Что такое ad в впн

Использование Network Policy Server для управления VPN-соединениями Текст научной статьи по специальности «Компьютерные и информационные науки»

Аннотация научной статьи по компьютерным и информационным наукам, автор научной работы — Шишкин И.Н.

В статье представлен обзор возможностей Network Policy Server для организации управления VPN-соединениями на основе доменной структуры Active Directory . Приведена схема взаимодействия VPN-клиентов, VPN-сервера, Active Directory и Network policy Server.

i Надоели баннеры? Вы всегда можете отключить рекламу.

USING NETWORK POLICY SERVER FOR VPN-CONNECTIONS MANAGEMENT

The article includes review of functions of Network Policy Server for VPN-connections management using Active Directory structure. Article contains interaction scheme between VPN-clients, VPN-Server, Active Directory and Network Policy Server.

Текст научной работы на тему «Использование Network Policy Server для управления VPN-соединениями»

Динамика систем, механизмов и машин, № 4, 2014

И.Н. Шишкин, I.N. Shishkin, e-mail: sin@keva.tusur.ru

Томский государственный университет систем управления и радиоэлектроники, г. Томск, Россия

Tomsk state university of control systems and radioelectronics, Tomsk, Russia

ИСПОЛЬЗОВАНИЕ NETWORK POLICY SERVER ДЛЯ УПРАВЛЕНИЯ VPN-СОЕДИНЕНИЯМИ

USING NETWORK POLICY SERVER FOR VPN-CONNECTIONS MANAGEMENT

В статье представлен обзор возможностей Network Policy Server для организации управления VPN-соединениями на основе доменной структуры Active Directory. Приведена схема взаимодействия VPN-клиентов, VPN-сервера, Active Directory и Network policy Server.

Ключевые слова: Network Policy Server, VPN, Active Directory, RADIUS

Keywords: VPN, Active Directory, Network Policy Server, RADIUS

Технология VPN (Virtual Private Network) нашла широкое применение для организации доступа удаленных сотрудников или офисов к корпоративной сети, доступа в сеть Internet, организации защищенных каналов связи. Однако управление доступом к VPN и разграничением доступа является актуальной задачей.

В большинстве организаций существует доменная структура, основанная на Active Directory. При наличии данной структуры целесообразно объединить разграничение доступа к VPN с правами пользователя в Active Directory.

Для данной задачи возможно использование такой роли Windows Server как Network Policy Server. При этом не обязательно выделение отдельного физического или виртуального сервера, роль Network Policy Server может быть развернута на контроллере домена.

При добавлении роли Network Policy Server и регистрации NPS-сервера в Active Directory можно получить следующий функционал для управления VPN-соединениями:

1) разграничение доступа пользователей Active Directory к VPN-соединению, как для конкретного пользователя, так и для группы пользователей;

2) ограничение доступа к VPN-соединению по времени;

3) задание IP адресов для каждого пользователя VPN в Active Directory.

Ограничение доступа к VPN-соединению по времени позволяет не допустить использование VPN-соединений во внерабочее время и выходные дни.

Задание IP адресов позволят закреплять за каждым пользователем VPN-соединений конкретный IP адрес, что в свою очередь упрощает процесс отслеживания действий пользователя с VPN-соединением.

Для реализации данных функций необходимо выполнение следующих требований:

1) наличие возможности авторизации по RADIUS на VPN-сервере;

2) Network Policy Server должен быть зарегистрирован в Active Directory;

3) Network Policy Server должен быть сконфигурирован как RADIUS-сервер.

Схема взаимодействия компонентов системы представлена на рис. 1.

Динамика систем, механизмов и машин, № 4, 2014

Запрос авторизации по RADIUS

Запрос на подключение

Рис. 1. Взаимодействие компонентов системы

Клиент инициирует соединение с VPN-сервером, при этом в качестве логина и пароля используются учетные данные пользователя Active Directory с указанием домена.

VPN-сервер, который выступает в качестве RADIUS-клиента, передает RADIUS-запрос авторизации на Network Policy Server. Network Policy Server определяет — зарегистрирован ли данный RADIUS-клиент, и, в случае положительного результата, обращается к Active Directory для подтверждения учетных данных пользователя.

Если пользователь принадлежит к группе, которой разрешено использование VPN-соединений, и в данный момент времени разрешено использование VPN-соединений, служба каталогов Active Directory разрешает доступ и передает NPS IP адрес, который нужно присвоить VPN-клиенту. IP адрес является атрибутом пользователя в AD. Если IP адрес не указан, будет использоваться DHCP на VPN-сервере. Если же DHCP отсутствует — указание IP адреса является обязательным.

После подтверждения разрешения подключения от Active Directory NPS направляет ответ VPN-серверу с разрешением установки VPN-соединения и передает ему IP-адрес, который должен быть присвоен клиенту. После подтверждения VPN-сервер устанавливает соединение с клиентом.

Достоинства данного метода заключаются в том, что аутентификация пользователей осуществляется с использованием Active Directory, что позволяет не хранить отдельную базу пользователей для VPN-сервера, кроме того при наличии нескольких контроллеров домена повышает отказоустойчивость системы и позволяет использовать усиленные методы аутентификации пользователей [1-3]. Кроме того данный метод не зависит от используемого в организации VPN-сервера, единственное ограничение — наличие возможности авторизации по унифицированному протоколу RADIUS.

Работа выполнена при финансовой поддержке Министерства образования и науки РФ в рамках базовой части государственного задания ТУСУР на 2014 год (проект № 1200).

1. Исхаков, А. Ю. Двухфакторная аутентификация на основе программного токена / А. Ю.Исхаков, Р. В. Мещеряков, И. А. Ходашинский // Вопросы защиты информации. -2013. № 3 (102). — С. 23-28.

2. Ходашинский, И. А. Технология усиленной аутентификации пользователей информационных процессов / И. А. Ходашинский, М. В.Савчук, И. В. Горбунов, Р. В. Мещеряков // Доклады ТУСУРа. — 2011. — № 2-3. — С. 236-248.

Динамика систем, механизмов и машин, № 4, 2014

3. Савчук М.В. Методы усиленной аутентификации пользователей / М.В. Савчук, Р. В. Мещеряков, Е.М. Давыдова // Безопасность информационных технологий. — 2007. — № 4. -С. 60-68.

Настройка клиента Microsoft Entra и параметров P2S для подключений VPN-шлюз

Эта статья поможет настроить параметры клиента AD и P2S для проверки подлинности Microsoft Entra. Дополнительные сведения о протоколах и проверке подлинности подключений «точка — сеть» см. в статье Сведения о VPN-подключениях типа «точка — сеть». Чтобы пройти проверку подлинности с помощью типа проверки подлинности Microsoft Entra, необходимо включить тип туннеля OpenVPN в конфигурацию типа «точка — сеть».

Проверка подлинности Microsoft Entra поддерживается только для подключений протокола OpenVPN® и требует vpn-клиента Azure.

Клиент Microsoft Entra

Действия, описанные в этой статье, требуют клиента Microsoft Entra. Если у вас нет клиента Microsoft Entra, его можно создать, выполнив действия, описанные в статье «Создание нового клиента «. При создании каталога обратите внимание на следующие поля:

Имя организации
Первоначальное доменное имя

Создание пользователей клиента Microsoft Entra

Создайте две учетные записи в созданном клиенте Microsoft Entra. Шаги см. в статье Добавление и удаление новых пользователей.
- Учетная запись глобального администратора
- Учетная запись пользователя

Учетная запись глобального администратора будет использоваться для предоставления согласия на регистрацию приложения VPN Azure. Учетная запись пользователя может использоваться для тестирования проверки подлинности OpenVPN.

Авторизация VPN-приложения Azure

Авторизация приложения

Войдите на портал Azure как пользователь с ролью Глобального администратора.
Затем предоставьте согласие администратора для организации. Это позволит приложению VPN Azure выполнять вход и читать профили пользователей. Скопируйте и вставьте URL-адрес, относящийся к расположению развертывания, в адресную строку браузера: Общедоступный

https://login.microsoftonline.com/common/oauth2/authorize?client_id=41b23e61-6c1e-4545-b367-cd054e0ed4b4&response_type=code&redirect_uri=https://portal.azure.com&nonce=1234&prompt=admin_consent

Azure для государственных организаций

https://login.microsoftonline.us/common/oauth2/authorize?client_id=51bb15d4-3a4f-4ebf-9dca-40096fe32426&response_type=code&redirect_uri=https://portal.azure.us&nonce=1234&prompt=admin_consent

Microsoft Cloud Germany

https://login-us.microsoftonline.de/common/oauth2/authorize?client_id=538ee9e6-310a-468d-afef-ea97365856a9&response_type=code&redirect_uri=https://portal.microsoftazure.de&nonce=1234&prompt=admin_consent

Microsoft Azure под управлением 21Vianet

https://login.chinacloudapi.cn/common/oauth2/authorize?client_id=49f817b6-84ae-4cc0-928c-73f27289b3aa&response_type=code&redirect_uri=https://portal.azure.cn&nonce=1234&prompt=admin_consent

Примечание. Если вы используете учетную запись глобального администратора, которая не является собственной для клиента Microsoft Entra для предоставления согласия, замените «common» идентификатором клиента Microsoft Entra в URL-адресе. Замена common идентификатором арендатора может также потребоваться в некоторых других случаях. Сведения о поиске идентификатора клиента см. в статье «Как найти идентификатор клиента Microsoft Entra».

Screenshot of the Enterprise application page showing Azure V P N listed.

Выберите учетную запись с ролью Глобальный администратор при появлении запроса.

На странице Запрошенные разрешения щелкните Принять.

Перейдите к идентификатору Microsoft Entra. В области слева щелкните Корпоративные приложения. Вы увидите VPN Azure в списке.

Настройка проверки подлинности для шлюза

Портал Azure находится в процессе обновления полей Azure Active Directory до Entra. Если вы видите идентификатор Microsoft Entra, на который вы ссылаетесь, и вы еще не видите эти значения на портале, можно выбрать значения Azure Active Directory.

Screenshot showing settings for Tunnel type, Authentication type, and Microsoft Entra settings.

Укажите идентификатор арендатора, который вы хотите использовать для проверки подлинности. Он указан в разделе свойств на странице Active Directory. Сведения о поиске идентификатора клиента см. в статье «Как найти идентификатор клиента Microsoft Entra».
Если у вас нет работающей среды «точка — сеть», следуйте инструкциям, чтобы создать ее. См. раздел Создание VPN-подключения «точка — сеть» для получения информации о создании и настройке VPN-шлюза типа «точка — сеть». При создании VPN-шлюза номер SKU «Базовый» не поддерживается для OpenVPN.
Перейдите к шлюзу виртуальной сети. В левой области щелкните конфигурацию «Точка — сеть». Задайте следующие значения.
- Пул адресов: пул адресов клиента
- Тип туннеля: OpenVPN (SSL)
- Тип проверки подлинности: идентификатор Microsoft Entra

Для значений идентификатора Microsoft Entra используйте следующие рекомендации для значений клиента, аудитории и издателя. Замените идентификатором клиента, заботясь об удалении <> из примеров при замене этого значения.

Клиент: TenantID для клиента Microsoft Entra. Введите идентификатор клиента, соответствующий конфигурации. Убедитесь, что URL-адрес клиента не имеет (обратную косую \ черту) в конце. Косая черта допустима.
- Общедоступная служба Azure AD: https://login.microsoftonline.com/
- Azure для государственных организаций AD: https://login.microsoftonline.us/
- Azure Germany AD: https://login-us.microsoftonline.de/
- Китай 21Vianet AD: https://login.chinacloudapi.cn/
- Общедоступная служба Azure: 41b23e61-6c1e-4545-b367-cd054e0ed4b4
- Azure для государственных организаций: 51bb15d4-3a4f-4ebf-9dca-40096fe32426
- Azure Для Германии: 538ee9e6-310a-468d-afef-ea97365856a9
- Microsoft Azure, управляемый 21Vianet: 49f817b6-84ae-4cc0-928c-73f27289b3aa
- https://sts.windows.net//
Скачивание пакета конфигурации профиля VPN-клиента Azure

В этом разделе описано, как создать и скачать пакет конфигурации профиля VPN-клиента Azure. Этот пакет содержит параметры, которые можно использовать для настройки профиля VPN-клиента Azure на клиентских компьютерах.
1. В верхней части страницы конфигурации «Точка — сеть» щелкните «Скачать VPN-клиент«. Пакет конфигурации клиента создается несколько минут.
2. В браузере появится сообщение о том, что ZIP-файл конфигурации клиента доступен. Он получает такое же имя, как у вашего шлюза.
3. Распакуйте загруженный zip-файл.
4. Перейдите в распакованную папку «AzureVPN».
5. Запомните расположение файла azurevpnconfig.xml. Файл azurevpnconfig.xml содержит параметр для VPN-подключения. Вы также можете распространить этот файл среди всех пользователей, которым необходимо подключиться по электронной почте или другим способом. Для успешного подключения пользователю потребуются допустимые учетные данные Microsoft Entra. Дополнительные сведения см. в файлах конфигурации профиля клиента VPN Azure для проверки подлинности Microsoft Entra.
Следующие шаги
- Чтобы подключиться к виртуальной сети, необходимо настроить VPN-клиент Azure на клиентских компьютерах. См. раздел Настройка клиента VPN для подключений P2S VPN.
- Часто задаваемые вопросы см. в разделе «Точка — сеть» VPN-шлюз вопросы и ответы.
Запуск VPN соединения до входа в Windows

10.11.2023

itpro

PowerShell, Windows 10, Windows 11, Windows Server 2019

комментариев 18

По умолчанию встроенный VPN клиент Windows позволяет подключиться к VPN серверу только после входу пользователя в систему. Это создает проблемы для компьютеров/ноутбуков, которые состоят в домене Active Directory и подключаются к доменной сети через VPN. Конечно, пользователь может войти на свой компьютер под кэшированными учетными данными домена (cached credentials) и после этого запустить VPN. Но у такого пользователей постоянно будут появляться проблемы с доступом к общим сетевым папкам и другим доменным ресурсам (особенно после смены пароля в домене).

Windows позволяет установить подключение с VPN серверу до входа пользователя в систему. В этом случае пользователь после установления VPN подключения выполнит полноценную аутентификацию на контроллере домена AD.

В предыдущих версиях Windows это можно было реализовать с помощью опции “Allow other people to use this connection” в настройках VPN подключения. Но в современных версиях Windows 10 и 11 эта опция отсутствует.

В новых версиях Windows можно создать общее VPN подключения из командной строки PowerShell. Например, для L2TP VPN подключения с общим ключом используется команда:

Add-VpnConnection -Name WorkVPN_L2TP -ServerAddress x.x.x.x -TunnelType L2TP -L2tpPsk «str0ngSharedKey2» -EncryptionLevel Required -AuthenticationMethod MSChapv2 -RememberCredential -AllUserConnection $true –PassThru

Особенности использования L2TP/IPsec VPN подключений в Windows.

В данном случае опция -AllUserConnection $true позволяет создать VPN подключение, которое доступно всем пользователям Windows, в том числе на экране входа.

Чтобы создать другие типы VPN подключений (PPTP, SSTP, IKEv2), обратитесь к примерам использования командлета Add-VpnConnection в статье “Управление VPN подключениями в Windows из PowerShell”.

В дальнейшем вы можете изменить настройки общего VPN подключения из графического интерфейса панели управления (ncpa.cpl).

Если VPN подключение уже создано в вашем профиле, вы можете сделать его общим, скопировав файл rasphone.pbk из каталога %userprofile%\AppData\Roaming\Microsoft\Network\Connections\PBK в C:\ProgramData\Microsoft\Network\Connections\PBK .

Теперь на экране входа в Windows нужно нажать значок сетевого подключения в правом нижнем углу.

Введите имя и пароль пользователя для VPN подключения.

После этого ваш компьютер должен установить подключение, и вы можете войти в Windows под своей доменной учетной записью.

Если VPN подключение прервется, пользователь может самостоятельно переподключиться из панели управления (или настроить автоматическое переподключение к VPN).

Предыдущая статья Следующая статья

Читайте далее в разделе PowerShell Windows 10 Windows 11 Windows Server 2019

Ищем источник блокировки учетной записи пользователя в Active Directory

Настройка проброса сетевых портов (порт форвардинг) в Windows

Установка и настройка сервера обновлений WSUS на Windows Server

Настройка NIC Teaming в Windows Server 2019/2016 и Windows 10

Обзор функций

VPN — это идеальный инструмент, который обеспечивает безопасность и анонимность каждого вашего выхода в Сеть. Как это работает? Если не вдаваться в технические подробности, можно сказать, что VPN создаёт безопасное зашифрованное соединение (туннель) между устройством пользователя и удалённым VPN-сервером. Таким образом, сохраняется конфиденциальность данных, а также анонимность пользователя, поскольку сторонний наблюдатель видит IP-адрес VPN-сервера, а не фактический пользовательский IP.

VPN часто используется для:
- Сохранения безопасности личных данных даже при использовании общественного Wi-Fi
- Предотвращения отслеживания онлайн-активности путём маскировки IP-адреса
- Сокрытия настоящего местоположения для сохранения анонимности
AdGuard VPN для Android может сделать всё это для вас — и даже предложить нечто уникальное. Чтобы узнать, почему AdGuard VPN лучше других VPN-сервисов, прочтите эту статью.

Как начать пользоваться AdGuard VPN для Android

Для начала скачайте его из Google Play и войдите в свой личный кабинет AdGuard. В случае, если у вас его нет, следует его создать. Вы можете авторизоваться непосредственно с помощью учётных данных аккаунта AdGuard. Или сделать это через Google или Facebook, но только в том случаае, если ваш аккаунт AdGuard был зарегистрирован с использованием того же адреса электронной почты.

Главный экран

На главном экране отображается статус VPN (Подключён/Отключён). Ещё на нём есть кнопка Подключить/Отключить и список доступных серверов.

Каждый сервер имеет своё местоположение и показатель пинга, отображающий время отклика сервера. Чем ниже этот показатель, тем быстрее соединение. Самые быстрые серверы всегда находятся в верхней части списка, который состоит более чем из 50 локаций в десятках стран. Вы можете подключиться к самому быстрому серверу, нажав на кнопку Подключить или выбрав локацию.

Исключения

Мы сделали всё, чтобы вам было удобно управлять списками исключений сайтов и приложений. AdGuard VPN будет работать только там, где это нужно вам.

Списки исключений

Для сайтов

Списки исключений позволяют выбирать, на каких сайтах и в каких приложениях будет работать VPN. Чтобы открыть раздел Исключения, нажмите на вторую иконку слева в нижней части экрана. Чтобы открыть раздел Исключения, нажмите на вторую слева иконку в нижней части экрана.

There are two modes: in General mode, websites from the list of exclusions are excluded, and in Selective mode, they will be the only ones where AdGuard VPN works.

Добавить домены (например, google.com ) или поддомены (например, *.google.com ) сайтов в Исключения можно тремя способами: 1) ввести их вручную в приложении, 2) прямо из браузера, нажав кнопку Поделиться и выбрав AdGuard VPN в открывшемся списке ниже, 3) из встроенного списка сервисов, разделённых на категории.

При ручном добавлении доменов нужно учитывать некоторые нюансы. Например, если вы вручную исключите домен google.com , все поддомены *.google.com также будут внесены в список исключений. Однако доменные имена с другими доменами верхнего уровня, такие как google.ru или google.it , не будут исключены. Или вы можете добавить youtube.com в исключения, но домен того же сервиса youtu.be не попадёт в список. В этом случае безопаснее использовать встроенные списки сервисов, так как мы помещаем туда все поддомены, относящиеся к каждой платформе.

В списках сервисов можно включать поддомены, и мы добавили поля, отражающие статус каждого сервиса — их можно увидеть на главном экране Исключений слева от названия каждого сервиса:
- Fully enabled is indicated by a white check mark on a green background
- Partially enabled (enabled subdomains without the main domain) is marked with a green square on a white background
- Fully disabled is marked with a blank checkbox Хорошая новость: вы всегда можете вернуться к стандартному виду списков, в случае если вы отключили или вовсе удалили какой-либо сайт.
Ещё одна полезная функция — Импорт/Экспорт списков исключений. Чтобы воспользоваться ей, нужно выполнить всего четыре шага:
1. Откройте AdGuard VPN на устройстве/в браузере, откуда вы хотите экспортировать списки исключений. Найдите соответствующий раздел и нажмите кнопку Экспортировать исключения. Будет загружен архив adguard_vpn_exclusions.zip .
2. Внутри архива находятся два файла .txt , по одному для каждого из списков. Добавьте в них новые исключения, удалите существующие или просто оставьте архив с файлами как есть.
3. При передаче между различными устройствами не забудьте отправить файл .zip на устройство для импорта. Например, если вы импортируете списки исключений с устройства Windows на Android, не забудьте предварительно отправить .zip-файл на Android.
4. Откройте AdGuard VPN на устройстве, куда вы хотите импортировать архив с готовыми списками исключений. Найдите соответствующий раздел, нажмите кнопку Импортировать исключения и выберите архив.
Для приложений

В исключения можно легко добавить не только веб-сайты. Выберите, для каких приложений вам нужен AdGuard VPN, а для каких — нет. По умолчанию AdGuard VPN работает для всех приложений, но вы можете легко переключиться на другой режим.

В Интегрированном режиме можно управлять приложениями только через Блокировщик рекламы AdGuard.

Настройки

Чтобы попасть в Настройки, нажмите на иконку в виде шестерёнки в правом нижнем углу экрана. Первый раздел, который вы там увидите, и которому стоит уделить особое внимание, называется Настройки приложения. Благодаря ему вы сможете настроить AdGuard VPN для Android под себя.

Автозапуск AdGuard VPN

Переведите переключатель вправо, чтобы активировать автозапуск AdGuard VPN после запуска устройства.

DNS-серверы

DNS-серверы переводят названия сайтов в понятные браузерам IP-адреса. AdGuard VPN для Android предлагает на выбор несколько DNS-серверов, каждый из которых обладает особыми свойствами. Например, AdGuard DNS устраняет рекламу и защищает ваше устройство от отслеживания, а AdGuard DNS Семейный сочетает функции AdGuard DNS с Безопасным поиском и блокировкой контента для взрослых. Также есть возможность добавить пользовательский DNS-сервер.

Автозащита

Эта функция включает AdGuard VPN автоматически, когда ваше устройство подключается к сотовой или Wi-Fi сети.

Kill Switch

Вы можете настроить функцию Kill Switch на своём устройстве Android, следуя простым инструкциям на экране. Зачем вам это нужно? Если по какой-то причине ваше VPN-соединение внезапно прервётся, в то время как вы будете подключены к мобильной сети или общественному Wi-Fi, Kill Switch автоматически отключит интернет-соединение, чтобы не позволить злоумышленникам завладеть вашими данными.

Обратите внимание, что если Kill Switch включён, Настройки приложений и Исключения не будут работать.

Тема

Вы можете выбрать тему приложения по умолчанию, тёмную или светлую.

Расширенные настройки

В Расширенных настройках вы найдёте четыре раздела.

Режим работы позволяет указать, как будет маршрутизироваться трафик. Есть три режима: VPN, SOCKS5 и Интегрированный режим. В режиме VPN весь трафик направляется через AdGuard VPN. В режиме SOCKS5 AdGuard VPN запускает локальный прокси-сервер, который могут использовать другие приложения для маршрутизации трафика. Интегрированный режим позволяет AdGuard VPN и Блокировщику рекламы AdGuard работать вместе.

Некоторые функции AdGuard VPN отключены в Интегрированном режиме: DNS-серверы, Kill Switch, автоматическая защита и исключение приложений. Вы можете настроить DNS-защиту и маршрутизировать приложения через прокси AdGuard VPN в приложении Блокировщика AdGuard.

Следующие два раздела — Уровень логирования и Диагностическая информация. Что касается первой опции, не рекомендуется включать Расширенный или Экстремальный уровень логирования, если это не попросила сделать наша служба поддержки. Диагностическая информация, т. е. локально сохранённая техническая информация об устройстве и соединениях (IP-адрес, ID, ping и т. д.), может быть отправлена нам в случае каких-либо технических проблем.

Последний раздел Расширенных настроек — это Низкоуровневые настройки. Мы настоятельно рекомендуем не заходить в этот раздел, если вы не обладаете достаточными техническими знаниями или вас не попросила об этом наша служба поддержки. Здесь можно включить «Запись сетевых пакетов» или протокол IPv6 на VPN-интерфейсе, выбрать порт, на котором будет работать прокси-сервер, или версию HTTP-протокола, которую следует использовать.

Вы можете воспользоваться опцией Включить IPv6, только если ваша сеть поддерживает IPv6.

Поддержка

В разделе Поддержка вы можете оставить отзыв, сообщить об ошибке или экспортировать логи и системную информацию для последующей отправки в службу поддержки.
Похожие публикации: