让域内用户在外网通过公司×××连入内部而无须输入用户名与密码

最新推荐文章于 2023-04-30 21:20:42 发布

ducode

最新推荐文章于 2023-04-30 21:20:42 发布

阅读量771

点赞数

文章标签：运维

原文链接：http://blog.51cto.com/songtao87/100310

版权

内网用户在外网用×××登陆内网得需输入用户名与密码，如果是在公共场合登陆的话用户名与密码很容易泄露造成不必要的损失。当然用智能卡可以不用输入用户名与密码，但是成本还是有的。今天我做的这个试验是只需用户在内网申请个用户证书与公司内部的 CA服务器证书把它导出到移动设备上，在外网用的时候导入用户证书到计算机就可以直接通过VNP连接到公司内部而无须输入账号与密码，用户不用时在把用户证书导出就可以了。零成本 (*^__^*) 嘻嘻……（注意：得需外网信任内网的CA服务器，如果在公共场合只需把公司的CA证书安装上就可以了）

试验目的：内网用户在外网只需把证书导入到自己的的计算机，不用输入用户名与密码就能通过×××连接到内网。

拓扑图：

如拓扑图所示：

Denver是contoso.com的域控制器，DNS服务器，CA服务器和Radius服务器，Beijing是ISA2006服务器，而且处在工作组环境，Istanbul是外网的一台客户机。

在我试验的环境中，我已经可以具备了下列条件：

1 Denver 上安装了企业根 CA 服务器。（必须是企业根）

2 所有的实验计算机都信任 Denver 上的 CA 服务器。

3 Beijing 上已经配置成了 ××× 服务器，支持用户用 PPTP 或 L2TP 拨入。

4 Beijing 可以利用 Denver 上的 Radius 服务器对域用户进行身份验证。

大概流程是：在域控制器上的CA证书颁发机构添加2个模板，并让内网CA颁发机构给域管理员颁发注册代理证书（有了这个注册代理证书后，才有资格为其他用户申请证书，显然这是为了防止随意颁发证书而导致安全隐患）。在域控制器上给Radius服务器申请证书并配置让它能够进行验证，在对ISA防火墙上的×××做下设置，让防火墙的×××身份验证方法支持使用证书来对身份进行验证。最后在域内的stserver用户申请用户证书并通过导出导入到外网计算机上，在外网计算机上创建个连接让在外网的域内用户的不需要输入用户名与密码选择证书就能通过×××连接到内网。（注意：不用在外网计算机上创建与域内相同的用户，打个比方我在外网是用的administration用户登陆的，在使用stserver用户证书登陆后在域内就显示是域内用户stserver登录的）

第一步：在Denver上对CA服务器添加证书模板。

1．）在Denver的管理工具中打开证书颁发机构，选择新建“要颁发的证书模板”。然后添加二个证书模板，分别是“注册代理”，“注册代理（计算机）”，点击“确定”。

2.）在Win2003的CA服务器中，如果要为用户申请证书，那么管理员必须先拥有一个注册代理证书。要申请注册代理证书，确保在Denver上是以域管理员身份登录，然后运行MMC，如下图所示，添加一个证书管理单元。

选择使用定制的证书管理单元管理选择我的用户账号

如下图所示，在用户证书管理工具中切换到个人－证书，选择“申请新证书”。

出现证书申请向导，选择“下一步”。

申请的证书类型选择“ 注册代理”。

如下图所示，为申请的注册代理证书取个名字以及进行简单描述直接下一步

点击“完成”结束申请。管理员administrator已经获得了CA颁发的注册代理证书。

如上图这样域内管理员administrator就有资格为用户颁发证书了。

第二步：配置ISA服务器

在ISA服务器选择管理器展开到虚拟专用网络，在右侧的任务面板中点击“选择身份验证方法”上选择“可扩展的身份验证协议（EAP），使用智能卡或其他证书”。

第三步：在域控制器上给Radius服务器申请证书并配置

1.）我们在Radius服务器上申请一个服务器证书，这样×××客户机使用证书登录时可以利用这个证书验证Radius服务器的身份，避免登录到了错误的服务器上，提高整体安全性。我们在Denver的浏览器中输入 [url]http://denver/certsrv[/url]，如下图所示，选择“申请一个证书”。