Nap windows server 2019

На чтение3 мин

Опубликовано01.03.2014

Обновлено21.04.2025

NAP (Network Access Protection) – это технология для обеспечения безопасности и целостности сети в операционной системе Windows Server 2019.

Как работает NAP?

Основной идеей технологии NAP является контроль доступа к сетевым ресурсам для подключающихся клиентов. Перед тем как получить доступ к сети, клиенты проходят проверку своего состояния (например, наличие антивирусного ПО или обновлений). Если состояние не соответствует заданным требованиям, клиенты могут быть ограничены в доступе или отправлены на специальную страницу для устранения проблем.

Например, если клиент не имеет установленного антивирусного ПО, он может быть ограничен в доступе к ресурсам в сети до установки и активации антивируса.

Преимущества использования NAP

Использование NAP позволяет повысить безопасность сети, уменьшить риски из-за подключения устройств с вредоносным ПО и снизить затраты на администрирование. Кроме того, NAP позволяет автоматизировать процесс проверки состояния клиентов и проводить аудит сетевых подключений.

Внешний вид и функциональность функции Nap на Windows Server 2019

Функция Network Access Protection (Nap) на Windows Server 2019 предоставляет мощные возможности контроля доступа к сети. Она позволяет администраторам определить политику безопасности для клиентских компьютеров и устройств, основываясь на их соответствии заранее установленным требованиям.

Внешний вид функции Nap на Windows Server 2019 представлен в виде центра управления, который позволяет администраторам просматривать и настраивать параметры безопасности для подключаемых компьютеров и устройств. Интерфейс центра управления предоставляет интуитивно понятные настройки и возможность просматривать информацию о статусе компьютеров и устройств.

Функциональность функции Nap на Windows Server 2019 также включает возможность установки требований безопасности и ограничений на подключаемые компьютеры и устройства. Администраторы могут создавать различные типы политик безопасности, включая проверку наличия обновлений, настройку антивирусного программного обеспечения и другие требования.

При подключении клиентских компьютеров и устройств к сети, функция Nap на Windows Server 2019 автоматически проверяет их соответствие заданным политикам безопасности. В случае несоответствия, Nap может применять дополнительные меры безопасности, такие как ограничение доступа к определенным ресурсам или отправка уведомлений администратору.

В целом, функция Nap на Windows Server 2019 обеспечивает эффективный контроль доступа к сети и повышает безопасность сетевой инфраструктуры. Благодаря своему удобному интерфейсу и гибким возможностям настройки, Nap является незаменимым инструментом при соблюдении требований безопасности и обеспечении доступа только доверенным клиентам.

Основные варианты использования и преимущества функции Nap на Windows Server 2019

Функция Network Access Protection (Nap) предоставляет средства защиты и контроля доступа пользователей в сети. Она позволяет администраторам обеспечить соблюдение политик безопасности и предотвратить подключение несоответствующих устройств.

Основные варианты использования функции Nap включают:

Варианты использования	Описание
Ограничение доступа к сетевым ресурсам	Например, можно создать политику, которая разрешает доступ только определенным пользователям или устройствам. Это позволяет предотвратить несанкционированный доступ к важным данным.
Автоматическое обновление антивирусного ПО	С помощью Nap можно настроить обязательное обновление антивирусных программ на всех подключенных устройствах. Это помогает обезопасить сеть от вредоносных программ и защищает данные от утечки или повреждения.
Предотвращение подключения несертифицированных устройств	Функция Nap позволяет создать политику, которая требует сертификации устройств перед разрешением их подключения к сети. Таким образом, можно предотвратить использование несанкционированных устройств или устройств с потенциальными уязвимостями.

Преимущества использования функции Nap на Windows Server 2019 включают:

Повышение безопасности сети путем контроля доступа и соблюдения политик безопасности.
Упрощение администрирования сети благодаря автоматическому обновлению антивирусного ПО и предотвращению подключения несоответствующих устройств.
Защита важных данных от несанкционированного доступа или повреждения.
Повышение производительности сети, поскольку ресурсы не будут использоваться несанкционированными устройствами.

Источник

Windows Server 2019 is a powerful operating system that provides a wide range of features and capabilities for businesses of all sizes. One of the key features of Windows Server 2019 is Nap, which stands for Network Access Protection.

What is Nap?

Nap is a feature that helps organizations protect their network by ensuring that all devices that connect to the network meet certain security requirements. Nap works by enforcing policies that are defined by the administrator of the network.

With Nap, IT administrators can define policies that require devices to have antivirus software installed, the latest security updates, and other security features. These policies can be set up to automatically remediate any issues that are found, such as updating anti-virus software or blocking access to the network.

How does Nap work?

Nap works by using a client/server architecture. The Nap client is installed on devices that connect to the network, while the Nap server is installed on the Windows Server 2019 operating system.

When a device connects to the network, the Nap client sends a statement of health (SoH) to the Nap server. The SoH includes information about the security features that are enabled on the device, such as antivirus software and firewall settings.

The Nap server then compares the information in the SoH with the policies that have been defined by the administrator. Based on the results of this comparison, the Nap server can either allow or block the device from accessing the network. If the device does not meet the security requirements, the Nap server can also restrict access to certain resources on the network.

Advantages of using Nap

Improved network security: Nap provides an additional layer of security for your network, as it ensures that all devices that connect to the network meet certain security requirements.
Automated remediation: Nap policies can be set up to automatically remediate any issues that are found, which reduces the burden on IT administrators.
Flexible policies: IT administrators can define policies that are specific to their organization’s needs, which allows them to balance security with usability.

Limitations of Nap

While Nap provides many benefits, there are also some limitations to consider:

Requires client software: Devices that connect to the network must have the Nap client software installed in order to be assessed for compliance with security policies.
Not a complete solution: While Nap can enforce certain security policies, it is not a complete solution for network security. Other security measures such as firewalls, intrusion detection systems, and monitoring tools should also be used.

Conclusion

Nap is a valuable feature in Windows Server 2019 that can help organizations improve their network security. By enforcing security policies and automating remediation, Nap can reduce the burden on IT administrators while ensuring that all devices that connect to the network meet certain security requirements. While there are some limitations to consider, Nap should be included in any organization’s overall security strategy.

NAP Windows Server 2019: Обзор

Windows Server 2019 является новейшей операционной системой от компании Microsoft для серверных компьютеров. Система имеет множество функций и возможностей, включая средства безопасности сети, масштабируемую файловую систему, поддержку виртуализации и многое другое. В данной статье мы рассмотрим функциональность NAP Windows Server 2019 и как она может помочь повысить безопасность вашей сети.

Что такое Network Access Protection (NAP)?

Network Access Protection (NAP) — это технология безопасности, которая позволяет ограничить доступ к сети на компьютерах, которые не соответствуют определенным правилам безопасности. Например, это могут быть компьютеры, на которых не установлены обновления безопасности или не работает антивирус.

NAP обеспечивает централизованную систему управления безопасностью и собирает информацию о состоянии систем безопасности на каждом компьютере в сети. Эти данные затем анализируются и обрабатываются, чтобы определить, соответствует ли каждый компьютер требованиям безопасности.

Как работает NAP в Windows Server 2019?

В Windows Server 2019 NAP работает в сочетании с DHCP, роль которой обеспечивает автоматическую настройку IP-адресов на компьютерах в сети. DHCP используется для выдачи специальных NAP-серверов, которые проверяют состояние безопасности каждого компьютера, прежде чем он может получить доступ к сети.

Если компьютер не соответствует правилам безопасности, например, если на нем не установлены обновления безопасности, то он помещается в специальное виртуальное сетевое устройство, известное как VLAN (Virtual Local Area Network), который предоставляет доступ к ограниченному набору ресурсов в сети, например, к серверу обновлений безопасности. Когда компьютер опять соответствует правилам безопасности, он может получать доступ к полной сети.

Основные преимущества NAP

Улучшенная безопасность сети: NAP позволяет управлять доступом к сети в зависимости от состояния безопасности каждого компьютера, что уменьшает вероятность возникновения атак на сеть изнутри.
Централизованное управление: NAP обеспечивает единый интерфейс управления для определения и контроля состояния безопасности каждого компьютера в сети.
Низкая стоимость владения: NAP использует существующую инфраструктуру и не требует дополнительного оборудования, что уменьшает затраты на поддержку и управление.

Как настроить NAP в Windows Server 2019?

Для настройки NAP в Windows Server 2019 нужно выполнить следующие шаги:

Установить роль NAP на сервере.
Настроить политику безопасности.
Настроить DHCP-сервер для работы с NAP.
Настроить клиентские компьютеры.

Пошаговая инструкция по настройке NAP в Windows Server 2019 доступна на официальном сайте Microsoft.

«Network Access Protection предоставляет эффективный механизм для ограничения доступа к сети на компьютерах, которые не соответствуют определенным правилам безопасности. Эта технология может использоваться в совокупности с другими средствами безопасности, такими как антивирусное программное обеспечение и брандмауэры, чтобы создать централизованную систему управления безопасностью в вашей сети.»

Вывод

Network Access Protection (NAP) — это мощная технология, которая поможет улучшить безопасность вашей сети. Использование NAP в сочетании с другими средствами безопасности, такими как антивирусное программное обеспечение и брандмауэры, поможет создать централизованную систему управления безопасностью для вашей сети.

Nap Windows Server 2019: Все, что вам нужно знать

Windows Server 2019 — это последнее обновление серверного операционной системы от Microsoft. Одной из его важных функций является Network Access Protection (NAP). В этой статье мы рассмотрим, что такое NAP, как это работает, и почему это важно для вашей сети.

Что такое Network Access Protection?

Network Access Protection (NAP) — это технология безопасности, которая позволяет ограничивать доступ к сетевым ресурсам компьютеров в сети, если они не соответствуют определенным требованиям. Оно используется для предотвращения доступа к сети пользователям и компьютерам, которые не имеют должной защиты.

С NAP вы можете применять политики безопасности, которые позволяют определять требования к сетевым настройкам (например, наличие антивируса, наличие обновлений безопасности и использование определенных программ) и требовать выполнения этих требований перед предоставлением доступа к сети.

Как работает NAP?

В Windows Server 2019 NAP работает в качестве системы, которая оценивает соответствие компьютера определенным требованиям безопасности. Для этого он использует специальный компонент, называемый System Health Validator (SHV), который контролирует состояние компьютера и проверяет его на соответствие заданным критериям безопасности.

SHV может проверять весьма различные параметры безопасности, включая антивирусы, межсетевые экраны, настройки безопасности операционной системы и другие компоненты. Если компьютер соответствует заданным требованиям, он получает доступ к сети. В противном случае доступ к сети может быть ограничен или полностью запрещен.

Почему NAP важен для вашей сети?

Отсутствие защиты компьютеров в сети может привести к серьезным последствиям, включая несанкционированный доступ к данным, повреждение Вашей сети, утечки конфиденциальной информации и другие проблемы безопасности.

С помощью NAP вы можете принудительно требовать соблюдения минимальных требований безопасности для всех компьютеров, подключающихся к сети. Это включает наличие антивируса, обновлений безопасности, настройки конфигурации операционной системы и других параметров безопасности, которые вы можете установить в соответствии с потребностями вашей организации.

Итоги

Использование Network Access Protection (NAP) в Windows Server 2019 может помочь улучшить безопасность вашей сети, обеспечивая контроль доступа к компьютерам и пользователям, которые не соответствуют заданным стандартам безопасности. С NAP вы можете контролировать соответствие компьютеров требованиям безопасности до того, как они получат доступ к сети, предотвращая тем самым потенциальные проблемы безопасности.

Более высокий уровень безопасности для вашей сети.
Контроль доступа к сети для не соответствующих требованиям компьютеров.
Принудительное соблюдение требований безопасности для всех компьютеров в сети.

«Это важно не только для безопасности вашей сети, но также и для защиты конфиденциальности ваших данных и обеспечения непрерывной работы вашей компании.»

Источник

Windows 10: NAP in windows server 2019

Discus and support NAP in windows server 2019 in Windows 10 Gaming to solve the problem; Hi guys,I would like to use system health validator in NAP in windows server 2019 and cannot find it at all. would you please help me about it?P.S: I…
Discussion in ‘Windows 10 Gaming’ started by Bahman.cmas, Feb 15, 2023.

NAP in windows server 2019

Hi guys,I would like to use system health validator in NAP in windows server 2019 and cannot find it at all. would you please help me about it?P.S: I like to check Antivirus and windows update validation via NAP in my network.best regards,Bahman
Office 2019

Only supported on Win10. Sorry, 8.1 users, only 4 years old, gotta go.

Microsoft Office 2019 will only work on Windows 10

https://blogs.technet.microsoft.com…-to-office-and-windows-servicing-and-support/

Spoiler Office 2019
Last year at Ignite, we announced Office 2019 – the next perpetual version of Office that includes apps (including Word, Excel, PowerPoint, and Outlook, and Skype for Business) and servers (including Exchange, SharePoint, and Skype for Business). Today we’re pleased to share the following updates:
- Office 2019 will ship in H2 of 2018. Previews of the new apps and servers will start shipping in the second quarter of 2018.
- Office 2019 apps will be supported on:
  
  Any supported Windows 10 SAC release
  
  Windows 10 Enterprise LTSC 2018
  
  The next LTSC release of Windows Server
- The Office 2019 client apps will be released with Click-to-Run installation technology only. We will not provide MSI as a deployment methodology for Office 2019 clients. We will continue to provide MSI for Office Server products.
Windows Server 2019 «D:\recycle.bin» corrupt.

I have Windows 2019 server. When i login it says d:\recycle.bin is corrupt. I have done all the suggested tricks : EX:chekdskD: /R and rd /s /q d:\$Recycle.bin

Neither of those worked. next step, run Windows repair or I’m wiping it out.
NAP in windows server 2019
Activate RDS CAL 2019 on Windows Server 2016

Dear Microsoft Support,

We recently purchased Windows Server RDS CAL 2019.

When we tried to install Windows Server RDS CAL 2019 into Windows Server 2016, it shows the license is not recognized and couldn’t install.

My questions are :

Can’t Windows RDS CAL 2019 be installed in Windows Server 2016? If can, how?

Is there any way to downgrade RDS CAL from 2019 to 2016 version?

Thanks,

Thema:

NAP in windows server 2019

NAP in windows server 2019 — Similar Threads — NAP server 2019
NAP in windows server 2019

in Windows 10 Software and Apps

NAP in windows server 2019: Hi guys,I would like to use system health validator in NAP in windows server 2019 and cannot find it at all. would you please help me about it?P.S: I like to check Antivirus and windows update validation via NAP in my network.best regards,Bahman…
Windows server 2019 file server backup server.

in Windows 10 Gaming

Windows server 2019 file server backup server.: Hello,So basically I have a server running server 2019 dedicated for files and all the network drives / users home spaces etc. What I really want to do is get another server and set the new server up as a fail back. So, if there’s any issues with the main server it will…
Windows server 2019 file server backup server.

in Windows 10 Software and Apps

Windows server 2019 file server backup server.: Hello,So basically I have a server running server 2019 dedicated for files and all the network drives / users home spaces etc. What I really want to do is get another server and set the new server up as a fail back. So, if there’s any issues with the main server it will…
Windows server 2019

in Windows 10 Gaming

Windows server 2019: I have a Key to activate Windows Server 2019. Currently on the PC I have Windows Server 2019 Evaluation with GUI installed. When I try to activate it through the activation tab I get the error code 0x80070032 returned. I can provide more information if needed, i am also…
Windows server 2019

in Windows 10 Software and Apps

Windows server 2019: I have a Key to activate Windows Server 2019. Currently on the PC I have Windows Server 2019 Evaluation with GUI installed. When I try to activate it through the activation tab I get the error code 0x80070032 returned. I can provide more information if needed, i am also…
BlueScreen Windows Server 2019

in Windows 10 Gaming

BlueScreen Windows Server 2019: Hello I have a big problem with my Windows Server 2019 on Dell R720.When no one is logged it runs for months with no problem but when i log in with remote desktop it reboots afrer few minutes. I’ve installed lastest bios and all patches for server and all software updates…
Server 2019

in Windows 10 Installation and Upgrade

Server 2019: OK, here goes. I Have never posted a question to this, or any, forum regarding windows before, but I’m stumped. I’ll try and be as clear as possible.

The scenario: A newly installed windows Server 2019 standard running a Client/Server software called Dentrix. The server…
Windows Server 2019

in Windows 10 BSOD Crashes and Debugging

Windows Server 2019: Hello,

I have a question to the new Windows Server 2019.

Is it possible to divide a windows host server for performance sharing? With multiple users working on it at the same time. As an example, that multiple users can play simultaneously on this server? Thus, only the…
Windows Server 2019

in Windows 10 Installation and Upgrade

Windows Server 2019: My family is using Windows 2016 Essentials. What is our upgrade path to Windows 2019 Server? Our server has 2 cores.

https://answers.microsoft.com/en-us/windows/forum/all/windows-server-2019/e0e655e0-af27-4955-86f2-32f015eb0fff

Источник

2. Considerations for NAP Enforcement

When
deliberating between the types of NAP enforcement methods to institute
within your network, you need to know the strengths and weaknesses of
each method. How does each method deal with non-NAP capable computers?
What is required in each method to administer unmanaged computers
(computers not part of the internal AD DS)? In planning a NAP solution,
consider that all the NAP enforcement methods have one or more of the
following aspects:

NAP does not stop attackers.
NAP, to some degree, implies a trust with the NAP client.
NAP does not remove harmful software from connecting computers.
NAP should be treated as an assurance feature.

NAP cannot stop an attacker. A malicious user,
whether an employee, guest, or outside user, might provide all the
necessary compliance for access to your network but still launch an
attack when inside your network.

NAP indirectly assumes that the client has not
provided false settings, configurations, or modifications to installed
software to attain a false positive of compliance. Remember, you are
essentially asking the computer owner whether everything on the computer
is fine and he or she has not falsified, concealed, or knowingly
allowed anyone to configure or install software on this computer. Does
this sound similar to the security warnings you might hear a dozen times
an hour at any airport?

NAP provides a health statement based on the
appearance of sound security configurations, settings, and installed
software. It does not scan the computer for malicious software but,
rather, assumes that the verified health state of a computer means that
another subsystem or configuration on an installed security software
application performs that feature.

Finally, NAP is an assurance feature. You are
determining that the computers connecting to your network and
communicating with the secure internal environment have applied the
necessary security precautions to prevent an outbreak. Remember, if
someone with malicious intent were to circumvent your NAP solution, the
assurance that all other computers have complied with your NAP policies
will help deter an attacker from damaging your environment or possibly
acquiring sensitive information. As an enterprise administrator, realize
your NAP solution was not meant to stop an employee or would-be
attacker intent on stealing information; that is not the role a NAP
infrastructure is meant to play.

3. Planning NAP IPsec Enforcement

When looking for the strongest enforcement method
to apply within your network, NAP IPsec enforcement provides the most
robust and tamper-resistant solution compared to all other NAP
enforcement methods. IPsec enforcement has these advantages:

Tightly controlled enforcement that not even the local administrator is capable of bypassing
Upgrades to network infrastructure devices such as hubs, switches, and routers to support NAP are unnecessary
Granular control to network access
Easier avenue to end-to-end encryption of sensitive communications

Even by manipulating settings and the
configuration of the local computer, administrators cannot bypass health
certificates issued by the Health Registration Authority (HRA). Because
all other computers are also protected by the same means, there is no
way to subvert this requirement. Introducing new switches or other
network devices provides no means around the required legitimate health
certificate to communicate with hosts expecting the certificate during
the IPsec negotiation.

IPsec works at layer 3 and uses a logical
connection that is above the physical layers in the network; bypassing
it would require modification or extensive reconfiguration of physical
hardware.

IPsec allows an administrator to control
communication pathways end-to-end. An administrator can create hardened
IPsec policies that dictate source and destination IP addresses along
with source and destination ports that are allowed for communication and
must be encrypted. IPsec enforcement can also control access to the
network stringently but use a general approach to managing
communication. If you use IPsec enforcement to tightly control access to
the secure network, you have already taken a large leap toward
encrypting sensitive traffic within your environment.

The disadvantages of an IPsec enforcement solution deserve serious consideration as well:

It requires creation and maintenance of network zones for the logical separation of network communication.
It
requires the establishment of an internal PKI. If one already exists,
it might need a minor overhaul if its creator did not anticipate the
additional load that an IPsec enforcement solution will incur.
It
requires another series of servers, which must be managed for
configuration, load balancing, and high availability. Loss of the
ability to issue health certificates would mean a catastrophic loss of
communication within the environment.

When weighing the advantages and disadvantages of
a NAP solution using IPsec enforcement, an organization has to consider
the increased security that would be provided. IPsec enforcement
provides not only the direct benefits offered by a NAP solution but also
the increased benefits of data confidentiality when communicating
throughout the network environment.

Designing NAP IPsec Enforcement

When
planning NAP IPsec enforcement for any organization, you need to
establish the security zones first and determine which services to offer
in the boundary network. The three security zones for an IPsec solution
are:

Restricted network
Boundary network
Secure network

Restricted Network

The restricted network, also referred to as the
remediation network, is not the same as the perimeter network. The
restricted network is a select network where noncompliant computers have
limited access to services to perform remediation. Computers placed
into the restricted network consist of either noncompliant NAP clients
or non-NAP-capable clients. For IPsec enforcement, the restricted
network includes only these devices.

Computers in the restricted network can
initiate communication with computers in the restricted and boundary
networks. Neither communication is protected by IPsec. Computers in all
three networks, however, can initiate communication with computers in
the restricted network. This communication is not protected by IPsec
either.

Non-NAP-compliant computers have already
attempted communication with an HRA and have received a System Statement
of Health Response (SSoHR) that contains the Statement of Health
Responses (SoHRs) stating which system health agents (SHAs) are
noncompliant. The non-NAP-compliant computer in the restricted network
will initiate contact with servers in the boundary network to perform
remediation. After remediation has been performed, the non-NAP-compliant
computer will try again to attain a health certificate. The computer
will go through the process of accumulating, across all SHAs, a
Statement of Health (SoH) and submit a System Statement of Health (SSoH)
to an HRA. The HRA, using System Health Validators (SHVs), will process
all SoHs on the SSoH to formulate its SSoHR.

Upon receiving the SSoHR that shows the NAP
client as compliant, the HRA also issues a health certificate so that
the NAP client is now part of the secure network and initiates
IPsec-authenticated communication with computers in either the boundary
network or the secure network.

Non-NAP-capable computers are those of guests
and other unsupported operating systems such as any version of Windows
earlier than Windows XP SP3, Apple Macintosh computers, and UNIX
computers. A guest computer can be NAP capable but, because it is
unmanaged (not part of AD DS), will more than likely be treated like a
non-NAP-capable computer unless network policies dictate otherwise.

Boundary Network

The boundary network contains computers
responsible for remediation as well as for the HRAs, support services
such as DNS, AD DS, and DHCP servers, WSUS and possibly, the NAP CAs.
Because the boundary network requires communication from computers
residing in the restricted and secure networks, IPsec policies should
allow for IPsec-authenticated traffic as well as for unauthenticated
traffic. Computers in the boundary network should be managed computers.
This enables them to receive their IPsec policies and changes to those
policies through Group Policy.

Boundary servers, when communicating with
computers in the restricted network, allow unauthenticated communication
because computers in the restricted network do not contain the
necessary health certificates. When boundary servers communicate with
servers in the restricted network, IPsec-authenticated traffic is
required.

There is a twist to this last statement. The
boundary computers themselves are the ones that offer the update
services, have the necessary configuration for compliance, and are part
of the NAP components. To ensure that they are capable of initiating
IPsec-authenticated communication, they also require a health
certificate. To provide these computers with a health certificate,
create an IPsec NAP exemption group whose membership includes all the
computers of the boundary network. Configure a Group Policy setting that
sets the NAP IPsec exemption group for certificate autoenrollment to
acquire the necessary health certificate. Because the computers of the
exemption group need to hold onto this certificate for the period of
time they are performing their services, ensure that the template used
to issue the certificate has been set for an extended period of time.

Computers from the restricted network as well
as the computers in the boundary network need authentication services.
Domain controllers located in the boundary network should be RODCs.

Secure Network

The secure network includes all computers that
have passed health validation and have acquired a health certificate.
The remaining portion of the NAP components related to IPsec enforcement
also resides here. These components consist of the following:

NAP Health Policy servers
Health Requirement servers
Root CAs
RADIUS proxy servers

Computers within this network should be managed
computers (part of AD DS). This enables them to acquire their IPsec
policies and any configuration changes to your NAP environment through
Group Policy.

Scaling NAP IPsec Enforcement for Small Environments

When deploying components for NAP IPsec
enforcement, you have the opportunity to decide which components can be
installed together. In smaller environments, it might be appropriate to
consolidate several services on one computer. The issue becomes deciding
which services to install together.

The
HRA must be able to support unprotected communication from NAP clients,
and you should, therefore, install the HRA in the boundary network.
Because the load on the HRA in a small environment might not be that
heavy, you might decide to install it on a computer that has one or more
of the following services other computers in the boundary network also
need:

RODCs
NPS configured for the NAP Health Policy Server role
NAP CA

If your environment is expected to grow, it
would be wise to move some of these components to another server. You
can then assume that the server installed with the HRA would be deployed
in the boundary network, and another computer with the remaining
services would be deployed in the secure network.

Important:Splitting the HRA and the NAP Health Policy Server role

If you split the HRA and the NAP Health Policy
Server role to two computers, you still need to install the NPS role on
the HRA computer. Then configure a RADIUS server group and a connection
request policy for the local NPS service to forward requests to the
remote RADIUS server group in the secure network.

Administrators of extremely small sites of 15 or
fewer computers might consider employing ISA Server 2006. ISA Server
can create a site-to-site VPN link to the main office boundary network.
The connection from the VPN server in the boundary network can be
treated like any other local connection requiring IPsec enforcement to
obtain a certificate initially. After a computer at the remote office
has obtained a health certificate, IPsec rules can be managed granularly
to ensure that the branch office computer is able to communicate only
with the necessary services at the remote office, through the
site-to-site VPN, and in the boundary network for remediation and
renewal of certificates. ISA Server would require a certificate as well
and should probably be included in the IPsec exemption group. Ensure
that a computer certificate is issued to the computer running ISA Server
for an extended period of time.

Scaling NAP IPsec Enforcement for Larger Environments

For larger environments, several components
require a thorough design review to ensure high availability and load
balancing of specific components. You can begin by deciding which of the
following services will be installed individually on at least two or
more computers in the boundary network at the corporate office:

HRA
RODC
Subordinate NAP CA
Remediation server services

By
providing fault tolerance for the HRA, the RODCs, and the NAP CA, you
are ensuring a healthy environment. Remember that by employing IPsec
enforcement, you are required to have these services running constantly.
If one or more of these services become unavailable, health
certificates will expire, and communication within the network will
fail. Ensuring the ability of NAP clients to acquire health certificates
is essential because all communication depends upon the necessity of
each computer to present a valid health certificate when attempting to
communicate with another computer.

In the secure network, deploy at least two NAP
health policy servers. Configure the HRA computers as RADIUS clients of
the NAP health policy servers. To ensure proper load balancing when
configuring the remote RADIUS server group of the NPS service on the HRA
computers, use the same priority and weight settings for all members of
the RADIUS server group on each of the HRA computers.

For deployments at the branch offices, consider
using the deployment models discussed previously for a small company.
The services offered at the branch offices would model the same
considerations given to a smaller company with a single site.

PKI Support for IPsec Enforcement

IPsec enforcement use of health certificates
requires you, as the enterprise administrator, to reexamine the role PKI
currently has within your environment. If a PKI does not exist, you
need to deploy one. If one already exists, consider the additional load
balancing and management that will be needed.

Smaller environments that already have a PKI
probably require only the creation of a subordinate CA for NAP. This CA
can be deployed in the boundary networks on the HRA to conserve server
resources.

Larger environments require more planning
because you now need to consider additional aspects of PKI when employed
for use with NAP IPsec enforcement. The load on the CA issuing health
certificates will be directly proportional to:

The number of NAP clients in the environment.
The lifetime of a health certificate.

The number of NAP clients is not something that
you can truly control because deploying a NAP solution would entail
using it pervasively throughout the environment.

The lifetime of the health certificate is
something you can administer, and it has a direct influence over the
load on your NAP CAs. Microsoft recommends for best practices to keep
the lifetime at a minimum, preferably four hours. Reducing this time
increases the load on the NAP CAs for renewals. Increasing the time,
although reducing the load on the NAP CAs, also increases the likelihood
that a computer can be out of compliance for a longer period due to
changes in the health requirement policy.

Structure of the PKI

For
most environments, adding an additional subordinate CA to issue health
certificates for NAP is sufficient. Microsoft recommends that, in large
environments, administrators create an entirely new PKI for NAP. You
need to install a new root CA on a server within the secure environment
and secure its private key with a hardware security module (HSM). Create
subordinate CAs for NAP to issue the health certificates. These can be
deployed in the boundary network and given the same security
consideration as the RODCs deployed there. This would mean the removal
of all unnecessary services and provide a limited attack surface.
Securing its private key is not as critical as securing the root CA
because certificates issued by it will have a limited lifetime.

You do not need to worry about issuing timely
certificate revocation lists (CRLs) for this portion of your PKI because
the certificates will expire long before the CRLs are published. In
addition, an OCSP responder service is also unnecessary due to the
limited lifetime of your health certificates.

Configuring Additional NAP Components on Clients

System health agents from third-party members
need to be installed on all NAP clients. A variety of software
distribution methods is available to an administrator. You can use any
one of the following not only for IPsec enforcement but also for VPN
enforcement, 802.1x enforcement, and DHCP enforcement:

Software deployment or logon scripts through Group Policy.
Desktop management software such as Microsoft System Center Configuration Manager

2007.
Manual installation for unmanaged computers.
Shares on remediation servers. Configure the troubleshooting URLs to instruct the user to install the missing SHAs.

Note: Troubleshooting URLs

Troubleshooting URLs are configured as part of
the remediation experience in case clients that fail compliance do not
have the Configuration Manager client installed. On one of the
remediation servers installed in the restricted network, configure a Web
URL to help instruct remediation clients on the location of software
and options to choose to help acquire a successful health validation.

Configuring NAP Health Policy Servers

The NPS server running the NAP health
policy server can be configured with additional third-party SHVs.
Installation instructions for the third-party SHVs are provided by the
third-party vendor. The SHVs must be installed on all NAP health policy
servers participating in the NAP solution for IPsec as well as for VPN
enforcement, 802.1x enforcement, and DHCP enforcement. Windows Server 2008 provides the
default Windows Security Health Validator SHV that provides security
settings for the Windows Security Center on Windows NAP clients.

Источник

Как быстро и просто настроить авторизацию через RADIUS от Microsoft? Думаю, это поможет тем, кто захочет иметь возможность заходить на устройства MikroTik через дружелюбный WinBox и простой SSH.

План:

Установка роли NPS;
Добавление RADIUS клиента;
Создание политики подключения;
Создание политики сети;
Добавление сервера авторизации на MikroTik;
Проверка через SSH и WinBox.

Установка роли NPS

Имеем Windows Server 2016 Datacenter с уже установленным доменом.

Выбираем сервер, на котором будет разворачиваться роль. Microsoft не рекомендует делать это на контроллере домена, но в некоторых best practices для уменьшения задержек дают совет ставить именно на него. Добавляем роль Network Policy and Access Server вместе с management tools для настройки.

Install-WindowsFeature NPAS -IncludeManagementTools

Запускаем любым удобным способом админку NPS. Например, через менеджер серверов.

Регистрируем сервер NPS в AD.

netsh ras add registeredserver

Добавление RADIUS клиента

Для того, чтобы сервер знал с какими устройствами налаживать общение нужно добавить их в RADIUS Clients.

Для примера, добавляю свой MikroTik wAP. Friendly name установил как Identity на устройстве и IP заданный на его единственном проводном интерфейсе. Для того, чтобы устройство смогло авторизоваться на сервере нужно ввести ключ. Он создается на сервере либо вручную, либо генерируется автоматически. Я предпочел второй вариант.

New-NpsRadiusClient –Address "10.1.1.21" –Name "router01" –SharedSecret "egEcM4myJCptphGlZ1UymS#qLh^urp@fJ1hF8dE6dwb27NI^oIJtTWKKp^MEsU6p"

Vendor name остановим на стандартном RADIUS.

Устройство добавлено.

Создание политики подключения

Подбираем подходящее название для политики.

Определяем наше устройство с которым будет работать сервер.

Я выбрал только Client Friendly Name со значением Router01. Это четко привязывает данный пункт политики к устройству через созданного клиента. Можно идентифицировать устройство Mikrotik по Identity выбрав NAS Identifier.

Без предварительной конфигурации устройства Identity = MikroTik.

Дальнейшая настройка политики.

На этапе выбора протокола аутентификации достаточно выбрать нешифрованный (о чем получите предупреждение) PAP для SSH или шифрованный CHAP для WinBox. Я выбрал оба. Если есть необходимость использовать web версию, то достаточно включить MS-CHAPv2, в остальном всё аналогично.

Собственно, предупреждение о выборе небезопасного способа. Предлагают почитать пошаговый справочный материал.

На данном этапе я не стал ничего трогать.

Итоговые установки политики.

У меня не получилось воспроизвести это через PowerShell, даже стандартный example с technet’а. Буду признателен, если подскажете почему.

netsh nps add crp name = "Request Policy Router01" state = "ENABLE" processingorder = "1" policysource = "0" conditionid ="0x1020" conditiondata = "router01" profileid = "0x1025" profiledata = "0x1" profileid = "0x1009" profiledata = "0x1" "0x2" profileid = "0x1fb0" profiledata = "TRUE"

Выбираем нужный приоритет двигая выше или ниже пункт политики.

Создание политики сети

Назовем её Routers.

Как и прежде, нужно определить условия.

В AD у меня создан дополнительный пользователь состоящий в группе Domain Admins. Выбираю условие Windows Group исходя из того, чтобы все администраторы домена смогли получать доступ к MikroTik.

Разрешительное или запретительное правило. Мы будем разрешать всем, кто попал под условие.

Способ аутенификации выбираем аналогичный прошлой политике.

Исходя из необходимости можно настроить дополнительные настройки. Я оставил без изменений.

Далее необходимо выбрать что будет отправляться на сервер.

Итоговые настройки политики сети.

Выбираем необходимый приоритет среди других политик, если необходимо.

Чтобы учетная запись проверялась через NPS в AD у этого пользователя на вкладке Dial-in в разделе Network Access Permission должен быть отмечен пункт Control access through NPS Network Policy.

Для возможности авторизовываться через WinBox нужно включить обратимое шифрование в профиле пользователя.

Добавление сервера авторизации на MikroTik

Первым делом присвоим System/Identity равным router01 и IP с маской для интерфейса.

/system identity set name=router01
/ip address add address=10.1.1.21/24 interface=ether1 network=10.1.1.0

В System/Users и на вкладке Users включаем пункт Use RADIUS. По умолчанию выбран доступ только для чтения.

/user aaa set use-radius=yes

Открываем настройки Radius и добавляем новый сервер. Сервис выбирается исходя из назначения. Лучше, конечно же, делить доступ между ними. Address — адрес сервера на котором установлен NPS.

Secret — ключ, который был сгенерирован на стадии добавления клиента на сервере.

/radius add address=10.1.1.1 secret=egEcM4myJCptphGlZ1UymS#qLh^urp@fJ1hF8dE6dwb27NI^oIJtTWKKp^MEsU6p service=login

Проверка через SSH и WinBox

Проверка подключения через SSH и экспорт конфигурации.

И проверяем авторизацию в Winbox.

Как видим, в активных пользователях висят системный admin и оба подключения доменного юзера с доступом для чтения через SSH и Winbox.

Всё работает.
Спасибо за внимание.

For network access and policy management capabilities, Microsoft’s RADIUS server and proxy tool is the Network Policy Server (NPS). NPS offers authentication, authorization, and accounting (AAA), enables the use of heterogeneous network equipment and ensures the health of network devices.

The RADIUS protocol provides the configuration and management of authentication for network clients central to NPS functionality. Current editions of NPS are installable via the Network Policy and Access Services (NPAS) feature in Windows Server 2016 and Server 2019.

This article looks at what RADIUS servers are, the purpose of Network Policy Servers, their role in networking, and best practices for managing NPS.

Learn more about the range of server types, functions, and purposes in our Guide to Servers.

What Is the RADIUS Protocol?
What Do RADIUS Servers Do?
What Is the Purpose of NPS?
The 3 Roles of NPS
NPS Best Practices

What Is the RADIUS Protocol?

RADIUS stands for Remote Authentication Dial-In User Service and was initially a client-server protocol for dial-up connections. While dial-up has lost its luster in enterprise use, RADIUS servers remain a convenient way to offload authentication from access points.

RADIUS servers can run on Windows or Unix servers and, most importantly, allow administrators to control who can connect to the network. Clients for the RADIUS server represent network access points; users make requests to RADIUS clients that pass along the request to the RADIUS server for authentication.

What Do RADIUS Servers Do?

Within communication protocols for networks, like user datagram protocol (UDP) or transmission control protocol (TCP), RADIUS servers communicate with network access servers.

A client device makes a connection request to the network access server (NAS). The NAS works with the RADIUS server, relying on its AAA capabilities to authenticate the user and respond with permission for the proper configuration.

Read more: What is Server Management?

What Is the Purpose of NPS?

Network Policy Server is the solution for Windows network administrators using RADIUS capabilities. Not only does NPS offer configurable policies for network access, but it also ensures non-Microsoft devices can connect once authenticated.

By placing users and client devices in groups or automating classification, administrators can control the types of clients and permissions available to network users. This control allows for continued management of access policies and also enables event logging for accounting purposes. NPS also scans requests to ensure client health and maintain network integrity.

Read more: Server Security Best Practices.

The 3 Roles of NPS

RADIUS Server

NPS performs AAA for wireless, switch, remote access dial-up, and VPN connections as a RADIUS server. Administrators configure network access servers — e.g., WAP and VPN servers — as RADIUS clients, and log event data on the local hard disk or a SQL Server database.

RADIUS Proxy

NPS can configure access policies and manage which RADIUS server a connection request delivers as a RADIUS proxy. This includes the ability to forward accounting data for replicating logs on multiple remote RADIUS servers for load balancing.

Access Protection

As remote work and BYOD policies present various devices to networks, administrators need to know which endpoints are trustworthy. The NPS can act as a health validator for client devices through indicators like patched software, firewalls, and malware definitions.

Read more: Syxsense Manage & Syxsense Secure: Endpoint Management Software Review

NPS Best Practices

Microsoft identifies seven areas of best practices when utilizing Network Policy Server. These are provided in the below table.

A graphic showing the best practices for NPS management like accounting, authentication, client configuration, installation, performance tuning, security, and how large organizations should deploy NPS systems.

To learn more about the most recent updates to Network Policy Server, head to Microsoft’s NPS documentation.

При обслуживании больших сетей системные администраторы часто сталкиваются с проблемами аутентификации на сетевом оборудовании. В частности, довольно сложно организовать нормальную работу нескольких сетевых администраторов под индивидуальными учетными записями на большом количестве оборудования (приходится вести и поддерживать в актуальном состоянии базу локальных учетных записей на каждом устройстве). Логичным решение было бы использовать для авторизации уже существующей базы учетных записей — Active Directory. В этой статье мы разберемся, как настроить доменную (Active Directory) аутентификацию на активном сетевом оборудовании (коммутаторы, маршрутизаторы).

Не все сетевое оборудование популярных вендоров (CISCO, HP, Huawei) поддерживает функционал для непосредственного обращения к каталогу LDAP, и такое решение не будет универсальным. Для решения нашей задачи подойдет протокол AAA (Authentication Authorization and Accounting), фактически ставший стандартом де-факто для сетевого оборудования. Клиент AAA (сетевое устройство) отправляет данные авторизующегося пользователя на сервер RADIUS и на основе его ответа принимает решение о предоставлении / отказе доступа.

Протокол Remote Authentication Dial In User Service (RADIUS) в Windows Server 2012 R2 включен в роль NPS (Network Policy Server). В первой части статьи мы установим и настроим роль Network Policy Server, а во второй покажем типовые конфигурации сетевого устройств с поддержкой RADUIS на примере коммутаторов HP Procurve и оборудования Cisco.

Содержание:

Установка и настройка сервера с ролью Network Policy Server
Настройка сетевого оборудования для работы с сервером RADUIS

Установка и настройка сервера с ролью Network Policy Server

Как правило, сервер с ролью NPS рекомендуется устанавливать на выделенном сервере (не рекомендуется размещать эту роль на контроллере домена). В данном примере роль NPS мы будем устанавливать на сервере с Windows Server 2012 R2.

Откройте консоль Server Manager и установите роль Network Policy Server (находится в разделе Network Policy and Access Services).

Установка роли Network Policy Server на Windows Server 2012 R2

После окончания установки запустите mmc-консоль управления Network Policy Server. Нас интересуют три следующих раздела консоли:

RADIUS Clients — содержит список устройств, которые могут аутентифицироваться на сервере
Connection Request Policies – определяет типы устройств, которые могут аутентифицироваться
Network Polices – правила аутентификации

Добавим нового клиента RADIUS (это будет коммутатор HP ProCurve Switch 5400zl), щелкнув ПКМ по разделу RADIUS Clients и выбрав New. Укажем:

Friendly Name:sw-HP-5400-1
Address (IP or DNS): 10.10.10.2
Shared secret (пароль/секретный ключ): пароль можно указать вручную (он должен быть достаточно сложным), либо сгенерировать с помощью специальной кнопки (сгенерированный пароль необходимо скопировать, т.к. в дальнейшем его придется указать на сетевом устройстве).

Отключим стандартную политику (Use Windows authentication for all users) в разделе Connection Request Policies, щелкнув по ней ПКМ и выбрав Disable.

Создадим новую политику с именем Network-Switches-AAA и нажимаем далее. В разделе Сondition создадим новое условие. Ищем раздел RADIUS Client Properites и выбираем Client Friendly Name.

В качестве значения укажем sw-?. Т.е. условие будет применяться для всех клиентов RADIUS, начинающийся с символов :”sw-“. Жмем Next->Next-> Next, соглашаясь со всеми стандартными настройками.

Далее в разделе Network Policies создадим новую политику аутентификации. Укажите ее имя, например Network Switch Auth Policy for Network Admins. Создадим два условия: в первом условии Windows Groups, укажем доменную группу, члены которой могут аутентифицироваться (учетные записи сетевых администраторов в нашем примере включены в группу AD Network Admins) Второе условие Authentication Type, выбрав в качестве протокола аутентификации PAP.

Политика аутентификации на коммутаторе для сетевых администраторов

Далее в окне Configure Authentication Methods снимаем галки со всех типов аутентификации, кроме Unencrypted authentication (PAP. SPAP).

В окне Configure Settings изменим значение атрибута Service-Type на Administrative.

Административный доступ к сетевому оборудованию с помощью RADIUS

В остальных случаях соглашаемся со стандартными настройками и завершаем работу с мастером.

И, напоследок, переместим новую политику на первое место в списке политик.

Настройка сетевого оборудования для работы с сервером RADUIS

Осталось настроить наше сетевое оборудование для работы с сервером Radius. Подключимся к нашему коммутатору HP ProCurve Switch 5400 и внесем следующе изменение в его конфигурацию (измените ip адрес сервера Raduis и пароль на свои).

aaa authentication console enable radius local

aaa authentication telnet login radius local

aaa authentication telnet enable radius local

aaa authentication ssh login radius local

aaa authentication ssh enable radius local

aaa authentication login privilege-mode

radius-server key YOUR-SECRET-KEY

radius-server host 10.10.10.44 YOUR-SECRET-KEY auth-port 1645 acct-port 1646

radius-server host 10.10.10.44 auth-port 1645

radius-server host 10.10.10.44 acct-port 1646

Совет. Если в целях безопасности вы запретили подключаться к сетевому оборудованию через telnet, эти строки нужно удалить из конфига:

aaa authentication telnet login radius local

aaa authentication telnet enable radius local

Не закрывая консольное окно коммутатора (это важно!, иначе, если что-то пойдет не так, вы более не сможете подключиться к своему коммутатору), откройте вторую telnet-сессию. Должно появиться новое окно авторизации, в котором будет предложено указать имя и пароль учетной записи. Попробуйте указать данные своей учетной записи в AD (она должна входить в группу Network Admins ). Если подключение установлено – вы все сделали правильно!

Доменна авторизация на коммутаторе HP ProCurve

Для коммутатора Cisco конфигурация, предполагающая использование доменных учетных записей для аутентификации и авторизации, может выглядеть так:

Примечание. В зависимости от модели сетевого оборудования Cisco и версии IOS конфигурация может несколько отличаться.

aaa new-model
radius-server host 10.10.10.44 auth-port 1645 acct-port 1646 key YOUR-SECRET-KEY
aaa authentication login default group radius local
aaa authorization exec default group radius local
ip radius source-interface Vlan421
line con 0
line vty 0 4
line vty 5 15

Примечание. В такой конфигурации для аутентификации сначала используется сервер RADIUS, а если он не доступен – локальная учетная запись.

Для Cisco ASA конфигурация будет выглядеть так:

aaa-server RADIUS protocol radius
aaa-server RADIUS host 10.10.10.44 key YOUR-SECRET-KEY
radius-common-pw YOUR-SECRET-KEY
aaa authentication telnet console RADIUS LOCAL
aaa authentication ssh console RADIUS LOCAL
aaa authentication http console RADIUS LOCAL
aaa authentication http console RADIUS LOCAL

Совет. Если что то-не работает, проверьте:

Совпадают ли секретные ключи на сервере NPS и коммутаторе (для теста можно использоваться простой пароль).
Указан ли правильный адрес NPS сервера в конфигурации. Пингуется ли он?
Не блокируют ли межсетевые экраны порты 1645 и 1646 между коммутатором и сервером?
Внимательно изучите логи NPS сервера

In this post I will show how to set up a RADIUS server on Windows Server 2019 to provide 802.1X Wireless Connections through wireless access points.

Actually I want to set up a RADIUS server for IEEE 802.11 wireless networks, but its nearly the same as for wired (Ethernet) networks besides the NAS Port Type (type of media used) is IEEE 802.11 wireless instead of wired Ethernet.

IEEE 802.1X is an IEEE Standard for port-based Network Access Control (PNAC). It is part of the IEEE 802.1 group of networking protocols. It provides an authentication mechanism to devices wishing to attach to a LAN or WLAN.
Source: https://en.wikipedia.org/wiki/IEEE_802.1X
https://en.wikipedia.org/wiki/IEEE_802

Microsoft’s implementation of a Remote Authentication Dial-In User Service (RADIUS) server is for Windows Server operating systems later than Windows Server 2003 the Network Policy and Access Services (NPAS) server role.

NPAS replaces the Internet Authentication Service (IAS) from Windows Server 2003.
Source: https://en.wikipedia.org/wiki/Network_Policy_Server

So first I will install the Network Policy and Access Services (NPAS) server role either on a domain controller or member server.

Now as the Network Policy and Access Services (NPAS) server role is installed you will have a new console named Network Policy Server.

Open the Network Policy Server console and select the RADIUS server for 802.1X Wireless or Wired Connections template to configure NPS by using the wizard.

Click on Configure 802.1X to start the wizard.

Select Secure Wireless Connections

Here I need to add all my wlan access points as RADIUS clients.

Friendly name
IP address or FQDN
Shared secret
Use a unique RADIUS shared secret for each wireless AP unless you are planning to configure APs as RADIUS Clients in NPS by group. If you plan to configure APs by group in NPS, the shared secret must be the same for every member of the group. In addition, each shared secret you use should be a random sequence of at least 22 characters that mixes uppercase and lowercase letters, numbers, and punctuation.
Source: https://docs.microsoft.com/en-us/windows-server/networking/core-network-guide/cncg/wireless/e-wireless-access-deployment#to-configure-your-wireless-aps

For authentication I will use the Protected EAP (PEAP) protocol.

Click on Configure to select a certificate to prove the identity of the RADIUS server to the clients. You can use here the default computer certificate from your internal PKI.

The clients needs to trust that certificate, otherwise the user’s wont be able to connect to the wireless network.

It then creates an encrypted TLS tunnel between the client and the authentication server. In most configurations, the keys for this encryption are transported using the server’s public key. The ensuing exchange of authentication information inside the tunnel to authenticate the client is then encrypted and user credentials are safe from eavesdropping.

Simplifying WPA2-Enterprise and 802.1x

Client / Supplicant
In order for a device to participate in the 802.1x authentication, it must have a piece of software called a supplicant installed in the network stack. The supplicant is necessary as it will participate in the initial negotiation of the EAP transaction with the switch or controller and package up the user credentials in a manner compliant with 802.1x. If a client does not have a supplicant, the EAP frames sent from the switch or controller will be ignored and the switch will not be able to authenticate.

Fortunately, almost all devices we might expect to connect to a wireless network have a supplicant built-in. SecureW2 provides a 802.1x supplicant for devices that don’t have one natively.

Thankfully, the vast majority of device manufacturers have built-in support for 802.1x. The most common exceptions to this might be consumer gear, such as game consoles, entertainment devices or some printers. Generally speaking, these devices should be less than 10% of the devices on your network and are best treated as the exception rather than the focus.

Switch / Access Point / Controller
The switch or wireless controller plays an important role in the 802.1x transaction by acting as a ‘broker’ in the exchange. Until a successful authentication, the client does not have network connectivity, and the only communication is between the client and the switch in the 802.1x exchange.

The switch/controller initiates the exchange by sending an EAPOL-Start packet to the client when the client connects to the network. The client’s responses are forwarded to the correct RADIUS server based on the configuration in the Wireless Security Settings. When the authentication is complete, the switch/controller makes a decision whether to authorize the device for network access based on the user’s status and possibly the attributes contained in the Access_Accept packet sent from the RADIUS server.

Successful mutual PEAP-MS-CHAP v2 authentication has two main parts:

The client authenticates the NPS. During this phase of mutual authentication, the NPS sends its server certificate to the client computer so that the client can verify the NPS’s identity with the certificate. To successfully authenticate the NPS, the client computer must trust the CA that issued the NPS certificate. The client trusts this CA when the CA’s certificate is present in the Trusted Root Certification Authorities certificate store on the client computer.
The NPS authenticates the user. After the client successfully authenticates the NPS, the client sends the user’s password-based credentials to the NPS, which verifies the user’s credentials against the user accounts database in Active Directory Domain Services (AD DS).

If the credentials are valid and authentication succeeds, the NPS begins the authorization phase of processing the connection request. If the credentials are not valid and authentication fails, NPS sends an Access Reject message and the connection request is denied.

The behavior requiring the client to validate the server certificate can be disabled, but disabling server certificate validation is not recommended in production environments.

Source: https://docs.microsoft.com/en-us/windows-server/networking/core-network-guide/cncg/wireless/a-deploy-8021x-wireless-access#authentication

The server running NPS performs authorization as follows:

NPS checks for restrictions in the user or computer account dial-in properties in AD DS. Every user and computer account in Active Directory Users and Computers includes multiple properties, including those found on the Dial-in tab. On this tab, in Network Access Permission, if the value is Allow access, the user or computer is authorized to connect to the network. If the value is Deny access, the user or computer is not authorized to connect to the network. If the value is Control access through NPS Network Policy, NPS evaluates the configured network policies to determine whether the user or computer is authorized to connect to the network.
NPS then processes its network policies to find a policy that matches the connection request. If a matching policy is found, NPS either grants or denies the connection based on that policy’s configuration.

If both authentication and authorization are successful, and if the matching network policy grants access, NPS grants access to the network, and the user and computer can connect to network resources for which they have permissions.

Source: https://docs.microsoft.com/en-us/windows-server/networking/core-network-guide/cncg/wireless/a-deploy-8021x-wireless-access#authorization

Keep in mind regarding the communication between the NPS server and client as described in both Microsoft articles about authentication and authorization above.

As mentioned further above in the great article from SECUREW2, the client cannot communicate directly with the RADIUS server to authenticate himself and the server, as it does not have network connectivity until a successful authentication. The communication between the client and RADIUS server is established through the access points (switches for wired networks), which will acting as a broker in the exchange between both.

Here I will add all groups which are allowed to access the network through my wlan access points.

For computer authentication you should create a security group which includes all computer accounts they should be able to authenticate against NPS and add it to your network policy (Conditions tab) as windows group. NPS uses then this policy to authorize the connection request.

Further each of those computers needs a computer certificate installed from your internal PKI (CA), which is by default published to the Enterprise NTAuth store.

The computers wlan profile also needs to be configured to enable computer authentication, I will show this further below in the section about configuring a group policy.

Btw. you can also use certificates from a third-party CA, but in that case you need to import the CA certificate into your Enterprise NTAuth store and the computer certificate needs to mapped to the computer account in Active Directory. About how you will find in the following article from Microsoft:
https://docs.microsoft.com/en-us/troubleshoot/windows-server/windows-security/import-third-party-ca-to-enterprise-ntauth-store

The Enterprise NTAuth store is used by your Active Directory domain to determine which certification authorities to trust for issuing certificates that are used to authenticate and authorize a user or computer.

To check which CAs are stored in the Enterprise NTAuth store, you can use the PKI Tool (PKIVIEW). On your CA server open the tool pkiview.msc, right click on Enterprise PKI and select Manage AD Containers… . Here you will see in the tab NTAuthCertificates which CAs are still trusted.

In the next dialog you can configure traffic control attributes (RADIUS tunnel attributes) to allow and deny traffic to user’s based on their assigned VLANs.

You can change all of theses settings later directly in the NPS console.

Here you can modify the RADIUS clients.

The wizard will create a Connection Request Policy and a Network Policy.

Connection Request Policies
https://docs.microsoft.com/en-us/windows-server/networking/technologies/nps/nps-crp-crpolicies

Connection request policies are sets of conditions and settings that allow network administrators to designate which Remote Authentication Dial-In User Service (RADIUS) servers perform the authentication and authorization of connection requests that the server running Network Policy Server (NPS) receives from RADIUS clients. Connection request policies can be configured to designate which RADIUS servers are used for RADIUS accounting.

By default the wizard will set to process the authentication request locally on the server.

Network Policy

You can also configure Accounting for the NPS server.

Configure Network Policy Server Accounting
https://docs.microsoft.com/en-us/windows-server/networking/technologies/nps/nps-accounting-configure

The wizard created our Network Policy and we do not need to change here anything.

By adding Windows Groups, it doesn’t matter if they were local groups on the server itself or domain groups, NPS will process both of them.

As mentioned further above you can use here the default computer certificate on the NPS server from your internal PKI.

The clients needs to trust that certificate, otherwise the user’s wont be able to connect to the wireless network.

It then creates an encrypted TLS tunnel between the client and the authentication server. In most configurations, the keys for this encryption are transported using the server’s public key. The ensuing exchange of authentication information inside the tunnel to authenticate the client is then encrypted and user credentials are safe from eavesdropping.

Configure your WLAN Access Points

On the wlan access points we have to configure the IP address from the NPS (RADIUS) server, port and shared secret.

The Radius Port for authentication by default is UDP 1812 or 1645.

Further we need to select a security mode our access points will use to authenticate users or devices (computer authentication as mentioned further above). When using a RADIUS server we want that users authenticate themselves by using their username and password for the network, therefore we need to select WPA2 or WPA3-Enterpise, also for computer authentication.

Keep in mind that even in the year 2022 not all devices support WPA3.

You can check the ports in the NPS console by right clicking on NPS(Local) and select properties. Here within the tab Ports, you can see on what ports the NPS server is listening for authentication and if used accounting.

The Radius Port for accounting by default is UDP 1813 or 1646.

Optionally we can also configure Radius Accounting as mentioned.

The RADIUS server also collects a variety of information sent by the NAS that can be used for accounting and for reporting on network activity. The RADIUS client sends information to designated RADIUS servers when the User logs on and logs off. The RADIUS client may send additional usage information on a periodic basis while the session is in progress. The requests sent by the client to the server to record logon/logoff and usage information are generally called accounting requests.

For more information on RADIUS accounting, see RFC 2866.

Source: https://learn.microsoft.com/en-us/windows/win32/nps/ias-radius-authentication-and-accounting

Configure Wireless Network (IEEE 802.11) Policies | Wi-Fi profiles

You can configure group policies in your network to define preferred networks and settings for the WLAN connection to your clients.

To activate default Wireless Network (IEEE 802.11) Policies
https://docs.microsoft.com/en-us/windows-server/networking/core-network-guide/cncg/wireless/e-wireless-access-deployment#to-activate-default-wireless-network-ieee-80211-policies

Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Wireless Network (IEEE 802.11) Policies

Clients should connect automatically to this network when it is in range.

For the network authentication method I have to select Protected EAP (PEAP) as used on the NPS server and for the authentication mode I will use User or Computer authentication.

Even the most common method of authentication with PEAP-MSCHAPv2 is user auth, in which clients are prompted to enter their domain credentials, the Windows NPS server role also supports computer authentication by using the PEAP-MSCHAPv2 protocol.

In order to use computer authentication, you also have to install a computer certificate on the clients and issued from your internal PKI as mentioned further above.

For computer authentication you can configure certificate auto-enrollment for the client computers as shown in my following post: https://blog.matrixpost.net/configure-certificate-auto-enrollment/

In the advanced settings you can enable single sign-on for the wireless network, by checking this your password to logon to your computer will also be passed and used to establish the wireless connection with the access points.

Further if you select Perform immediately before User Logon as show in the figure below, the computer will first try to connect to the wireless access points when the user is entering its password and then subsequently will get logged on to its computer after the wireless connection is established.

In case computer authentication will be performed, the computer already connects at the logon screen to the network, as it doesn’t matter which user will get logged on.

Therefore in both cases the computer can perform a network login against the domain controllers and logon scripts and group policies will be applied to the computer.

If the wireless connection couldn’t be established, the user will get logged on to its computer by using the local cached credentials as usual but without processing the logon scripts and applying the group policies from the domain controller.

At the logon screen you will see the wireless network to which Windows tries to connect after providing your password for the logon.

User vs. Machine Authentication
The most common method of authentication with PEAP-MSCHAPv2 is user auth, in which clients are prompted to enter their domain credentials. It is also possible to configure RADIUS for machine authentication, in which the computers themselves are authenticated against RADIUS, so the user doesn’t need to provide any credentials to gain access. Machine auth is typically accomplished using EAP-TLS, though some RADIUS server options do make it simple to accomplish machine auth using PEAP-MSCHAPv2 (including Windows NPS, as outlined in the example config below).

The following example configuration outlines how to set up Windows NPS as a RADIUS server, with Active Directory acting as a userbase:

Add the Network Policy Server (NPS) role to Windows Server.
Add a trusted certificate to NPS.
Add APs as RADIUS clients on the NPS server.
Configure a policy in NPS to support PEAP-MSCHAPv2.
(Optional for machine auth) Deploy PEAP-MSCHAPv2 wireless network settings to domain member computers using Group Policy.

Source: https://documentation.meraki.com/MR/Encryption_and_Authentication/Configuring_RADIUS_Authentication_with_WPA2-Enterprise

Create Wi-Fi profiles using the System Center Configuration Manager (SCCM) or Microsoft Intune.

You can also use SCCM or Microsoft Intune to configure Wi-Fi profiles. This topic is well documented from Microsoft in the following articles.

Manage Wi-Fi profiles on local computer by using the netsh command

You can also use the netsh command line tool to manage the Wi-Fi profiles on a local computer.

netsh wlan show profile -> list profiles located on the local computer
netsh wlan show profiles interface=”wi-fi” -> list profile for specific interface
netsh wlan show drivers -> list driver information about the wireless adapter
netsh wlan show wirelesscapabilities -> list capabilities of the wireless adapter
netsh wlan show interfaces -> list all wireless interfaces on the local computer
netsh wlan show profile name=”myAP” key=clear -> will display the security key in plaintext
netsh wlan set profileparameter name=”myAP” connectionmode=manual -> will disable connect automatically
netsh wlan set profileparameter name=”myAP” connectionmode=auto -> will enable connect automatically
netsh wlan delete profile name=”myAP” -> will delete the myAP wlan profile
netsh wlan delete profile name=* -> will delete all wlan profiles on the local computer
netsh wlan export profile name=”WiFiNetwork” key=clear folder=”C:path” key=clear -> Export a wlan profile
netsh wlan add profile filename=”C:pathprofileFile.xml” user=all -> Import a wlan profile for all user’s -> user=current only for the current user
netsh wlan show wlanreport -> will create a wireless adapter report will ->
Analyze the wireless network report
https://support.microsoft.com/en-us/windows/analyze-the-wireless-network-report-76da0daa-1db2-6049-d154-7bb679eb03ed

Troubleshooting

In case something went wrong and your clients won’t connect to the the wireless network, you can investigate several logs to get more details about the problem.

You can search in two locations for logs to investigate the reason why clients can’t connect to the network.

For general configuration problems between the NPS server and the RADIUS clients, you can investigate the Event Viewer.

Custom Views -> Server Roles -> Network Policy and Access Services

For problems regarding authentication from the user’s itself, you should use the Accounting logs. Here you can see the default path from them.

To investigate them I would suggest to use a specific log viewer like the IAS Log Viewer from DeepSoftware LLC. You can use this viewer also to investigate VPN logging from the Windows Routing and Remote Access servers.

IAS Log Viewer
https://www.deepsoftware.com/iasviewer/

IAS_SUCCESS -> the user or computer authenticated successfully against the NPS server, formerly Internet Authentication Service (IAS)

NPAS replaces the Internet Authentication Service (IAS) from Windows Server 2003.
Therefore you will see IAS_SUCCESS messages in the logs from NPS.
Source: https://en.wikipedia.org/wiki/Network_Policy_Server

Reason for rejecting a user. Can be:

Field (26) Reason-Code Number

0 = IAS_SUCCESS
1 = IAS_INTERNAL_ERROR
2 = IAS_ACCESS_DENIED
3 = IAS_MALFORMED_REQUEST
4 = IAS_GLOBAL_CATALOG_UNAVAILABLE
5 = IAS_DOMAIN_UNAVAILABLE
6 = IAS_SERVER_UNAVAILABLE
7 = IAS_NO_SUCH_DOMAIN
8 = IAS_NO_SUCH_USER
16 = IAS_AUTH_FAILURE
17 = IAS_CHANGE_PASSWORD_FAILURE
18 = IAS_UNSUPPORTED_AUTH_TYPE
32 = IAS_LOCAL_USERS_ONLY
33 = IAS_PASSWORD_MUST_CHANGE
34 = IAS_ACCOUNT_DISABLED
35 = IAS_ACCOUNT_EXPIRED
36 = IAS_ACCOUNT_LOCKED_OUT
37 = IAS_INVALID_LOGON_HOURS
38 = IAS_ACCOUNT_RESTRICTION
48 = IAS_NO_POLICY_MATCH
64 = IAS_DIALIN_LOCKED_OUT
65 = IAS_DIALIN_DISABLED
66 = IAS_INVALID_AUTH_TYPE
67 = IAS_INVALID_CALLING_STATION
68 = IAS_INVALID_DIALIN_HOURS
69 = IAS_INVALID_CALLED_STATION
70 = IAS_INVALID_PORT_TYPE
71 = IAS_INVALID_RESTRICTION
80 = IAS_NO_RECORD
96 = IAS_SESSION_TIMEOUT
97 = IAS_UNEXPECTED_REQUEST

Source: https://www.radiusreporting.com/IAS-DB-Attribute-Format-Table.html

EAP authentication exchange for wireless clients through the access point and RADIUS server stuck by using a route-based IPSec in pfSense during the SSL handshake and here exactly after the Client Hello

If you ran into that issue, you can read my following post about how to set up a lean Branch Office Network without any Servers and DCs inside by using an IPSec S2S VPN Tunnel connected with the Headquarters Network.

Links

Функционал в операционной системе Windows Server расчет и улучшается от версии к версии, ролей и компонентов становится все больше, поэтому в сегодняшнем материале я попытаюсь кратко рассказать описание и назначение каждой роли в Windows Server 2016.

Прежде чем переходить к описанию серверных ролей Windows Server, давайте узнаем, что же вообще такое «Роль сервера» в операционной системе Windows Server.

Содержание

Что такое «Роль сервера» в Windows Server?
Описание серверных ролей Windows Server 2016
DHCP-сервер
DNS-сервер
Hyper-V
Аттестация работоспособности устройств
Веб-сервер (IIS)
Доменные службы Active Directory
Режим Windows Server Essentials
Сетевой контроллер
Служба опекуна узла
Службы Active Directory облегченного доступа к каталогам
Службы MultiPoint
Службы Windows Server Update Services
Службы активации корпоративных лицензий
Службы печати и документов
Службы политики сети и доступа
Службы развертывания Windows
Службы сертификатов Active Directory
Службы удаленных рабочих столов
Службы управления правами Active Directory
Службы федерации Active Directory
Удаленный доступ
Файловые службы и службы хранилища
Факс-сервер

Роль сервера (Server Role) – это программный комплекс, который обеспечивает выполнение сервером определённой функции, и данная функция является основной. Другими словами, «Роль сервера» — это назначение сервера, т.е. для чего он нужен. Чтобы сервер мог выполнять свою основную функцию, т.е. определённую роль, в «Роль сервера» включено все необходимое для этого программное обеспечение (программы, службы).

У сервера может быть одна роль, если она активно используется, или несколько, если каждая из них не сильно нагружает сервер и используется редко.

В роль сервера может включаться несколько служб роли, которые и обеспечивают функциональные возможности роли. Например, в роль сервера «Веб-сервер (IIS)» включено достаточно большое количество служб, а в роль «DNS-сервер» не входят службы роли, так как данная роль выполняет только одну функцию.

Службы ролей могут быть установлены все вместе или по отдельности в зависимости от Ваших потребностей. По своей сути установка роли означает установку одной или нескольких ее служб.

В Windows Server также существуют и «Компоненты» сервера.

Компоненты сервера (Feature) – это программные средства, которые не являются ролью сервера, но расширяют возможности одной или нескольких ролей, или управляют одной или несколькими ролями.

Некоторые роли не могут быть установлены, если на сервере не установлены обязательные службы или компоненты, которые необходимы для функционирования данных ролей. Поэтому в момент установки таких ролей «Мастер добавления ролей и компонентов» сам, автоматически предложит Вам установить нужные, дополнительные службы ролей или компоненты.

Со многими ролями, которые есть в Windows Server 2016, наверное, Вы уже знакомы, так как они существуют уже достаточно долгое время, но как я уже сказал, с каждой новой версией Windows Server добавляются новые роли, с которыми возможно Вы еще не работали, но хотели бы узнать, для чего они нужны, поэтому давайте приступать к их рассмотрению.

Примечание! О новых возможностях операционной системы Windows Server 2016 можете прочитать в материале «Установка Windows Server 2016 и обзор новых возможностей».

Так как очень часто установка и администрирование ролей, служб и компонентов происходит с использованием Windows PowerShell, я для каждой роли и ее службы буду указывать название, которое можно использовать в PowerShell, соответственно для ее установки или для управления.

DHCP-сервер

Эта роль позволяет централизованно настраивать динамические IP-адреса и связанные с ними параметры компьютерам и устройствам в сети. У роли DHCP-сервер нет служб роли.

Название для Windows PowerShell – DHCP.

DNS-сервер

Данная роль предназначена для разрешения имен в сетях TCP/IP. Роль DNS-сервер обеспечивает и поддерживает работу DNS. Для упрощения управления DNS-сервером его обычно устанавливают на том же сервере, что и доменные службы Active Directory. У роли DNS-сервер нет служб роли.

Название роли для PowerShell — DNS.

Hyper-V

С помощью роли Hyper-V можно создавать виртуализованную среду и управлять ею. Другими словами, это инструмент для создания и управления виртуальными машинами.

Название роли для Windows PowerShell — Hyper-V.

Аттестация работоспособности устройств

Роль «Аттестация работоспособности устройств» позволяет оценивать работоспособность устройства на основе измеренных показателей параметров безопасности, например, показатели состояния безопасной загрузки и средства Bitlocker на клиенте.

Для функционирования данной роли необходимо достаточно много служб ролей и компонентов, например: несколько служб из роли «Веб-сервер (IIS)», компонент «Служба активации процессов Windows», компонент «Функции .NET Framework 4.6».

Во время установки все необходимые службы ролей и компоненты будут выбраны автоматически. У роли «Аттестация работоспособности устройств» своих служб роли нет.

Название для PowerShell – DeviceHealthAttestationService.

Веб-сервер (IIS)

Предоставляет надежную, управляемую и масштабируемую инфраструктуру веб-приложений. Состоит из достаточно большого количества служб (43).

Название для Windows PowerShell — Web-Server.

Включает следующие службы роли (в скобочках я буду указывать название для Windows PowerShell):

Веб – сервер (Web-WebServer) – группа служб роли, которая предоставляет поддержку веб-сайтов HTML, расширений ASP.NET, ASP и веб-сервера. Состоит из следующих служб:

Безопасность (Web-Security) — набор служб для обеспечения безопасности веб-сервера.
- Фильтрация запросов (Web-Filtering) – с помощью этих средств можно обрабатывать все запросы, поступающие на сервер, и фильтровать эти запросы на основе специальных правил, заданных администратором веб сервера;
- IP-адрес и ограничения домена (Web-IP-Security) – эти средства позволяют разрешать или запрещать доступ к содержимому на веб сервере с учетом IP-адреса или имени домена источника в запросе;
- Авторизация URL-адреса (Web-Url-Auth) — средства позволяют разрабатывать правила для ограничения доступа к веб-содержимому и связывать их с пользователями, группами или командами заголовка HTTP;
- Дайджест-проверка подлинности (Web-Digest-Auth) – данная проверка подлинности позволяет обеспечить более высокий уровень безопасности по сравнению с обычной проверкой подлинности. Дайджест-проверка для проверки подлинности пользователей действует по принципу передачи хэша пароля контроллеру домена Windows;
- Обычная проверка подлинности (Web-Basic-Auth) — этот метод проверки подлинности обеспечивает надежную совместимость веб-браузера. Рекомендуется использовать в небольших внутренних сетях. Основной недостаток этого метода состоит в том, что пароли, передающиеся по сети можно довольно просто перехватить и расшифровать, поэтому используйте этот метод в сочетании с SSL;
- Проверка подлинности Windows (Web-Windows-Auth) – представляет собой проверку подлинности, основанную на аутентификации в домене Windows. Другими словами, Вы можете использовать учетные записи Active Directory для проверки подлинности пользователей своих Web сайтов;
- Проверка подлинности с сопоставлением сертификата клиента (Web-Client-Auth) – данный метод проверки подлинности подразумевает использование сертификата клиента. Для обеспечения сопоставления сертификатов этот тип использует службы Active Directory;
- Проверка подлинности с сопоставлением сертификата клиента IIS (Web-Cert-Auth) – в данном методе для проверки подлинности также применяются сертификаты клиентов, но для обеспечения сопоставления сертификатов здесь используются службы IIS. Этот тип обеспечивают более высокую производительность;
- Централизованная поддержка SSL-сертификата (Web-CertProvider) – эти средства позволяет централизованно управлять сертификатами сервера SSL, что значительно упрощает процесс управления этими сертификатами;
Исправность и диагностика (Web-Health) – набор служб для обеспечения контроля, управления и устранения нарушений в работе веб-серверов, сайтов и приложений:
- Ведение журнала http (Web-Http-Logging) — средства обеспечивают ведение журнала активности веб-сайта на данном сервере, т.е. запись лога;
- Ведение журнала ODBC (Web-ODBC-Logging) – эти средства также обеспечивают ведение журнала активности веб-сайта, но они поддерживают регистрацию этой активности в базе данных, совместимой с ODBC;
- Монитор запросов (Web-Request-Monitor) – это инструмент который позволяет наблюдать за исправностью веб-приложения, перехватывая информацию о HTTP-запросах в рабочем процессе IIS;
- Настраиваемое ведение журнала (Web-Custom-Logging) – с помощью этих средств можно настроить ведение журнала активности веб-сервера в формате, значительно отличающегося от стандартного формата IIS. Другими словами, Вы можете создать собственный модуль ведения журнала;
- Средства ведения журнала (Web-Log-Libraries) – это инструменты для управления журналами веб-сервера и автоматизации задач ведения журнала;
- Трассировка (Web-Http-Tracing) – это средство для диагностирования и устранения нарушений в работе веб-приложений.
Общие функции http (Web-Common-Http) – набор служб, которые предоставляют основные функциональные возможности HTTP:
- Документ по умолчанию (Web-Default-Doc) – эта возможность позволяет настраивать веб-сервер для возврата документа, предусмотренного по умолчанию, для тех случаев, когда пользователи не указывают конкретный документ в URL-адресе запроса, за счет этого пользователям становится удобней обращаться к веб сайту, например, по домену, не указывая при этом файл;
- Обзор каталога (Web-Dir-Browsing) – с помощью этого средства можно настроить веб сервер так, чтобы пользователи могли просматривать список всех каталогов и файлов на веб сайте. Например, для случаев, когда пользователи не указывают файл в URL-адресе запроса, при этом документы по умолчанию либо запрещены, либо не настроены;
- Ошибки http (Web-Http-Errors) – данная возможность позволяет настраивать сообщения об ошибках, которые будут возвращаться на веб-браузеры пользователей в момент обнаружения веб-сервером ошибки. Это средство используется для более удобного представления пользователям сообщений об ошибках;
- Статическое содержимое (Web-Static-Content) – данное средство позволяет использовать на веб-сервере контент в виде статических форматов файлов, например, HTML файлы или файлы изображений;
- Перенаправление http (Web-Http-Redirect) – с помощью этой возможности можно перенаправить пользовательский запрос по конкретному назначению, т.е. это Redirect;
- Публикация WebDAV (Web-DAV-Publishing) – позволяет использовать технологию WebDAV на WEB сервер IIS. WebDAV (Web Distributed Authoring and Versioning) – это технология позволяющая пользователям совместно работать (читать, редактировать, считывать свойства, копировать, перемещать) над файлами на удаленных веб серверах, используя при этом протокол HTTP.
Производительность (Web-Performance) – набор служб для достижения более высокой производительности web сервера, за счет кэширования выходных данных и общих механизмов сжатия, таких как Gzip и Deflate:
- Сжатие статического содержимого (Web-Stat-Compression) – это средство для настройки сжатия статического содержимого http, оно позволяет более эффективно использовать пропускную способность, при этом без лишней нагрузки на ЦП;
- Сжатие динамического содержимого (Web-Dyn-Compression) — это средство для настройки сжатия динамического содержимого HTTP. Данное средство обеспечивает более эффективное использование пропускной способности, но в данном случае нагрузка на ЦП сервера, связанная с динамическим сжатием, может вызвать замедление работы сайта, если нагрузка на ЦП и без сжатия высока.
Разработка приложений (Web-App-Dev) – набор служб и средств для разработки и размещения веб-приложений, другими словами, технологии разработки сайтов:
- ASP (Web-ASP) – среда поддержки и разработки web сайтов и web приложений с использованием технологии ASP. На текущий момент существует более новая и продвинутая технология разработки сайтов — ASP.NET;
- ASP.NET 3.5 (Web-Asp-Net) — это объектно ориентированная среда разработки web сайтов и веб приложений с использованием технологии ASP.NET;
- ASP.NET 4.6 (Web-Asp-Net45) — это также объектно ориентированная среда разработки web сайтов и веб приложений с использованием новой версии ASP.NET;
- CGI (Web-CGI) – это возможность использования CGI для передачи веб-сервером информации во внешнюю программу. CGI – это некий стандарт интерфейса для связи внешней программы с web-сервером. Есть недостаток, применение CGI влияет на производительность;
- Включения на стороне сервера (SSI) (Web-Includes) – это поддержка языка сценариев SSI (включения на стороне сервера), который используется для динамического формирования страниц HTML;
- Инициализация приложений (Web-AppInit) – данное средство выполняет задачи инициализации web приложений перед пересылкой веб-страницы;
- Протокол WebSocket (Web-WebSockets) — добавление возможности создания серверных приложений, которые взаимодействуют с помощью протокола WebSocket. WebSocket — это протокол, который может передавать и принимать одновременно данные между браузером и web сервером поверх TCP-соединения, своего рода расширение протокола HTTP;
- Расширения ISAPI (Web-ISAPI-Ext) – поддержка динамической разработки web содержимого с помощью прикладного программного интерфейса ISAPI. ISAPI – это API для web сервера IIS. Приложения ISAPI работают намного быстрее по сравнению с файлами ASP или файлами, вызывающими компоненты COM+;
- Расширяемость .NET 3.5 (Web-Net-Ext) – это средство расширяемости .NET 3.5, которое позволяет изменять, добавлять и расширять функциональные возможности web сервера во всем конвейере обработки запросов, в конфигурации и в пользовательском интерфейсе;
- Расширяемость .NET 4.6 (Web-Net-Ext45) – это средство расширяемости .NET 4.6, которое также позволяет изменять, добавлять и расширять функциональные возможности web сервера во всем конвейере обработки запросов, в конфигурации и в пользовательском интерфейсе;
- Фильтры ISAPI (Web-ISAPI-Filter) – добавление поддержки фильтров ISAPI. Фильтры интерфейса ISAPI представляют собой программы, которые вызываются при получении web сервером определенного запроса HTTP подлежащего обработке этим фильтром.

FTP — сервер (Web-Ftp-Server) – службы, которые обеспечивают поддержку протокола FTP. Более подробно о FTP сервере мы говорили в материале – «Установка и настройка FTP сервера на Windows Server 2016». Содержит следующие службы:

Служба FTP (Web-Ftp-Service) – добавляет поддержку протокола FTP на веб сервере;
Расширяемость FTP (Web-Ftp-Ext) – расширяет стандартные возможности FTP, например, добавляет поддержку таких функций как настраиваемые поставщики, пользователи ASP.NET или пользователи диспетчера IIS.

Средства управления (Web-Mgmt-Tools) – это средства управления веб-сервером IIS 10. К ним можно отнести: пользовательский интерфейс IIS, средства командной строки и скрипты.

Консоль управления службами IIS (Web-Mgmt-Console) – это пользовательский интерфейс управления службами IIS;
Наборы символов и средства управления службами IIS (Web-Scripting-Tools) — это средства и скрипты управления службами IIS с помощью командной строки или скриптов. Их можно использовать, например, для автоматизации управления;
Служба управления (Web-Mgmt-Service) – эта служба добавляет возможность управлять web сервером удаленно с другого компьютера с использованием диспетчера IIS;
Управление совместимостью с IIS 6 (Web-Mgmt-Compat) — обеспечивает совместимость приложений и сценариев, использующих два API IIS. Существующие скрипты IIS 6 можно использовать для управления веб-сервером IIS 10:
- Метабаза совместимости с IIS 6 (Web-Metabase) — средство совместимости, которое позволяет запускать приложения и наборы символов, перенесенные с более ранних версий IIS;
- Инструменты скриптов IIS 6 (Web-Lgcy-Scripting) – эти инструменты позволяют использовать те же службы скриптов IIS 6, которые были созданы для управления IIS 6, в IIS 10;
- Консоль управления службами IIS 6 (Web-Lgcy-Mgmt-Console) – средство администрирования удаленных серверов IIS 6.0;
- Совместимость с WMI IIS 6 (Web-WMI) — это интерфейсы скриптов инструментария управления Windows (WMI) для программного контроля и автоматизации задач веб-сервера IIS 10.0 с помощью набора скриптов, созданного в поставщике WMI.

Доменные службы Active Directory

Роль «Доменные службы Active Directory» (AD DS) обеспечивает распределенную базу данных, которая хранит и обрабатывает информацию о сетевых ресурсах. Данную роль используют для организации элементов сети, таких как пользователи, компьютеры и другие устройства, в иерархическую структуру защитной оболочки. Иерархическая структура включает в себя леса, домены в лесу, а также организационные единицы (OU) в каждом домене. Сервер, работающий под управлением AD DS, называется контроллером домена.

Название роли для Windows PowerShell — AD-Domain-Services.

Режим Windows Server Essentials

Данная роль представляет собой компьютерную инфраструктуру и предоставляет удобные и эффективные функции, например: хранение данных клиента в централизованном месте и защита этих данных за счет резервного копирования сервера и клиентских компьютеров, удаленный веб-доступ, позволяющий получать доступ к данным практически с любого устройства. Для работы данной роли необходимо несколько служб ролей и компонентов, например: компоненты BranchCache, система архивации Windows Server, управление групповой политикой, служба роли «Пространства имен DFS».

Название для PowerShell – ServerEssentialsRole.

Сетевой контроллер

Это роль появилась в Windows Server 2016, она представляет собой единую точку автоматизации для управления, мониторинга и диагностики, физической и виртуальной сетевой инфраструктуры в центре обработки данных. С помощью данной роли можно из одной точки настраивать IP-подсети, VLAN, физические сетевые адаптеры Hyper-V хостов, управлять виртуальными коммутаторами, физическими маршрутизаторами, настройками файрвола и VPN-шлюзами.

Название для Windows PowerShell – NetworkController.

Служба опекуна узла

Это роль сервера размещенной службы Guardian (HGS), она предоставляет службы аттестации и защиты ключей, которые позволяют защищенным узлам запускать экранированные виртуальные машины. Для функционирования данной роли необходимо несколько дополнительных ролей и компонентов, например: доменные службы Active Directory, Веб-сервер (IIS), компонент «Отказоустойчивая кластеризация» и другие.

Название для PowerShell – HostGuardianServiceRole.

Службы Active Directory облегченного доступа к каталогам

Роль «Службы Active Directory облегченного доступа к каталогам» (AD LDS) – представляет собой облегченную версию AD DS, которая обладает меньшей функциональностью, но не требует развертывания доменов или контроллеров доменов, а также не имеет зависимостей и доменных ограничений, которые требуются для служб AD DS. AD LDS работает по протоколу LDAP (Lightweight Directory Access Protocol). На одном сервере можно развернуть несколько экземпляров AD LDS с независимо управляемыми схемами.

Название для PowerShell – ADLDS.

Службы MultiPoint

Это также новая роль, которая появилась в Windows Server 2016. Службы MultiPoint (MPS) предоставляют базовую функциональность удаленных рабочих столов, что позволяет нескольким пользователям одновременно и независимо друг от друга работать на одном и том же компьютере. Для установки и функционирования данной роли нужно установить несколько дополнительных служб и компонентов, например: Сервер печати, службу Windows Search, средство просмотра XPS и другие, все они будут выбраны автоматически в момент установки MPS.

Название роли для PowerShell – MultiPointServerRole.

Службы Windows Server Update Services

С помощью этой роли (WSUS) системные администраторы могут управлять обновлениями Microsoft. Например, создавать отдельные группы компьютеров для разных наборов обновлений, а также получать отчеты о соответствии компьютеров требованиям и обновлениях, которые требуется установить. Для функционирования «Службы Windows Server Update Services» нужны такие службы ролей и компоненты как: Веб-сервер (IIS), внутренняя база данных Windows, служба активации процессов Windows.

Название для Windows PowerShell – UpdateServices.

Включает следующие службы роли:

WID Connectivity (UpdateServices-WidDB) – установка в WID (Windows Internal Database) базы данных, используемой WSUS. Другими словами, свои служебные данные WSUS будет хранить в WID;
WSUS Services (UpdateServices-Services) – это и есть службы роли WSUS, такие как служба обновления, веб-служба отчетов, веб-служба удаленного взаимодействия с API, веб-служба клиента, веб-служба простой проверки подлинности через Интернет, служба синхронизация сервера и веб-служба проверки подлинности DSS;
SQL Server Connectivity (UpdateServices-DB) – это установка компонента, который позволяет службе WSUS подключаться к базе данных Microsoft SQL Server. Этот вариант предусматривает хранение служебных данных в БД Microsoft SQL Server. В данном случае у Вас уже должен быть установлен, по крайней мере, один экземпляр SQL Server.

Службы активации корпоративных лицензий

С помощью этой роли сервера можно автоматизировать и упростить выдачу корпоративных лицензий на программное обеспечение от компании Microsoft, а также она позволяет управлять этими лицензиями.

Название для PowerShell – VolumeActivation.

Службы печати и документов

Эта роль сервера предназначена для предоставления общего доступа к принтерам и сканерам в сети, для централизованной настройки и управления серверами печати и сканирования, а также управления сетевыми принтерами и сканерами. Службы печати и документов также позволяет отправлять отсканированные документы по электронной почте, в общие сетевые папки или на сайты Windows SharePoint Services.

Название для PowerShell – Print-Services.

Сервер печати (Print-Server) – данная служба роли включает оснастку «Управление печатью», которая используется для управления принтерами или серверами печати, а также для миграции принтеров и других серверов печати;
Печать через Интернет (Print-Internet) — для реализации печати через Интернет создается веб-сайт, с помощью которого пользователи могут управлять заданиями печати на сервере. Для работы данной службы как Вы понимаете необходимо установить «Веб-сервер (IIS)». Все необходимые компоненты будут выбраны автоматически, когда Вы отметите данный пункт во время процесса установки службы роли «Печать через Интернет»;
Сервер распределенного сканирования (Print-Scan-Server) – это служба, которая позволяет принимать отсканированные документы с сетевых сканеров и отправлять их по месту назначения. Данная служба также содержит оснастку «Управление сканированием», которая используется для управления сетевыми сканерами и для настройки сканирования;
Служба LPD (Print-LPD-Service) — служба LPD (Line Printer Daemon) позволяет компьютерам на базе UNIX и другим компьютерам, использующим службу Line Printer Remote (LPR), печатать на общих принтерах сервера.

Службы политики сети и доступа

Роль «Службы политики сети и доступа» (NPAS) позволяет с помощью сервера политики сети (NPS) задавать и применять политики доступа к сети, проверки подлинности и авторизации, а также работоспособности клиента, другими словами, обеспечивать безопасность сети.

Название для Windows PowerShell – NPAS.

Службы развертывания Windows

С помощью этой роли можно удаленно устанавливать операционной системы Windows по сети.

Название роли для PowerShell – WDS.

Сервер развертывания (WDS-Deployment) – данная служба роли предназначена для удаленного развертывания и настройки операционных систем Windows. Она также позволяет создавать и настраивать образы для повторного использования;
Транспортный сервер (WDS-Transport) – это служба содержит основные сетевые компоненты, с помощью которых Вы можете передавать данные путем многоадресной рассылки на автономном сервере.

Службы сертификатов Active Directory

Эта роль предназначена для создания центров сертификации и связанных служб ролей, которые позволяют выдавать сертификаты для различных приложений и управлять такими сертификатами.

Название для Windows PowerShell – AD-Certificate.

Включает следующие службы роли:

Центр сертификации (ADCS-Cert-Authority) – с помощью данной службы роли можно выдавать сертификаты пользователям, компьютерам и службам, а также управлять действительностью сертификата;
Веб-служба политик регистрации сертификатов (ADCS-Enroll-Web-Pol) – эта служба позволяет пользователям и компьютерам получать сведения о политике регистрации сертификатов с помощью веб-браузера, даже если компьютер не входит в домен. Для ее функционирования необходим «Веб-сервер (IIS)»;
Веб-служба регистрации сертификатов (ADCS-Enroll-Web-Svc) – данная служба позволяет пользователям и компьютерам регистрировать и продлять сертификаты с помощью веб-браузера по протоколу HTTPS, даже если компьютер не входит в домен. Для ее функционирования также необходим «Веб-сервер (IIS)»;
Сетевой ответчик (ADCS-Online-Cert) – служба предназначена для проверки отзыва сертификата для клиентов. Другими словами, она принимает запрос о состоянии отзыва для конкретных сертификатов, оценивает состояние этих сертификатов и отправляет обратно подписанный ответ, с информацией о статусе. Для функционирования службы необходим «Веб-сервер (IIS)»;
Служба регистрации в центре сертификации через Интернет (ADCS-Web-Enrollment) – эта служба предоставляет пользователям веб-интерфейс для выполнения таких задач, как запросы и продление сертификатов, получение списков отзыва сертификатов и регистрация сертификатов смарт-карт. Для функционирования службы необходим «Веб-сервер (IIS)»;
Служба регистрации на сетевых устройствах (ADCS-Device-Enrollment) – с помощью этой службы можно выдавать сертификаты для маршрутизаторов и других сетевых устройств, не имеющих сетевых учетных записей, а также управлять этими сертификатами. Для функционирования службы необходим «Веб-сервер (IIS)».

Службы удаленных рабочих столов

Роль сервера, с помощью которой можно организовать доступ к виртуальным рабочим столам, к рабочим столам, основанным на сеансах, и к удаленным приложениям RemoteApp.

Название роли для Windows PowerShell – Remote-Desktop-Services.

Состоит из следующих служб:

Веб-доступ к удаленным рабочим столам (RDS-Web-Access) — данная служба роли позволяет пользователям получить доступ к удаленным рабочим столам и приложениям RemoteApp через меню «Пуск» или с помощью веб-браузера;
Лицензирование удаленных рабочих столов (RDS-Licensing) — служба предназначена для управления лицензиями, которые необходимы для подключения к серверу узла сеансов удаленных рабочих столов или к виртуальному рабочему столу. Ее можно использовать для установки, выдачи лицензий и отслеживания их доступности. Для работы данной службы необходим «Веб-сервер (IIS)»;
Посредник подключений к удаленному рабочему столу (RDS-Connection-Broker) — служба роли, которая обеспечивает следующие возможности: повторное подключение пользователя к существующему виртуальному рабочему столу, приложению RemoteApp и рабочему столу на основе сеансов, а также равномерное распределение нагрузки между серверами узлов сеансов удаленных рабочих столов или между виртуальными рабочими столами в составе пула. Для работы данной службы необходим компонент «Внутренняя база данных Windows»;
Узел виртуализации удаленных рабочих столов (DS-Virtualization) — служба позволяет пользователям подключаться к виртуальным рабочим столам с помощью подключения к удаленным рабочим столам и приложениям RemoteApp. Эта служба работает совместно с Hyper-V, т.е. данная роль должна быть установлена;
Узел сеансов удаленных рабочих столов (RDS-RD-Server) – с помощью этой службы можно размещать на сервере удаленные приложения RemoteApp и основанные на сеансах рабочие столы. Для доступа используется клиент подключения к удаленному рабочему столу или удаленные приложения RemoteApp;
Шлюз удаленных рабочих столов (RDS-Gateway) – служба позволяет авторизованным удаленным пользователям подключаться к виртуальным рабочим столам, удаленным приложениям RemoteApp и рабочим столам, основанным на сеансах, в корпоративной сети или через Интернет. Для функционирования данной службы необходимы следующие дополнительные службы и компоненты: «Веб–сервер (IIS)», «Службы политики сети и доступа», «RPC через HTTP-прокси».

Службы управления правами Active Directory

Это роль сервера, которая позволит Вам защитить информацию от несанкционированного использования. Она проверяет удостоверения пользователей и предоставляет авторизованным пользователям лицензии на доступ к защищенным данным. Для работы данной роли необходимы дополнительные службы и компоненты: «Веб–сервер (IIS)», «Служба активации процессов Windows», «Функции .NET Framework 4.6».

Название для Windows PowerShell – ADRMS.

Сервер управления правами Active Directory (ADRMS-Server) — основная служба роли, обязательна для установки;
Поддержка федерации удостоверений (ADRMS-Identity) — это дополнительная служба роли, позволяющая федеративным удостоверениям использовать защищенное содержимое с помощью служб федерации Active Directory.

Службы федерации Active Directory

Данная роль предоставляет упрощенные и безопасные возможности федерации удостоверений, а также функцию единого входа (SSO) на веб-сайты с помощью браузера.

Название для PowerShell – ADFS-Federation.

Удаленный доступ

Данная роль обеспечивает подключение через DirectAccess, VPN и прокси веб-приложения. Также роль «Удаленный доступ» предоставляет традиционные возможности маршрутизации, включая преобразование сетевых адресов (NAT) и другие параметры подключений. Для работы этой роли необходимы дополнительные службы и компоненты: «Веб–сервер (IIS)», «Внутренняя база данных Windows».

Название роли для Windows PowerShell – RemoteAccess.

DirectAccess и VPN (RAS) (DirectAccess-VPN) — служба позволяет пользователям подключаться к корпоративной сети в любое время при наличии доступа к Интернету через DirectAccess, а также организовывать VPN подключения в сочетании с технологиями туннелирования и шифрования данных;
Маршрутизация (Routing) — служба обеспечивает поддержку маршрутизаторов NAT, маршрутизаторов локальной сети с протоколами BGP, RIP и маршрутизаторов с поддержкой многоадресной рассылки (IGMP-прокси);
Прокси-сервер веб-приложений (Web-Application-Proxy) — служба позволяет публиковать приложения на основе протоколов HTTP и HTTPS из корпоративной сети на клиентских устройствах, которые находятся за пределами корпоративной сети.

Файловые службы и службы хранилища

Это роль сервера, с помощью которой можно предоставлять общий доступ к файлам и папкам, управлять общими ресурсами и контролировать их, осуществлять репликацию файлов, обеспечивать быстрый поиск файлов, а также предоставлять доступ для клиентских компьютеров UNIX. Более подробно файловые службы и в частности файловый сервер мы рассматривали в материале «Установка файлового сервера (File Server) на Windows Server 2016».

Название для Windows PowerShell – FileAndStorage-Services.

Службы хранения (Storage-Services) – это служба предоставляет функциональность управления хранилищем, которая устанавливается всегда и не может быть удалена.

Файловые службы и службы iSCSI (File-Services) – это технологии, которые упрощают управление файловыми серверами и хранилищами, позволяют экономить место на диске, обеспечивают репликацию и кэширование файлов в филиалах, а также предоставляют общий доступ к файлам по протоколу NFS. Включает следующие службы роли:

Файловый сервер (FS-FileServer) – служба роли, которая управляет общими папками и предоставляет пользователям доступ к файлам на этом компьютере по сети;
Дедупликация данных (FS-Data-Deduplication) – эта служба экономит место на диске за счет хранения на томе только одной копии идентичных данных;
Диспетчер ресурсов файлового сервера (FS-Resource-Manager) – с помощью этой службы можно управлять файлами и папками на файловом сервере, создавать отчеты хранилища, классифицировать файлы и папки, настраивать квоты папок и определять политики блокировки файлов;
Поставщик целевого хранилища iSCSI (аппаратные поставщики VDS и VSS) (iSCSITarget-VSS-VDS) – служба позволяет приложениям на сервере, подключенном к цели iSCSI, выполнять теневое копирование томов на виртуальных дисках iSCSI;
Пространства имен DFS (FS-DFS-Namespace) – с помощью этой службы можно группировать общие папки, размещенные на разных серверах, в одно или несколько логически структурированных пространств имен;
Рабочие папки (FS-SyncShareService) – служба позволяет использовать рабочие файлы на различных компьютерах, включая рабочие и личные. В рабочих папках можно хранить свои файлы, синхронизировать их и получать к ним доступ из локальной сети или Интернета. Для функционирования службы необходим компонент «Внутрипроцессное веб-ядро IIS»;
Репликация DFS (FS-DFS-Replication) — это модуль репликации данных между несколькими серверами, позволяющий синхронизировать папки через подключение к локальной или глобальной сети. Данная технология использует протокол удаленного разностного сжатия (RDC) для обновления только той части файлов, которая была изменена с момента последней репликации. Репликацию DFS можно применять как вместе с пространствами имен DFS, так и отдельно;
Сервер для NFS (FS-NFS-Service) – служба позволяет этому компьютеру совместно использовать файлы с компьютерами на базе UNIX и другим компьютерам, которые используют протокол сетевой файловой системы (NFS);
Сервер цели iSCSI (FS-iSCSITarget-Server) – предоставляет службы и средства управления для целей iSCSI;
Служба BranchCache для сетевых файлов (FS-BranchCache) — служба обеспечивает поддержку BranchCache на этом файловом сервере;
Служба агента VSS файлового сервера (FS-VSS-Agent) — служба позволяет выполнять теневое копирование томов для приложений, которые хранят файлы данных на этом файловом сервере.

Факс-сервер

Роль отправляет и принимает факсы, а также позволяет управлять ресурсами факса, такими как задания, параметры, отчеты и факсимильные устройства, на этом компьютере или в сети. Для работы необходим «Сервер печати».

Название роли для Windows PowerShell – Fax.

На этом обзор серверных ролей Windows Server 2016 закончен, надеюсь, материал был Вам полезен, пока!

Содержание

Настраиваем доменную аутентификацию на сетевом оборудовании
Установка и настройка сервера с ролью Network Policy Server
Настройка сетевого оборудования для работы с сервером RADUIS
Авторизация через Network Policy Server (NPS) для MikroTik
Установка роли NPS
Добавление RADIUS клиента
Создание политики подключения
Создание политики сети
Добавление сервера авторизации на MikroTik
Проверка через SSH и WinBox
Windows Server 2019
Windows Admin Center
Системная аналитика
Новинки в подсистеме хранения
Storage Migration Service
Azure File Sync
Storage Replica
Storage Spaces Direct
Изменения в отказоустойчивой кластеризации
Что нового в платформе приложений
Системные требования
Сравнение выпусков Windows Server 2019 Standard и Datacenter
Приглашение на вебинар
question
7 Answers

Настраиваем доменную аутентификацию на сетевом оборудовании

Установка и настройка сервера с ролью Network Policy Server

Откройте консоль Server Manager и установите роль Network Policy Server (находится в разделе Network Policy and Access Services).

1 Install Network Policy Server win2012r2

Далее в окне Configure Authentication Methods снимаем галки со всех типов аутентификации, кроме Unencrypted authentication (PAP. SPAP).

В окне Configure Settings изменим значение атрибута Service-Type на Administrative.

В остальных случаях соглашаемся со стандартными настройками и завершаем работу с мастером.

И, напоследок, переместим новую политику на первое место в списке политик.

Настройка сетевого оборудования для работы с сервером RADUIS

Для Cisco ASA конфигурация будет выглядеть так:

Совет. Если что то-не работает, проверьте:

Источник

Авторизация через Network Policy Server (NPS) для MikroTik

Установка роли NPS

Имеем Windows Server 2016 Datacenter с уже установленным доменом.

Запускаем любым удобным способом админку NPS. Например, через менеджер серверов.

Регистрируем сервер NPS в AD.

Добавление RADIUS клиента

Для того, чтобы сервер знал с какими устройствами налаживать общение нужно добавить их в RADIUS Clients.

Vendor name остановим на стандартном RADIUS.

Создание политики подключения

Подбираем подходящее название для политики.

Определяем наше устройство с которым будет работать сервер.

Без предварительной конфигурации устройства Identity = MikroTik.

Дальнейшая настройка политики.

На данном этапе я не стал ничего трогать.

Итоговые установки политики.

Выбираем нужный приоритет двигая выше или ниже пункт политики.

Создание политики сети

Назовем её Routers.

Как и прежде, нужно определить условия.

Разрешительное или запретительное правило. Мы будем разрешать всем, кто попал под условие.

Способ аутенификации выбираем аналогичный прошлой политике.

Исходя из необходимости можно настроить дополнительные настройки. Я оставил без изменений.

Далее необходимо выбрать что будет отправляться на сервер.

Итоговые настройки политики сети.

Выбираем необходимый приоритет среди других политик, если необходимо.

Для возможности авторизовываться через WinBox нужно включить обратимое шифрование в профиле пользователя.

Добавление сервера авторизации на MikroTik

Первым делом присвоим System/Identity равным router01 и IP с маской для интерфейса.

В System/Users и на вкладке Users включаем пункт Use RADIUS. По умолчанию выбран доступ только для чтения.

Secret — ключ, который был сгенерирован на стадии добавления клиента на сервере.

Проверка через SSH и WinBox

Проверка подключения через SSH и экспорт конфигурации.

И проверяем авторизацию в Winbox.

Источник

Windows Server 2019

История Windows Server насчитывает уже более 25 лет: Windows NT 3.1 Advanced Server был выпущен 27 июля 1993 года. В октябре 2018 года, через три года после предыдущего большого релиза, был выпущен Windows Server 2019. Windows Server 2019 развивает и улучшает возможности, заложенные в предыдущих релизах. Подробности об этом — под катом!

Начиная с Windows Server 2016 был принят новый цикл выхода релизов. Сейчас есть два канала распространения: LTSC (Long-term servicing channel) – релиз, выходящий через 2-3 года, с 5-летней основной и 5-летней расширенной поддержкой, а также Semi-Annual Channel – релизы, которые выходят каждые полгода, имеют основной цикл поддержки в течение 6 месяцев и расширенную поддержку в течение 18 месяцев. Для чего необходимы эти два канала? Microsoft активно внедряет новшества в свою облачную платформу Azure. Это поддержка виртуальных машин Linux, контейнеры с Linux и Windows, и многие другие технологии.

Заказчики, использующие эти технологии в облаке, также хотят их использовать и в своих датацентрах. Semi-Annual Channel сокращает разрыв в возможностях между Azure и локальными датацентрами. Полугодовые релизы предназначены для динамичных в развитии компаний, которые перешли к гибкой сервисной модели предоставления ИТ-услуг бизнесу. Релизы LTSC предназначены для компаний, которые используют устоявшиеся приложения с длительным циклом поддержки, например, Exchange Server, SharePoint Server, SQL Server, а также инфраструктурные роли, программно-определяемые датацентры и гиперконвергентную инфраструктуру.

Windows Server 2019 – это именно релиз в канале LTSC. Он включает в себя все обновления функционала с Windows Server 2016 и последующих полугодовых релизов.

Основные усилия разработчиков Windows Server 2019 были направлены на четыре ключевые области:

Windows Admin Center

Windows Admin Center (WAC) – это новое средство администрирования серверов. Устанавливается локально в инфраструктуре и позволяет администрировать локальные и облачные экземпляры Windows Server, компьютеры Windows 10, кластеры и гиперконвергентную инфраструктуру.

WAC дополняет, а не заменяет существующие средства администрирования, такие как консоли mmc, Server Manager. Подключение к WAC осуществляется из браузера.

Для выполнения задач используются технологии удаленного управления WinRM, WMI и скрипты PowerShell.

Можно опубликовать WAC и администрировать серверы извне периметра организации. Службы многофакторной аутентификации и прокси приложений Azure AD помогут защитить такой доступ извне, а использование решения Microsoft Enterprise Mobility + Security (EMS) позволит предоставлять или отказывать в доступе в зависимости от соответствия устройства политикам, рискам, местоположению и другим факторам. Использование веб-приложения вместо доступа к удаленному рабочему для администрирования, по моему мнению, это правильная стратегия для обеспечения безопасности.

Системная аналитика

Windows Server 2019 стал интеллектуальнее. С помощью новой функции System Insights реализуется прогнозная аналитика, позволяющая перейти от реактивного к проактивному управлению парком серверов. Модель машинного обучения учитывает счетчики производительности и события для точного предсказания проблем со свободным местом на дисковой подсистеме, определение трендов для процессорных вычислений, сетевому взаимодействию и производительности хранилища.

Новинки в подсистеме хранения

Storage Migration Service

В Windows Server 2019 появилась новая технология для миграции данных со старых серверов на новые – Storage Migration Service.

Миграция происходит в несколько этапов:

Azure File Sync

Azure File Sync трансформирует традиционные файловые серверы и расширяет объём хранения до практически недостижимых в реальной жизни объёмов. Данные распределяются по нескольким уровням: горячий кэш – это данные, хранящиеся на дисках файлового сервера и доступные с максимальной скоростью для пользователей. По мере остывания данные незаметно перемещаются в Azure. Azure File Sync можно использовать совместно с любыми протоколами для доступа к файлам: SMB, NFS и FTPS.

Storage Replica

Эта технология защиты от катастроф впервые появилась в Windows Server 2016. В версии 2019 появилась ограниченная поддержка редакции Windows Server Standard. Сейчас и небольшие компании могут делать автоматическую копию (реплику) хранилища в виртуальные машины Azure, если в инфраструктуре компании нет второго удаленного датацентра.

Storage Spaces Direct

Локальные дисковые пространства – это необходимый компонент для построения гиперконвергентной инфраструктуры и масштабируемого файл-сервера. В Windows Server 2019 появилась встроенная поддержка энергонезависимой памяти, улучшенные алгоритмы дедупликации, в том числе на томах с файловой системой ReFS, масштабируемость до 4ПБ на кластер, улучшения в производительности.

Изменения в отказоустойчивой кластеризации

Появились наборы кластеров (Cluster sets), увеличивающие масштабируемость до сотен узлов.
Для обеспечения кворума в кластерах с четным количеством узлов используется специальный ресурс – диск-свидетель. Во времена Windows Server 2012 R2 для диска-свидетеля необходимо было выделять диск на хранилище, в Windows Server 2016 стало возможно использовать сетевую папку или облачный диск-свидетель. Улучшения в Windows Server 2019 связаны с сокращением требований к инфраструктуре для малых предприятий. В качестве диска-свидетеля может выступать USB-диск, подключенный, например, к роутеру.

Появилась миграция кластеров между доменами и другие улучшения в службе отказоустойчивой кластеризации.

Что нового в платформе приложений

Теперь можно запускать контейнеры на основе Windows и Linux на одном и том же узле контейнера с помощью одинаковой управляющей программы Docker. Это позволяет работать в разнородной среде узлов контейнеров и предоставить разработчикам гибкость в создании приложений.

Контейнеры получили улучшенную совместимость приложений, значительно был уменьшен размер образов Server Core и Nano Server, повысилась производительность.

Windows Server 2019 получил множество других улучшений. Подробнее ознакомиться с ними можно в разделе Windows Server на официальном сайте документации docs.microsoft.com.

Системные требования

Документация описывает минимальные требования к установке Windows Server 2019. Надо понимать, что в зависимости от ролей и компонентов, от запущенных приложений, требования к серверу могут быть повышены.

Windows Server 2019 не поддерживает ATA/PATA/IDE и EIDE для загрузки, файла подкачки или дисков с данными. Минимальный объём – 32 ГБ.

Сравнение выпусков Windows Server 2019 Standard и Datacenter

Windows Server 2019 поставляется в двух редакциях: Standard и Datacenter.

Редакция для датацентров обладает расширенными возможностями: поддержка гиперконвергентной инфраструктуры, локальных дисковых пространств, расширенными лицензионными правами при использовании виртуализации.

Приглашение на вебинар

Подробнее с возможностями Windows Server 2019, сценариях использования, вариантах лицензирования можно будет ознакомиться на вебинаре «Windows Server 2019 для современного датацентра».

Спикер — Дмитрий Узлов, сертифицированный эксперт по решениям Майкрософт с многолетним опытом.

Вебинар пройдет 6 декабря в 11.00, после вебинара вы сможете сделать практические работы по развертыванию виртуальной инфраструктуры Windows Server и настройке типовых сценариев гибридного датацентра. Успешно справившиеся с заданиями практической работы получат электронный сертификат о прохождении тренинга.

Запись вебинара можно посмотреть по ссылке.

Источник

question

Because there were too many confusions by some moderators and other people, I read on other different pages with the same given solution to the problem to authenticate through NPS.

On that server for Windows Server 2019, open Command and type the following:

sc sidtype IAS unrestricted

After a success message, restart the server.

I was able to authenticate through my phone, but my laptop didn’t except through VPN on the second server from this one.

>>I was able to authenticate through my phone, but my laptop didn’t except through VPN on the second server from this one.

Could you provide more details about your issue? I am a bit confused about your question. Did you get any authentication error message? Are you trying to authenticate VPN connections to server 2019 NPS server?

Please first check the NPS event log to see if there are something related for us to troubleshooting.

7 Answers

What I meant is that I’m able to login on my cell phone Wi-Fi but the laptop or desktop will not work for wifi enterprise login. Just a message related to NFTN or something.

It is hard for us to analyze the problem if there is no specific event/error about the problem. If your issue is urgent, I would also suggest you contact Microsoft Customer Support and Services where more in-depth investigation can be done so that you would get a more satisfying explanation and solution to this issue.

You may find phone number for your region accordingly from the link below:

Here is the breakdown,

Windows Server 2016 Standard: I was able to connect any devices such as Windows 10 computer to the wifi NPS via user and password on the interface.

Windows Server 2019 Standard: There was a bug resolved however, I cannot connect any Windows 10 desktop or laptops to Wi-Fi NPS via user and password. Other devices like amazon kindle and my cell phone were able to connect.

Please check the event log both on your client and NPS server to see if there are something related for us to troubleshooting.

The cause might be the Inbound traffic to ports UDP/1812 or UDP/1813 is silently dropped by firewall.

On Windows Server 2019 with NPS role installed, open an admin command prompt & run the following command:

1.sc sidtype IAS unrestricted

2.Reboot the server

3.Attempt the connection

If it still doesn’t work, the following may be required:

Then check if the issue was resolved.

If the Answer is helpful, please click «Accept Answer» and upvote it.

Note: Please follow the steps in our documentation to enable e-mail notifications if you want to receive the related email notification for this thread.

Also Is the port for 1812 and 1813 on server side or client side? Does TLS need to be enabled?

Also as an idea, if someone can compare both server setting, they can find out what’s really going on with Server 2019

Did you mean run the command of sc sidtype IAS unrestricted and restart the NPS server still doesn’t work?

It might be that the default Windows firewall rules to allow inbound UDP port 1812 (RADIUS authentication) and inbound UDP port 1813 (RADIUS accounting) on NPS server do not work.

To do the troubleshooting, you can enable firewall logging on the NPS server to log both allowed and dropped packets. Attempt VPN connection and observe the firewall logs. Then you might see the firewall is dropping packets inbound on UDP port 1812, as the picture below:

Run the command on the NPS server side：

Is yes set for override? The bug fix still did not fix the issue to connect Windows 10 PC to Server 2019 NPS. Non Windows devices are able to connect.
However, the Windows 10 PC will connect to SSTP via VPN to NPS but not L2TP.

What’s the error message when Windows 10 PC cannot connect to L2TP VPN? Please post the detailed error message for us to troubleshooting.
Also check the event log on both client side and NPS server side to see if there are something related.

I have to get back to it but my VPN server for SSTP is down because it says («A connection to the remote computer could not be established. You might need to change the network settings for this connection».) However, it did detect invalid user and or password. Here, there is a bug as well.

On the VPN server side, here is the screenshot:

From your screenshot, VPN and DC are installed on the same machine? We did not recommend install VPN and DC on the same machine.

Let’s sort out the current problem. Based on my understanding, your issue is that WIFI authentication for windows machine not work with NPS server 2019. Is that right? Please feel free to let me know if my understanding is wrong. If yes, please refer to the following steps:

Carefully review the authentication policy on both the client and server to ensure they match.

When you cannot connect to the WIFI network, what’s the error message keep popping?

Please enable firewall logging on the NPS server to log both allowed and dropped packets. Connect to the WIFI network again, and observe the NPS’s firewall logs. Check if NPS server’s firewall is dropping RADIUS authentication packets.

SSTP is back up. I enabled TLS 1.2 before uninstalling and reinstalling RRAS in Server 2019 VPN. But L2TP has a processing error. L2TP and SSTP works on Server 2016 with no bugs. (One running NPS and other running VPN both on Server 2016)

Overall, The bugs are in Server 2019 for NPS (Windows 10 computers cannot connect, even Windows 10 Mobile)

The NPS and VPN will work correctly in Server 2016. There are some defects in Server 2019

I will do that but I would need someone from those departments to contact me so I can reply back to them and be in the live session.

For how to submit a service request to MS Professional tech support service, you can refer to the following link:

Источник

Network Policy and Access Services (NPAS)^[1] is a component of Windows Server 2008. It replaces the Internet Authentication Service (IAS) from Windows Server 2003. NPAS helps you safeguard the health and security of a network. The NPAS server role includes Network Policy Server (NPS), Health Registration Authority (HRA), and Host Credential Authorization Protocol (HCAP). In Windows Server 2003, IAS is the Microsoft implementation of a Remote Authentication Dial-In User Service (RADIUS) server. In Windows Server operating systems later than Windows Server 2003, IAS is renamed to NPS.

OverviewEdit

NPS is a role service in Windows Server 2008 which can function as:

RADIUS server
RADIUS proxy
Network Access Protection policy server

FeaturesEdit

NPSEE enables the use of a heterogeneous set of wireless, switch, remote access, or VPN equipment. One can use NPS with the Routing and Remote Access service, which is available in Microsoft Windows 2000, Windows Server 2003, Standard Edition; Windows Server 2003, Enterprise Edition; and Windows Server 2003, Datacenter Edition.^[2]

When a server running NPS is a member of an Active Directory Domain Services (AD DS) domain, NPS uses the directory service as its user account database and is part of a single sign-on solution. The same set of credentials is used for network access control (authenticating and authorizing access to a network) and to log on to an AD DS domain.^[3]

ReferencesEdit

^ «Network Policy and Access Services».
^ «Network Policy Server Overview».
^ «Network Policy Server Overview».

External linksEdit

NPS on Microsoft TechNet

Обновлено 11.05.2017

Если вы вдруг как и я любите писать скрипты, которые вам упрощают жизнь и ускоряют процесс выполнения задач, то вам это будет полезно. Тут собраны все названия ролей и компонентов которые используются при установке через командную строку в windows server 2008R2/2012R2. Особенно это актуально когда вы устанавливаете роли windows server 2012, через Powershell на большом количестве серверов, либо у вас есть удаленный офис в котором нет it специалистов, а поставить нужные серверные службы необходимо, и передав такой вот скрипт, простому менеджеру можно без особых усилий получить нужный результат, просто попросив его там запустить.

Что такое роли Windows

И так сам по себе Windows Server 2012 R2 или предыдущая версия ни кому не нужны, так как при их установке вы получаете просто обычную систему, но благодаря тому, что это конструктор, вы можете его собирать как вам угодно. Собирается он благодаря так называемым ролям Windows, и у каждой из них своя задача, которая превратит ваш сервер в нужный вам сервис.

Что такое компоненты Windows Server 2012 R2, это по сути мини роли, те которые несут не совсем существенные задачи, например сервер TFTP или Net.Framwork 3.5, согласитесь он на роль не тянет.

В операционной системе посмотреть windows server роли можно в окне Диспетчер сервера. В версии 2012 R2, этот значок выглядит вот так, и уже в пункте Управление вы добавляете либо роль, либо компонент.

В windows Server 2008 R2 это выглядит так же, но тут разница в том, что роли и компоненты разнесены по разным вкладкам.

Для того, чтобы посмотреть роли windows server 2012 r2, нажмите добавить роль и увидите полный список. Самих ролей не так уж и много и вы их наверняка еще знаете с 2008 r2.

Windows server роли

Ниже я собрал полный список содержащий роли windows server 2012 r2 и 2008 r2. Тут синтаксис такой слева просто описание названия службы, а справа то что нужно указывать в скрипте при установке.

1. DHCP-сервер [DHCP] > на сайте я приводил кучу вариантов реализации данный серверной роли, так и на различном сетевом оборудовании.

2. DNS-сервер [DNS] > роль необходимая для Active Directory

3. Hyper-V [Hyper-V] > подробнее про данную роль советую почитать соответствующий раздел. Если в двух словах то это гипервизор, для создания виртуальных машин.

4. Веб-сервер IIS [Web-Server] > роль windows server 2012 r2 для превращения его в хостинг сайтов.

Компоненты IIS

Веб-сервер [Web-WebServer]
Основные возможности HTTP [Web-Common-Http]
Статическое содержимое [Web-Static-Content]
Стандартный документ [Web-Default-Doc]
Обзор каталогов [Web-Dir-Browsing]
Ошибки HTTP [Web-Http-Errors]
Перенаправление HTTP [Web-Http-Redirect]
Веб-публикация DAV [Web-DAV-Publishing]
Разработка приложений [Web-App-Dev]
ASP.NET [Web-Asp-Net]
Расширяемость .NET [Web-Net-Ext]
ASP [Web-ASP]
CGI [Web-CGI]
Расширения ISAPI [Web-ISAPI-Ext]
Фильтры ISAPI [Web-ISAPI-Filter]
Включения на стороне сервера (SSI) [Web-Includes]
Работоспособность и диагностика [Web-Health]
Ведение журнала HTTP [Web-Http-Logging]
Средства ведения журналов [Web-Log-Libraries]
Монитор запросов [Web-Request-Monitor]
Слежение [Web-Http-Tracing]
Особое ведение журнала [Web-Custom-Logging]
Ведение журнала ODBC [Web-ODBC-Logging]
Безопасность [Web-Security]
Обычная проверка подлинности [Web-Basic-Auth]
Windows — проверка подлинности [Web-Windows-Auth]
Дайджест-проверка подлинности [Web-Digest-Auth]
Проверка подлинности с сопоставлением сертификата клиента [Web-Client-Auth]
Проверка подлинности с сопоставлением сертификата клиента IIS [Web-Cert-Auth]
Авторизация URL-адресов [Web-Url-Auth]
Фильтрация запросов [Web-Filtering]
Ограничения по IP-адресам и доменам [Web-IP-Security]
Производительность [Web-Performance]
Сжатие статического содержимого [Web-Stat-Compression]
Сжатие динамического содержимого [Web-Dyn-Compression]
Средства управления [Web-Mgmt-Tools]
Консоль управления IIS [Web-Mgmt-Console]
Сценарии и средства управления IIS [Web-Scripting-Tools]
Служба управления [Web-Mgmt-Service]
Совместимость управления IIS 6 [Web-Mgmt-Compat]
Совместимость метабазы IIS 6 [Web-Metabase]
Совместимость WMI в IIS 6 [Web-WMI]
Службы сценариев IIS 6 [Web-Lgcy-Scripting]
Консоль управления IIS 6 [Web-Lgcy-Mgmt-Console]
FTP-сервер [Web-Ftp-Server]
Служба FTP [Web-Ftp-Service]
Расширяемость FTP [Web-Ftp-Ext]
Ведущий базовый экземпляр IIS [Web-WHC]
Доменные службы Active Directory [AD-Domain-Services]
Контроллеры домена Active Directory [ADDS-Domain-Controller]
Диспетчер удостоверений для UNIX [ADDS-Identity-Mgmt]
Сервер для служб NIS [ADDS-NIS]
Синхронизация паролей [ADDS-Password-Sync]
Средства администрирования [ADDS-IDMU-Tools]
Сервер приложений [Application-Server]
Платформа .NET Framework 3.5.1 [AS-NET-Framework]
Поддержка веб-сервера (IIS) [AS-Web-Support]
Доступ к сети COM+ [AS-Ent-Services]
Общий доступ к TCP-портам [AS-TCP-Port-Sharing]
Поддержка службы активации процессов Windows [AS-WAS-Support]
Активация по HTTP [AS-HTTP-Activation]
Активация через очередь сообщений [AS-MSMQ-Activation]
Активация по TCP [AS-TCP-Activation]
Активация по именованным каналам [AS-Named-Pipes]
Распределенные транзакции [AS-Dist-Transaction]
Входящие удаленные транзакции [AS-Incoming-Trans]
Исходящие удаленные транзакции [AS-Outgoing-Trans]
Транзакции WS-AT [AS-WS-Atomic]
Веб-сервер IIS [Web-Server] > роль windows server 2012 r2 для превращения его в хостинг сайтов.

5. Службы Active Directory облегченного доступа к каталогам [ADLDS]

6. Службы Windows Server Update Services [OOB-WSUS]

7. Службы печати и документов [Print-Services]

Компоненты служб печати

Сервер печати [Print-Server]
Служба LPD [Print-LPD-Service]
Печать через Интернет [Print-Internet]
Сервер распределенного сканирования [Print-Scan-Server]

8. Службы политики сети и доступа [NPAS] > данные роли windows server 2012 r2, превратят ваш сервер в маршрутизатор или VPN сервер.

Компоненты NPAS

Сервер политики сети [NPAS-Policy-Server]
Службы маршрутизации и удаленного доступа [NPAS-RRAS-Services]
Служба удаленного доступа [NPAS-RRAS]
Маршрутизация [NPAS-Routing]
Центр регистрации работоспособности [NPAS-Health]
Протокол авторизации учетных данных узла [NPAS-Host-Cred]

9. Службы развертывания Windows [WDS] > Автоматизированная установка операционных систем по сети, за счет протокола PXE.

Картинка с сайта: windoro.ru

Компоненты WDS

Сервер развертывания [WDS-Deployment]
Транспортный сервер [WDS-Transport]

10. Службы сертификации Active Directory [AD-Certificate]

Компоненты Службы сертификации Active Directory

Центр сертификации [ADCS-Cert-Authority]
Служба регистрации в центре сертификации через Интернет [ADCS-Web-Enrol
lment]
Сетевой ответчик [ADCS-Online-Cert]
Служба регистрации на сетевых устройствах [ADCS-Device-Enrollment]
Веб-служба регистрации сертификатов [ADCS-Enroll-Web-Svc]
Веб-служба политик регистрации сертификатов [ADCS-Enroll-Web-Pol]

12. Службы удаленных рабочих столов [Remote-Desktop-Services] > очень часто эта роль windows server 2012 r2 используется в компаниях.

Компоненты RDS

Узел сеансов удаленных рабочих столов [RDS-RD-Server]
Узел виртуализации удаленных рабочих столов [RDS-Virtualization]
Службы Core Services [RDS-Virtualization-Core]
RemoteFX [RDS-RemoteFX]
Лицензирование удаленных рабочих столов [RDS-Licensing]
Посредник подключений к удаленному рабочему столу [RDS-Connection-Broke
r]
Шлюз удаленных рабочих столов [RDS-Gateway]
Веб-доступ к удаленным рабочим столам [RDS-Web-Access]

13. Службы управления правами Active Directory [ADRMS]

Компоненты ADRMS

Сервер управления правами Active Directory [ADRMS-Server]
Поддержка удостоверений в службе федерации [ADRMS-Identity]

14. Службы федерации Active Directory [AD-Federation-Services]

Компоненты ADFS

Служба федерации [ADFS-Federation]
Прокси-сервер службы федерации [ADFS-Proxy]
Веб-агенты AD FS [ADFS-Web-Agents]
Агент, поддерживающий утверждения [ADFS-Claims]
Агент Windows на основе токенов [ADFS-Windows-Token]

15. Файловые службы [File-Services]

Компоненты файловых служб

Файловый сервер [FS-FileServer]
Распределенная файловая система [FS-DFS]
Пространства имен DFS [FS-DFS-Namespace]
Репликация DFS [FS-DFS-Replication]
Диспетчер ресурсов файлового сервера [FS-Resource-Manager]
Службы для NFS [FS-NFS-Services]
Служба Windows Search [FS-Search-Service]
Файловые службы Windows Server 2003 [FS-Win2003-Services]
Служба индексирования [FS-Indexing-Service]
Служба BranchCache для сетевых файлов [FS-BranchCache]
Факс-сервер [Fax]

Так, что вы теперь знаете сколько windows server имеет ролей, правильный ответ 15

Компоненты windows server 2012 R2

Так роли windows server 2008 r2 и 2012 r2 мы рассмотрели, давайте узнаем какие компоненты windows server 2012 R2 имеет под капотом.

BranchCache [BranchCache]
Quality Windows Audio Video Experience [qWave]
RPC через HTTP-прокси [RPC-over-HTTP-Proxy]
Telnet-сервер [Telnet-Server]
Windows TIFF IFilter [TIFF-IFilter]
WINS-сервер [WINS-Server]
Балансировка сетевой нагрузки [NLB]
Биометрическая платформа Windows [Biometric-Framework]
Внутренняя база данных Windows [Windows-Internal-DB]
Возможности .NET Framework 3.5.1 [NET-Framework]
.NET Framework 3.5.1 [NET-Framework-Core]
Активация WCF [NET-Win-CFAC]
Активация через HTTP [NET-HTTP-Activation]
Не-HTTP активация [NET-Non-HTTP-Activ]
Возможности рабочего стола [Desktop-Experience]
Возможности системы архивации данных Windows Server [Backup-Features]
Система архивации данных Windows Server [Backup]
Программы командной строки [Backup-Tools]
Диспетчер системных ресурсов [WSRM]
Диспетчер хранилища для сетей SAN [Storage-Mgr-SANS]
Интегрированная среда сценариев (ISE) Windows PowerShell [PowerShell-ISE]
Клиент Telnet [Telnet-Client]
Клиент TFTP [TFTP-Client]
Клиент интернет-печати [Internet-Print-Client]
Консоль управления DirectAccess [DAMC]
Многопутевой ввод-вывод [Multipath-IO]
Монитор LPR-портов [LPR-Port-Monitor]
Очередь сообщений [MSMQ]
Службы очереди сообщений [MSMQ-Services]
Сервер очереди сообщений [MSMQ-Server]
Интеграция служб каталогов [MSMQ-Directory]
Триггеры очереди сообщений [MSMQ-Triggers]
Поддержка HTTP [MSMQ-HTTP-Support]
Поддержка многоадресной рассылки [MSMQ-Multicasting]
Служба маршрутизации [MSMQ-Routing]
DCOM-прокси очереди сообщений [MSMQ-DCOM]
Пакет администрирования диспетчера подключений [CMAK]
Подсистема для UNIX-приложений [Subsystem-UNIX-Apps]
Простые службы TCP/IP [Simple-TCPIP]
Протокол PNRP [PNRP]
Расширение WinRM IIS [WinRM-IIS-Ext]
Сервер SMTP [SMTP-Server]
Сервер службы имен хранилищ Интернета [ISNS]
Служба активации процессов Windows [WAS]
Модель процесса [WAS-Process-Model]
Среда .NET [WAS-NET-Environment]
API-интерфейсы конфигурации [WAS-Config-APIs]
Служба беспроводной локальной сети [Wireless-Networking]
Службы SNMP [SNMP-Services]
Служба SNMP [SNMP-Service]
WMI-поставщик SNMP [SNMP-WMI-Provider]
Службы рукописного ввода [Ink-Handwriting]
Поддержка рукописного ввода [IH-Ink-Support]
Распознавание рукописного ввода [IH-Handwriting]
Средства миграции Windows Server [Migration]
Средства удаленного администрирования сервера [RSAT]
Средства администрирования ролей [RSAT-Role-Tools]
Средства служб сертификации Active Directory [RSAT-ADCS]
Средства центра сертификации [RSAT-ADCS-Mgmt]
Средства сетевого ответчика [RSAT-Online-Responder]
Средства AD DS и AD LDS [RSAT-AD-Tools]
Инструменты AD DS [RSAT-ADDS]
Оснастки AD DS и средства командной строки [RSAT-ADDS-Tools]
Административный центр Active Directory [RSAT-AD-AdminCenter]
Средства сервера для NIS [RSAT-SNIS]
Оснастки AD LDS и средства командной строки [RSAT-ADLDS]
Модуль Active Directory для Windows PowerShell [RSAT-AD-PowerShell]
Средства службы управления правами Active Directory [RSAT-RMS]
Средства DHCP-сервера [RSAT-DHCP]
Средства DNS-сервера [RSAT-DNS-Server]
Средства факс-сервера [RSAT-Fax]
Средства файловых служб [RSAT-File-Services]
Средства распределенной файловой системы (DFS) [RSAT-DFS-Mgmt-Con]
Средства диспетчера ресурсов файлового сервера [RSAT-FSRM-Mgmt]
Средства служб для NFS [RSAT-NFS-Admin]
Средства Hyper-V [RSAT-Hyper-V]
Средства служб политики сети и доступа [RSAT-NPAS]
Средства служб печати и документов [RSAT-Print-Services]
Средства служб удаленных рабочих столов [RSAT-RDS]
Средства узла сеансов удаленных рабочих столов [RSAT-RDS-RemoteApp]
Средства шлюза удаленных рабочих столов [RSAT-RDS-Gateway]
Средства лицензирования удаленных рабочих столов [RSAT-RDS-Licensing]
Средства посредника подключений к удаленному рабочему столу [RSAT-RDS-Conn-Broker]
Средства веб-сервера (IIS) [RSAT-Web-Server]
Средства служб развертывания Windows [RSAT-WDS]
Средства администрирования возможностей [RSAT-Feature-Tools]
Средства администрирования программы шифрования дисков BitLocker [RSAT-BitLocker]
Средства шифрования диска BitLocker [RSAT-Bitlocker-DriveEnc]
Средство просмотра пароля BitLocker [RSAT-Bitlocker-RecPwd]
Средства серверных расширений BITS [RSAT-Bits-Server]
Средства отказоустойчивости кластеров [RSAT-Clustering]
Средства балансировки сетевой нагрузки [RSAT-NLB]
Средства SMTP-сервера [RSAT-SMTP]
Средства WINS-сервера [RSAT-WINS]
Средство отказоустойчивости кластеров [Failover-Clustering]
Средство просмотра XPS [XPS-Viewer]
Удаленное разностное сжатие [RDC]
Удаленный помощник [Remote-Assistance]
Управление групповой политикой [GPMC]
Фоновая интеллектуальная служба передачи (BITS) [BITS]
Облегченный сервер загрузки [BITS-Compact-Server]
Расширение сервера IIS [BITS-IIS-Ext]
Шифрование диска BitLocker [BitLocker]

Как посмотреть в командной строке windows server роли

Для того, чтобы посмотреть windows server роли в 2008 R2, есть два метода это утилита командной строки servermanagercmd. Вводим вот такую команду для получения списка ролей и компонентов.

В итоге получите вот такой вывод команды

Второй метод, просмотреть роли windows server 2008 r2 это конечно же powershell, вводим вот такую команду:

В итоге вы получаете список всех доступных ролей и компонентов Windows Server

Для 2012 r2 и 2016 версии Windows server роли ставятся, только через Powershell, если мы имеем ввиду GUI интерфейс. Уверен, что кому то данная статья поможет.

Over the last few days, I have been playing around with a few switches and configuring some 802.1X authentication between the switches and a Microsoft RADIUS server. I wanted to throw a quick block post out there to step through getting a Microsoft Network Policy Server configured to serve as a RADIUS server for clients on the network and how to configure this in basic terms. The configuration is not difficult, but it is tedious. If you skip one small step or configuration, you can leave yourself scratching your head for hours trying to chase down issues. However, there are some troubleshooting tools to note with RADIUS that makes life easier with figuring out what is going on if authentication requests etc. Let’s take a look at Installing Configuring Troubleshooting Windows Server 2019 NPS as RADIUS to step through the installation and configuration and look at a few troubleshooting areas to note.

The process to install the Network Policy Server in Windows Server 2019 is very straightforward. It is simply a matter of installing the Network Policy Server role in Windows Server. This is simply a next, next, finish process without even having to perform a Windows reboot. The NPS component is found under the Server Roles portion of the Add Roles and Features wizard.

Beginning to install the Network Policy and Access Server Role – Windows Server 2019

Add the additional features that are required to install the role.

Add additional features needed to the Network Policy Server role in Windows Server 2019

The role is now selected.

The Network Policy Server role is added after additional features are selected

Click Next.

Network Policy Server things to note during install

Confirm the installation of the NPS role.

Confirming the install of Network Policy Server

The NPS Role installation finishes successfully.

Feature installation of Network Policy Server completes successfully

Now that the role has been added successfully, we can start configuring the NPS role to serve as a RADIUS server for network devices.

Configuring and Troubleshooting Windows Server 2019 RADIUS server

One of the first things you want to do when getting the RADIUS server configured is to setup the Connection Request Policies and the Network Policies. What is the difference between the two?

Connection Request Policies – Connection request policies are sets of conditions and settings that allow designating which RADIUS servers perform the authentication and authorization of connection requests recevied from RADIUS clients. They can also determine which RADIUS servers perform the accounting functions.

The time of day and day of the week
The realm name in the connection request
The type of connection being requested
The IP address of the RADIUS client

Network policies are sets of conditions, constraints, and settings that allow designating who is authorized to connect to the network and the circumstances under which they can or can’t connect. These can be viewed as an ordered set of rules. Each network policy has a Policy State setting that allows enabling or disabling the policy. These are processed from the top down.

An overview of connection and network policies

Let’s look at the properties of the default connection policy Use Windows authentication for all users to see what settings are contained. Note under the overview, the policy is set to enabled. It is perfectly ok to use the default connection policy and edit it to customize the properties as needed.

Default NPS connection policy overview

The only conditions defined in the Conditions tab is Day and time restrictions that define when connections can be made.

NPS default connection policy conditions

Note under the Settings tab we see the Authentication configuration that allows configuring which requests are processed locally or sent on to another RADIUS server.

Default connection policy authentication settings

I am just going to use the default connection policy. However, under the Network Policies container, I have created a new policy called TestPolicy and moved this to the top of the order for processing above the default network policies already there.

Creating a new network policy for defining who is able to connect

Under the TestPolicy network policy, we note it is set to enabled and the Access permission given is to Grant access.

Overview of new network policy in Windows Server 2019 NPS

As noted above, the network policy defines who is allowed to connect. Below, I have added a Windows group under the Conditions tab to allow connection.

Windows Server 2019 NPS Server Conditions tab for new network policy

Under the Constraints tab, here is where you can define many important aspects of the network policy such as the Authentication Methods. I have added Microsoft: Protected EAP (PEAP) and Microsoft: Secured password (EAP-MSCHAP v2) as authentication protocols

PEAP authentication is a jointly developed authentication protocol by Cisco, Microsoft and RSA Security that encapsulates EAP within an encrypted and authenticated TLS encryption tunnel. this requires a certificate for providing the TLS tunnel.

Under the constraints tab add PEAP authentication

Using PowerShell in Windows Server 2019, you can easily provision a self-signed certificate for use with the PEAP authentication protocol.

New-SelfSignedCertificate -dnsnae "<your server FQDN>" -KeyLength 2048 -CertStoreLocation cert:LocalMachineMy -NotAfter (Get-Date).AddYears(20)

Creating a new self-signed certificate for use with PEAP authentication

Now, if we go back and edit the properties of the PEAP authentication protocol in our network policy, you will see an acceptable certificate for use with the PEAP protocol. The certificate that was just created will be used by default.

Configuring the certificate created for use with PEAP authentication

RADIUS can be time consuming and difficult to troubleshoot by trying the authentication request from a real client. Thankfully, there are great RADIUS simulators that make this process much easier. One that I really like to use is the NTRadPing utility which you can download here. This makes simulating the traffic extremely easy. One thing that needs to be done to allow testing with NTRadPing is to add the PAP authentication protocol which is unencrypted. Once you place the RADIUS server into production, you want to remove this. However, for testing, this is fine.

Add PAP temporarily to test the RADIUS server using NTRadPing

Add your workstation IP as a RADIUS client under the RADIUS Clients and Servers node. This consists of enabling the client, giving it a friendly name, entering the FQDN or IP address, and choosing a test shared secret passphrase.

Adding a test workstation as a RADIUS client to use NTRadPing to test RADIUS

After downloading and launching NTRadPing, there are several areas of the app to make note of. We need to enter the address of the RADIUS server to be tested, the port, the Shared secret key which on the screen is cleartext. Then enter the user-name and password. On the Request type choose the Authentication Request in the drop down box. Then simply click the Send button. In the RADIUS Server reply box, you should see the response: Access-Accept if you are using a user that fits both the connection and network policies configured.

Configure NTRADPING to test authentication request over to the RADIUS server

Configure RADIUS accounting for logging requests authentication etc

Configure local logging in the accounting properties of the RADIUS server

As you can see below, after enabling the RADIUS server logging under the Accounting configuration, you will start to see log files created under the default location of c:WindowsSystem32LogFiles.

Log files generated for RADIUS server accounting

Thoughts

If you are in need of utilizing a RADIUS server in your environment, Installing Configuring Troubleshooting Windows Server 2019 NPS as RADIUS server is very straightforward. The Network Policy Server role allows having a powerful RADIUS solution that allows providing authentication requests to network clients, switches, and other devices that support RADIUS server integration. Using great little tools such as NTRadPing and the built-in logging allow for easy troubleshooting of the configuration. Stay tuned for future posts where we will take this integration even further and show the process of authenticating and apply network policies to users based on RADIUS server authentication.

Источник

Внешний вид и функциональность функции Nap на Windows Server 2019

Основные варианты использования и преимущества функции Nap на Windows Server 2019

Nap windows server 2019

What is Nap?

How does Nap work?

Advantages of using Nap

Limitations of Nap

Conclusion

NAP Windows Server 2019: Обзор

Что такое Network Access Protection (NAP)?

Как работает NAP в Windows Server 2019?

Основные преимущества NAP

Как настроить NAP в Windows Server 2019?

Вывод

Nap Windows Server 2019: Все, что вам нужно знать

Что такое Network Access Protection?

Как работает NAP?

Почему NAP важен для вашей сети?

Итоги

Windows 10: NAP in windows server 2019

NAP in windows server 2019

NAP in windows server 2019

NAP in windows server 2019

NAP in windows server 2019 — Similar Threads — NAP server 2019

NAP in windows server 2019

Windows server 2019 file server backup server.

Windows server 2019 file server backup server.

Windows server 2019

Windows server 2019

BlueScreen Windows Server 2019

Server 2019

Windows Server 2019

Windows Server 2019

2. Considerations for NAP Enforcement

3. Planning NAP IPsec Enforcement

Designing NAP IPsec Enforcement

Restricted Network

Boundary Network

Secure Network

Scaling NAP IPsec Enforcement for Small Environments

Scaling NAP IPsec Enforcement for Larger Environments

PKI Support for IPsec Enforcement

Structure of the PKI

Configuring Additional NAP Components on Clients

Configuring NAP Health Policy Servers

План:

Установка роли NPS

Добавление RADIUS клиента

Создание политики подключения

Создание политики сети

Добавление сервера авторизации на MikroTik

Проверка через SSH и WinBox

What Is the RADIUS Protocol?

What Do RADIUS Servers Do?

What Is the Purpose of NPS?

The 3 Roles of NPS

RADIUS Server

RADIUS Proxy

Access Protection

NPS Best Practices

Установка и настройка сервера с ролью Network Policy Server

Настройка сетевого оборудования для работы с сервером RADUIS

Configure your WLAN Access Points

Configure Wireless Network (IEEE 802.11) Policies | Wi-Fi profiles

Create Wi-Fi profiles using the System Center Configuration Manager (SCCM) or Microsoft Intune.

Manage Wi-Fi profiles on local computer by using the netsh command

Troubleshooting

EAP authentication exchange for wireless clients through the access point and RADIUS server stuck by using a route-based IPSec in pfSense during the SSL handshake and here exactly after the Client Hello

Links

DHCP-сервер

DNS-сервер

Hyper-V

Аттестация работоспособности устройств

Веб-сервер (IIS)

Доменные службы Active Directory

Режим Windows Server Essentials

Сетевой контроллер

Служба опекуна узла

Службы Active Directory облегченного доступа к каталогам

Службы MultiPoint

Картинка с сайта: windoro.ru

Компоненты WDS