Windows Server 2008 RADIUS - Revision history

Htahis at 08:54, 1 June 2010

2010-06-01T08:54:49Z

← Older revision		Revision as of 11:54, 1 June 2010
Line 1:		Line 1:
	[[Category:Traadita side alused]]		[[Category:Traadita side alused]]
			[[Category: Windows Server administreerimine]]

	=Sissejuhatus=		=Sissejuhatus=
	RADIUSega tegelevate teenuste struktuur on Windows NT5 (2000, 2003) ja NT6 (2008, 2008R2) vahel oluliselt muutunud. Olles ammustel aegadel 2003 R2 peal RADIUSe tööle pannud, tekkis huvi seda teha ka 2008 peal. Sai seda kord tööl proovitud ühe teise projekti kõrval, kuid eksitasin end seadete põhjatusse sügavikku. Selle raames saigi nüüd asja uuesti proovitud. Asja tööle saamiseks, katsetamiseks ja testimiseks kulus ca nädala jagu õhtuid, iga õhtu mõned tunnid.		RADIUSega tegelevate teenuste struktuur on Windows NT5 (2000, 2003) ja NT6 (2008, 2008R2) vahel oluliselt muutunud. Olles ammustel aegadel 2003 R2 peal RADIUSe tööle pannud, tekkis huvi seda teha ka 2008 peal. Sai seda kord tööl proovitud ühe teise projekti kõrval, kuid eksitasin end seadete põhjatusse sügavikku. Selle raames saigi nüüd asja uuesti proovitud. Asja tööle saamiseks, katsetamiseks ja testimiseks kulus ca nädala jagu õhtuid, iga õhtu mõned tunnid.

Msoomere at 16:45, 31 May 2010

2010-05-31T16:45:40Z

← Older revision		Revision as of 19:45, 31 May 2010
Line 1:		Line 1:
	[[Category:Traadita side alused]]		[[Category:Traadita side alused]]
	=Sissejuhatus=		=Sissejuhatus=
	RADIUSega tegelevate teenuste struktuur on Windows NT5 (2000, 2003) ja NT6 (2008, 2008R2) vahel oluliselt muutunud.		RADIUSega tegelevate teenuste struktuur on Windows NT5 (2000, 2003) ja NT6 (2008, 2008R2) vahel oluliselt muutunud. Olles ammustel aegadel 2003 R2 peal RADIUSe tööle pannud, tekkis huvi seda teha ka 2008 peal. Sai seda kord tööl proovitud ühe teise projekti kõrval, kuid eksitasin end seadete põhjatusse sügavikku. Selle raames saigi nüüd asja uuesti proovitud. Asja tööle saamiseks, katsetamiseks ja testimiseks kulus ca nädala jagu õhtuid, iga õhtu mõned tunnid.
	* Peaks töötama ka Windows Server 2008 R2 peal		* Peaks töötama ka Windows Server 2008 R2 peal, kuna NPS teenus on jäänud suuresti samaks.
	* Windows 2008 NPS on üsna keeruline tööriist, 2003 vastav teenus oli palju lihtsam.		* Windows 2008 NPS on üsna keeruline (ja võimekas) tööriist, 2003 vastav teenus oli palju lihtsam.

	=Näidisinfrastruktuur=		=Näidisinfrastruktuur=
			==Teenindav pool==
	* Virtual PC 7 virtuaalmasin serveriga, jooksmas sülearvutis 1.		* Virtual PC 7 virtuaalmasin serveriga, jooksmas sülearvutis 1.
	* Windows Server 2008 eelnevalt paigaldatud. Vaata [[Windows Server administreerimine]]. Arvuti nimi TESTSRV.		* Windows Server 2008 eelnevalt paigaldatud. Vaata [[Windows Server administreerimine]]. Arvuti nimi TESTSRV.
	* Active Directory eelnevalt paigaldatud. Vaata [[Active Directory Domain Services]] Domeen test.internal, ~~NETBIOS~~ nimi TEST.		* Active Directory eelnevalt paigaldatud. Vaata [[Active Directory Domain Services]] Domeen test.internal, NetBIOS nimi TEST.
	* Tugijaam DD-WRT v24 beta, Linksys WRT54GL		* Tugijaam DD-WRT v24 beta, Linksys WRT54GL
			==Kontod==
			Kuna ühtegi reaalset masinat domeeni liikmeks ei teinud, ei saanud proovida masinate iseseisvat domeeni logimist. Kasutasin vaid kasutajakontosid test.user kuni test.user3. Katsetasin vastavalt MSCHAPv2, TLS ja mõlemaid kordamööda.
			==Kliendid==
	* Sülearvuti 1 Intel 5300, Windows 7 - Ethernet ühendatud Virtual PC ja tugijaama vahele		* Sülearvuti 1 Intel 5300, Windows 7 - Ethernet ühendatud Virtual PC ja tugijaama vahele
	* Sülearvuti 2 Intel 2945, Windows XP		* Sülearvuti 2 Intel 2945, Windows XP
Line 99:		Line 102:
	[[image:Nps12.png]]<br>		[[image:Nps12.png]]<br>
	==Käsitsi seaded==		==Käsitsi seaded==
	Mõned asjad nõuavad käsitsi muutmist, seega ava uue poliitika seaded.		Mõned asjad nõuavad käsitsi muutmist, seega ava uue poliitika seaded.<br>
	[[image:Nps14.png]]		[[image:Nps14.png]]
	===Overview===		===Overview===
	Oluline linnuke on "Ignore user account dial-in properties". See määrab, kas NPS järgib AD õigusi kasutada dial-in ja VPN teenuseid. Vaikimisi on kasutajatel VPN või dial-up keelatud.		Oluline linnuke on "Ignore user account dial-in properties". See määrab, kas NPS järgib AD õigusi kasutada dial-in ja VPN teenuseid. Vaikimisi on kasutajatel VPN või dial-up keelatud.<br>
	[[image:Nps15.png]]		[[image:Nps15.png]]
	===Conditions===		===Conditions===
	Ühenduvad kliendid peavad ühilduma kõigi tingimustega, kui vastav tingimus on määratud. St kui tingimust pole määratud, siis seda ei kontrollita. Kui tingimus eksisteerib, peab klient sellele vastama.		Ühenduvad kliendid peavad ühilduma kõigi tingimustega, kui vastav tingimus on määratud. St kui tingimust pole määratud, siis seda ei kontrollita. Kui tingimus eksisteerib, peab klient sellele vastama.<br>
	[[image:Nps16.png]]		[[image:Nps16.png]]
	===Constraints===		===Constraints===
	Constraints toimub sarnaselt Conditions'ile, kuid piirangud on eelmääratud.		Constraints toimub sarnaselt Conditions'ile, kuid piirangud on eelmääratud.<br>
	[[image:Nps17.png]]		[[image:Nps17.png]]
	====Authentication Methods====		====Authentication Methods====
	Lisa nimekirja "Microsoft: Smart Card or other certificate" ehk maakeeli EAP-TLS. Windows Mobile puhul peab EAP-TLS toimimiseks olema nimekirjas esimene. Eemalda kõik ülejäänud linnukesed.		Lisa nimekirja "Microsoft: Smart Card or other certificate" ehk maakeeli EAP-TLS. Windows Mobile puhul peab EAP-TLS toimimiseks olema nimekirjas esimene. Eemalda kõik ülejäänud linnukesed.<br>
	[[image:Nps18.png]]		[[image:Nps18.png]]
	===Settings===		===Settings===
	~~ABC~~
	====RADIUS Attributes====		====RADIUS Attributes====
	Standard RADIUS attributes all eemalda DD-WRT jaoks atribuut "Framed-Protocol".		Standard RADIUS attributes all eemalda DD-WRT jaoks atribuut "Framed-Protocol".<br>
	====Encryption====Encryption all eemalda kõik peale "Strongest encryption (MPPE 128-bit)". Samas kõik seadmed ei pruugi tugevaimat krüpteeringut toetada. Lihtne testimine aitab seda kindlaks teha.		====Encryption====
			Encryption all eemalda kõik peale "Strongest encryption (MPPE 128-bit)". Samas kõik seadmed ei pruugi tugevaimat krüpteeringut toetada. Lihtne testimine aitab seda kindlaks teha.<br>

	=Sertifikaadi taotlemine ja eksport=		=Sertifikaadi taotlemine ja eksport=
Line 124:		Line 128:
	"Certificates" konsool pole otseselt kättesaadav, kuid auto-enrollment poliitikaga me hetkel ei tegele.		"Certificates" konsool pole otseselt kättesaadav, kuid auto-enrollment poliitikaga me hetkel ei tegele.
	==Sertifikaatide konsooli avamine==		==Sertifikaatide konsooli avamine==
	Käivita MMC halduskonsool, trükkides "Run" aknasse mmc.		Käivita MMC halduskonsool, trükkides "Run" aknasse mmc.<br>
	[[image:Enrollment1.png]]		[[image:Enrollment1.png]]<br>
	Avanenud aknas vajuta Ctrl+M, et lisada konsoolile laiendusi. Lisa Certificates ja jätka.		Avanenud aknas vajuta Ctrl+M, et lisada konsoolile laiendusi. Lisa Certificates ja jätka.<br>
	[[image:Enrollment1.1.png]]		[[image:Enrollment1.1.png]]
	==Sertifikaaditaotlusviisardi avamine==		==Sertifikaaditaotlusviisardi avamine==
	Tee paremklõps kaustal Personal ja vastavalt pildile ava uue sertifikaadi päringu viisard.		Tee paremklõps kaustal Personal ja vastavalt pildile ava uue sertifikaadi päringu viisard.<br>
	[[image:Enrollment2.png]]		[[image:Enrollment2.png]]
	==Before you begin==		==Before you begin==
	Kiire tutvustus - vajuta jätkamiseks "Next".		Kiire tutvustus - vajuta jätkamiseks "Next".<br>
	[[image:Enrollment3.png]]		[[image:Enrollment3.png]]
	==Select Certificate Enrollment Policy==		==Select Certificate Enrollment Policy==
	Enrollment poliitikad meil puuduvad seega jätka vaikimisi valikuga.		Enrollment poliitikad meil puuduvad seega jätka vaikimisi valikuga.<br>
	[[image:Enrollment4.png]]		[[image:Enrollment4.png]]
	==Request Certificates==		==Request Certificates==
	Vali "User" ja jätka.		Vali "User" ja jätka.<br>
	[[image:Enrollment5.png]]		[[image:Enrollment5.png]]
	==Certificate Installation Results==		==Certificate Installation Results==
	Kui päring õnnestus (võrk, DNS, kasutajakonto korras), sulge viisard.		Kui päring õnnestus (võrk, DNS, kasutajakonto korras), sulge viisard.<br>
	[[image:Enrollment6.png]]		[[image:Enrollment6.png]]
	==Sertifikaadi eksportimise viisard==		==Sertifikaadi eksportimise viisard==
	Vastavalt pildile ava sertifikaadi eksportimise viisard. See on vajalik eksportimaks sertifikaati seadmetele, millel puudub muu ligipääs võrgule, näiteks PDA'd, isiklikud arvutid või eraldiseisvad seadmed (printerid vms). Seda saaks teha läbi Web Enrollmenti, aga see hetkel puudub.		Vastavalt pildile ava sertifikaadi eksportimise viisard. See on vajalik eksportimaks sertifikaati seadmetele, millel puudub muu ligipääs võrgule, näiteks PDA'd, isiklikud arvutid või eraldiseisvad seadmed (printerid vms). Seda saaks teha läbi Web Enrollmenti, aga see hetkel puudub.<br>
	[[image:Enrollment7.png]]		[[image:Enrollment7.png]]
	==Welcome to the Certificate Export Wizard==		==Welcome to the Certificate Export Wizard==
	Väike tutvustus - jätka.		Väike tutvustus - jätka.<br>
	[[image:Enrollment8.png]]		[[image:Enrollment8.png]]
	==Export Private Key==		==Export Private Key==
	Ekspordi sertifikaat koos privaatvõtmega - muidu ei saa ju sind tuvastada.		Ekspordi sertifikaat koos privaatvõtmega - muidu ei saa ju sind tuvastada.<br>
	[[image:Enrollment9.png]]		[[image:Enrollment9.png]]
	==Export File Format==		==Export File Format==
	Kaasa vahepealsed sertifikaadid, kuna teised seadmed ei tea enne importimist midagi meie juursertifikaadist või vahepealsetest sertifikaatidest.		Kaasa vahepealsed sertifikaadid, kuna teised seadmed ei tea enne importimist midagi meie juursertifikaadist või vahepealsetest sertifikaatidest.<br>
	[[image:Enrollment10.png]]		[[image:Enrollment10.png]]
	==Password==		==Password==
	Kaitse eksporditud sertifikaat parooliga - see võimaldab ju kasutajat tuvastada ning valedesse kätesse sattumisel palju pahandust põhjustada.		Kaitse eksporditud sertifikaat parooliga - see võimaldab ju kasutajat tuvastada ning valedesse kätesse sattumisel palju pahandust põhjustada.<br>
	[[image:Enrollment11.png]]		[[image:Enrollment11.png]]
	==File to Export==		==File to Export==
	Määra eksporditud faili asukoht.		Määra eksporditud faili asukoht.<br>
	[[image:Enrollment12.png]]		[[image:Enrollment12.png]]
	==Completing the Certificate Export Wizard==		==Completing the Certificate Export Wizard==
	Kokkuvõte		Kokkuvõte.<br>
	[[image:Enrollment13.png]]		[[image:Enrollment13.png]]

			=Klientseadmed=
	=~~Group Policy seaded WiFi RADIUS klientide halduseks~~=		Siin ma täpsemalt klientseadmete seadistamisele ei keskendu, kuna fookus on serveripoolel. Sertifikaatide import seisneb vaid eksporditud failil klõpsimises ja parooli sisestamises.
	~~GP'ga tuntud levialad jms~~.		* MSCHAPv2 puhul võib jätta kasutajanime ette domeeni sisestamata
			* Kui on vaja domeeni määratleda, kasuta vaid domeeni NetBIOS nime. FQDN peale kipub NPS pirtsutama.
			==Windows==
			* Kui klient pole domeeni liige, hoiatatakse isegi usaldusväärse juursertifikaadi puhul, kui profiil pole eelseadistatud. Profiil tuleb panna käsitsi juursertifikaati usaldama. See on kummaline, arvestades, et imporditud isikliku sertifikaadiga kaasneb ka juursertifikaadi avalik võti.
			* Kui server toetab PEAP ja EAP samaaegselt, valib Windows kõigepealt PEAP. Kui ühendusprofiili (eel)seadistada, saab kliendi määrata käsitsi EAP kasutama.
			* Windows puhverdab sisestatud kasutajanime ja parooli. Kui sisestasid valesti, võib osutuda võimatuks puhvrit tühjendada. Lihtne lahendus on taaskäivitus, mis tühjendab puhvri.
			==WIndows Mobile==
			* Profiili juures tuleb käsitsi määrata, kas kasutada PEAP või EAP.
			* Kuna EAP-MSCHAPv2 pole toetatud, tuleb kasutada PEAP.
			* Windows Mobile hoiatab samuti juursertikaadi usaldamatuse eest...?

	© Mihkel Soomere 2010		© Mihkel Soomere 2010

Msoomere at 14:26, 31 May 2010

2010-05-31T14:26:13Z

← Older revision		Revision as of 17:26, 31 May 2010
Line 123:		Line 123:

	"Certificates" konsool pole otseselt kättesaadav, kuid auto-enrollment poliitikaga me hetkel ei tegele.		"Certificates" konsool pole otseselt kättesaadav, kuid auto-enrollment poliitikaga me hetkel ei tegele.
			==Sertifikaatide konsooli avamine==
	Käivita MMC halduskonsool, trükkides "Run" aknasse mmc.		Käivita MMC halduskonsool, trükkides "Run" aknasse mmc.
	[[image:Enrollment1.png]]		[[image:Enrollment1.png]]
	Avanenud aknas vajuta Ctrl+M, et lisada konsoolile laiendusi. Lisa Certificates ja jätka.		Avanenud aknas vajuta Ctrl+M, et lisada konsoolile laiendusi. Lisa Certificates ja jätka.
	[[image:Enrollment1.1.png]]		[[image:Enrollment1.1.png]]
			==Sertifikaaditaotlusviisardi avamine==
	Tee paremklõps kaustal Personal ja vastavalt pildile ava uue sertifikaadi päringu viisard.		Tee paremklõps kaustal Personal ja vastavalt pildile ava uue sertifikaadi päringu viisard.
	[[image:Enrollment2.png]]		[[image:Enrollment2.png]]
			==Before you begin==
	Kiire tutvustus - vajuta jätkamiseks "Next".		Kiire tutvustus - vajuta jätkamiseks "Next".
	[[image:Enrollment3.png]]		[[image:Enrollment3.png]]
			==Select Certificate Enrollment Policy==
	Enrollment poliitikad meil puuduvad seega jätka vaikimisi valikuga.		Enrollment poliitikad meil puuduvad seega jätka vaikimisi valikuga.
	[[image:Enrollment4.png]]		[[image:Enrollment4.png]]
			==Request Certificates==
	Vali "User" ja jätka.		Vali "User" ja jätka.
	[[image:Enrollment5.png]]		[[image:Enrollment5.png]]
			==Certificate Installation Results==
	Kui päring õnnestus (võrk, DNS, kasutajakonto korras), sulge viisard.		Kui päring õnnestus (võrk, DNS, kasutajakonto korras), sulge viisard.
	[[image:Enrollment6.png]]		[[image:Enrollment6.png]]
			==Sertifikaadi eksportimise viisard==
	Vastavalt pildile ava sertifikaadi eksportimise viisard. See on vajalik eksportimaks sertifikaati seadmetele, millel puudub muu ligipääs võrgule, näiteks PDA'd, isiklikud arvutid või eraldiseisvad seadmed (printerid vms). Seda saaks teha läbi Web Enrollmenti, aga see hetkel puudub.		Vastavalt pildile ava sertifikaadi eksportimise viisard. See on vajalik eksportimaks sertifikaati seadmetele, millel puudub muu ligipääs võrgule, näiteks PDA'd, isiklikud arvutid või eraldiseisvad seadmed (printerid vms). Seda saaks teha läbi Web Enrollmenti, aga see hetkel puudub.
	[[image:Enrollment7.png]]		[[image:Enrollment7.png]]
			==Welcome to the Certificate Export Wizard==
	Väike tutvustus - jätka.		Väike tutvustus - jätka.
	[[image:Enrollment8.png]]		[[image:Enrollment8.png]]
			==Export Private Key==
	Ekspordi sertifikaat koos privaatvõtmega - muidu ei saa ju sind tuvastada.		Ekspordi sertifikaat koos privaatvõtmega - muidu ei saa ju sind tuvastada.
	[[image:Enrollment9.png]]		[[image:Enrollment9.png]]
			==Export File Format==
	Kaasa vahepealsed sertifikaadid, kuna teised seadmed ei tea enne importimist midagi meie juursertifikaadist või vahepealsetest sertifikaatidest.		Kaasa vahepealsed sertifikaadid, kuna teised seadmed ei tea enne importimist midagi meie juursertifikaadist või vahepealsetest sertifikaatidest.
	[[image:Enrollment10.png]]		[[image:Enrollment10.png]]
			==Password==
	Kaitse eksporditud sertifikaat parooliga - see võimaldab ju kasutajat tuvastada ning valedesse kätesse sattumisel palju pahandust põhjustada.		Kaitse eksporditud sertifikaat parooliga - see võimaldab ju kasutajat tuvastada ning valedesse kätesse sattumisel palju pahandust põhjustada.
	[[image:Enrollment11.png]]		[[image:Enrollment11.png]]
			==File to Export==
	Määra eksporditud faili asukoht.		Määra eksporditud faili asukoht.
	[[image:Enrollment12.png]]		[[image:Enrollment12.png]]
			==Completing the Certificate Export Wizard==
	Kokkuvõte		Kokkuvõte
	[[image:Enrollment13.png]]		[[image:Enrollment13.png]]

Msoomere at 14:11, 31 May 2010

2010-05-31T14:11:41Z

@@ Line 121: / Line 121: @@
 =Sertifikaadi taotlemine ja eksport=
 Kuna me "Web enrollment" teenust ei paigaldanud, peab sertifikaate taotlema läbi AD'sse lisatud arvuti. Meie ainus server on ka domeenikontroller ning tavakasutajad ei saa vaikimisi domeenikontrollerisse logida. Selleks puhuks on domeeni lisatud Windows 7 virtuaalmasin.
 "Certificates" konsool pole otseselt kättesaadav, kuid auto-enrollment poliitikaga me hetkel ei tegele.
 Käivita MMC halduskonsool, trükkides "Run" aknasse mmc.
 Avanenud aknas vajuta Ctrl+M, et lisada konsoolile laiendusi. Lisa Certificates ja jätka.
-Ava kaust Personal
+[[image:Enrollment1.1.png]]
-Tee paremklõps kaustal ja
+Tee paremklõps kaustal Personal ja vastavalt pildile ava uue sertifikaadi päringu viisard.
+[[image:Enrollment2.png]]
 =Group Policy seaded WiFi RADIUS klientide halduseks=

Msoomere at 13:42, 31 May 2010

2010-05-31T13:42:35Z

← Older revision		Revision as of 16:42, 31 May 2010
Line 18:		Line 18:
	=Active Directory Certificate Services=		=Active Directory Certificate Services=
	Active Directory Certificate Services (ADCS) on tarvilik EAP-TLS sertifikaatide väljastamiseks ja kontrollimiseks. Samuti kasutab seda valikuliselt PEAP. Viimane võib kasutada ka ise väljastataud (self-signed) sertifikaati, kuid kuna seda TLS jaoks juba vaja on, kasutame sedasama.		Active Directory Certificate Services (ADCS) on tarvilik EAP-TLS sertifikaatide väljastamiseks ja kontrollimiseks. Samuti kasutab seda valikuliselt PEAP. Viimane võib kasutada ka ise väljastataud (self-signed) sertifikaati, kuid kuna seda TLS jaoks juba vaja on, kasutame sedasama.

			NB! Kuna meil on domeenikontroller, CA ja RADIUS ühes masinas, tuvastab RADIUS server ennast juursertifikaadiga. Praktikas ei ole see soovitatav, aga hetkel "kärab küll".
	==Add Roles Wizard==		==Add Roles Wizard==
	Käivita "Add New Roles" viisard ja märgi ADCS. Nagu näha on eeldatavad AD ja DNS (AD eeldus) rollid juba paigaldatud. Jätkamiseks vajuta "Next".<br>		Käivita "Add New Roles" viisard ja märgi ADCS. Nagu näha on eeldatavad AD ja DNS (AD eeldus) rollid juba paigaldatud. Jätkamiseks vajuta "Next".<br>
Line 66:		Line 68:
	[[image:Radiusnps4.png]]		[[image:Radiusnps4.png]]

	=Seadistamine EAP-PEAP (MS-CHAP2) jaoks=		=Seadistamine EAP-PEAP (MS-CHAP2) ja PEAP jaoks=
	Käivita Network Policy Server konsool.		Käivita Network Policy Server konsool.
			==Register server in Active Directory==
	Esmalt registreeri NPS server AD's. Selle tegemiseks tee paremklõps konsoolipuu juurkaustal ja vajuta "Register server in Active Directory". See võimaldab NPS serveril audentida kliente AD kasutajatega.<br>		Esmalt registreeri NPS server AD's. Selle tegemiseks tee paremklõps konsoolipuu juurkaustal ja vajuta "Register server in Active Directory". See võimaldab NPS serveril audentida kliente AD kasutajatega.<br>
	[[image:Nps1.png]]<br>		[[image:Nps1.png]]<br>
Line 75:		Line 77:
	Teiste domeeni kohta forestis tuleb seda käsitsi teha. Hetkel seda vaja pole, kuna teisi domeene pole.<br>		Teiste domeeni kohta forestis tuleb seda käsitsi teha. Hetkel seda vaja pole, kuna teisi domeene pole.<br>
	[[image:Nps3.png]]<br>		[[image:Nps3.png]]<br>
			==Viisardi käivitamine==
	Kasutame NPS seadistamiseks viisardit. Olles NPS konsooli juurkaustas, on tegevuspaanis rippmenüü, kus saab valida erinevate stsenaariumite viisardeid. Vali "RADIUS server for 802.1X Wireless or Wired Connections" ja vajuta "Configure 802.1X".<br>		Kasutame NPS seadistamiseks viisardit. Olles NPS konsooli juurkaustas, on tegevuspaanis rippmenüü, kus saab valida erinevate stsenaariumite viisardeid. Vali "RADIUS server for 802.1X Wireless or Wired Connections" ja vajuta "Configure 802.1X".<br>
	[[image:Nps4.png]]<br>		[[image:Nps4.png]]<br>
			==Select 802.1X Connections Type==
	Vali "Secure Wireless Connections". Nime kohale võid kirjutada midagi äratuntavat.<br>		Vali "Secure Wireless Connections". Nime kohale võid kirjutada midagi äratuntavat.<br>
	[[image:Nps5.png]]<br>		[[image:Nps5.png]]<br>
			==Specify 802.1X Switches==
	Dialoogis saad lisada tugijaamu (authenticator).<br>		Dialoogis saad lisada tugijaamu (authenticator).<br>
	[[image:Nps6.png]]<br>		[[image:Nps6.png]]<br>
			==New RADIUS Client==
	Tugijaama lisamise seadete dialoog. Kõik seadmed ei pruugi toetada nii pikka salasõna (shared secret). Maksimaalse pikkus peaks kirjas olema seadme dokumentatsioonis.<br>		Tugijaama lisamise seadete dialoog. Kõik seadmed ei pruugi toetada nii pikka salasõna (shared secret). Maksimaalse pikkus peaks kirjas olema seadme dokumentatsioonis.<br>
	[[image:Nps7.png]]<br>		[[image:Nps7.png]]<br>
			==Configure an Authentication Method==
	Vali EAP-PEAP (Microsoft: Protected EAP), kuna paljud seadmed ei oska otseselt EAP-MSCHAPv2 kasutada. PEAP sisuliselt kapseldab MSCHAPv2 TLS tunnelisse. Ühest küljest võimaldab see serveril ennast korretse TLS sertifikaadiga tuvastada, kuid teisest küljest ei nõua kliendilt sertifikaati.<br>		Vali EAP-PEAP (Microsoft: Protected EAP), kuna paljud seadmed ei oska otseselt EAP-MSCHAPv2 kasutada. PEAP sisuliselt kapseldab MSCHAPv2 TLS tunnelisse. Ühest küljest võimaldab see serveril ennast korretse TLS sertifikaadiga tuvastada, kuid teisest küljest ei nõua kliendilt sertifikaati.<br>
	[[image:Nps8.png]]<br>		[[image:Nps8.png]]<br>
	Saad piirata kasutajaid, kes võivad RADIUSes end tuvastada. Kui soovid, et arvutid (arvutid iseseisvalt, mitte kasutajad) vastavalt poliitikale iseseisvalt WiFisse logiks, tasub lisada ka grupp arvutitega. Teine variant on jätta kõik tühjaks, siis lubatakse ligi kõik kasutajad.<br>		==Specify User Groups==
			Saad piirata kasutajaid, kes võivad RADIUSes end tuvastada. Kui soovid, et arvutid (arvutid iseseisvalt, mitte kasutajad) vastavalt poliitikale iseseisvalt WiFisse logiks, tasub lisada ka grupp arvutitega. Teine variant on jätta kõik tühjaks, siis lubatakse ligi kõik kasutajad. Seda valikut saab hiljem täpsemalt määrata Conditions all.<br>
	[[image:Nps11.png]]<br>		[[image:Nps11.png]]<br>
			==Configure a Virtual LAN (VLAN)==
	VLANe hetkel pole, nii et ei puutu.<br>		VLANe hetkel pole, nii et ei puutu.<br>
	[[image:Nps12.png]]<br>		[[image:Nps12.png]]<br>
			==Käsitsi seaded==
			Mõned asjad nõuavad käsitsi muutmist, seega ava uue poliitika seaded.
			[[image:Nps14.png]]
			===Overview===
			Oluline linnuke on "Ignore user account dial-in properties". See määrab, kas NPS järgib AD õigusi kasutada dial-in ja VPN teenuseid. Vaikimisi on kasutajatel VPN või dial-up keelatud.
			[[image:Nps15.png]]
			===Conditions===
			Ühenduvad kliendid peavad ühilduma kõigi tingimustega, kui vastav tingimus on määratud. St kui tingimust pole määratud, siis seda ei kontrollita. Kui tingimus eksisteerib, peab klient sellele vastama.
			[[image:Nps16.png]]
			===Constraints===
			Constraints toimub sarnaselt Conditions'ile, kuid piirangud on eelmääratud.
			[[image:Nps17.png]]
			====Authentication Methods====
			Lisa nimekirja "Microsoft: Smart Card or other certificate" ehk maakeeli EAP-TLS. Windows Mobile puhul peab EAP-TLS toimimiseks olema nimekirjas esimene. Eemalda kõik ülejäänud linnukesed.
			[[image:Nps18.png]]
			===Settings===
			ABC
			====RADIUS Attributes====
			Standard RADIUS attributes all eemalda DD-WRT jaoks atribuut "Framed-Protocol".
			====Encryption====Encryption all eemalda kõik peale "Strongest encryption (MPPE 128-bit)". Samas kõik seadmed ei pruugi tugevaimat krüpteeringut toetada. Lihtne testimine aitab seda kindlaks teha.

			=Sertifikaadi taotlemine ja eksport=
			Kuna me "Web enrollment" teenust ei paigaldanud, peab sertifikaate taotlema läbi AD'sse lisatud arvuti. Meie ainus server on ka domeenikontroller ning tavakasutajad ei saa vaikimisi domeenikontrollerisse logida. Selleks puhuks on domeeni lisatud Windows 7 virtuaalmasin.
			"Certificates" konsool pole otseselt kättesaadav, kuid auto-enrollment poliitikaga me hetkel ei tegele.
			Käivita MMC halduskonsool, trükkides "Run" aknasse mmc.
			Avanenud aknas vajuta Ctrl+M, et lisada konsoolile laiendusi. Lisa Certificates ja jätka.
			Ava kaust Personal
			Tee paremklõps kaustal ja


	=Seadistamine EAP-TLS jaoks=		=Seadistamine EAP-TLS jaoks=

Msoomere at 20:28, 30 May 2010

2010-05-30T20:28:23Z

← Older revision		Revision as of 23:28, 30 May 2010
Line 20:		Line 20:
	==Add Roles Wizard==		==Add Roles Wizard==
	Käivita "Add New Roles" viisard ja märgi ADCS. Nagu näha on eeldatavad AD ja DNS (AD eeldus) rollid juba paigaldatud. Jätkamiseks vajuta "Next".<br>		Käivita "Add New Roles" viisard ja märgi ADCS. Nagu näha on eeldatavad AD ja DNS (AD eeldus) rollid juba paigaldatud. Jätkamiseks vajuta "Next".<br>
	[[image:Radiusadcs1.png]]		[[image:Radiusadcs1.png]]<br>
	==Introduction to Active Directory Certificate Services==		==Introduction to Active Directory Certificate Services==
	Kuvatakse rolli tutvustus ja hoiatatakse, et peale rolli paigaldust ei saa serveri nime ega domeeni kuuluvust muuta. Need tegevused muudaks arvuti ja DNS nime ning juursertifikaati ei saa enam kontrollida, kuna vastav server privaatvõtmega puudub.<br>		Kuvatakse rolli tutvustus ja hoiatatakse, et peale rolli paigaldust ei saa serveri nime ega domeeni kuuluvust muuta. Need tegevused muudaks arvuti ja DNS nime ning juursertifikaati ei saa enam kontrollida, kuna vastav server privaatvõtmega puudub.<br>
	[[image:Radiusadcs2.png]]		[[image:Radiusadcs2.png]]<br>
	==Select Role Services==		==Select Role Services==
	Palutakse märkida rolli teenused. Certification Authority on kohustuslik. Web Enrollment võimaldab teha sertifikaaditaotlusi veebibrauseriga, kasutamata otseselt teist arvutit. Hetkel me seda ei vaja, jätkamiseks vajuta "Next".<br>		Palutakse märkida rolli teenused. Certification Authority on kohustuslik. Web Enrollment võimaldab teha sertifikaaditaotlusi veebibrauseriga, kasutamata otseselt teist arvutit. Hetkel me seda ei vaja, jätkamiseks vajuta "Next".<br>
	[[image:Radiusadcs3.png]]		[[image:Radiusadcs3.png]]<br>
	==Specify Setup Type==		==Specify Setup Type==
	Vali sertifikaadihoidla tüüp. Kuna me käesolevalt kasutame AD andmebaasi RADIUSe jaoks, vali "Enterprise", mis seob CA AD külge. Jätkamiseks vajuta "Next"<br>		Vali sertifikaadihoidla tüüp. Kuna me käesolevalt kasutame AD andmebaasi RADIUSe jaoks, vali "Enterprise", mis seob CA AD külge. Jätkamiseks vajuta "Next"<br>
	[[image:Radiusadcs4.png]]		[[image:Radiusadcs4.png]]<br>
	==Specify CA Type==		==Specify CA Type==
	Kuna tegemist on esimese CA'ga, pead määrama selle tasemme. Kuna meil eelnevad CA'd puuduvad, määra Root CA (juursertimisorgan) ja jätks.<br>		Kuna tegemist on esimese CA'ga, pead määrama selle tasemme. Kuna meil eelnevad CA'd puuduvad, määra Root CA (juursertimisorgan) ja jätks.<br>
	[[image:Radiusadcs5.png]]		[[image:Radiusadcs5.png]]<br>
	==Set Up Private Key==		==Set Up Private Key==
	Kuna meil puuduvad eelnevad CA'd koos privaatvõtmetega, vali uue privaatvõtme loomiseks "Create a new private key" ja jätka.<br>		Kuna meil puuduvad eelnevad CA'd koos privaatvõtmetega, vali uue privaatvõtme loomiseks "Create a new private key" ja jätka.<br>
	[[image:Radiusadcs6.png]]		[[image:Radiusadcs6.png]]<br>
	==Configure Cryptography for CA==		==Configure Cryptography for CA==
	Võimaldab määrate erinevaid krüptoteenuseid ja võtmepikkusi juursertifikaadile. Kuigi turvamiseks võib valida SHA512 räsialgoritmi ja 16384 bitise võtme, on vaikimisi võimalused proof-of-concept jaoks täiesti piisavad. Jätka.<br>		Võimaldab määrate erinevaid krüptoteenuseid ja võtmepikkusi juursertifikaadile. Kuigi turvamiseks võib valida SHA512 räsialgoritmi ja 16384 bitise võtme, on vaikimisi võimalused proof-of-concept jaoks täiesti piisavad. Jätka.<br>
	[[image:Radiusadcs7.png]]		[[image:Radiusadcs7.png]]<br>
	==Configure CA Name==		==Configure CA Name==
	Common name kohale võib kirjutada midagi kergesti äratuntavat, näiteks "Domeeni juursertifikaat". DN suffiksit pole mõtet muute ilma täpsete teadmisteta LDAPist ja AD struktuurist.<br>		Common name kohale võib kirjutada midagi kergesti äratuntavat, näiteks "Domeeni juursertifikaat". DN suffiksit pole mõtet muute ilma täpsete teadmisteta LDAPist ja AD struktuurist.<br>
	[[image:Radiusadcs8.png]]		[[image:Radiusadcs8.png]]<br>
	==Set Validity Period==		==Set Validity Period==
	Juursertifikaadi kehtivusaeg. Vaikimisi 5 aastat on sobiv, jätka.<br>		Juursertifikaadi kehtivusaeg. Vaikimisi 5 aastat on sobiv, jätka.<br>
	[[image:Radiusadcs9.png]]		[[image:Radiusadcs9.png]]<br>
	==Configure Certificate Database==		==Configure Certificate Database==
	Praktikas on soovitatav andmed paigutada eraldi partitsioonile, hetkel jätame nad siiski vaikimisi asukohta.<br>		Praktikas on soovitatav andmed paigutada eraldi partitsioonile, hetkel jätame nad siiski vaikimisi asukohta.<br>
	[[image:Radiusadcs10.png]]		[[image:Radiusadcs10.png]]<br>
	==Confirm Installation Selections==		==Confirm Installation Selections==
	Kokkuvõte valikutest. Peale "Install" vajutamist pole võimalik arvuti nime ega domeenikuuluvust muuta ilma juursertifikaati tühistamata.<br>		Kokkuvõte valikutest. Peale "Install" vajutamist pole võimalik arvuti nime ega domeenikuuluvust muuta ilma juursertifikaati tühistamata.<br>
	[[image:Radiusadcs11.png]]		[[image:Radiusadcs11.png]]<br>

	=Network Protection Services=		=Network Protection Services=
Line 70:		Line 70:

	Esmalt registreeri NPS server AD's. Selle tegemiseks tee paremklõps konsoolipuu juurkaustal ja vajuta "Register server in Active Directory". See võimaldab NPS serveril audentida kliente AD kasutajatega.<br>		Esmalt registreeri NPS server AD's. Selle tegemiseks tee paremklõps konsoolipuu juurkaustal ja vajuta "Register server in Active Directory". See võimaldab NPS serveril audentida kliente AD kasutajatega.<br>
	[[image:Nps1.png]]		[[image:Nps1.png]]<br>
	Palutakse luba lisada arvuti objekt gruppi, et lugeda kasutajate Dial-in seadeid. Kuigi NPS võib neid seadeid ignoreerida, on see soovitatav.<br>		Palutakse luba lisada arvuti objekt gruppi, et lugeda kasutajate Dial-in seadeid. Kuigi NPS võib neid seadeid ignoreerida, on see soovitatav.<br>
	[[image:Nps2.png]]		[[image:Nps2.png]]<br>
	Teiste domeeni kohta forestis tuleb seda käsitsi teha. Hetkel seda vaja pole, kuna teisi domeene pole.<br>		Teiste domeeni kohta forestis tuleb seda käsitsi teha. Hetkel seda vaja pole, kuna teisi domeene pole.<br>
	[[image:Nps3.png]]		[[image:Nps3.png]]<br>
	Kasutame NPS seadistamiseks viisardit. Olles NPS konsooli juurkaustas, on tegevuspaanis rippmenüü, kus saab valida erinevate stsenaariumite viisardeid. Vali "RADIUS server for 802.1X Wireless or Wired Connections" ja vajuta "Configure 802.1X".<br>		Kasutame NPS seadistamiseks viisardit. Olles NPS konsooli juurkaustas, on tegevuspaanis rippmenüü, kus saab valida erinevate stsenaariumite viisardeid. Vali "RADIUS server for 802.1X Wireless or Wired Connections" ja vajuta "Configure 802.1X".<br>
	[[image:Nps4.png]]		[[image:Nps4.png]]<br>
	Vali "Secure Wireless Connections". Nime kohale võid kirjutada midagi äratuntavat.<br>		Vali "Secure Wireless Connections". Nime kohale võid kirjutada midagi äratuntavat.<br>
	[[image:Nps5.png]]		[[image:Nps5.png]]<br>
	Dialoogis saad lisada tugijaamu (authenticator).<br>		Dialoogis saad lisada tugijaamu (authenticator).<br>
	[[image:Nps6.png]]		[[image:Nps6.png]]<br>
	Tugijaama lisamise seadete dialoog. Kõik seadmed ei pruugi toetada nii pikka salasõna (shared secret). Maksimaalse pikkus peaks kirjas olema seadme dokumentatsioonis.<br>		Tugijaama lisamise seadete dialoog. Kõik seadmed ei pruugi toetada nii pikka salasõna (shared secret). Maksimaalse pikkus peaks kirjas olema seadme dokumentatsioonis.<br>
	[[image:Nps7.png]]		[[image:Nps7.png]]<br>
	Vali EAP-PEAP (Microsoft: Protected EAP), kuna paljud seadmed ei oska otseselt EAP-MSCHAPv2 kasutada. PEAP sisuliselt kapseldab MSCHAPv2 TLS tunnelisse. Ühest küljest võimaldab see serveril ennast korretse TLS sertifikaadiga tuvastada, kuid teisest küljest ei nõua kliendilt sertifikaati.<br>		Vali EAP-PEAP (Microsoft: Protected EAP), kuna paljud seadmed ei oska otseselt EAP-MSCHAPv2 kasutada. PEAP sisuliselt kapseldab MSCHAPv2 TLS tunnelisse. Ühest küljest võimaldab see serveril ennast korretse TLS sertifikaadiga tuvastada, kuid teisest küljest ei nõua kliendilt sertifikaati.<br>
	[[image:Nps8.png]]		[[image:Nps8.png]]<br>
	Saad piirata kasutajaid, kes võivad RADIUSes end tuvastada. Kui soovid, et arvutid (arvutid iseseisvalt, mitte kasutajad) vastavalt poliitikale iseseisvalt WiFisse logiks, tasub lisada ka grupp arvutitega. Teine variant on jätta kõik tühjaks, siis lubatakse ligi kõik kasutajad.<br>		Saad piirata kasutajaid, kes võivad RADIUSes end tuvastada. Kui soovid, et arvutid (arvutid iseseisvalt, mitte kasutajad) vastavalt poliitikale iseseisvalt WiFisse logiks, tasub lisada ka grupp arvutitega. Teine variant on jätta kõik tühjaks, siis lubatakse ligi kõik kasutajad.<br>
	[[image:Nps11.png]]		[[image:Nps11.png]]<br>
	VLANe hetkel pole, nii et ei puutu.<br>		VLANe hetkel pole, nii et ei puutu.<br>
	[[image:Nps12.png]]		[[image:Nps12.png]]<br>

	=Seadistamine EAP-TLS jaoks=		=Seadistamine EAP-TLS jaoks=

Msoomere at 20:27, 30 May 2010

2010-05-30T20:27:03Z

← Older revision		Revision as of 23:27, 30 May 2010
Line 71:		Line 71:
	Esmalt registreeri NPS server AD's. Selle tegemiseks tee paremklõps konsoolipuu juurkaustal ja vajuta "Register server in Active Directory". See võimaldab NPS serveril audentida kliente AD kasutajatega.<br>		Esmalt registreeri NPS server AD's. Selle tegemiseks tee paremklõps konsoolipuu juurkaustal ja vajuta "Register server in Active Directory". See võimaldab NPS serveril audentida kliente AD kasutajatega.<br>
	[[image:Nps1.png]]		[[image:Nps1.png]]
	Palutakse luba lisada arvuti objekt gruppi, et lugeda kasutajate Dial-in seadeid. Kuigi NPS võib neid seadeid ignoreerida, on see soovitatav.		Palutakse luba lisada arvuti objekt gruppi, et lugeda kasutajate Dial-in seadeid. Kuigi NPS võib neid seadeid ignoreerida, on see soovitatav.<br>
	[[image:Nps2.png]]		[[image:Nps2.png]]
	Teiste domeeni kohta forestis tuleb seda käsitsi teha.		Teiste domeeni kohta forestis tuleb seda käsitsi teha. Hetkel seda vaja pole, kuna teisi domeene pole.<br>
	[[image:Nps3.png]]		[[image:Nps3.png]]
	Kasutame NPS seadistamiseks viisardit. Olles NPS konsooli juurkaustas, on tegevuspaanis rippmenüü, kus saab valida erinevate stsenaariumite viisardeid. Vali "RADIUS server for 802.1X Wireless or Wired Connections" ja vajuta "Configure 802.1X".		Kasutame NPS seadistamiseks viisardit. Olles NPS konsooli juurkaustas, on tegevuspaanis rippmenüü, kus saab valida erinevate stsenaariumite viisardeid. Vali "RADIUS server for 802.1X Wireless or Wired Connections" ja vajuta "Configure 802.1X".<br>
	Nps4.png		[[image:Nps4.png]]
	Vali "Secure Wireless Connections". Nime kohale võid kirjutada midagi äratuntavat.		Vali "Secure Wireless Connections". Nime kohale võid kirjutada midagi äratuntavat.<br>
	Nps5.png		[[image:Nps5.png]]
	Dialoogis saad lisada tugijaamu (authenticator).		Dialoogis saad lisada tugijaamu (authenticator).<br>
	Nps6.png		[[image:Nps6.png]]
	Tugijaama lisamise seadete dialoog. Kõik seadmed ei pruugi toetada nii pikka salasõna (shared secret). Maksimaalse pikkus peaks kirjas olema seadme dokumentatsioonis.		Tugijaama lisamise seadete dialoog. Kõik seadmed ei pruugi toetada nii pikka salasõna (shared secret). Maksimaalse pikkus peaks kirjas olema seadme dokumentatsioonis.<br>
	Nps7.png		[[image:Nps7.png]]
	Vali EAP-PEAP (Microsoft: Protected EAP), kuna paljud seadmed ei oska otseselt EAP-MSCHAPv2 kasutada. PEAP sisuliselt kapseldab MSCHAPv2 TLS tunnelisse. Ühest küljest võimaldab see serveril ennast korretse TLS sertifikaadiga tuvastada, kuid teisest küljest ei nõua kliendilt sertifikaati.		Vali EAP-PEAP (Microsoft: Protected EAP), kuna paljud seadmed ei oska otseselt EAP-MSCHAPv2 kasutada. PEAP sisuliselt kapseldab MSCHAPv2 TLS tunnelisse. Ühest küljest võimaldab see serveril ennast korretse TLS sertifikaadiga tuvastada, kuid teisest küljest ei nõua kliendilt sertifikaati.<br>
	Nps8.png		[[image:Nps8.png]]
	~~Nps9.png~~		Saad piirata kasutajaid, kes võivad RADIUSes end tuvastada. Kui soovid, et arvutid (arvutid iseseisvalt, mitte kasutajad) vastavalt poliitikale iseseisvalt WiFisse logiks, tasub lisada ka grupp arvutitega. Teine variant on jätta kõik tühjaks, siis lubatakse ligi kõik kasutajad.<br>
	~~Nps10.png~~		[[image:Nps11.png]]
	Saad piirata kasutajaid, kes võivad RADIUSes end tuvastada. Kui soovid, et arvutid vastavalt poliitikale iseseisvalt		VLANe hetkel pole, nii et ei puutu.<br>
	Nps11.png		[[image:Nps12.png]]
	~~Nps12~~.~~png~~
	~~Nps13~~.png

	=Seadistamine EAP-TLS jaoks=		=Seadistamine EAP-TLS jaoks=

Msoomere at 19:56, 30 May 2010

2010-05-30T19:56:34Z

← Older revision		Revision as of 22:56, 30 May 2010
Line 69:		Line 69:
	Käivita Network Policy Server konsool.		Käivita Network Policy Server konsool.

			Esmalt registreeri NPS server AD's. Selle tegemiseks tee paremklõps konsoolipuu juurkaustal ja vajuta "Register server in Active Directory". See võimaldab NPS serveril audentida kliente AD kasutajatega.<br>
			[[image:Nps1.png]]
	Nps1.png		Palutakse luba lisada arvuti objekt gruppi, et lugeda kasutajate Dial-in seadeid. Kuigi NPS võib neid seadeid ignoreerida, on see soovitatav.
	Nps2.png		[[image:Nps2.png]]
	Nps3.png		Teiste domeeni kohta forestis tuleb seda käsitsi teha.
			[[image:Nps3.png]]
			Kasutame NPS seadistamiseks viisardit. Olles NPS konsooli juurkaustas, on tegevuspaanis rippmenüü, kus saab valida erinevate stsenaariumite viisardeid. Vali "RADIUS server for 802.1X Wireless or Wired Connections" ja vajuta "Configure 802.1X".
	Nps4.png		Nps4.png
			Vali "Secure Wireless Connections". Nime kohale võid kirjutada midagi äratuntavat.
	Nps5.png		Nps5.png
			Dialoogis saad lisada tugijaamu (authenticator).
	Nps6.png		Nps6.png
			Tugijaama lisamise seadete dialoog. Kõik seadmed ei pruugi toetada nii pikka salasõna (shared secret). Maksimaalse pikkus peaks kirjas olema seadme dokumentatsioonis.
	Nps7.png		Nps7.png
			Vali EAP-PEAP (Microsoft: Protected EAP), kuna paljud seadmed ei oska otseselt EAP-MSCHAPv2 kasutada. PEAP sisuliselt kapseldab MSCHAPv2 TLS tunnelisse. Ühest küljest võimaldab see serveril ennast korretse TLS sertifikaadiga tuvastada, kuid teisest küljest ei nõua kliendilt sertifikaati.
	Nps8.png		Nps8.png
	Nps9.png		Nps9.png
	Nps10.png		Nps10.png
			Saad piirata kasutajaid, kes võivad RADIUSes end tuvastada. Kui soovid, et arvutid vastavalt poliitikale iseseisvalt
	Nps11.png		Nps11.png
	Nps12.png		Nps12.png

Msoomere at 08:55, 30 May 2010

2010-05-30T08:55:02Z

← Older revision		Revision as of 11:55, 30 May 2010
Line 5:		Line 5:
	* Windows 2008 NPS on üsna keeruline tööriist, 2003 vastav teenus oli palju lihtsam.		* Windows 2008 NPS on üsna keeruline tööriist, 2003 vastav teenus oli palju lihtsam.

	=~~Infrastruktuur~~=		=Näidisinfrastruktuur=
	* Windows Server 2008 on eelnevalt paigaldatud. Vaata [[Windows Server administreerimine]]		* Virtual PC 7 virtuaalmasin serveriga, jooksmas sülearvutis 1.
	* Active Directory on eelnevalt paigaldatud. Vaata [[Active Directory Domain Services]]		* Windows Server 2008 eelnevalt paigaldatud. Vaata [[Windows Server administreerimine]]. Arvuti nimi TESTSRV.
	* Tugijaam on DD-WRT ~~v23 SP2 baseeruv~~		* Active Directory eelnevalt paigaldatud. Vaata [[Active Directory Domain Services]] Domeen test.internal, NETBIOS nimi TEST.
	* ~~Klientseade on~~ Windows XP, ~~Vista~~, 7		* Tugijaam DD-WRT v24 beta, Linksys WRT54GL
			* Sülearvuti 1 Intel 5300, Windows 7 - Ethernet ühendatud Virtual PC ja tugijaama vahele
			* Sülearvuti 2 Intel 2945, Windows XP
			* PDA 1, Qualcomm, Windows Mobile 6.1 Professional
			* PDA 2, Qualcomm, Windows Mobile 6.5
			* IP võrk 192.168.63.0/24, staatiliselt määratud

	=Active Directory Certificate Services=		=Active Directory Certificate Services=
Line 48:		Line 53:

	=Network Protection Services=		=Network Protection Services=
	~~Rolli install~~ ja vajalikud ~~klõpsud~~		==Add Roles Wizard==
			Vali rollide nimekirjast Network Policy and Access Services ja vajuta jätkamiseks Next.<br>
			[[image:Radiusnps1.png]]
			==Network Policy and Access Services==
			Tutvustatakse erinevaid rolli võimalusi, jätka. <br>
			[[image:Radiusnps2.png]]
			==Select Role Services==
			Vali rolliteenuste seast "Network Policy Server" ja jätka. Teised teenused pakuvad näiteks VPNi ja kliendi tarkvara turvakontrolli, kuid pole hetkel vajalikud. <br>
			[[image:Radiusnps3.png]]
			==Confirm Installation Selections==
			Kinnita paigaldus vajutades "Install".<br>
			[[image:Radiusnps4.png]]

	=~~Tugijaama seadistamine~~=		=Seadistamine EAP-PEAP (MS-CHAP2) jaoks=
			Käivita Network Policy Server konsool.

	~~=Seadistamine EAP-PEAP (MS-CHAP2) jaoks=~~
	~~Audentimisskeem vastu DC'd~~
			Nps1.png
			Nps2.png
			Nps3.png
			Nps4.png
			Nps5.png
			Nps6.png
			Nps7.png
			Nps8.png
			Nps9.png
			Nps10.png
			Nps11.png
			Nps12.png
			Nps13.png

	=Seadistamine EAP-TLS jaoks=		=Seadistamine EAP-TLS jaoks=

Msoomere at 15:53, 29 May 2010

2010-05-29T15:53:03Z

← Older revision		Revision as of 18:53, 29 May 2010
Line 32:		Line 32:
	[[image:Radiusadcs6.png]]		[[image:Radiusadcs6.png]]
	==Configure Cryptography for CA==		==Configure Cryptography for CA==
	Võimaldab määrate erinevaid krüptoteenuseid ja võtmepikkusi juursertifikaadile. Kuigi turvamiseks võib valida SHA512 räsialgoritmi ja 16384 bitise võtme, on vaikimisi võimalused proof-of-concept jaoks täiesti piisavad. Jätka.		Võimaldab määrate erinevaid krüptoteenuseid ja võtmepikkusi juursertifikaadile. Kuigi turvamiseks võib valida SHA512 räsialgoritmi ja 16384 bitise võtme, on vaikimisi võimalused proof-of-concept jaoks täiesti piisavad. Jätka.<br>
	[[image:Radiusadcs7.png]]		[[image:Radiusadcs7.png]]
	==Configure CA Name==		==Configure CA Name==
	Common name kohale võib kirjutada midagi kergesti äratuntavat, näiteks "Domeeni juursertifikaat". DN suffiksit pole mõtet muute ilma täpsete teadmisteta LDAPist ja AD struktuurist.		Common name kohale võib kirjutada midagi kergesti äratuntavat, näiteks "Domeeni juursertifikaat". DN suffiksit pole mõtet muute ilma täpsete teadmisteta LDAPist ja AD struktuurist.<br>
	[[image:Radiusadcs8.png]]		[[image:Radiusadcs8.png]]
	==Set Validity Period==		==Set Validity Period==
	Juursertifikaadi kehtivusaeg. Vaikimisi 5 aastat on sobiv, jätka.		Juursertifikaadi kehtivusaeg. Vaikimisi 5 aastat on sobiv, jätka.<br>
	[[image:Radiusadcs9.png]]		[[image:Radiusadcs9.png]]
	==Configure Certificate Database==		==Configure Certificate Database==
	Praktikas on soovitatav andmed paigutada eraldi partitsioonile, hetkel jätame nad siiski vaikimisi asukohta.		Praktikas on soovitatav andmed paigutada eraldi partitsioonile, hetkel jätame nad siiski vaikimisi asukohta.<br>
	[[image:Radiusadcs10.png]]		[[image:Radiusadcs10.png]]
	==Confirm Installation Selections==		==Confirm Installation Selections==
	Kokkuvõte valikutest. Peale "Install" vajutamist pole võimalik arvuti nime ega domeenikuuluvust muuta ilma juursertifikaati tühistamata.		Kokkuvõte valikutest. Peale "Install" vajutamist pole võimalik arvuti nime ega domeenikuuluvust muuta ilma juursertifikaati tühistamata.<br>
	[[image:Radiusadcs11.png]]		[[image:Radiusadcs11.png]]