Configurazione client di Protezione accesso alla rete

Protezione accesso alla rete, una nuova funzionalità introdotta in Windows Vista® e Windows Server® 2008, consente di controllare l'accesso dei computer client alle risorse di rete in base all'identità del computer e alla conformità ai criteri di governance aziendali. Per implementare Protezione accesso alla rete, è necessario configurare le relative impostazioni sia sul server che sul client.

Per configurare le impostazioni del client Protezione accesso alla rete, è possibile utilizzare i tre strumenti seguenti:

  • La console Configurazione client di Protezione accesso alla rete fornisce un'interfaccia utente grafica che consente di configurare le impostazioni client di Protezione accesso alla rete nel computer locale o in un file di configurazione che può essere salvato e applicato ad altri computer.

  • I comandi Netsh per il client Protezione accesso alla rete offrono uno strumento da riga di comando che consente di configurare computer client oppure creare un file di configurazione che è possibile salvare e applicare ad altri computer.

  • Se si desidera gestire le impostazioni client di Protezione accesso alla rete in computer client membri di dominio, è possibile utilizzare Console Gestione Criteri di gruppo e Editor Gestione Criteri di gruppo. Quando le impostazioni del client Protezione accesso alla rete vengono configurate in Criteri di gruppo, tali impostazioni vengono applicate ai computer client membri di dominio idonei per Protezione accesso alla rete al momento dell'aggiornamento di Criteri di gruppo.

Importante

Se si configurano le impostazioni del client di Protezione accesso alla rete in Criteri di gruppo, le impostazioni configurate mediante la console di configurazione client di Protezione accesso alla rete o lo strumento da riga di comando Netsh verranno ignorate.

Per una panoramica della gestione dei computer client idonei per Protezione accesso alla rete, vedere Panoramica di Configurazione client di Protezione accesso alla rete.

Per un elenco dei passaggi che consentono di completare il processo di configurazione del client Protezione accesso alla rete, vedere Elenco di controllo per Configurazione client di Protezione accesso alla rete.

Per attivare e disattivare i client di imposizione Protezione accesso alla rete, vedere Configurare i client di imposizione Protezione accesso alla rete.

Per specificare il testo e la grafica di personalizzazione per l'interfaccia utente di Protezione accesso alla rete, vedere Configurare l'interfaccia utente del client Protezione accesso alla rete.

Per specificare i server Autorità registrazione integrità con cui comunica un computer client e per specificare il meccanismo di crittografia utilizzato dai computer client per le comunicazioni con i server Autorità registrazione integrità, vedere Configurare le impostazioni di registrazione dell'integrità.

Per configurare la traccia di Protezione accesso alla rete, vedere Configurare la traccia di Protezione accesso alla rete.

Per creare e gestire file di configurazione contenenti impostazioni di Protezione accesso alla rete, vedere Utilizzare file di configurazione del client Protezione accesso alla rete.


Panoramica di Protezione accesso alla rete

Protezione accesso alla rete è una delle funzionalità più attese del sistema operativo Windows Server® 2008. Si tratta di una nuova piattaforma che consente agli amministratori di rete di definire livelli di accesso alla rete in base all'identità del client, ai gruppi a cui il client appartiene e al grado di conformità del client ai criteri di governance aziendali. Se un client non è conforme, Protezione accesso alla rete fornisce un meccanismo per renderlo conforme, mediante un processo denominato monitoraggio e aggiornamento, e aumentarne quindi il livello di accesso alla rete in modo dinamico. Protezione accesso alla rete è supportato in Windows® 7, Windows Vista®, Windows® XP con Service Pack 3 (SP3), Windows Server 2008 e Windows Server® 2008 R2.

Nota

Nei computer client di Protezione accesso alla rete che eseguono Windows 7 Protezione accesso alla rete è integrato in Centro operativo. Se un computer client di Protezione accesso alla rete è ritenuto non conforme ai criteri di integrità della rete, è possibile ottenere ulteriori informazioni rivedendo la categoria Protezione accesso alla rete in Sicurezza. Per i computer client di Protezione accesso alla rete conformi ai requisiti di integrità e per i computer che non eseguono l'agente di Protezione accesso alla rete non vengono visualizzate informazioni di Protezione accesso alla rete in Centro operativo.

Protezione accesso alla rete include anche un'interfaccia API (Application Programming Interface) che gli sviluppatori e i fornitori possono utilizzare per integrare i propri prodotti e sfruttare queste funzionalità di convalida dello stato di integrità, imposizione dell'accesso e valutazione continuativa della conformità. Per ulteriori informazioni sull'API di Protezione accesso alla rete, vedere l'articolo relativo a Protezione accesso alla rete all'indirizzo http://go.microsoft.com/fwlink/?LinkId=128423.


Infrastruttura di Protezione accesso alla rete

Un'infrastruttura di Protezione accesso alla rete include computer client di Protezione accesso alla rete, punti di imposizione Protezione accesso alla rete e server criteri di integrità Protezione accesso alla rete. I componenti facoltativi includono server di monitoraggio e aggiornamento e server dei requisiti di integrità.

Computer client di Protezione accesso alla rete

Per accedere alla rete, un client di Protezione accesso alla rete raccoglie innanzitutto informazioni sulla relativa integrità da un software installato localmente denominato Agente integrità sistema. Ogni Agente integrità sistema installato nel computer client fornisce informazioni sulle impostazioni correnti o l'attività per il cui monitoraggio è stato progettato. Le informazioni ottenute dagli Agenti integrità sistema vengono raccolte dall'Agente Protezione accesso alla rete, un servizio in esecuzione sul computer locale. Il servizio Agente integrità sistema riepiloga lo stato di integrità del computer e passa queste informazioni a uno o più client di imposizione Protezione accesso alla rete. Un client di imposizione è un software che interagisce con i punti di imposizione Protezione accesso alla rete per l'accesso o la comunicazione sulla rete.

Punti di imposizione Protezione accesso alla rete

Un punto di imposizione Protezione accesso alla rete è un server o un dispositivo hardware che fornisce un livello di accesso alla rete al computer client di Protezione accesso alla rete. Ogni tecnologia di imposizione Protezione accesso alla rete utilizza un punto di imposizione Protezione accesso alla rete di tipo diverso. Vedere la tabella seguente.

Metodo di imposizione di Protezione accesso alla rete | Punto di imposizione Protezione accesso alla rete
IPSec (Internet Protocol Security) | Autorità registrazione integrità e Server dei criteri di rete
802.1X | Commutatore (cablato) o punto di accesso wireless
VPN | RRAS
DHCP | DHCP e Server dei criteri di rete
Gateway Desktop remoto | Gateway Desktop remoto e Server dei criteri di rete

Quando un punto di imposizione Protezione accesso alla rete esegue Windows Server 2008 o Windows Server 2008 R2, è denominato server di imposizione Protezione accesso alla rete. Tutti i server di imposizione Protezione accesso alla rete devono eseguire Windows Server 2008 o Windows Server 2008 R2. In server Protezione accesso alla rete con imposizione 802.1X il punto di imposizione Protezione accesso alla rete è un commutatore o un punto di accesso wireless conforme a IEEE 802.1X. Anche i server di imposizione Protezione accesso alla rete per i metodi di imposizione IPsec, DHCP e Gateway Desktop remoto devono eseguire Server dei criteri di rete configurato come proxy RADIUS o come server criteri di integrità Protezione accesso alla rete. Per l'imposizione Protezione accesso alla rete e VPN non è necessario che Protezione accesso alla rete sia installato nel server VPN.

Server criteri di integrità Protezione accesso alla rete

Un server criteri di integrità Protezione accesso alla rete è un computer che esegue Windows Server 2008 o Windows Server 2008 R2 con il servizio ruolo Server dei criteri di rete installato e configurato per la valutazione dell'integrità dei computer client di Protezione accesso alla rete. Tutte le tecnologia di imposizione Protezione accesso alla rete richiedono almeno un server criteri di integrità. Un server criteri di integrità Protezione accesso alla rete utilizza le impostazioni e i criteri utente per valutare le richieste di accesso alla rete che vengono inviate dai computer client di Protezione accesso alla rete.

Server di monitoraggio e aggiornamento di Protezione accesso alla rete

I server di monitoraggio e aggiornamento di Protezione accesso alla rete forniscono aggiornamenti e servizi ai computer client non conformi. A seconda della struttura della rete di monitoraggio e aggiornamento, è possibile che sia disponibile un server di monitoraggio e aggiornamento anche per i computer conformi. Di seguito sono indicati alcuni esempi di server di monitoraggio e aggiornamento di Protezione accesso alla rete:

  • Server delle firme del software antivirus. Se i criteri di integrità prevedono che i computer dispongano di una firma recente del software antivirus, i computer non conformi devono disporre dell'accesso a un server per ottenere tali aggiornamenti.

  • Windows Server Update Services. Se i criteri di integrità prevedono che i computer dispongano degli aggiornamenti di sicurezza recenti o di altri aggiornamenti software, è possibile fornirli inserendo WSUS sulla rete di monitoraggio e aggiornamento.

  • Server dei componenti di System Center. I punti di gestione di System Center Configuration Manager, i punti di aggiornamento software e i punti di distribuzione ospitano gli aggiornamenti software necessari per assicurare la conformità dei computer. Quando si distribuisce Protezione accesso alla rete con Gestione configurazione, i computer che supportano Protezione accesso alla rete richiedono l'accesso ai computer che eseguono tali ruoli del sistema del sito per scaricare i relativi criteri client, eseguire l'analisi di conformità relativa agli aggiornamenti software e scaricare gli aggiornamenti software necessari.

  • Controller di dominio. È possibile che i computer non conformi richiedano l'accesso a server di dominio sulla rete non conforme per finalità di autenticazione, per scaricare criteri da Criteri di gruppo o per gestire le impostazioni di profilo del dominio.

  • Server DNS. I computer non conformi devono disporre dell'accesso al DNS per la risoluzione dei nomi host.

  • Server DHCP. I computer non conformi devono disporre dell'accesso a un server DHCP in caso di modifica del profilo IP del client sulla rete non conforme o in caso di scadenza del lease DHCP.

  • Server di risoluzione dei problemi. Quando si configura un gruppo di server di monitoraggio e aggiornamento, è possibile specificare un URL di risoluzione dei problemi con istruzioni su come rendere i computer conformi ai criteri di integrità. È possibile fornire un URL diverso per ogni criterio di rete. Questi URL devono essere accessibili sulla rete di monitoraggio e aggiornamento.

  • Altri servizi. È possibile fornire l'accesso a Internet alla rete di monitoraggio e aggiornamento per consentire ai computer non conformi di accedere a servizi di monitoraggio e aggiornamento come Windows Update e altre risorse Internet.

Server dei requisiti di integrità di Protezione accesso alla rete

Un server dei requisiti di integrità è un computer che fornisce i requisiti dei criteri di integrità e informazioni per la valutazione dell'integrità a una o più istanze di Convalida integrità sistema. Se lo stato di integrità segnalato dai computer client di Protezione accesso alla rete può essere convalidato da Server dei criteri di rete senza consultare altri dispositivi, non è necessario un server dei requisiti di integrità. Ad esempio, WSUS non è considerato un server dei requisiti di integrità quando viene utilizzato con Convalida integrità sicurezza di Windows. Sebbene un amministratore possa utilizzare WSUS per specificare gli aggiornamenti di cui devono disporre i computer client, è il computer client che segnala se tali aggiornamenti sono stati installati. In questo scenario, WSUS è un server di monitoraggio e aggiornamento e non un server dei requisiti di integrità.

Un server dei requisiti di integrità viene utilizzato se si distribuisce Protezione accesso alla rete con Convalida integrità sistema di Gestione configurazione. Convalida integrità sistema di Gestione configurazione contatta un server di catalogo globale per convalidare lo stato di integrità del client controllando il riferimento allo stato di integrità pubblicato in Servizi di dominio Active Directory. Pertanto, un controller di dominio è un server dei requisiti di integrità se è stato distribuito Convalida integrità sistema di Gestione configurazione. È possibile che anche altre istanze di Convalida integrità sistema utilizzino i server dei requisiti di integrità.

Ulteriori riferimenti

  • Panoramica di Protezione accesso alla rete


Server criteri di integrità Protezione accesso alla rete

Un server criteri di integrità Protezione accesso alla rete è un computer che esegue Windows Server 2008 o Windows Server 2008 R2 con il servizio ruolo Server dei criteri di rete installato e configurato per la valutazione dell'integrità dei computer client di Protezione accesso alla rete. Tutte le tecnologia di imposizione Protezione accesso alla rete richiedono almeno un server criteri di integrità. Un server criteri di integrità Protezione accesso alla rete utilizza le impostazioni e i criteri utente per valutare le richieste di accesso alla rete che vengono inviate dai computer client di Protezione accesso alla rete. Tali impostazioni e criteri sono definiti nelle sezioni seguenti:

  • Criteri di richiesta di connessione

  • Criteri di rete

  • Criteri di integrità

  • Istanze di Convalida integrità sistema

  • Cliente e server RADIUS

  • Gruppi di server di monitoraggio e aggiornamento


Criteri di richiesta di connessione

I criteri di richiesta di connessione utilizzano condizioni e impostazioni per autenticare le richieste di accesso alla rete e determinare la posizione in cui viene eseguita l'autenticazione. È necessario un criterio di richiesta di connessione per ogni metodo di imposizione di Protezione accesso alla rete distribuito. Quando si seleziona un metodo di connessione alla rete utilizzando la configurazione guidata di Protezione accesso alla rete, i criteri di richiesta di connessione vengono configurati automaticamente con le impostazioni di autenticazione richieste.

Ulteriori riferimenti

  • Server criteri di integrità Protezione accesso alla rete


Criteri di rete

I criteri di rete utilizzano condizioni, impostazioni e vincoli per concedere un livello di accesso ai client che tentano di eseguire la connessione a una rete. Per Protezione accesso alla rete, è necessario configurare almeno un criterio di rete che verrà applicato ai computer conformi con i requisiti di integrità e almeno un criterio di rete che verrà applicato ai computer non conformi. È inoltre possibile configurare un criterio di rete che verrà applicato ai computer che non supportano Protezione accesso alla rete. È possibile configurare ulteriori criteri di rete per specificare requisiti di integrità specifici per diversi computer o segmenti della rete.

Ulteriori riferimenti

  • Server criteri di integrità Protezione accesso alla rete


Criteri di integrità

I criteri di integrità quali istanze di Convalida integrità sistema vengono valutate e come vengono utilizzate per valutare lo stato di integrità dei computer client di Protezione accesso alla rete. I criteri di integrità classificano lo stato di integrità di un client in base ai risultati dei controlli di Convalida integrità sistema. Quando si crea un criterio di integrità, è possibile attivare una o più istanze di Convalida integrità sistema installate e selezionare uno dei controlli di Convalida integrità sistema riportati di seguito.

È necessario selezionare almeno un'istanza di Convalida integrità sistema da utilizzare in un criterio di integrità. Le istanze di Convalida integrità sistema non selezionate in un criterio di integrità non vengono valutate dal criterio. Di seguito sono indicati i tipi di controlli di Convalida integrità sistema disponibili in un criterio di integrità:

  • Il client supera tutti i controlli di Convalida integrità sistema. Utilizzare questa impostazione per creare un criterio di integrità che prevede che un computer client soddisfi i requisiti di tutte le istanze di Convalida integrità sistema attivate. Si tratta dell'impostazione più restrittiva che può essere utilizzata per la valutazione dei computer conformi.

  • Il client non supera alcun controllo di Convalida integrità sistema. Utilizzare questa impostazione per creare un criterio di integrità che prevede che un computer client non soddisfi i requisiti di tutte le istanze di Convalida integrità sistema attivate. Si tratta dell'impostazione meno restrittiva che può essere utilizzata per la valutazione dei computer non conformi.

  • Il client supera uno o più controlli di Convalida integrità sistema. Utilizzare questa impostazione per creare un criterio di integrità che prevede che un computer client soddisfi i requisiti di almeno un'istanza di Convalida integrità sistema attivata. Si tratta dell'impostazione meno restrittiva che può essere utilizzata per la valutazione dei computer conformi.

  • Il client non supera uno o più controlli di Convalida integrità sistema. Utilizzare questa impostazione per creare un criterio di integrità che prevede che un computer client non soddisfi i requisiti di almeno un'istanza di Convalida integrità sistema attivata. Si tratta dell'impostazione più restrittiva che può essere utilizzata per la valutazione dei computer non conformi.

  • Il client viene segnalato come transitorio da una o più istanze di Convalida integrità sistema. Utilizzare questa impostazione per creare un criterio di integrità per i client segnalati come transitori nelle informazioni estese sullo stato. Per utilizzare questa impostazione, è necessario che l'istanza di Convalida integrità sistema supporti la segnalazione di stato estesa nel processo di valutazione dell'integrità. Uno stato transitorio indica che i servizi necessari sul client non sono pronti per la segnalazione dello stato di integrità. Questo stato può essere temporaneo. È ad esempio possibile che un client segnali lo stato transitorio se i servizi sono stati avviati di recente.

  • Il client viene segnalato come infetto da una o più istanze di Convalida integrità sistema. Utilizzare questa impostazione per creare un criterio di integrità per i client segnalati come infetti nelle informazioni estese sullo stato. Per utilizzare questa impostazione, è necessario che l'istanza di Convalida integrità sistema supporti la segnalazione di stato estesa nel processo di valutazione dell'integrità. Le informazioni estese sullo stato vengono utilizzate principalmente da un Agente integrità sistema antivirus in grado di segnalare che il client è infetto da software dannoso, detto anche malware, che non è in grado di rimuovere.

  • Il client viene segnalato come sconosciuto da una o più istanze di Convalida integrità sistema. Utilizzare questa impostazione per creare un criterio di integrità per i client segnalati come sconosciuti nelle informazioni estese sullo stato. Per utilizzare questa impostazione, è necessario che l'istanza di Convalida integrità sistema supporti la segnalazione di stato estesa nel processo di valutazione dell'integrità. Lo stato sconosciuto indica che è impossibile determinare le credenziali dell'host finale. Questo stato può essere temporaneo.

Sebbene alcune istanze di Convalida integrità sistema verifichino più impostazioni in un computer client, un controllo di Convalida integrità sistema è una valutazione del computer client rispetto a tutti i requisiti di Convalida integrità sistema. Ad esempio, Convalida integrità sicurezza di Windows può verificare la presenza di più impostazioni e requisiti software nei computer client. Un computer client può superare alcuni di questi controlli, ma deve soddisfare tutti i requisiti di Convalida integrità sistema affinché il controllo di Convalida integrità sistema abbia esito positivo.

L'opzione Impostazione in Istanze di Convalida integrità sistema utilizzate in questo criterio di integrità è una novità di Windows Server 2008 R2. Se un'istanza di Convalida integrità sistema supporta l'archiviazione di più configurazioni, è possibile utilizzare questa impostazione per scegliere una delle configurazioni da utilizzare con il criterio di integrità. Se un'istanza di Convalida integrità sistema non supporta l'archiviazione di più configurazioni, è necessario configurare le impostazioni in Configurazione predefinita.

Ulteriori riferimenti

  • Server criteri di integrità Protezione accesso alla rete


Istanze di Convalida integrità sistema

Quando un computer client di Protezione accesso alla rete è connesso alla rete, viene monitorato per verificare che sia in linea con i requisiti di integrità. Un computer client di Protezione accesso alla rete è in grado di monitorare lo stato di integrità in modo continuativo mediante un software denominato Agente integrità sistema. I requisiti di integrità sono definiti nei server di Protezione accesso alla rete utilizzando un software corrispondente denominato Convalida integrità sistema. Sono disponibili molti tipi diversi di Agente integrità sistema e Convalida integrità sistema.

Convalida integrità sicurezza di Windows

Convalida integrità sicurezza di Windows è incluso in Windows Server 2008 e Windows Server 2008 R2. Valuta lo stato operativo dei componenti seguenti nei computer client di Protezione accesso alla rete:

  • Firewall: se questo requisito è attivato, il computer client deve avere un firewall registrato in Centro sicurezza PC Windows e attivato per tutte le connessioni di rete.

  • Protezione da virus: se questo requisito è attivato, il computer client deve avere un'applicazione antivirus installata, registrata in Centro sicurezza PC Windows e attiva. Viene inoltre verificato che il file delle firme del programma antivirus del computer client sia aggiornato.

  • Protezione da spyware: se questo requisito è attivato, il computer client deve avere un'applicazione antispyware installata, registrata in Centro sicurezza PC Windows e attiva. Viene inoltre verificato che il file delle firme del programma antispyware del computer client sia aggiornato. La protezione da spyware viene applicata solo ai client di Protezione accesso alla rete che eseguono Microsoft Windows Vista o Windows 7.

  • Aggiornamento automatico: se questo requisito è attivato, il computer client deve essere configurato per controllare gli aggiornamenti da Windows Update. Sarà possibile scegliere se scaricarli e installarli.

  • Aggiornamento per la sicurezza: se questo requisito è attivato, nel computer client devono essere installati gli aggiornamenti per la sicurezza in base a uno dei quattro possibili valori corrispondenti alle classificazioni dell'importanza per la sicurezza di Microsoft Security Response Center. Il client deve inoltre controllare gli aggiornamenti durante un intervallo di tempo specificato. È possibile utilizzare Windows Server Update Services (WSUS), Windows Update o entrambi per ricevere gli aggiornamenti per la sicurezza.

Ulteriori riferimenti

  • Server criteri di integrità Protezione accesso alla rete

  • Impostazioni di Convalida integrità sistema

  • Codici di errore di Convalida integrità sistema


Impostazioni di Convalida integrità sistema

Le impostazioni di Convalida integrità sistema consentono di configurare i requisiti di integrità del sistema per i computer client di Protezione accesso alla rete. Se una Convalida integrità sistema è progettata per funzionare con un server dei requisiti di integrità, è possibile configurare alcune o tutte le impostazioni di Convalida integrità sistema su tale server. Per configurare le impostazioni di Convalida integrità sistema in Server dei criteri di rete, fare clic su Configura nelle finestra delle proprietà di Convalida integrità sistema per aprire la finestra di configurazione di Convalida integrità sistema.

Se un'istanza di Convalida integrità sistema supporta l'archiviazione di più configurazioni, è possibile creare ulteriori impostazioni di Convalida integrità sistema da utilizzare con i profili di integrità.

Ulteriori riferimenti

  • Codici di errore di Convalida integrità sistema


Codici di errore di Convalida integrità sistema

I codici di errore di Convalida integrità sistema possono essere restituiti per un'istanza di Convalida integrità sistema quando l'Agente integrità sistema associato in un computer client di Protezione accesso alla rete richiede l'accesso alla rete. Se viene restituito un codice di errore, è possibile decidere se considerare il computer client di Protezione accesso alla rete come conforme o non conforme ai requisiti di integrità. Per impostazione predefinita, tutti i codici di errore sono impostati sulla non conformità.

Di seguito è riportata una descrizione dei codici di errore disponibili:

  • Convalida integrità sistema non è in grado di contattare i servizi richiesti. Questo errore può verificarsi in caso di interruzione della connessione tra Server dei criteri di rete e un server dei requisiti di integrità, ad esempio un server delle firme antivirus.

  • Agente integrità sistema non è in grado di contattare i servizi richiesti. Questo errore può verificarsi se Agente integrità sistema non riesce a leggere correttamente la configurazione client.

  • Agente integrità sistema non risponde al client di Protezione accesso alla rete. Questo errore può verificarsi se un Agente integrità sistema non è inizializzato e registrato correttamente.

  • Convalida integrità sistema non risponde. Questo errore può verificarsi in caso di deterioramento delle prestazioni di un'istanza di Convalida integrità sistema, ad esempio se la memoria di Server dei criteri di rete è insufficiente.

  • Codice di errore specifico del fornitore ricevuto. Questo errore può verificarsi se Server dei criteri di rete riceve un codice di errore specifico del fornitore di Agente integrità sistema o Convalida integrità sistema. Alcuni fornitori possono restituire questo codice quando Server dei criteri di rete non riesce a contattare un server dei requisiti di integrità.

Ulteriori riferimenti

  • Impostazioni di Convalida integrità sistema


Cliente e server RADIUS

I client RADIUS sono server o dispositivi di accesso alla rete. Se si specifica un client RADIUS in Server dei criteri di rete, la corrispondente configurazione server RADIUS sarà necessaria nel dispositivo client RADIUS. Ad esempio, i server Autorità registrazione integrità remoti sono configurati come client RADIUS in Server dei criteri di rete.

Se il server di imposizione Protezione accesso alla rete è situato sullo stesso server in cui si trova il sever criteri di integrità Protezione accesso alla rete, non è necessario configurare i client RADIUS.

Ulteriori riferimenti

  • Infrastruttura di Protezione accesso alla rete

  • Server criteri di integrità Protezione accesso alla rete


Gruppi di server di monitoraggio e aggiornamento

I gruppi di server di monitoraggio e aggiornamento consentono di specificare i server che possono essere utilizzati dai client di Protezione accesso alla rete non conformi per monitorare e aggiornare il loro stato di integrità allo scopo di conformarsi ai requisiti di integrità richiesti. Il tipo di server di monitoraggio e aggiornamento dipende dai requisiti di integrità e dai metodi di accesso alla rete.

I server di monitoraggio e aggiornamento non si limitano a fornire aggiornamenti ai computer non conformi. Possono anche offrire i servizi di rete di cui i computer non conformi hanno bisogno per poter aggiornare lo stato di integrità o per eseguire una determinata serie di attività mentre si trovano in stato di limitazione. Un server di monitoraggio e aggiornamento potrebbe, ad esempio, fornire servizi DHCP ai computer che si trovano in una VLAN. I server di monitoraggio e aggiornamento potrebbero inoltre ospitare siti Web che forniscono agli utenti le istruzioni da seguire per rendere conformi i computer.

L'accesso ai server di monitoraggio e aggiornamento può essere concesso solo ai computer non conformi oppure sia a quelli conformi che a quelli non conformi. I metodi per fornire l'accesso ai server di monitoraggio e aggiornamento dipende dal metodo di imposizione di Protezione accesso alla rete.

Imposizione IPSec

Nella progettazione dell'imposizione IPSec, i server di monitoraggio e aggiornamento devono trovarsi nella rete di delimitazione logica IPSec. È necessario rilasciare certificati di esenzione da Protezione accesso alla rete ai server di monitoraggio e aggiornamento e configurare criteri IPSec in modo che i server possano comunicare liberamente con i computer non conformi. L'inserimento di server di monitoraggio e aggiornamento in un gruppo di server di monitoraggio e aggiornamento nella console Server dei criteri di rete non ha alcun effetto sull'accesso a tali server quando si utilizza Protezione accesso alla rete con l'imposizione IPSec.

Imposizione 802.1X

Nella progettazione dell'imposizione 802.1X, la collocazione dei server di monitoraggio e aggiornamento varia a seconda che vengano utilizzati elenchi di controllo di accesso o LAN virtuali (VLAN) per impedire ai client non conformi di accedere alla rete. I punti di imposizione di Protezione accesso alla rete potrebbero supportare entrambi i metodi o solo uno.

  • Imposizione 802.1X con VLAN. I server di monitoraggio e aggiornamento devono trovarsi nella VLAN non conforme oppure è necessario dare l'accesso mediante metodi di routing tra VLAN. Se ai server di monitoraggio e aggiornamento devono poter accedere anche i computer client di Protezione accesso alla rete, il server di monitoraggio e aggiornamento deve essere posto in una porta di tipo trunk o dual-homed.

  • Imposizione 802.1X con elenchi di controllo di accesso. L'accesso dei computer non conformi è limitato agli indirizzi IP e ai numeri di porta per i servizi esclusivamente dei server di monitoraggio e aggiornamento.

L'inserimento di server di monitoraggio e aggiornamento in un gruppo di server di monitoraggio e aggiornamento nella console Server dei criteri di rete non ha alcun effetto sull'accesso a tali server quando si utilizza Protezione accesso alla rete con l'imposizione 802.1X.

Imposizione VPN

Nella progettazione dell'imposizione VPN, vi sono due metodi per garantire l'accesso ai server di monitoraggio e aggiornamento: gruppi di server di monitoraggio e aggiornamento e filtri IP. Entrambi i metodi possono essere utilizzati per consentire ai client di Protezione accesso alla rete non conformi di accedere ai server di monitoraggio e aggiornamento. Quando si configura un gruppo di server di monitoraggio e aggiornamento, ai computer client di Protezione accesso alla rete viene automaticamente consentito di accedere all'indirizzo IP di ogni server dell'elenco. I filtri IP offrono in più il vantaggio di specificare che l'accesso è concesso solo al numero di porta del servizio specificato.

Importante

Se non vengono configurati gruppi di server di monitoraggio e aggiornamento o filtri IP nei criteri di rete per l'imposizione VPN, ai computer client di Protezione accesso alla rete non conformi vien concesso accesso completo alla rete.

Imposizione DHCP

Nella progettazione dell'imposizione DHCP, mediante la console Server dei criteri di rete ai computer client di Protezione accesso alla rete vengono associate route host statiche senza classe a ogni dispositivo membro configurato in un gruppo di server di monitoraggio e aggiornamento. Se i server di monitoraggio e aggiornamento si trovano in una subnet diversa dalla subnet in cui sono presenti i client di Protezione accesso alla rete, il server DHCP utilizza l'opzione 003 Router della classe di Protezione accesso alla rete predefinita per offrire ai computer non conformi route host statiche per i server di monitoraggio e aggiornamento. Il dispositivo di routing configurato in questa opzione deve essere in grado di inoltrare le richieste dai client di Protezione accesso alla rete non conformi al server di monitoraggio e aggiornamento. È inoltre possibile configurare route host statiche senza classe per i server di monitoraggio e aggiornamento utilizzando l'opzione 121 nella classe di Protezione accesso alla rete predefinita.

Imposizione Gateway Desktop remoto

Protezione accesso alla rete con l'imposizione Gateway Desktop remoto non supporta l'utilizzo di gruppi di server di monitoraggio e aggiornamento. Se sono necessari server di monitoraggio e aggiornamento, questi devono essere messi a disposizione dei computer client prima della connessione al server di imposizione Gateway Desktop remoto.

Ulteriori riferimenti

  • Server criteri di integrità Protezione accesso alla rete


Panoramica di Configurazione client di Protezione accesso alla rete

Prima di poter utilizzare Protezione accesso alla rete per imporre i criteri di integrità nei computer client, è necessario configurare le impostazioni di Protezione accesso alla rete in tali computer. La console Configurazione client di Protezione accesso alla rete e le impostazioni di configurazione client Protezione accesso alla rete in Console Gestione Criteri di gruppo forniscono un'interfaccia utente grafica per la configurazione delle impostazioni del client Protezione accesso alla rete.

Perché è necessario gestire le impostazioni di Protezione accesso alla rete nei computer client?

Protezione accesso alla rete utilizza sia componenti server sia componenti client. Affinché i componenti server e i componenti client possano interagire tra loro, è necessario configurare le impostazioni di Protezione accesso alla rete sia nei server sia nei computer client.

I componenti server devono convalidare l'integrità dei computer client e specificare le risorse di rete disponibili ai computer client.

I componenti client devono compilare i rapporti sullo stato di integrità nei computer client, mantenere lo stato di integrità di un computer client e comunicare ai componenti server lo stato di integrità di un computer client.

La console Configurazione client di Protezione accesso alla rete consente di configurare le impostazioni dell'interfaccia utente di Protezione accesso alla rete, le impostazioni del client di imposizione Protezione accesso alla rete e le impostazioni di Autorità registrazione integrità nei computer client. Un client di imposizione Protezione accesso alla rete deve imporre le restrizioni di accesso alla rete.

Per la maggior parte degli scenari di Protezione accesso alla rete, è necessario configurare solo le impostazioni del client di imposizione Protezione accesso alla rete. La configurazione delle impostazioni dell'interfaccia è facoltativa e non è necessario configurare le impostazioni relative a Autorità registrazione integrità di Protezione accesso alla rete a meno che non venga implementata l'imposizione basata su IPSec (Internet Protocol Security). Per impostazione predefinita, i client di imposizione Protezione accesso alla rete incorporati sono disattivati. Per imporre i criteri di integrità in un computer client, è necessario attivare almeno un client di imposizione Protezione accesso alla rete.

Quali operazioni consente di eseguire lo snap-in Configurazione client di Protezione accesso alla rete?

È possibile utilizzare la console Configurazione client di Protezione accesso alla rete per eseguire le attività seguenti nei computer client:

  • Attivare e disattivare client di imposizione Protezione accesso alla rete, inclusi quelli incorporati disponibili con la piattaforma Protezione accesso alla rete e tutti i client di imposizione Protezione accesso alla rete non Microsoft.

  • Configurare testo e grafica di personalizzazione per l'interfaccia utente di Protezione accesso alla rete visualizzata nei computer client.

  • Specificare i server Autorità registrazione integrità con i quali i computer client devono comunicare.

  • Specificare il meccanismo di crittografia che i computer client devono utilizzare per le comunicazioni con i server Autorità registrazione integrità.

È inoltre possibile utilizzare lo snap-in Configurazione client di Protezione accesso alla rete per attivare e disattivare la traccia di Protezione accesso alla rete, specificare il livello di dettaglio che si desidera acquisire in un file di registro di traccia nonché importare ed esportare le impostazioni del client Protezione accesso alla rete mediante un file di configurazione con estensione xml.

Quando è consigliabile utilizzare Configurazione client di Protezione accesso alla rete?

Configurazione client di Protezione accesso alla rete è uno dei tre strumenti che possono essere utilizzati per configurare le impostazioni di Protezione accesso alla rete nei computer client. Oltre a Configurazione client di Protezione accesso alla rete, è possibile configurare le impostazioni di Protezione accesso alla rete nei computer client locali mediante i comandi Netsh per il client Protezione accesso alla rete oppure utilizzare la Console Gestione Criteri di gruppo per configurare le impostazioni di Criteri di gruppo per Configurazione client di Protezione accesso alla rete. Quando si configurano le impostazioni del client Protezione accesso alla rete nei Criteri di gruppo, queste impostazioni vengono applicate automaticamente nei computer client membri di dominio idonei per Protezione accesso alla rete durante l'aggiornamento dei Criteri di gruppo.

Importante

Se si configurano le impostazioni client di Protezione accesso alla rete in Criteri di gruppo, tutte le impostazioni configurate utilizzando lo strumento da riga di comando Netsh per il client di Protezione accesso alla rete o la console Configurazione client di Protezione accesso alla rete verranno ignorate.

È consigliabile utilizzare Configurazione client di Protezione accesso alla rete in un computer locale quando si verifica una delle condizioni seguenti:

  • Si desidera utilizzare un'interfaccia utente grafica, anziché i comandi Netsh per il client Protezione accesso alla rete, per configurare le impostazioni di Protezione accesso alla rete in un computer locale.

  • Nella propria organizzazione vengono utilizzati i Criteri di gruppo per gestire computer client membri di dominio e si desidera creare un file di configurazione con estensione xml per la configurazione delle impostazioni dei Criteri di gruppo per Protezione accesso alla rete.

  • Alcuni computer richiedono impostazioni di configurazione personalizzate e si desidera configurare ogni computer singolarmente.

  • Si desidera configurare tutti i computer client esattamente allo stesso modo, ma non è possibile automatizzare o gestire il processo di configurazione tramite script o Criteri di gruppo.

È consigliabile utilizzare Configurazione client di Protezione accesso alla rete tramite Criteri di gruppo quando l'organizzazione utilizza Criteri di gruppo per gestire i computer client e si desidera applicare ai computer client le impostazioni di Criteri di gruppo per Protezione accesso alla rete quando vengono applicate le impostazioni di Criteri di gruppo.

Configurazione client di Protezione accesso alla rete può essere utilizzato per configurare solo computer idonei per Protezione accesso alla rete. Un computer è idoneo per Protezione accesso alla rete se vi sono installati i componenti di Protezione accesso alla rete e se è in grado di verificare la propria integrità attraverso la generazione di un rapporto di integrità. I computer che eseguono Windows® 7, Windows Vista®, Windows XP Service Pack 3 (SP3), Windows Server® 2008 e Windows Server® 2008 R2 sono idonei per Protezione accesso alla rete. Non è possibile utilizzare Configurazione client di Protezione accesso alla rete per gestire computer non idonei per Protezione accesso alla rete.

Nota

Non è possibile utilizzare Configurazione client di Protezione accesso alla rete per configurare le impostazioni di Protezione accesso alla rete in un computer remoto. Configurazione client di Protezione accesso alla rete può essere utilizzato solo per configurare le impostazioni di Protezione accesso alla rete in un computer locale oppure per creare un file di configurazione con estensione xml in un computer locale.

Ulteriori riferimenti

  • Utilizzare file di configurazione del client Protezione accesso alla rete

  • Configurare i client di imposizione Protezione accesso alla rete

  • Configurare l'interfaccia utente del client Protezione accesso alla rete

  • Configurare le impostazioni di registrazione dell'integrità

  • Configurare la traccia di Protezione accesso alla rete


Elenco di controllo per Configurazione client di Protezione accesso alla rete

Utilizzare il seguente elenco di controllo per assicurarsi di configurare correttamente le impostazioni di Protezione accesso alla rete nei computer client.

Passaggio | Informazioni di riferimento
Esaminare i concetti relativi a Configurazione client di Protezione accesso alla rete (facoltativo). | Panoramica di Configurazione client di Protezione accesso alla rete
Decidere se si desidera importare un file di configurazione (facoltativo). | Importare le impostazioni di configurazione del client Protezione accesso alla rete
Attivare uno o più client di imposizione Protezione accesso alla rete (obbligatorio). | Configurare i client di imposizione Protezione accesso alla rete
Specificare il testo e la grafica di personalizzazione per l'interfaccia utente di Protezione accesso alla rete (facoltativo). | Configurare il criterio di richiesta del client Protezione accesso alla rete
Specificare i server Autorità registrazione integrità con i quali comunicherà un computer client (facoltativo). | Configurare gruppi di server trusted per client Protezione accesso alla rete
Specificare il meccanismo di crittografia che i computer client devono utilizzare per le comunicazioni con i server Autorità registrazione integrità (facoltativo). | Configurare il criterio di richiesta del client Protezione accesso alla rete
Configurare la traccia di Protezione accesso alla rete e il livello di dettaglio per un file di registro di traccia (facoltativo). | Configurare la traccia di Protezione accesso alla rete
Decidere se si desidera salvare le impostazioni di Protezione accesso alla rete in un file di configurazione (facoltativo). | Esportare le impostazioni di configurazione del client Protezione accesso alla rete


Utilizzare file di configurazione del client Protezione accesso alla rete

È possibile utilizzare la console Configurazione client di Protezione accesso alla rete per importare o esportare impostazioni del client di Protezione accesso alla rete da o in un file di configurazione in formato XML. In questo modo è possibile creare un file di configurazione in un computer e importarlo in vari computer per limitare il sovraccarico amministrativo correlato alla configurazione manuale di ogni singolo computer.

È inoltre possibile utilizzare un file di configurazione per configurare impostazioni di Criteri di gruppo Protezione accesso alla rete mediante l'importazione di un file di configurazione esistente nell'estensione di Criteri di gruppo per Configurazione client di Protezione accesso alla rete. L'estensione di Criteri di gruppo per Configurazione client di Protezione accesso alla rete si trova all'interno della Console Gestione Criteri di gruppo. Quando si configurano le impostazioni del client Protezione accesso alla rete nei Criteri di gruppo, queste impostazioni vengono applicate a tutti i computer membri di dominio idonei per Protezione accesso alla rete durante l'applicazione dei Criteri di gruppo.

Casi in cui eseguire questa attività

È consigliabile esportare le impostazioni in un file di configurazione nei casi seguenti:

  • Quando si desidera applicare le stesse impostazioni di Protezione accesso alla rete a più computer mediante la console Configurazione client di Protezione accesso alla rete.

  • Quando si desidera configurare le impostazioni di Criteri di gruppo per Protezione accesso alla rete mediante l'importazione del file di configurazione nella Console Gestione Criteri di gruppo.

Per completare questa attività, eseguire le procedure seguenti:

Esportare le impostazioni di configurazione del client Protezione accesso alla rete

Importare le impostazioni di configurazione del client Protezione accesso alla rete

Ulteriori riferimenti

  • Panoramica di Configurazione client di Protezione accesso alla rete

  • Elenco di controllo per Configurazione client di Protezione accesso alla rete


Esportare le impostazioni di configurazione del client Protezione accesso alla rete

Esportare impostazioni in un file di configurazione

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per esportare impostazioni in un file di configurazione tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic con il pulsante destro del mouse su Configurazione client di Protezione accesso alla rete e scegliere Esporta.

  3. Nella finestra di dialogo Esporta configurazione Protezione accesso alla rete, in Salva in, fare clic sul percorso in cui si desidera salvare il file.

  4. In Nome file digitare il nome del file di configurazione.

  5. Fare clic su Salva.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per esportare impostazioni in un file di configurazione tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client export filename = <nomefile>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<nomefile> | Qualsiasi stringa. | Il percorso e il nome del file di configurazione.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Importare le impostazioni di configurazione del client Protezione accesso alla rete

  • Notazione di sintassi della riga di comando


Importare le impostazioni di configurazione del client Protezione accesso alla rete

Importare impostazioni da un file di configurazione

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per importare impostazioni da un file di configurazione tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic con il pulsante destro del mouse su Gestione client di Protezione accesso alla rete e scegliere Importa.

  3. Nella finestra di dialogo Importa configurazione Protezione accesso alla rete, in Cerca in, fare clic sul percorso in cui è archiviato il file di configurazione.

  4. In Nome file digitare il nome del file di configurazione.

  5. Fare clic su Apri.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per importare impostazioni da un file di configurazione tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client import filename = <nomefile>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<nomefile> | Qualsiasi stringa. | Il percorso e il nome del file di configurazione.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Esportare le impostazioni di configurazione del client Protezione accesso alla rete

  • Notazione di sintassi della riga di comando


Configurare i client di imposizione Protezione accesso alla rete

Per abilitare o disabilitare i client di imposizione Protezione accesso alla rete, è possibile utilizzare la console Configurazione client di Protezione accesso alla rete, le impostazioni di configurazione client di Protezione accesso alla rete in Criteri di gruppo oppure i comandi Netsh per la configurazione client di Protezione accesso alla rete. Un client di imposizione Protezione accesso alla rete deve richiedere l'accesso a una rete, comunicare lo stato di integrità di un computer client al server Protezione accesso alla rete che autorizza l'accesso alla rete e comunicare lo stato di connessione del computer client ad altri componenti dell'architettura del client Protezione accesso alla rete.

Sono disponibili sei client di imposizione che corrispondono ai seguenti meccanismi di accesso alla rete:

Client di imposizione | Descrizione
DHCP (Dynamic Host Configuration Protocol) | Impone i criteri di integrità quando un computer client tenta di ottenere un indirizzo IP da un server DHCP per cui è attivato Protezione accesso alla rete.
IPSec (Internet Protocol Security) | Impone i criteri di integrità quando un computer client tenta di comunicare con un altro computer mediante IPSec.
Gateway Desktop remoto | Impone i criteri di integrità a un computer che tenta di accedere a un gateway Desktop remoto.
EAP (Extensible Authentication Protocol) | Impone i criteri di integrità quando un computer client tenta di accedere a una rete tramite una connessione di rete autenticate EAP, ad esempio connessioni 802.1X cablate o wireless. Se il computer cliente esegue Windows® 7, il client di imposizione EAP viene utilizzato anche per le connessioni di rete privata virtuale (VPN).
Accesso remoto | Impone i criteri di integrità quando un computer client che esegue Windows Vista® o Windows XP con Service Pack 3 (SP3) tenta di ottenere l'accesso alla rete tramite un server VPN per cui è attivato Protezione accesso alla rete.
EAPOL wireless | Impone i criteri di integrità quando un computer client che esegue Windows XP SP3 tenta di accedere a una rete tramite una connessione di rete wireless autenticata 802.1X.

Casi in cui eseguire questa attività

Per distribuire Protezione accesso alla rete nell'organizzazione, è necessario attivare almeno un client di imposizione Protezione accesso alla rete nei computer client. Potrebbe inoltre essere necessario attivare client di imposizione aggiuntivi quando i requisiti di integrità della rete cambiano e si desidera imporre criteri di integrità mediante altri meccanismi di accesso alla rete.

Potrebbe essere necessario disattivare client di imposizione quando si risolvono problemi relativi all'accesso alla rete oppure quando i requisiti di integrità cambiano e si desidera imporre criteri di integrità mediante altri client di imposizione.

Per completare questa attività, eseguire le procedure seguenti:

Attivare e disattivare il client di imposizione DHCP

Attivare e disattivare il client di imposizione IPSec

Attivare e disattivare il client di imposizione di Gateway Desktop remoto

Attivare e disattivare il client di imposizione EAP

Attivare e disattivare il client di imposizione di accesso remoto

Attivare e disattivare il client di imposizione EAPOL wireless

Ulteriori riferimenti

  • Panoramica di Configurazione client di Protezione accesso alla rete

  • Elenco di controllo per Configurazione client di Protezione accesso alla rete


Attivare e disattivare il client di imposizione DHCP

Attivare e disattivare il client di imposizione DHCP

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per attivare e disattivare il client di imposizione DHCP tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic su Client di imposizione.

  3. Fare clic con il pulsante destro del mouse su Client di imposizione DHCP e quindi scegliere Attiva o Disattiva.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per attivare e disattivare il client di imposizione DHCP tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Per attivare o disattivare il client di imposizione DHCP, eseguire una delle operazioni seguenti:

    1. Per attivare il client di imposizione DHCP, digitare quanto segue: netsh nap client set enforcement ID = 79617 ADMIN = "ENABLE"

    2. Per disattivare il client di imposizione DHCP, digitare quanto segue: netsh nap client set enforcement ID = 79617 ADMIN = "DISABLE"

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare i client di imposizione Protezione accesso alla rete


Attivare e disattivare il client di imposizione IPSec

Attivare e disattivare il client di imposizione IPSec

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per attivare e disattivare il client di imposizione IPSec tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic su Client di imposizione.

  3. Fare clic con il pulsante destro del mouse su Componente che applica Protezione accesso alla rete tramite IPSec e quindi scegliere Attiva o Disattiva.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

  • Per imporre la restrizione per l'accesso in rete con il client di imposizione IPSec, è necessario che nell'organizzazione siano stati distribuiti i criteri IPSec (Internet Protocol Security) e l'isolamento del dominio.

Per attivare e disattivare il client di imposizione IPSec tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Per attivare o disattivare il client di imposizione IPSec, eseguire una delle operazioni seguenti:

    1. Per attivare il client di imposizione IPSec, digitare quanto segue: netsh nap client set enforcement ID = 79619 ADMIN = "ENABLE"

    2. Per disattivare il client di imposizione IPSec, digitare quanto segue: netsh nap client set enforcement ID = 79619 ADMIN = "DISABLE"

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

  • Per imporre la restrizione per l'accesso in rete con il client di imposizione IPSec, è necessario che nell'organizzazione siano stati distribuiti i criteri IPSec e l'isolamento del dominio.

Ulteriori riferimenti

  • Configurare i client di imposizione Protezione accesso alla rete


Attivare e disattivare il client di imposizione di Gateway Desktop remoto

Attivare e disattivare il client di imposizione di Gateway Desktop remoto

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per attivare e disattivare il client di imposizione di Gateway Desktop remoto tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic su Client di imposizione.

  3. Fare clic con il pulsante destro del mouse su Client imposizione quarantena Gateway Desktop remoto e quindi scegliere Attiva o Disattiva.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per attivare o disattivare il client di imposizione di Gateway Desktop remoto tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Per attivare o disattivare il client di imposizione di Gateway Desktop remoto, eseguire una delle operazioni seguenti:

    1. Per attivare il client di imposizione di Gateway Desktop remoto, digitare quanto segue: netsh nap client set enforcement ID = 79621 ADMIN = "ENABLE"

    2. Per disattivare il client di imposizione di Gateway Desktop remoto, digitare quanto segue: netsh nap client set enforcement ID = 79621 ADMIN = "DISABLE"

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare i client di imposizione Protezione accesso alla rete


Attivare e disattivare il client di imposizione EAP

Attivare e disattivare il client di imposizione EAP

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per attivare e disattivare il client di imposizione EAP tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic su Client di imposizione.

  3. Fare clic con il pulsante destro del mouse su Client imposizione quarantena EAP e quindi scegliere Attiva o Disattiva.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per attivare e disattivare il client di imposizione EAP tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Per attivare o disattivare il client di imposizione EAP, eseguire una delle operazioni seguenti:

    1. Per attivare il client di imposizione EAP, digitare quanto segue: netsh nap client set enforcement ID = 79623 ADMIN = "ENABLE"

    2. Per disattivare il client di imposizione EAP, digitare quanto segue: netsh nap client set enforcement ID = 79623 ADMIN = "DISABLE"

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare i client di imposizione Protezione accesso alla rete


Attivare e disattivare il client di imposizione di accesso remoto

Attivare e disattivare il client di imposizione di accesso remoto

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per attivare e disattivare il client di imposizione di accesso remoto tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic su Client di imposizione.

  3. Fare clic con il pulsante destro del mouse su Client imposizione quarantena accesso remoto e quindi scegliere Attiva o Disattiva.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per attivare o disattivare il client di imposizione di accesso remoto tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Per attivare o disattivare il client di imposizione di accesso remoto, eseguire una delle operazioni seguenti:

    1. Per attivare il client di imposizione di accesso remoto, digitare quanto segue: netsh nap client set enforcement ID = 79618 ADMIN = "ENABLE"

    2. Per disattivare il client di imposizione di accesso remoto, digitare quanto segue: netsh nap client set enforcement ID = 79618 ADMIN = "DISABLE"

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare i client di imposizione Protezione accesso alla rete


Attivare e disattivare il client di imposizione EAPOL wireless

Attivare e disattivare il client di imposizione EAPOL wireless

  • Utilizzare una riga di comando

Nota

Il client di imposizione EAPOL wireless è disponibile solo nei computer client Protezione accesso alla rete che eseguono Windows XP con Service Pack 3 (SP3). Per attivare il client di imposizione EAPOL wireless, è necessario utilizzare Criteri di gruppo o una riga di comando.

Per attivare o disattivare il client di imposizione EAPOL wireless utilizzando una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Per attivare o disattivare il client di imposizione EAPOL wireless, eseguire una delle operazioni seguenti:

    1. Per attivare il client di imposizione EAPOL wireless, digitare: netsh nap client set enforcement ID = 79620 ADMIN = "ENABLE"

    2. Per disattivare il client di imposizione EAPOL wireless, digitare: netsh nap client set enforcement ID = 79620 ADMIN = "DISABLE"

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare i client di imposizione Protezione accesso alla rete


Configurare l'interfaccia utente del client Protezione accesso alla rete

È possibile utilizzare la console Configurazione client di Protezione accesso alla rete per configurare l'interfaccia utente stato di Protezione accesso alla rete che viene visualizzata in un computer client. L'interfaccia utente stato di Protezione accesso alla rete è costituita da una finestra di dialogo e visualizza informazioni sugli Agenti integrità sistema attivati nel computer, sullo stato di imposizione della rete e sullo stato di monitoraggio e aggiornamento.

Per impostazione predefinita, la finestra di dialogo di Protezione accesso alla rete non contiene informazioni di personalizzazione. L'aggiunta delle informazioni di personalizzazione è facoltativa.

È consigliabile personalizzare l'interfaccia utente nei casi seguenti:

  • Quando si desidera segnalare in modo chiaro agli utenti che il relativo accesso alla rete è controllato dall'organizzazione.

  • Quando si desidera rendere disponibili informazioni di contatto per il reparto IT, in modo che gli utenti possano ottenere assistenza quando un computer dispone di accesso limitato alla rete.

È possibile personalizzare i seguenti elementi facoltativi dell'interfaccia utente:

Elemento | Dettagli
Titolo | Viene visualizzato sotto forma di banner nella parte superiore della finestra di dialogo Stato di Protezione accesso alla rete e in genere corrisponde al nome dell'organizzazione oppure al nome del reparto IT dell'organizzazione.
Descrizione | Viene visualizzata sotto il titolo e in genere rappresenta lo slogan dell'organizzazione o del reparto IT dell'organizzazione. La descrizione può inoltre contenere informazioni di contatto per l'helpdesk o il reparto IT dell'organizzazione.
Immagine | Viene visualizzata accanto al titolo e in genere è rappresentata dal logo dell'organizzazione o del reparto IT. Il tipo di file dell'immagine specificata deve essere jpg, bmp, png oppure gif. La dimensione massima consentita per il file è di 1 megabyte (MB) e per l'immagine è di 64 × 64 pixel. Le immagini di grandi dimensioni non vengono ridimensionate.
Importante

Se nel server è installato Language Interface Pack (LIP), sarà necessario installarlo anche nei computer client di Protezione accesso alla rete. Nei computer client di Protezione accesso alla rete che non dispongono dello stesso LIP non verranno visualizzati il titolo e il testo descrittivo personalizzati.

Ulteriori riferimenti

  • Specificare il testo del titolo per l'interfaccia utente del client Protezione accesso alla rete

  • Specificare il testo della descrizione per l'interfaccia utente del client Protezione accesso alla rete

  • Specificare un'immagine per l'interfaccia utente del client Protezione accesso alla rete

  • Panoramica di Configurazione client di Protezione accesso alla rete

  • Elenco di controllo per Configurazione client di Protezione accesso alla rete


Specificare il testo del titolo per l'interfaccia utente del client Protezione accesso alla rete

Specificare il testo del titolo per l'interfaccia utente del client Protezione accesso alla rete

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per specificare il testo del titolo per l'interfaccia utente del client Protezione accesso alla rete tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic su Impostazioni interfaccia utente.

  3. Fare clic con il pulsante destro del mouse su Interfaccia utente e quindi scegliere Proprietà.

  4. Nella finestra di dialogo Proprietà - Interfaccia utente, in Titolo, digitare il testo del titolo che si desidera visualizzare nell'interfaccia utente del client Protezione accesso alla rete.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per specificare il testo del titolo per l'interfaccia utente del client Protezione accesso alla rete tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client set userinterface title = <titolo>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<titolo> | Qualsiasi stringa. | Il titolo che si desidera visualizzare nell'interfaccia utente del client Protezione accesso alla rete.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare l'interfaccia utente del client Protezione accesso alla rete

  • Notazione di sintassi della riga di comando


Specificare il testo della descrizione per l'interfaccia utente del client Protezione accesso alla rete

Specificare il testo della descrizione per l'interfaccia utente del client Protezione accesso alla rete

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per specificare il testo della descrizione per l'interfaccia utente del client Protezione accesso alla rete tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic su Impostazioni interfaccia utente.

  3. Fare clic con il pulsante destro del mouse su Impostazioni interfaccia utente e quindi scegliere Proprietà.

  4. Nella finestra di dialogo Proprietà - Impostazioni interfaccia utente, in Descrizione, digitare il testo della descrizione che si desidera visualizzare nell'interfaccia utente del client Protezione accesso alla rete.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per specificare il testo della descrizione per l'interfaccia utente del client Protezione accesso alla rete tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client set userinterface title = <testo>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<testo> | Qualsiasi stringa. | La descrizione che si desidera visualizzare nell'interfaccia utente del client Protezione accesso alla rete.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare l'interfaccia utente del client Protezione accesso alla rete

  • Notazione di sintassi della riga di comando


Specificare un'immagine per l'interfaccia utente del client Protezione accesso alla rete

Specificare un'immagine per l'interfaccia utente del client Protezione accesso alla rete

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per specificare un'immagine per l'interfaccia utente del client Protezione accesso alla rete tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic su Impostazioni interfaccia utente.

  3. Fare clic con il pulsante destro del mouse su Impostazioni interfaccia utente e quindi scegliere Proprietà.

  4. Nella finestra di dialogo Proprietà - Impostazioni interfaccia utente fare clic su Sfoglia e quindi selezionare l'immagine che si desidera visualizzare nell'interfaccia utente del client Protezione accesso alla rete.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per specificare un'immagine per l'interfaccia utente del client Protezione accesso alla rete tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client set userinterface image = <immagine>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<immagine> | Il percorso di un'immagine salvata in uno dei formati di file seguenti: jpg, bmp, png oppure gif. | L'immagine che si desidera visualizzare nell'interfaccia utente del client Protezione accesso alla rete.
Nota

Per specificare contemporaneamente il titolo, la descrizione e l'immagine per l'interfaccia utente del client Protezione accesso alla rete, digitare quanto segue: netsh nap client set userinterface title = <titolo> text = <testo> image = <immagine>

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare l'interfaccia utente del client Protezione accesso alla rete

  • Notazione di sintassi della riga di comando


Configurare le impostazioni di registrazione dell'integrità

È possibile utilizzare la console Configurazione client di Protezione accesso alla rete per specificare i meccanismi di sicurezza utilizzati da un computer client per le comunicazioni con i server Autorità registrazione integrità. È inoltre possibile utilizzare la console Configurazione client di Protezione accesso alla rete per specificare i server Autorità registrazione integrità con cui un computer client può comunicare. Un computer client deve comunicare con un server Autorità registrazione integrità per ottenere un certificato di integrità, Per Protezione accesso alla rete con imposizione basata su IPSec (Internet Protocol Security) è richiesto un certificato di integrità.

Per specificare il meccanismo di sicurezza che un client deve utilizzare per le comunicazioni con un server Autorità registrazione integrità, è necessario configurare il criterio di richiesta. Il criterio di richiesta specifica l'algoritmo a chiave asimmetrica, l'algoritmo hash e il provider del servizio di crittografia che un computer client deve utilizzare quando inizializza una comunicazione con un server Autorità registrazione integrità. È possibile specificare un solo algoritmo a chiave asimmetrica, algoritmo hash e provider del servizio di crittografia in un computer client.

Quando si configura un algoritmo a chiave asimmetrica, un algoritmo hash o un provider del servizio di crittografia nel client, è necessario impostare un criterio di richiesta esattamente corrispondente nel server Autorità registrazione integrità. Se ad esempio si configurano i client in modo che eseguano la crittografia delle comunicazioni esclusivamente tramite l'algoritmo a chiave asimmetrica RSA (Rivest-Shamir-Adelman) con una lunghezza minima della chiave pari a 128, è necessario configurare i server Autorità registrazione integrità in modo che accettino le comunicazioni crittografate con lo stesso algoritmo a chiave asimmetrica e la stessa lunghezza minima della chiave. Se i server Autorità registrazione integrità non sono configurati in modo da utilizzare lo stesso criterio di richiesta, non saranno in grado di comunicare con i computer client. I computer client potrebbero essere ritenuti non conformi e la relativa connettività di rete potrebbe essere limitata. Se non si configurano le impostazioni del criterio di richiesta in un computer client, quest'ultimo avvia un processo di negoziazione con il server Autorità registrazione integrità utilizzando il meccanismo di protezione predefinito per la crittografia delle comunicazioni.

Importante

Non modificare le impostazioni del criterio di richiesta, a meno che non siano state completamente verificate in un ambiente di prova sicuro. La modifica delle impostazioni del criterio di richiesta può causare una perdita della connettività di rete nei computer client.

Per specificare i server Autorità registrazione integrità con i quali un computer client deve comunicare, è necessario configurare un gruppo di server trusted. Un gruppo di server trusted include uno o più server Autorità registrazione integrità. Se in un gruppo di server trusted sono inclusi più server Autorità registrazione integrità, è possibile specificare l'ordine in base a cui i computer client tenteranno di contattare i server. Questa impostazione risulta utile quando sono presenti numerosi server Autorità registrazione integrità in segmenti di rete o domini diversi e si desidera definire la priorità dei server ai quali un client tenta di accedere. È necessario configurare almeno un gruppo di server trusted. In caso contrario, un computer client non sarà in grado di contattare un server Autorità registrazione integrità per ottenere un certificato di integrità.

Configurare il criterio di richiesta del client Protezione accesso alla rete

Configurare gruppi di server trusted per client Protezione accesso alla rete

Ulteriori riferimenti

  • Panoramica di Configurazione client di Protezione accesso alla rete

  • Elenco di controllo per Configurazione client di Protezione accesso alla rete


Configurare il criterio di richiesta del client Protezione accesso alla rete

È possibile utilizzare la console Configurazione client di Protezione accesso alla rete per specificare i meccanismi di sicurezza utilizzati da un computer client per le comunicazioni con i server Autorità registrazione integrità. Queste impostazioni, note come impostazioni del criterio di richiesta, determinano l'algoritmo hash e il provider del servizio di crittografia (CSP) utilizzati da un computer client per crittografare le comunicazioni con i server Autorità registrazione integrità. È possibile specificare un solo algoritmo hash e CSP in un computer client. Se viene specificato un meccanismo di sicurezza, il computer client utilizzerà esclusivamente tale meccanismo per comunicare con i server Autorità registrazione integrità.

Non è necessario configurare impostazioni del criterio di richiesta nei computer client. Per impostazione predefinita, un computer client idoneo per Protezione accesso alla rete inizializza un processo di negoziazione con un server Autorità registrazione integrità mediante un meccanismo di sicurezza predefinito accettabile da entrambi per la crittografia delle comunicazioni. È consigliabile utilizzare le impostazioni predefinite del criterio di richiesta.

Importante

Non modificare le impostazioni del criterio di richiesta, a meno che non siano state completamente verificate in un ambiente di prova sicuro. La modifica delle impostazioni del criterio di richiesta può causare una perdita della connettività di rete nei computer client.

Se si configurano impostazioni del criterio di richiesta nei computer client, è necessario configurare impostazioni identiche nei server Autorità registrazione integrità. Se i server Autorità registrazione integrità non sono configurati in modo da utilizzare esattamente lo stesso algoritmo hash e lo stesso CSP dei computer client, i server Autorità registrazione integrità non saranno in grado di comunicare con i computer client. È possibile che i computer client vengano considerati non integri e dispongano pertanto di una connettività di rete limitata.

Specificare un algoritmo hash

Specificare un provider del servizio di crittografia

Ulteriori riferimenti

Configurare le impostazioni di registrazione dell'integrità


Specificare un algoritmo hash

Specificare un algoritmo hash

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per specificare un algoritmo hash tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Aprire Impostazioni registrazione integrità e fare clic su Criterio di richiesta.

  3. Fare clic con il pulsante destro del mouse su Algoritmo hash e quindi scegliere Proprietà.

  4. Nella finestra di dialogo Proprietà - Algoritmo hash fare clic su Specifico e quindi selezionare l'algoritmo hash che si desidera utilizzare.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

  • Se si configurano impostazioni del criterio di richiesta nei computer client, è necessario configurare impostazioni identiche nei server Autorità registrazione integrità. Se i server Autorità registrazione integrità non sono configurati in modo da utilizzare lo stesso algoritmo a chiave asimmetrica, lo stesso algoritmo hash e lo stesso provider del servizio di crittografia dei computer client, i server Autorità registrazione integrità non saranno in grado di comunicare con i computer client. I computer client potrebbero essere ritenuti non conformi e la relativa connettività di rete potrebbe essere limitata.

Per specificare un algoritmo hash tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue per ottenere un elenco degli algoritmi hash supportati nel computer client: netsh nap client show hashes

  3. Digitare quanto segue: netsh nap client set hash oid = <OID>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<OID> | L'identificatore di oggetto (OID) di qualsiasi algoritmo hash supportato. | L'identificatore di oggetto dell'algoritmo hash che si desidera utilizzare per crittografare le comunicazioni tra un computer client e un server Autorità registrazione integrità. Il valore predefinito è 1.3.14.3.2.29 (sha1RSA).

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

  • Se si configurano impostazioni del criterio di richiesta nei computer client, è necessario configurare impostazioni identiche nei server Autorità registrazione integrità. Se i server Autorità registrazione integrità non sono configurati in modo da utilizzare lo stesso algoritmo a chiave asimmetrica, lo stesso algoritmo hash e lo stesso provider del servizio di crittografia dei computer client, i server Autorità registrazione integrità non saranno in grado di comunicare con i computer client. I computer client potrebbero essere ritenuti non conformi e la relativa connettività di rete potrebbe essere limitata.

Ulteriori riferimenti

  • Configurare il criterio di richiesta del client Protezione accesso alla rete

  • Configurare le impostazioni di registrazione dell'integrità


Specificare un provider del servizio di crittografia

Specificare un provider del servizio di crittografia

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per specificare un provider del servizio di crittografia tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Aprire Impostazioni registrazione integrità e fare clic su Criterio di richiesta.

  3. Fare clic con il pulsante destro del mouse su Provider del servizio di crittografia (CSP) e scegliere Proprietà.

  4. Nella finestra di dialogo Proprietà - Provider del servizio di crittografia (CSP) fare clic su Specifico e quindi fare clic sul provider del servizio di crittografia che si desidera utilizzare.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

  • Se si configurano impostazioni del criterio di richiesta nei computer client, è necessario configurare impostazioni identiche nei server Autorità registrazione integrità. Se i server Autorità registrazione integrità non sono configurati in modo da utilizzare lo stesso algoritmo a chiave asimmetrica, lo stesso algoritmo a chiave hash e lo stesso provider del servizio di crittografia dei computer client, i server Autorità registrazione integrità non saranno in grado di comunicare con i computer client. I computer client potrebbero essere ritenuti non conformi e la relativa connettività di rete potrebbe essere limitata.

Per specificare un provider del servizio di crittografia tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue per ottenere un elenco dei provider del servizio di crittografia supportati nel computer client: netsh nap client show csps

  3. Digitare quanto segue: netsh nap client set csp name = <nome> keylength = <lunghezzachiave>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<nome> | Qualsiasi provider del servizio di crittografia supportato. | Il nome del provider del servizio di crittografia che si desidera utilizzare per crittografare le comunicazioni tra un computer client e un server Autorità registrazione integrità.
<lunghezzachiave> | Qualsiasi numero intero (facoltativo). | Specifica la lunghezza della chiave asimmetrica. Il valore predefinito è 2048.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

  • Se si configurano impostazioni del criterio di richiesta nei computer client, è necessario configurare impostazioni identiche nei server Autorità registrazione integrità. Se i server Autorità registrazione integrità non sono configurati in modo da utilizzare lo stesso algoritmo a chiave asimmetrica, lo stesso algoritmo a chiave hash e lo stesso provider del servizio di crittografia dei computer client, non saranno in grado di comunicare con i computer client. I computer client potrebbero essere ritenuti non conformi e la relativa connettività di rete potrebbe essere limitata.

Ulteriori riferimenti

  • Configurare il criterio di richiesta del client Protezione accesso alla rete

  • Configurare le impostazioni di registrazione dell'integrità


Configurare gruppi di server trusted per client Protezione accesso alla rete

È possibile utilizzare la console Configurazione client di Protezione accesso alla rete per specificare i server Autorità registrazione integrità utilizzati da un computer client per ottenere un certificato di integrità. A tale scopo, è necessario creare un gruppo di server trusted, ovvero un elenco ordinato contenente uno o più server Autorità registrazione integrità. Se in un gruppo di server trusted sono elencati più server Autorità registrazione integrità, un computer client tenterà di contattare ogni server Autorità registrazione integrità nell'ordine specificato fino a quando non ne viene trovato uno disponibile.

È necessario configurare un gruppo di server trusted solo se si utilizza il client di imposizione IPSec (Internet Protocol Security) per imporre i criteri di integrità. Per imporre i criteri di integrità il client di imposizione IPSec utilizza certificati di integrità e server Autorità registrazione integrità. Se non si utilizza il client di imposizione IPsec, non è necessario configurare gruppi di server trusted.

Creare un gruppo di server trusted

Eliminare un gruppo di server trusted

Aggiungere un server Autorità registrazione integrità a un gruppo di server trusted

Rimuovere un server Autorità registrazione integrità da un gruppo di server trusted

Modificare il nome di un gruppo di server trusted

Modificare l'ordine dei server Autorità registrazione integrità in un gruppo di server trusted

Modificare l'URL di un server Autorità registrazione integrità in un gruppo di server trusted

Ulteriori riferimenti

  • Configurare le impostazioni di registrazione dell'integrità


Creare un gruppo di server trusted

Creare un gruppo di server trusted

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per creare un gruppo di server trusted tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare doppio clic su Impostazioni registrazione integrità.

  3. Fare clic con il pulsante destro del mouse su Gruppi di server trusted e quindi scegliere Nuovo.

  4. Nella pagina Nome gruppo della creazione guidata nuovo gruppo di server trusted digitare il nome del nuovo gruppo di server trusted e quindi fare clic su Avanti.

  5. Nella pagina Aggiungi server digitare l'URL di un server Autorità registrazione integrità che si desidera aggiungere al gruppo di server trusted e quindi fare clic su Aggiungi. Se il server Autorità registrazione integrità non utilizza la verifica server, è necessario deselezionare la casella di controllo Richiedi verifica server (https:) per tutti i server del gruppo prima di fare clic su Aggiungi.

  6. Ripetere il passaggio 5 per aggiungere tutti i server Autorità registrazione integrità al gruppo di server trusted.

  7. Fare clic su Avanti per rivedere il nome del gruppo e gli URL dei server trusted e quindi fare clic su Fine.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per creare un gruppo di server trusted tramite il prompt dei comandi

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client add trustedservergroup name = <gruppo> requirehttps = <richiedihttps>

  3. Digitare quanto segue: netsh nap client add server group = <gruppo> url = <url> processingorder = <ordineelaborazione>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<gruppo> | Qualsiasi stringa di testo (obbligatorio). | Il nome del gruppo di server trusted che si desidera creare.
<richiedihttps> | ENABLE, DISABLE (facoltativo) | In caso di impostazione su DISABLE, la verifica server (HTTPS) non è necessaria. Se non viene immesso alcun valore o requirehttps è impostato su ENABLE, è richiesto HTTPS.
<url> | Qualsiasi URL, percorso UNC o indirizzo IP valido Se requirehttps è impostato su ENABLED, l'URL deve contenere il prefisso https:// (obbligatorio). | L'URL del server Autorità registrazione integrità che si desidera aggiungere al gruppo di server trusted. Per aggiungere più URL, riutilizzare lo stesso nome di gruppo di server.
<ordineelaborazione> | Qualsiasi numero intero minore o uguale al numero totale di gruppi di server trusted. Deve essere diverso da zero (facoltativo). | La priorità di elaborazione da assegnare a questo gruppo di server trusted.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare gruppi di server trusted per client Protezione accesso alla rete


Eliminare un gruppo di server trusted

Eliminare un gruppo di server trusted

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per eliminare un gruppo di server trusted tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare doppio clic su Impostazioni registrazione integrità e quindi fare clic su Gruppi di server trusted.

  3. Nel riquadro centrale fare con il pulsante destro del mouse sul nome del gruppo di server trusted desiderato e quindi scegliere Elimina.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per eliminare un gruppo di server trusted tramite il prompt dei comandi

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client delete trustedservergroup name = <nome>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<nome> | Qualsiasi stringa di testo (obbligatorio). | Il nome del gruppo di server trusted che si desidera eliminare.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare gruppi di server trusted per client Protezione accesso alla rete


Aggiungere un server Autorità registrazione integrità a un gruppo di server trusted

Aggiungere un server Autorità registrazione integrità a un gruppo di server trusted

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per aggiungere un server Autorità registrazione integrità a un gruppo di server trusted tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare doppio clic su Impostazioni registrazione integrità e quindi fare clic su Gruppi di server trusted.

  3. Nel riquadro centrale fare doppio clic sul nome del gruppo di server trusted desiderato.

  4. Nella finestra delle proprietà del gruppo di server trusted digitare l'URL di un server trusted che si desidera aggiungere, fare clic su Aggiungi e quindi su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per aggiungere un server Autorità registrazione integrità a un gruppo di server trusted tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client add server group = <gruppo> url = <url> processingorder = <ordineelaborazione>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<gruppo> | Qualsiasi stringa di testo. (obbligatorio). | Il nome del gruppo di server trusted che si desidera modificare.
<url> | Qualsiasi URL, percorso UNC o indirizzo IP valido (obbligatorio). | Il server Autorità registrazione integrità che si desidera aggiungere al gruppo di server trusted.
<ordineelaborazione> | Qualsiasi numero intero (obbligatorio). Deve essere diverso da zero (facoltativo). | La priorità di elaborazione da assegnare al server Autorità registrazione integrità.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare gruppi di server trusted per client Protezione accesso alla rete


Rimuovere un server Autorità registrazione integrità da un gruppo di server trusted

Rimuovere un server Autorità registrazione integrità da un gruppo di server trusted

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per rimuovere un server Autorità registrazione integrità da un gruppo di server trusted tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare doppio clic su Impostazioni registrazione integrità e quindi fare clic su Gruppi di server trusted.

  3. Nel riquadro centrale fare doppio clic sul nome del gruppo di server trusted desiderato.

  4. Nella finestra delle proprietà del gruppo di server trusted fare clic sull'URL del server trusted che si desidera rimuovere e quindi su Rimuovi.

  5. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per rimuovere un server Autorità registrazione integrità da un gruppo di server trusted tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client delete server group = <gruppo> url = <url>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<gruppo> | Qualsiasi stringa di testo (obbligatorio). | Il nome del gruppo di server trusted che si desidera modificare.
<url> | Qualsiasi stringa di testo (obbligatorio). | L'URL del server Autorità registrazione integrità che si desidera rimuovere dal gruppo di server trusted.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare gruppi di server trusted per client Protezione accesso alla rete


Modificare il nome di un gruppo di server trusted

Modificare il nome di un gruppo di server trusted

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per modificare il nome di un gruppo di server trusted tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare doppio clic su Impostazioni registrazione integrità e quindi fare clic su Gruppi di server trusted.

  3. Nel riquadro centrale fare con il pulsante destro del mouse sul nome del gruppo di server trusted desiderato e quindi scegliere Rinomina.

  4. Digitare il nome del gruppo di server trusted e quindi premere INVIO.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per modificare il nome di un gruppo di server trusted tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client rename trustedservergroup name = <nome> newname = <nuovonome>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<nome> | Qualsiasi stringa di testo (obbligatorio). | Il nome del gruppo di server trusted che si desidera modificare.
<nuovonome> | Qualsiasi stringa di testo (obbligatorio). | Il nuovo nome del gruppo di server trusted.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare gruppi di server trusted per client Protezione accesso alla rete


Modificare l'ordine dei server Autorità registrazione integrità in un gruppo di server trusted

Modificare l'ordine dei server Autorità registrazione integrità in un gruppo di server trusted

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per modificare l'ordine dei server Autorità registrazione integrità in un gruppo di server trusted tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare doppio clic su Impostazioni registrazione integrità e quindi fare clic su Gruppi di server trusted.

  3. Nel riquadro centrale fare doppio clic sul nome del gruppo di server trusted desiderato.

  4. Nella finestra delle proprietà del gruppo di server trusted fare clic sull'URL del server trusted che si desidera spostare verso l'alto o verso il basso nell'elenco e quindi fare clic su Sposta su o Sposta giù.

  5. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per modificare l'ordine dei server Autorità registrazione integrità in un gruppo di server trusted tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client set server group = <gruppo> url = <url> processingorder = <ordineelaborazione>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<gruppo> | Qualsiasi stringa di testo (obbligatorio). | Il nome del gruppo di server trusted che si desidera modificare.
<url> | Qualsiasi URL, percorso UNC o indirizzo IP valido (obbligatorio). | L'URL del server Autorità registrazione integrità che si desidera spostare verso l'alto o verso il basso nel gruppo di server trusted.
<ordineelaborazione> | Qualsiasi numero intero (obbligatorio). Deve essere diverso da zero (obbligatorio). | La priorità di elaborazione da assegnare al server Autorità registrazione integrità.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare gruppi di server trusted per client Protezione accesso alla rete


Modificare l'URL di un server Autorità registrazione integrità in un gruppo di server trusted

Modificare l'URL di un server Autorità registrazione integrità in un gruppo di server trusted

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per modificare l'URL di un server Autorità registrazione integrità in un gruppo di server trusted tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare doppio clic su Impostazioni registrazione integrità e quindi fare clic su Gruppi di server trusted.

  3. Nel riquadro centrale fare doppio clic sul nome del gruppo di server trusted desiderato.

  4. Nella finestra delle proprietà del gruppo di server trusted fare clic sull'URL del server trusted che si desidera modificare e quindi su Modifica.

  5. Nella finestra di dialogo Modifica URL digitare l'URL del server trusted e quindi fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per modificare l'URL di un server Autorità registrazione integrità in un gruppo di server trusted tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Digitare quanto segue: netsh nap client rename server group = <gruppo> url = <url> newurl = <nuovourl>

Nella tabella seguente sono incluse le linee guida per il testo segnaposto nel comando Netsh.

Segnaposto | Valori possibili | Descrizione
<gruppo> | Qualsiasi stringa di testo (obbligatorio). | Il nome del gruppo di server trusted che si desidera modificare.
<url> | Qualsiasi stringa di testo (obbligatorio). | L'URL del server Autorità registrazione integrità che si desidera modificare.
<nuovourl> | Qualsiasi stringa di testo (obbligatorio). | Il nuovo URL del server Autorità registrazione integrità.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare gruppi di server trusted per client Protezione accesso alla rete


Configurare la traccia di Protezione accesso alla rete

È possibile utilizzare la console Configurazione client di Protezione accesso alla rete per configurare la traccia di Protezione accesso alla rete. La traccia consente di registrare gli eventi relativi a Protezione accesso alla rete in un file di registro e risulta utile per la risoluzione dei problemi e la manutenzione. È inoltre possibile utilizzare i registri di traccia per valutare l'integrità e la sicurezza della rete. È possibile configurare tre livelli di traccia, ovvero Di base, Avanzato e Debug.

Per impostazione predefinita, la traccia di Protezione accesso alla rete è disattivata, il che significa che gli eventi relativi a Protezione accesso alla rete non vengono registrati nei file di registro di traccia di Protezione accesso alla rete.

Casi in cui eseguire questa attività

È consigliabile attivare la traccia di Protezione accesso alla rete nei casi seguenti:

  • Quando si risolvono problemi relativi a Protezione accesso alla rete.

  • Quando si desidera valutare l'integrità e la sicurezza generali dei computer nell'organizzazione.

Per completare questa attività, eseguire le procedure seguenti:

Attivare e disattivare la traccia di Protezione accesso alla rete

Specificare il livello di dettaglio per il registro di traccia di Protezione accesso alla rete

Ulteriori riferimenti

  • Configurazione client di Protezione accesso alla rete

  • Elenco di controllo per Configurazione client di Protezione accesso alla rete


Attivare e disattivare la traccia di Protezione accesso alla rete

Attivare e disattivare la traccia di Protezione accesso alla rete

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per attivare o disattivare la traccia di Protezione accesso alla rete tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic con il pulsante destro del mouse su Configurazione client Protezione accesso alla rete (computer locale) e scegliere Proprietà.

  3. Nella finestra di dialogo Proprietà - Configurazione client Protezione accesso alla rete (computer locale) selezionare Attivata o Disattivata.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per attivare o disattivare la traccia di Protezione accesso alla rete tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Per attivare o disattivare la traccia di Protezione accesso alla rete, eseguire una delle operazioni seguenti:

    1. Per attivare la traccia di Protezione accesso alla rete, digitare quanto segue: netsh nap client set tracing state = enable

    2. Per disattivare la traccia di Protezione accesso alla rete, digitare quanto segue: netsh nap client set tracing state = disable

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare la traccia di Protezione accesso alla rete


Specificare il livello di dettaglio per il registro di traccia di Protezione accesso alla rete

Specificare il livello di dettaglio per il registro di traccia di Protezione accesso alla rete

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando

Per specificare il livello di dettaglio per il registro di traccia di Protezione accesso alla rete tramite l'interfaccia di Windows

  1. Per aprire la console Configurazione client di Protezione accesso alla rete, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Esegui, digitare NAPCLCFG.MSC e quindi fare clic su OK.

  2. Fare clic con il pulsante destro del mouse su Configurazione client Protezione accesso alla rete (computer locale) e scegliere Proprietà.

  3. Nella finestra di dialogo Proprietà - Configurazione client Protezione accesso alla rete (computer locale) assicurarsi che sia selezionata l'opzione Attivata.

  4. In Specificare il livello di dettaglio per i registri di traccia selezionare Versione base, Avanzate o Debug.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Per specificare il livello di dettaglio per il registro di traccia di Protezione accesso alla rete tramite una riga di comando

  1. Per aprire il prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Per configurare la traccia di Protezione accesso alla rete, eseguire una delle operazioni seguenti:

    1. Per configurare la traccia di Protezione accesso alla rete in modo da registrare informazioni di base, digitare quanto segue: netsh nap client set tracing state = enable level = basic

    2. Per configurare la traccia di Protezione accesso alla rete in modo da registrare informazioni avanzate, digitare quanto segue: netsh nap client set tracing state = enable level = advanced

    3. Per configurare la traccia di Protezione accesso alla rete in modo da registrare informazioni di debug, digitare quanto segue: netsh nap client set tracing state = enable level = verbose

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

Ulteriori riferimenti

  • Configurare la traccia di Protezione accesso alla rete


Notazione di sintassi della riga di comando

Nella tabella seguente viene descritta la notazione utilizzata per indicare la sintassi della riga di comando.

Notazione | Descrizione
Testo senza parentesi quadre o graffe | Elementi da digitare come indicato
<Testo tra parentesi acute> | Segnaposto per il quale è necessario fornire un valore
[Testo tra parentesi quadre] | Elementi facoltativi
{Testo tra parentesi graffe} | Serie di elementi richiesti: effettuare una selezione
Barra verticale (|) | Separatore per elementi che si escludono a vicenda: effettuare una selezione
Puntini di sospensione (...) | Elementi che possono essere ripetuti