Windows DirectAccess配置多因素认证MFA

深海科技服务

已于 2025-02-09 07:42:48 修改

阅读量1.2k

点赞数 11

分类专栏：运维技术 IT应用探讨文章标签： windows

于 2025-02-09 00:00:00 首次发布

本文链接：https://blog.csdn.net/m0_50657013/article/details/145507767

版权

IT应用探讨同时被 2 个专栏收录

204 篇文章

订阅专栏

运维技术

71 篇文章

订阅专栏

一、Windows DirectAccess配置MFA的方式

Windows Server 自带的 DirectAccess 本身不直接支持多因素认证（MFA），但可以通过 整合 Active Directory + NPS（网络策略服务器）+ RADIUS 或 Azure AD 来实现。以下是几种常见的方式：

1、使用 NPS + RADIUS + OTP（Windows 本地方案）

适用情况

适用于 本地 AD 环境，不依赖 Azure。
适合 希望通过动态密码（OTP）或智能卡认证的企业。

配置步骤

安装 NPS（网络策略服务器）
- 在 Windows Server 上安装 NPS 角色（在服务器管理器中添加）。
- 配置 NPS 作为 RADIUS 服务器。
配置 DirectAccess 服务器使用 NPS 进行身份验证
- 在 DirectAccess 控制台，选择 身份验证策略，指向 NPS 服务器。
- 设置 DirectAccess 要求双因素认证（如 OTP 或智能卡）。
启用 OTP（一次性密码）
- 在 DirectAccess 服务器上运行 Enable-DAOTPAuthentication 以启用 OTP 支持。
- 需要部署 OTP 服务器（如 Windows 内置 OTP 方案，或使用 第三方 OTP 服务器）。

优点

✅ 适用于 本地 AD，无需 Azure。
✅ 结合 智能卡、OTP（动态密码），提高安全性。
✅ 适合已有 NPS + RADIUS 方案的企业。

缺点

❌ 部署复杂，涉及多个服务器组件。
❌ 需要额外的 OTP 服务器或智能卡。

2、通过 Azure AD + Conditional Access 实现 MFA

适用情况

企业已有 Azure AD，并希望使用 Microsoft Authenticator 或 SMS 作为 MFA。
希望无缝集成 Windows 设备，并支持基于用户身份的访问控制。

配置步骤

将本地 AD 同步到 Azure AD
- 安装 Azure AD Connect，将 本地 Active Directory 用户同步到 Azure。
在 Azure AD 配置 MFA
- 在 Azure Portal 进入 Azure AD > 安全性 > 条件访问（Conditional Access）。
- 创建策略 要求 DirectAccess 连接时使用 MFA：
  - 用户或组：选择使用 DirectAccess 的用户组。
  - 云应用或操作：选择 Windows Server。
  - 条件：要求 MFA（短信、Authenticator、FIDO2 认证等）。
在 DirectAccess 服务器启用 Azure AD 认证
- 配置 DirectAccess 将身份验证指向 Azure AD。
- 确保设备能解析 Azure AD 登录端点。

优点

✅ 云端管理，支持 Microsoft Authenticator、短信验证码等。
✅ 策略灵活，可针对不同用户设置不同级别的 MFA 认证。
✅ 适用于 企业计划未来向云端发展。

缺点

❌ 需要 Azure AD P1/P2 许可证，增加成本。
❌ 本地 AD 需要同步到 Azure，涉及额外配置。

3、使用第三方 MFA 方案

如果不想使用 Windows 内置方案，也可以集成第三方 MFA 解决方案：

Duo Security（Cisco）
RSA SecurID
Okta MFA
Google Authenticator（结合 RADIUS 认证）

这些方案通常都可以通过 RADIUS/NPS 方式 整合到 DirectAccess，实现双因素认证。

🔹 结论：选择哪种方案？

方案	适用场景	认证方式	复杂度	额外成本
NPS + RADIUS + OTP	纯本地 AD，已有 NPS 服务器	OTP、智能卡	中等	低
Azure AD + Conditional Access	企业已使用 Azure AD，想用云端 MFA	Microsoft Authenticator、短信	高	需要 Azure AD P1/P2
第三方 MFA（Duo, RSA, Okta）	需要更强的 MFA 选项	手机验证码、硬件令牌	中等	取决于供应商

如果企业主要在 本地部署 Windows 域环境，建议 使用 NPS + RADIUS + OTP，这样无需依赖 Azure，而且可以直接与 DirectAccess 结合。

二、本地 DirectAccess + NPS + RADIUS + OTP 的部署

📌 部署步骤概览

✅ 第一步：安装 NPS（网络策略服务器）
✅ 第二步：配置 RADIUS 认证
✅ 第三步：部署 OTP 服务器（Windows 内置方案）
✅ 第四步：配置 DirectAccess 服务器使用 OTP 认证
✅ 第五步：测试与优化

1、安装 NPS（网络策略服务器）

NPS（Network Policy Server）是 Windows Server 内置的 RADIUS 服务器，负责身份验证。

🔹 安装 NPS 角色

1️⃣ 打开 Windows Server，启动 “服务器管理器”。
2️⃣ 选择 “添加角色和功能” → “基于角色或基于功能的安装”。
3️⃣ 在 服务器角色 选择 “网络策略和访问服务”，然后勾选 “网络策略服务器（NPS）”。
4️⃣ 点击 下一步 → 安装，等待安装完成。

🔹 注册 NPS 服务器到 Active Directory

1️⃣ 在 服务器管理器，点击 “工具” → “网络策略服务器”。
2️⃣ 在 NPS 控制台，右键 “NPS（本地）” → 选择 “注册到 Active Directory”。
3️⃣ 确保 NPS 服务器有域管理员权限，然后确认注册。

2、配置 RADIUS 认证

DirectAccess 服务器需要通过 RADIUS 服务器（NPS） 进行身份验证。

🔹 在 NPS 服务器上添加 DirectAccess 服务器

1️⃣ 在 NPS 控制台，展开 RADIUS 客户端和服务器，右键 “RADIUS 客户端” → 新建。
2️⃣ 输入 DirectAccess 服务器信息：

名称：DirectAccess-Server
IP 地址：输入 DirectAccess 服务器的内网 IP。
共享密钥：手动设置一个复杂的密钥，并记住它（稍后 DirectAccess 服务器会用到）。
3️⃣ 点击“确定”，完成 RADIUS 客户端添加。

🔹 配置 RADIUS 连接请求策略

1️⃣ 在 NPS 控制台，展开策略 → 右键 “连接请求策略” → 新建。
2️⃣ 设置策略名称：如 DirectAccess-Connection。
3️⃣ 条件：

点击 添加条件 → 选择 客户端 IPv4 地址，输入 DirectAccess 服务器的 IP 地址。
4️⃣ 身份验证方式：
勾选 “Microsoft: Encrypted Authentication (MS-CHAP v2)”（如果使用 OTP，还要启用 EAP）。
5️⃣ 点击 应用 → 确定。

3、部署 OTP 服务器（Windows 内置方案）

DirectAccess 服务器支持 Windows OTP（一次性密码），但需要额外安装和配置 OTP 服务。

🔹 安装 OTP 组件

1️⃣ 在 DirectAccess 服务器 上，打开 PowerShell（管理员权限）。
2️⃣ 运行以下命令启用 OTP 认证：

Enable-DAOTPAuthentication

3️⃣ 服务器会自动安装 OTP 组件，并提示你**需要 AD 证书服务（AD CS）**来颁发 OTP 证书。

🔹 配置 AD 证书服务（CA）

1️⃣ 安装 AD 证书服务（CA）：

在 服务器管理器，添加 Active Directory 证书服务（AD CS） 角色。
配置 CA 作为 企业根 CA，用于颁发 OTP 认证证书。

2️⃣ 创建 OTP 认证模板：

打开 证书管理器（certsrv.msc）。
在 模板管理 中，复制 “用户”模板，创建一个新的 OTP 认证模板。
设置 密钥使用 为 仅限 OTP 认证。
允许 DirectAccess 服务器 颁发 OTP 证书。

🔹 配置 DirectAccess 使用 OTP

1️⃣ 在 DirectAccess 服务器，打开 远程访问管理控制台。
2️⃣ 进入 DirectAccess 配置向导，选择 身份验证 → 启用 OTP 认证。
3️⃣ 在 OTP 设置中：

指定 CA 服务器（企业 AD CS 服务器）。
选择 OTP 证书模板（前面创建的模板）。
选择 RADIUS 服务器（NPS 服务器）。
4️⃣ 绑定 RADIUS 共享密钥（前面在 NPS 服务器设置的密钥）。
5️⃣ 保存配置并应用，等待 OTP 配置生效。

4、在 DirectAccess 服务器上启用 OTP

1️⃣ 打开 PowerShell（管理员权限）。
2️⃣ 运行以下命令：

Set-DAOtpAuthentication -RadiusServer "NPS_Server_IP" -SharedSecret "YourRadiusSecret"

3️⃣ 确保 RADIUS 和 OTP 服务正常运行：

Get-DAOTPAuthentication

如果返回 Enabled，说明 OTP 认证已启用。

5、客户端测试与优化

🔹 测试 OTP 认证

1️⃣ 在客户端（Windows 10/11 企业版）：

连接互联网，等待 DirectAccess 自动连接。
登录时，系统会提示输入 OTP 一次性密码（通常由短信、APP 生成）。
输入 OTP，验证通过后，自动连接企业内网。

2️⃣ 使用 Microsoft Authenticator / OTP 令牌测试

可以使用 Microsoft Authenticator、Google Authenticator 作为 OTP 生成器。
也可以使用 YubiKey / RSA SecurID 硬件令牌。

总结

✅ DirectAccess + NPS + RADIUS + OTP 可实现基于 Windows 本地的多因素认证，提升远程访问安全性。
✅ 无须 Azure，适合本地 AD 企业环境。
✅ 支持智能卡、OTP 令牌、手机验证码等 MFA 认证方式。
✅ 基于 Active Directory 管理，与 Windows 域无缝集成。

三、配置使用软件 OTP 方案

使用软件 OTP 方案（如 Microsoft Authenticator、Google Authenticator）来实现 DirectAccess + MFA，可以提升安全性，同时避免硬件令牌的额外成本和维护。

📌 详细部署方案：DirectAccess + NPS + RADIUS + 软件 OTP

🔹 目标

✅ 在 Windows Server 上配置 DirectAccess，并集成 OTP 动态密码
✅ 让 员工使用手机 APP（Microsoft Authenticator、Google Authenticator） 生成 OTP
✅ 通过 NPS + RADIUS 认证 实现 Windows 远程访问的双因素认证（MFA）

1、配置 RADIUS 服务器（NPS）

1️⃣ 安装 NPS（已完成，可跳过）
2️⃣ 创建 RADIUS 认证策略

在 NPS 控制台，展开策略 → 右键 “网络策略” → 选择新建。
策略名称：DirectAccess-OTP-Policy
条件：
- 点击 添加条件 → 选择 客户端 IPv4 地址，输入 DirectAccess 服务器的 IP。
身份验证方式：
- 选择 “Microsoft: Protected EAP (PEAP)”
- 选择 “EAP-MSCHAPv2” 作为认证方法（OTP 需要基于 EAP）。
身份验证方式：
- 勾选 “用户必须使用 OTP 进行身份验证”
点击应用 → 确定。

2、部署 Windows OTP 服务器

Windows Server 提供内置 OTP（一次性密码）认证支持，但需要额外配置。

1️⃣ 在 DirectAccess 服务器上启用 OTP 认证

在 PowerShell（管理员权限） 运行：

Enable-DAOTPAuthentication

2️⃣ 配置 OTP 服务器

运行：

Set-DAOtpAuthentication -RadiusServer "NPS_Server_IP" -SharedSecret "YourRadiusSecret"

确保 RADIUS 服务器 IP 正确，并使用 前面创建的共享密钥。

3️⃣ 配置 OTP 令牌验证

进入 DirectAccess 控制台 → 身份验证。
选择 OTP 认证，并配置 RADIUS 服务器（NPS） 作为 OTP 提供者。
选择 OTP 证书模板（可使用 AD CS 创建专用 OTP 证书模板）。

3、在客户端（Windows 10/11）启用 OTP 认证

1️⃣ 在 Windows 10/11 设备上，运行：

Get-DAConnectionStatus

确保 DirectAccess 连接状态正常。

2️⃣ 登录 Windows 远程访问时，系统会提示 OTP：

使用 Microsoft Authenticator / Google Authenticator 扫描 QR 码，获取 6 位动态密码。
在 Windows 认证界面输入 OTP，完成双因素验证。

结论

✅ 采用软件 OTP（手机 APP）认证，避免硬件令牌成本
✅ 基于 Windows Server + RADIUS 实现 MFA，增强 DirectAccess 远程访问安全性
✅ 支持 Microsoft Authenticator、Google Authenticator，适配多种设备
✅ OTP 结合 Active Directory 证书（AD CS）可进一步增强安全性