא תעודות כאלה כמובן לא יציגו תמיד הודעה של אזהרה שאתה מתחבר לשרת מאוד מסוכן תיזהר אנחנו לא רוצים הודעת אזהרה אנחנו עושים הכל כמו שצריך אז ביקשנו מ-CA תעודה ואחרי זה נלמד את התחנה לסמוך על ה-CA הזאתי על יוני CA על התעודות
שלה. אוקיי ואנחנו בעצם מתקינים את התפקיד. טוב אנחנו תכף מסיימים את ההתקנה ואחרי שאנחנו נסיים את ההתקנה אני אצטרך להריץ ויזארד ששואל אותי כל מיני שאלות ולפי התשובות שלי הוא יגדיר את כל הקטע של הבריאות. סיימנו את ההתקנה אחרי שמסיימים את ההתקנה בשנת 2008 רואים הכלי
הגרפי פה לא עובד סוגרים את הסרבר מנאג'ר גם את התעודות הדיגיטליות אני כמובן לא צריך יותר דרך אגב אם אתם פה לא מצליחים לבקש תעודה דיגיטלית תעשו ריסטארק לשרת אוקיי אנחנו נכנסים לרולים נכנסים לנטוורק פוליסי בנטוורק פוליסי מה אנחנו רואים בעצם אנחנו רואים את ה-NPS שהוא בעצם שרת רדיוס בתוך ה-NPS
אנחנו אנחנו רואים את רדיוס קליינס רדיוס קליינס אני אעבור ככה מהר על הממשק הגרפי רדיוס קליינס זה בעצם רשימה של כל מיני סוויצ'ים access points שרתי VPN שהולכים לשאול את השרת רדיוס החכם האם מותר לבן אדם הזה להתחבר או לא רדיוס קליינס זה רשימה של
מורשים לתשאל מורשים לשאול שאלות זה לא טריוויאלי בכלל שאתם שואלים