Server dei criteri di rete

Server dei criteri di rete

Server dei criteri di rete consente di creare e imporre criteri di accesso alla rete validi in tutta l'organizzazione per l'integrità dei client, nonché per l'autenticazione e l'autorizzazione delle richieste di connessione. È inoltre possibile utilizzare Server dei criteri di rete come proxy RADIUS (Remote Authentication Dial-In User Service) per inoltrare richieste di connessione a un server che esegue Server dei criteri di rete oppure ad altri server RADIUS configurati in gruppi di server RADIUS remoti.

Server dei criteri di rete consente di configurare e gestire in modo centralizzato l'autenticazione e l'autorizzazione per l'accesso alla rete e i criteri di integrità dei client utilizzando le tre funzionalità seguenti.

  • RADIUS server. Server dei criteri di rete esegue in modo centralizzato l'autenticazione, l'autorizzazione e l'accounting per connessioni wireless e da commutatori di autenticazione, nonché per connessioni remote e VPN (Virtual Private Network, rete privata virtuale). Quando si utilizza Server dei criteri di rete come server RADIUS, si configurano i server di accesso alla rete, ad esempio punti di accesso wireless e server VPN, come client RADIUS in Server dei criteri di rete. È inoltre possibile configurare criteri di rete utilizzati da Server dei criteri di rete per autorizzare richieste di connessione, nonché configurare l'accounting RADIUS in modo che Server dei criteri di rete registri le informazioni di accounting in file di registro sul disco rigido locale oppure in un database di Microsoft SQL Server. Per ulteriori informazioni, vedere Server RADIUS.

  • RADIUS proxy. Quando si utilizza Server dei criteri di rete come proxy RADIUS, si configurano i criteri di richiesta di connessione che indicano al server che esegue Server dei criteri di rete quali richieste di connessione inoltrare ad altri server RADIUS e a quali server RADIUS si desidera inoltrare le richieste di connessione. È inoltre possibile configurare Server dei criteri di rete per inoltrare i dati di accounting da registrare da parte di uno o più computer in un gruppo remoto di server RADIUS. Per ulteriori informazioni, vedere Proxy RADIUS.

  • Network Access Protection (NAP) policy server. Quando viene configurato come server dei criteri di Protezione accesso alla rete, Server dei criteri di rete valuta i rapporti di integrità inviati dai computer client idonei per Protezione accesso alla rete che richiedono la connessione alla rete. Quando è configurato con Protezione accesso alla rete, Server dei criteri di rete agisce come server RADIUS, eseguendo l'autenticazione e l'autorizzazione per le richieste di connessione. In Server dei criteri di rete è possibile configurare criteri e impostazioni di Protezione accesso alla rete, ad esempio istanze di Convalida integrità sistema, criteri di integrità e gruppi di server di monitoraggio e aggiornamento che consentono ai computer client di aggiornare la propria configurazione in modo da essere conformi ai criteri di rete dell'organizzazione. Per ulteriori informazioni, vedere Protezione accesso alla rete in Server dei criteri di rete.

È possibile configurare Server dei criteri di rete con una qualsiasi combinazione delle funzionalità precedenti. È possibile ad esempio configurare un server che esegue Server dei criteri di rete in modo che agisca come server dei criteri di Protezione accesso alla rete utilizzando uno o più metodi di imposizione, nonché configurarlo come server RADIUS per connessioni remote e come proxy RADIUS per inoltrare alcune richieste di connessione a membri di un gruppo di server RADIUS remoto per l'autenticazione e l'autorizzazione in un altro dominio.

Configurazione

Per configurare Server dei criteri di rete come server RADIUS o come server dei criteri di Protezione accesso alla rete, è possibile utilizzare la configurazione standard o avanzata nella console Server dei criteri di rete o in Server Manager. Per configurare Server dei criteri di rete come proxy RADIUS, è necessario utilizzare la configurazione standard.

Configurazione standard

Se si utilizza la configurazione standard, sono disponibili procedure guidate per la configurazione di Server dei criteri di rete negli scenari seguenti:

  • Server dei criteri di Protezione accesso alla rete

  • Server RADIUS per connessioni remote o VPN

  • Server RADIUS per connessioni wireless o cablate 802.1X

Per configurare Server dei criteri di rete utilizzando una procedura guidata, aprire la console Server dei criteri di rete, selezionare uno degli scenari precedenti e quindi fare clic sul collegamento per avviare la procedura guidata.

Configurazione avanzata

Se si utilizza la configurazione avanzata, Server dei criteri di rete viene configurato manualmente come server RADIUS, come server dei criteri di Protezione accesso alla rete o come proxy RADIUS. Per la configurazione dei criteri e di Protezione accesso alla rete, sono disponibili alcune procedure guidate, che possono essere aperte nell'albero di cartelle di Server dei criteri di rete della relativa console anziché nella sezione Operazioni preliminari nel riquadro dei dettagli della console.

Per configurare Server dei criteri di rete utilizzando la configurazione avanzata, aprire la relativa console e quindi fare clic sulla freccia accanto all'opzione Configurazione avanzata per espandere la sezione.

Per la configurazione avanzata, sono disponibili gli elementi seguenti.
Configurazione server RADIUS

Per configurare Server dei criteri di rete come server RADIUS, è necessario configurare client RADIUS, criteri di rete e accounting RADIUS.

Nelle sezioni della Guida seguenti vengono fornite le informazioni necessarie per la distribuzione di Server dei criteri di rete come server RADIUS:

  • Server RADIUS

  • Criteri di rete

  • Client RADIUS

  • Accounting RADIUS

Configurazione server dei criteri di Protezione accesso alla rete

Per distribuire Protezione accesso alla rete, è necessario configurarne i componenti oltre a configurare client RADIUS e criteri di rete.

Nelle sezioni della Guida seguenti vengono fornite le informazioni necessarie per la distribuzione di Server dei criteri di rete come server dei criteri di Protezione accesso alla rete:

  • Protezione accesso alla rete in Server dei criteri di rete

  • Criteri di rete

  • Criteri di integrità

  • Criteri di richiesta di connessione

  • Client RADIUS

Configurazione proxy RADIUS

Per configurare Server dei criteri di rete come proxy RADIUS, è necessario configurare client RADIUS, gruppi di server RADIUS remoti e criteri di richiesta di connessione.

Nelle sezioni della Guida seguenti vengono fornite le informazioni necessarie per la distribuzione di Server dei criteri di rete come proxy RADIUS:

  • Proxy RADIUS

  • Client RADIUS

  • Elaborazione delle richieste di connessione

  • Gruppi di server RADIUS remoti

Registrazione in Server dei criteri di rete

La registrazione in Server dei criteri di rete è conosciuta inoltre come accounting RADIUS. Configurare la registrazione in Server dei criteri di rete in base alle proprie esigenze, a seconda che Server dei criteri di rete venga utilizzato come server RADIUS, proxy, server dei criteri di Protezione accesso alla rete o una combinazione di queste tre configurazioni.

Per configurare la registrazione in Server dei criteri di rete, è necessario configurare gli eventi da registrare e visualizzare mediante il Visualizzatore eventi e definire le altre informazioni che si desidera registrare. È inoltre necessario stabilire se registrare le informazioni relative all'autenticazione utente e di accounting in file di registro in formato testo sul computer locale oppure in un database di SQL Server sul computer locale o su uno remoto.

Nelle sezioni della Guida seguenti vengono fornite le informazioni necessarie per la distribuzione dell'accounting RADIUS:

  • Configurare le proprietà del file di registro

  • Configurare la registrazione in SQL Server da Server dei criteri di rete


Panoramica di Server dei criteri di rete

Il Server dei criteri di rete consente di configurare e gestire i criteri di rete da una posizione centrale con le tre funzionalità seguenti: Server RADIUS (Remote Authentication Dial-In User Service), proxy RADIUS e server dei criteri di Protezione accesso alla rete.

Server e proxy RADIUS

Il Server dei criteri di rete può essere utilizzato come server RADIUS, proxy RADIUS o con entrambe le funzionalità.

Server RADIUS

Server dei criteri di rete è l'implementazione Microsoft dello standard RADIUS specificato da Internet Engineering Task Force (IETF) nelle RFC 2865 e 2866. In qualità di server RADIUS, Server dei criteri di rete esegue attività centralizzate di autenticazione, autorizzazione e accounting della connessione per molti tipi di accesso alla rete, ad esempio connessioni wireless, tramite commutatore di autenticazione, remote, di accesso remoto VPN e da router a router.

Il Server dei criteri di rete consente l'utilizzo di un set eterogeneo di dispositivi wireless, di accesso remoto, VPN o commutatori. È possibile utilizzare il Server dei criteri di rete con il servizio Routing e Accesso remoto, disponibile in Microsoft Windows 2000, Windows Server 2003, Standard Edition, Windows Server 2003, Enterprise Edition e Windows Server 2003, Datacenter Edition.

Se un server che esegue Server dei criteri di rete è membro di un dominio di Servizi di dominio Active Directory®, Server dei criteri di rete utilizza il servizio directory come database degli account utente ed è incluso in una soluzione Single Sign-On. Lo stesso set di credenziali viene utilizzato per il controllo dell'accesso alla rete, ovvero autenticazione e autorizzazione dell'accesso a una rete, e per accedere a un dominio Active Directory.

I provider di servizi Internet (ISP) e le organizzazioni che gestiscono l'accesso alla rete devono affrontare l'arduo compito di gestire tutti i tipi di accesso alla rete da un unico punto di amministrazione, indipendentemente dai dispositivi utilizzati per l'accesso alla rete. Lo standard RADIUS supporta questa funzionalità negli ambienti omogenei ed eterogenei. RADIUS è un protocollo client-server che consente ai dispositivi di accesso alla rete (utilizzati come client RADIUS) di inviare richieste di autenticazione e accounting a un server RADIUS.

Un server RADIUS ha accesso alle informazioni sull'account utente e può controllare le credenziali di autenticazione per l'accesso alla rete. Se le credenziali utente vengono autenticate e il tentativo di connessione viene autorizzato, il server RADIUS autorizza l'accesso dell'utente sulla base delle condizioni specificate e quindi registra la connessione di accesso alla rete in un registro di accounting. L'utilizzo di RADIUS consente di raccogliere e gestire i dati di autenticazione, autorizzazione e accounting dell'utente in una posizione centrale, anziché nei singoli server di accesso.

Per ulteriori informazioni, vedere Server RADIUS.

Proxy RADIUS

Quale proxy RADIUS, il Server dei criteri di rete inoltra messaggi di autenticazione e accounting ad altri server RADIUS.

Il Server dei criteri di rete consente inoltre alle organizzazioni di gestire in outsourcing l'infrastruttura di accesso remoto tramite un provider di servizi, conservando il controllo dell'autenticazione, autorizzazione e accounting.

È possibile creare configurazioni di Server dei criteri di rete per gli scenari seguenti:

  • Accesso wireless

  • Accesso remoto tramite connessione remota o VPN (Virtual Private Network, rete privata virtuale) dell'organizzazione

  • Accesso remoto o wireless in outsourcing

  • Accesso a Internet

  • Accesso autenticato alle risorse dell'Extranet per i partner commerciali

Per ulteriori informazioni, vedere Proxy RADIUS.

Esempi di configurazione del server RADIUS e del proxy RADIUS

Gli esempi di configurazione seguenti illustrano il modo in cui configurare un Server dei servizi di rete come server RADIUS e proxy RADIUS.

NPS as a RADIUS server. In questo esempio Server dei criteri di rete è configurato come server RADIUS, il criterio di richiesta di connessione predefinito è l'unico criterio configurato e tutte le richieste di connessione vengono elaborate dal server locale che esegue Server dei criteri di rete. Il Server dei criteri di rete può autenticare e autorizzare gli utenti che dispongono di account inclusi nel dominio del server stesso e nei domini trusted.

NPS as a RADIUS proxy. In questo esempio il server che esegue Server dei criteri di rete è configurato come proxy RADIUS che inoltra le richieste di connessione a gruppi di server RADIUS remoti in due domini non trusted. Il criterio di richiesta di connessione predefinito viene eliminato e vengono creati due nuovi criteri di richiesta di connessione per inoltrare le richieste a ognuno dei due domini non trusted. In questo esempio Server dei criteri di rete non elabora alcuna richiesta di connessione nel server locale.

NPS as both RADIUS server and RADIUS proxy. Oltre al criterio di richiesta di connessione predefinito, che indica che le richieste di connessione vengono elaborate in locale, viene creato un nuovo criterio di richiesta di connessione che inoltra le richieste di connessione a un server che esegue Server dei criteri di rete o a un altro server RADIUS in un dominio non trusted. Questo secondo criterio è definito criterio proxy. In questo esempio il criterio proxy viene visualizzato prima nell'elenco ordinato dei criteri. Se una richiesta di connessione soddisfa il criterio proxy, tale richiesta viene inoltrata al server RADIUS nel gruppo di server RADIUS remoti. Se la richiesta di connessione non soddisfa il criterio proxy ma soddisfa il criterio di richiesta di connessione predefinito, il Server dei criteri di rete elabora la richiesta di connessione nel server locale. Se la richiesta di connessione non soddisfa alcun criterio, verrà scartata.

NPS as a RADIUS server with remote accounting servers. In questo esempio il server locale che esegue Server dei criteri di rete non è configurato per eseguire l'accounting e il criterio di richiesta di connessione predefinito viene modificato affinché i messaggi di accounting RADIUS vengano inoltrati a un server che esegue Server dei criteri di rete o a un altro server RADIUS di un gruppo di server RADIUS remoto. Il Server dei criteri di rete locale esegue l'autenticazione e l'autorizzazione dei messaggi per il dominio locale e per tutti i domini trusted perché questi messaggi, a differenza di quelli di accounting, non vengono inoltrati.

NPS with remote RADIUS to Windows user mapping. In questo esempio Server dei criteri di rete esegue le funzioni di server RADIUS e proxy RADIUS per ogni richiesta di connessione inoltrando la richiesta di autenticazione a un server RADIUS remoto e utilizzando un account utente Windows locale per l'autorizzazione. Questa configurazione viene implementata configurando l'attributo Mapping da server RADIUS remoto a utente Windows come condizione del criterio di richiesta di connessione. È inoltre necessario che venga creato in locale nel server RADIUS un account utente con lo stesso nome dell'account utente remoto utilizzato per l'autenticazione da parte del server RADIUS remoto.

Server dei criteri di Protezione accesso alla rete

La funzionalità Protezione accesso alla rete è inclusa in Windows Vista®, Windows® 7, Windows Server® 2008 e Windows Server® 2008 R2 e consente di proteggere l'accesso alle reti private verificando che i computer client siano configurati in conformità con i criteri di integrità della rete dell'organizzazione prima di autorizzare la connessione alle risorse di rete. La conformità dei computer client ai criteri di integrità viene inoltre monitorata da Protezione accesso alla rete mentre il computer è connesso alla rete. Se si utilizza il monitoraggio e l'aggiornamento automatici di Protezione accesso alla rete, i computer non conformi possono essere aggiornati automaticamente per l'adeguamento ai criteri di integrità in modo che possano connettersi alla rete.

Gli amministratori di sistema definiscono criteri di integrità della rete e creano tali criteri mediante componenti di Protezione accesso alla rete implementati in Server dei criteri di rete e, in base alla distribuzione di Protezione accesso alla rete, da altre società.

I criteri di integrità possono includere requisiti software, requisiti di aggiornamento della sicurezza e impostazioni di connessione obbligatorie. Protezione accesso alla rete impone i criteri di integrità esaminando e valutando l'integrità dei computer client, limitando l'accesso alla rete quando i computer client vengono ritenuti non integri e aggiornando i computer client non integri per un accesso di rete completo.

Per ulteriori informazioni, vedere Protezione accesso alla rete in Server dei criteri di rete.

Vedere anche

  • Accounting RADIUS


Server dei criteri di rete e firewall

I firewall possono essere configurati per consentire o bloccare tipi di traffico IP da e verso il computer o il dispositivo su cui il firewall stesso è in esecuzione. Se i firewall non sono configurati in modo corretto per consentire il traffico RADIUS tra client, proxy e server RADIUS, potrebbe non essere possibile eseguire l'autenticazione per l'accesso alla rete, impedendo in questo modo agli utenti di accedere alle risorse di rete.

Per consentire il traffico RADIUS, può essere necessario configurare due tipi di firewall:

  • Windows Firewall sul server locale che esegue Server dei criteri di rete.

  • Firewall in esecuzione su altri computer o dispositivi hardware.

Windows Firewall sul Server dei criteri di rete locale

Per impostazione predefinita, Server dei criteri di rete invia e riceve traffico RADIUS utilizzando le porte UDP (User Datagram Protocol) 1812, 1813, 1645 e 1646. Windows Firewall viene configurato automaticamente nel server che esegue Server dei criteri di rete durante l'installazione di quest'ultimo con eccezioni che consentono l'invio e la ricezione del traffico RADIUS.

Di conseguenza, se si utilizzano le porte UDP predefinite, non è necessario modificare la configurazione di Windows Firewall per consentire il traffico RADIUS da e verso i Server dei criteri di rete.

In alcuni casi potrebbe essere necessario modificare le porte utilizzate dal Server dei criteri di rete per il traffico RADIUS. Se si configura il Server dei criteri di rete e i server di accesso alla rete per inviare e ricevere traffico RADIUS su porte diverse rispetto a quelle predefinite, è necessario eseguire le operazioni seguenti:

  • Rimuovere le eccezioni che consentono il traffico RADIUS sulle porte predefinite.

  • Creare nuove eccezioni che consentano il traffico RADIUS sulle nuove porte.

Per ulteriori informazioni, vedere Configurare le informazioni sulla porta UDP del Server dei criteri di rete.

Altri firewall

Nelle configurazioni più comuni il firewall è connesso a Internet e il server che esegue Server dei criteri di rete è una risorsa Intranet connessa alla rete perimetrale.

Per raggiungere il controller di dominio all'interno della rete Intranet, nel Server dei criteri di rete può essere disponibile uno degli elementi seguenti:

  • Un'interfaccia sulla rete perimetrale e una sulla rete Intranet (il routing IP non è abilitato).

  • Un'unica interfaccia sulla rete perimetrale. In questa configurazione Server dei criteri di rete comunica con i controller di dominio attraverso un altro firewall che connette la rete perimetrale alla rete Intranet.

Configurare il firewall per Internet

Il firewall connesso a Internet deve essere configurato con filtri di input e di output sulla propria interfaccia Internet e, se si desidera, sull'interfaccia della rete perimetrale, per consentire l'inoltro di messaggi RADIUS tra il Server dei criteri di rete e i client oppure i proxy RADIUS su Internet. È possibile utilizzare filtri aggiuntivi per consentire il passaggio di traffico verso server Web, VPN e altri tipi di server sulla rete perimetrale.

È possibile configurare filtri pacchetti di input e di output sull'interfaccia Internet e su quella della rete perimetrale.

Applicare filtri all'interfaccia Internet

Configurare i seguenti filtri pacchetti di input sull'interfaccia Internet del firewall per consentire i tipi di traffico seguenti:

  • Indirizzo IP di destinazione dell’interfaccia della rete perimetrale e porta di destinazione UDP di 1812 (0x714) del Server dei criteri di rete.

    Questo filtro consente il traffico di autenticazione RADIUS da client RADIUS basati su Internet al Server dei criteri di rete. Questa è la porta UDP predefinita utilizzata da Server dei criteri di rete, definita nella RFC 2865. Se si utilizza una porta diversa, sostituire tale numero di porta con 1812.

  • Indirizzo IP di destinazione dell’interfaccia della rete perimetrale e porta di destinazione UDP di 1813 (0x715) del Server dei criteri di rete.

    Questo filtro consente il traffico di accounting RADIUS da client RADIUS basati su Internet al Server dei criteri di rete. Questa è la porta UDP predefinita utilizzata da Server dei criteri di rete, definita nella RFC 2866. Se si utilizza una porta diversa, sostituire tale numero di porta con 1813.

  • (Facoltativo) Indirizzo IP di destinazione dell’interfaccia della rete perimetrale e porta di destinazione UDP di 1645 (0x66D) del Server dei criteri di rete.

    Questo filtro consente il traffico di autenticazione RADIUS da client RADIUS basati su Internet al server che esegue Server dei criteri di rete. Questa è la porta UDP utilizzata da versioni precedenti dei client RADIUS.

  • (Facoltativo) Indirizzo IP di destinazione dell’interfaccia della rete perimetrale e porta di destinazione UDP di 1646 (0x66E) del Server dei criteri di rete.

    Questo filtro consente il traffico di accounting RADIUS da client RADIUS basati su Internet al server che esegue Server dei criteri di rete. Questa è la porta UDP utilizzata da versioni di client RADIUS precedenti.

Configurare i seguenti filtri pacchetti di output sull'interfaccia Internet del firewall per consentire i tipi di traffico seguenti:

  • Indirizzo IP di origine dell’interfaccia della rete perimetrale e porta di origine UDP di 1812 (0x714) del Server dei criteri di rete.

    Questo filtro consente il traffico di autenticazione RADIUS dal Server dei criteri di rete ai client RADIUS basati su Internet. Questa è la porta UDP predefinita utilizzata da Server dei criteri di rete, definita nella RFC 2865. Se si utilizza una porta diversa, sostituire tale numero di porta con 1812.

  • Indirizzo IP di origine dell’interfaccia della rete perimetrale e porta di origine UDP di 1813 (0x715) del Server dei criteri di rete.

    Questo filtro consente il traffico di accounting RADIUS dal Server dei criteri di rete ai client RADIUS basati su Internet. Questa è la porta UDP predefinita utilizzata da Server dei criteri di rete, definita nella RFC 2866. Se si utilizza una porta diversa, sostituire tale numero di porta con 1813.

  • (Facoltativo) Indirizzo IP di origine dell’interfaccia della rete perimetrale e porta di origine UDP di 1645 (0x66D) del Server dei criteri di rete.

    Questo filtro consente il traffico di autenticazione RADIUS dal server che esegue Server dei criteri di rete ai client RADIUS basati su Internet. Questa è la porta UDP utilizzata da versioni di client RADIUS precedenti.

  • (Facoltativo) Indirizzo IP di origine dell’interfaccia della rete perimetrale e porta di origine UDP di 1646 (0x66E) del Server dei criteri di rete.

    Questo filtro consente il traffico di accounting RADIUS dal server che esegue Server dei criteri di rete ai client RADIUS basati su Internet. Questa è la porta UDP utilizzata da versioni di client RADIUS precedenti.

Applicare filtri all'interfaccia della rete perimetrale

Configurare seguenti i filtri di input sull'interfaccia della rete perimetrale del firewall per consentire i tipi di traffico seguenti:

  • Indirizzo IP di origine dell'interfaccia della rete perimetrale e porta di origine UDP 1812 (0x714) del server che esegue Server dei criteri di rete.

    Questo filtro consente il traffico di autenticazione RADIUS dal server che esegue Server dei criteri di rete ai client RADIUS basati su Internet. Questa è la porta UDP predefinita utilizzata da Server dei criteri di rete, definita nella RFC 2865. Se si utilizza una porta diversa, sostituire tale numero di porta con 1812.

  • Indirizzo IP di origine dell'interfaccia della rete perimetrale e porta di origine UDP 1813 (0x715) del server che esegue Server dei criteri di rete.

    Questo filtro consente il traffico di accounting RADIUS dal server che esegue Server dei criteri di rete ai client RADIUS basati su Internet. Questa è la porta UDP predefinita utilizzata da Server dei criteri di rete, definita nella RFC 2866. Se si utilizza una porta diversa, sostituire tale numero di porta con 1813.

  • (Facoltativo) Indirizzo IP di origine dell'interfaccia della rete perimetrale e porta di origine UDP 1645 (0x66D) del server che esegue Server dei criteri di rete.

    Questo filtro consente il traffico di autenticazione RADIUS dal server che esegue Server dei criteri di rete ai client RADIUS basati su Internet. Questa è la porta UDP utilizzata da versioni di client RADIUS precedenti.

  • (Facoltativo) Indirizzo IP di origine dell'interfaccia della rete perimetrale e porta di origine UDP 1646 (0x66E) del server che esegue Server dei criteri di rete.

    Questo filtro consente il traffico di accounting RADIUS dal server che esegue Server dei criteri di rete ai client RADIUS basati su Internet. Questa è la porta UDP utilizzata da versioni di client RADIUS precedenti.

Configurare seguenti i filtri pacchetti di output sull'interfaccia della rete perimetrale del firewall per consentire i tipi di traffico seguenti:

  • Indirizzo IP di destinazione dell'interfaccia della rete perimetrale e porta di destinazione UDP 1812 (0x714) del server che esegue Server dei criteri di rete.

    Questo filtro consente il traffico di autenticazione RADIUS da client RADIUS basati su Internet al server che esegue Server dei criteri di rete. Questa è la porta UDP predefinita utilizzata da Server dei criteri di rete, definita nella RFC 2865. Se si utilizza una porta diversa, sostituire tale numero di porta con 1812.

  • Indirizzo IP di destinazione dell'interfaccia della rete perimetrale e porta di destinazione UDP 1813 (0x715) del server che esegue Server dei criteri di rete.

    Questo filtro consente il traffico di accounting RADIUS da client RADIUS basati su Internet al server che esegue Server dei criteri di rete. Questa è la porta UDP predefinita utilizzata da Server dei criteri di rete, definita nella RFC 2866. Se si utilizza una porta diversa, sostituire tale numero di porta con 1813.

  • (Facoltativo) Indirizzo IP di destinazione dell'interfaccia della rete perimetrale e porta di destinazione UDP 1645 (0x66D) del server che esegue Server dei criteri di rete.

    Questo filtro consente il traffico di autenticazione RADIUS da client RADIUS basati su Internet al server che esegue Server dei criteri di rete. Questa è la porta UDP utilizzata da versioni di client RADIUS precedenti.

  • (Facoltativo) Indirizzo IP di destinazione dell'interfaccia della rete perimetrale e porta di destinazione UDP 1646 (0x66E) del server che esegue Server dei criteri di rete.

    Questo filtro consente il traffico di accounting RADIUS da client RADIUS basati su Internet al server che esegue Server dei criteri di rete. Questa è la porta UDP utilizzata da versioni di client RADIUS precedenti.

Per aumentare la sicurezza, è possibile utilizzare gli indirizzi IP di ogni client RADIUS che invia i pacchetti attraverso il firewall per definire filtri per il traffico tra il client e l'indirizzo IP del Server dei criteri di rete sulla rete perimetrale.

Configurare il firewall Intranet

Il firewall connesso alla rete Intranet deve essere configurato con filtri di input e di output nell'interfaccia della rete perimetrale e, se lo si desidera, nella relativa interfaccia Intranet, per consentire l'inoltro di messaggi RADIUS tra il server che esegue Server dei criteri di rete sulla rete perimetrale e i controller di dominio nella rete Intranet. È possibile utilizzare filtri aggiuntivi per consentire il passaggio di traffico verso server Web, VPN e altri tipi di server sulla rete perimetrale.

È possibile configurare filtri pacchetti di input e di output sull'interfaccia della rete perimetrale e su quella della rete Intranet.

Applicare filtri all'interfaccia della rete perimetrale

Configurare seguenti i filtri pacchetti di input sull'interfaccia della rete perimetrale del firewall Intranet per consentire i tipi di traffico seguenti:

  • Indirizzo IP di origine dell'interfaccia della rete perimetrale del Server dei criteri di rete.

    Questo filtro consente il traffico dal Server dei criteri di rete sulla rete perimetrale.

Configurare seguenti i filtri pacchetti di output sull'interfaccia della rete perimetrale del firewall Intranet per consentire i tipi di traffico seguenti:

  • Indirizzo IP di destinazione dell'interfaccia della rete perimetrale del Server dei criteri di rete.

    Questo filtro consente il traffico verso il Server dei criteri di rete sulla rete perimetrale.

Applicare filtri all'interfaccia Intranet

Configurare i seguenti filtri pacchetti di input sull'interfaccia Intranet del firewall per consentire i tipi di traffico seguenti:

  • Indirizzo IP di destinazione dell'interfaccia della rete perimetrale del server che esegue Server dei criteri di rete.

    Questo filtro consente il traffico verso il server che esegue Server dei criteri di rete sulla rete perimetrale.

Configurare i seguenti filtri pacchetti di output sull'interfaccia Intranet del firewall per consentire i tipi di traffico seguenti:

  • Indirizzo IP di origine dell'interfaccia della rete perimetrale del server che esegue Server dei criteri di rete.

    Questo filtro consente il traffico dal server che esegue Server dei criteri di rete sulla rete perimetrale.


Modelli di Server dei criteri di rete

I modelli di Server dei criteri di rete consentono di creare elementi di configurazione, ad esempio client RADIUS (Remote Authentication Dial-In User Service) o segreti condivisi, che possono essere riutilizzati nel server locale Server dei criteri di rete ed esportati per essere utilizzati in altri server che eseguono Server dei criteri di rete.

I modelli di Server dei criteri di rete sono progettati per ridurre il tempo e i costi necessari per configurare Server dei criteri di rete in uno o più server. In Gestione modelli sono disponibili per la configurazione i tipi di modelli di Server dei criteri di rete seguenti:

  • Segreti condivisi

  • Client RADIUS

  • Server RADIUS remoti

  • Filtri IP

  • Criteri di integrità

  • Gruppi server di monitoraggio e aggiornamento

La configurazione di un modello è diversa dalla configurazione diretta di un server che esegue Server dei criteri di rete. La creazione di un modello non ha effetto sulla funzionalità del server che esegue Server dei criteri di rete. È solo nel momento in cui si seleziona il modello nel percorso appropriato nella console Server dei criteri di rete che tale modello ha effetto sulla funzionalità del server che esegue Server dei criteri di rete.

Se ad esempio si configura un client RADIUS nella console Server dei criteri di rete in Client e server RADIUS, viene modificata la configurazione del server che esegue Server dei criteri di rete e viene effettuato un passo avanti nella configurazione di Server dei criteri di rete per la comunicazione con uno dei server di accesso alla rete. Il passaggio successivo consisterà nel configurare il server di accesso alla rete per la comunicazione con Server dei criteri di rete. Se tuttavia si configura un nuovo modello di client RADIUS nella console Server dei criteri di rete in Gestione modelli anziché creare un nuovo client RADIUS in Client e server RADIUS, sarà stato creato un modello, ma non sarà stata ancora modificata la funzionalità del server che esegue Server dei criteri di rete. Per modificare la funzionalità del server che esegue Server dei criteri di rete, è necessario selezionare il modello dal percorso corretto nella console Server dei criteri di rete.

Creare modelli

Per creare un modello, fare clic con il pulsante destro del mouse sul tipo di modello, ad esempio Filtri IP, e quindi scegliere Nuovo. Verrà visualizzata una finestra di dialogo delle proprietà del nuovo modello che consente di configurare il modello.

Utilizzare i modelli localmente

È possibile utilizzare un modello creato in Gestione modelli spostandosi su un percorso della console Server dei criteri di rete in cui è possibile applicare il modello. Se ad esempio si crea un nuovo modello di segreti condivisi che si desidera applicare alla configurazione di un client RADIUS, in Client e server RADIUS e Client RADIUS aprire le proprietà dei client RADIUS e quindi in Selezionare un modello di segreti condivisi esistente selezionare nell'elenco di modelli il modello creato.


Criteri in Server dei criteri di rete

In Server dei criteri di rete sono disponibili tre tipi di criteri:

  • Connection request policies. Insiemi di condizioni e impostazioni che specificano i server RADIUS che eseguono l'autenticazione, l'autorizzazione e l'accounting delle richieste di connessione inviate a Server dei criteri di rete dai client RADIUS. I criteri di richiesta di connessione possono essere configurati per designare i server RADIUS che verranno utilizzati per l'accounting RADIUS.

    Importante

    Se si distribuisce Protezione accesso alla rete utilizzando i metodi di imposizione VPN o 802.1X con l'autenticazione PEAP, è necessario configurare l'autenticazione PEAP nel criterio di richiesta di connessione anche se le richieste di connessione sono elaborate localmente.

  • Network policies. Insiemi di condizioni, vincoli e impostazioni che specificano chi è autorizzato a connettersi alla rete e le circostanze in cui la connessione è possibile o non è consentita. Quando si distribuisce Protezione accesso alla rete, i criteri di integrità vengono aggiunti alla configurazione dei criteri di rete per consentire al Server di criteri di rete di eseguire verifiche di integrità del client durante il processo di autorizzazione.

  • Health policies. Una o più istanze di Convalida integrità sistema e altre impostazioni che consentono di definire i requisiti di configurazione dei computer client per computer idonei per Protezione accesso alla rete che tentano di connettersi alla rete. I criteri di integrità vengono utilizzati solo con Protezione accesso alla rete.

Importante

Questi criteri sono diversi e non correlati a Criteri di gruppo.

Vedere anche

  • Criteri di richiesta di connessione
  • Criteri di integrità
  • Criteri di rete


Registrare il server che esegue Server dei criteri di rete in Servizi di dominio Active Directory

Se è membro di un dominio di Servizi di dominio Active Directory®, Server dei criteri di rete per eseguire l'autenticazione confronta le credenziali utente ricevute dai server di accesso alla rete con quelle archiviate per l'account utente in Servizi di dominio Active Directory. Per autorizzare le richieste di connessione, il Server dei criteri di rete utilizza inoltre criteri di rete e verifica le proprietà della connessione remota dell'account utente in Servizi di dominio Active Directory.

È necessario che il server che esegue Server dei criteri di rete sia registrato in Servizi di dominio Active Directory per poter accedere alle relative credenziali e proprietà di connessione remota dell'account utente.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per registrare il server che esegue Server dei criteri di rete nel dominio predefinito utilizzando la console Server dei criteri di rete

  1. Accedere al server che esegue Server dei criteri di rete utilizzando un account con credenziali amministrative per il dominio.

  2. Aprire la console Server dei criteri di rete.

  3. Fare clic con il pulsante destro del mouse su Server dei criteri di rete (locale) e quindi scegliere Registra server in Active Directory. Quando verrà visualizzata la finestra di dialogo Registra Server dei criteri di rete in Active Directory, fare clic su OK.
Per registrare il Server dei criteri di rete nel dominio predefinito utilizzando il comando netsh

  1. Accedere al server che esegue Server dei criteri di rete utilizzando un account con credenziali amministrative per il dominio.

  2. Aprire Prompt dei comandi.

  3. Al prompt dei comandi digitare netsh ras add registeredserver e quindi premere INVIO.
Per registrare il Server dei criteri di rete nel dominio predefinito utilizzando Utenti e computer di Active Directory

  1. Accedere al server che esegue Server dei criteri di rete utilizzando un account con credenziali amministrative per il dominio.

  2. Aprire lo snap-in MMC Utenti e computer di Active Directory.

  3. Nell'albero della console fare clic sulla cartella Users nel dominio appropriato.

  4. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse su Server RAS e IAS e quindi scegliere Proprietà.

  5. Nella scheda Membri della finestra di dialogo Proprietà - Server RAS e IAS aggiungere tutti i server che eseguono Server dei criteri di rete.

    È inoltre possibile aggiungere il server che esegue Server dei criteri di rete al gruppo Server RAS e IAS con lo strumento Dsmod.
Per registrare il Server dei criteri di rete in un altro dominio utilizzando Utenti e computer di Active Directory

  1. Accedere al server che esegue Server dei criteri di rete utilizzando un account con credenziali amministrative per il dominio.

  2. Aprire lo snap-in Utenti e computer di Active Directory.

  3. Nell'albero della console fare clic sulla cartella Users nel dominio appropriato.

  4. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse su Server RAS e IAS e quindi scegliere Proprietà.

  5. Nella scheda Membri della finestra di dialogo Proprietà - Server RAS e IAS aggiungere tutti i server che eseguono Server dei criteri di rete.

    È inoltre possibile aggiungere il server che esegue Server dei criteri di rete al gruppo Server RAS e IAS con lo strumento Dsmod.
Per registrare il server che esegue Server dei criteri di rete in un dominio diverso utilizzando il comando netsh

  1. Accedere al server che esegue Server dei criteri di rete utilizzando un account con credenziali amministrative per il dominio.

  2. Aprire Prompt dei comandi.

  3. Al prompt dei comandi digitare netsh ras add registeredserver Dominio ServerCriteriRete, dove Dominio è il nome DNS (Domain Name System) del dominio e ServerCriteriRete è il nome del computer server che esegue Server dei criteri di rete.
Nota

Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

Nota

Per aprire una finestra del prompt dei comandi, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi fare clic su Prompt dei comandi.


Requisiti dei certificati per PEAP ed EAP

Tutti i certificati che vengono utilizzati per l'autenticazione per l'accesso alla rete con EAP-TLS (Extensible Authentication Protocol-Transport Layer Security), PEAP-TLS (Protected Extensible Authentication Protocol-Transport Layer Security) e MS-CHAP v2 (PEAP-Microsoft Challenge Handshake Authentication Protocol version 2) devono soddisfare i requisiti per i certificati X.509 e supportare le connessioni che utilizzano SSL/TLS (Secure Socket Layer/Transport Level Security). Sia i certificati client che i certificati server, inoltre, devono soddisfare requisiti aggiuntivi.

Requisiti minimi dei certificati server

Con PEAP-MS-CHAP v2, PEAP-TLS o EAP-TLS come metodo di autenticazione, il server che esegue Server dei criteri di rete deve utilizzare un certificato server che soddisfi i requisiti minimi per i certificati server.

I computer client possono essere configurati per convalidare i certificati server utilizzando l'opzione Convalida certificato server nel computer client o in Criteri di gruppo.

Il computer client accetta il tentativo di autenticazione del server se il certificato server soddisfa i requisiti seguenti:

  • Il campo relativo al nome del soggetto deve contenere un valore. Se nel server che esegue Server dei criteri di rete si emette un certificato il cui soggetto è vuoto, tale certificato non sarà disponibile per l'autenticazione del server. Per configurare il modello di certificato con un nome del soggetto:

    1. Aprire Modelli di certificato.

    2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

    3. Fare clic sulla scheda Nome soggetto e quindi su Crea in base alle informazioni di Active Directory.

    4. In Formato del nome soggetto selezionare un valore diverso da Nessuno.

  • Il certificato del computer nel server è concatenato a un'Autorità di certificazione radice attendibile e supera tutti i controlli eseguiti da CryptoAPI e specificati nei criteri di accesso remoto o nei criteri di rete.

  • Il certificato del computer per il server che esegue Server dei criteri di rete o per il server VPN è configurato con scopo Autenticazione server nelle estensioni di utilizzo chiavi avanzato (EKU). L'identificatore di oggetto per Autenticazione server è 1.3.6.1.5.5.7.3.1.

  • Il certificato server deve essere configurato con il valore algoritmo RSA. Per configurare l'impostazione di crittografia necessaria:

    1. Aprire Modelli di certificato.

    2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

    3. Fare clic sulla scheda Crittografia. In Nome algoritmo fare clic su RSA. Verificare che l'opzione Dimensioni minime chiave sia impostata su 2048.

  • L'estensione relativa al nome alternativo soggetto (SubjectAltName), se utilizzata, deve contenere il nome DNS del server. Per configurare il modello di certificato con il nome DNS (Domain Name System) del server di registrazione:

    1. Aprire Modelli di certificato.

    2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

    3. Fare clic sulla scheda Nome soggetto e quindi su Crea in base alle informazioni di Active Directory.

    4. In Includere le seguenti informazioni nel nome soggetto alternativo selezionare Nome DNS.

Se i metodi di autenticazione sono PEAP ed EAP-TLS, nei server che eseguono Server dei criteri di rete viene visualizzato un elenco di tutti i certificati installati nell'archivio certificati del computer, ad eccezione dei certificati seguenti:

  • Certificati che non contengono lo scopo Autenticazione server nelle estensioni EKU.

  • Certificati che non contengono un nome del soggetto.

  • Certificati per l'accesso con smart card e basati sul Registro di sistema.

Requisiti minimi dei certificati client

Se il metodo di autenticazione utilizzato è EAP-TLS o PEAP-TLS, il server accetta il tentativo di autenticazione del client quando il certificato soddisfa i requisiti seguenti:

  • Il certificato client è rilasciato da un'autorità di certificazione dell'organizzazione (enterprise) o mappato a un account utente o computer di Servizi di dominio Active Directory®.

  • Il certificato utente o computer presente sul client è concatenato a una CA radice disponibile nell'elenco locale, include lo scopo Autenticazione client nelle estensioni EKU (l'identificatore di oggetto per tale scopo è 1.3.6.1.5.5.7.3.2) e supera sia i controlli eseguiti da CryptoAPI e specificati nel criterio di accesso remoto o nei criteri di rete che quelli per l'identificatore di oggetto relativo al certificato specificati nel criterio di accesso remoto IAS o nei criteri di rete del Server dei criteri di rete.

  • Il client 802.1X non utilizza certificati basati sul Registro di sistema per l'accesso con smart card o protetti da password.

  • Per i certificati utente, l'estensione relativa al nome alternativo soggetto (SubjectAltName) del certificato deve contenere il nome dell'entità utente (UPN, User Principal Name). Per configurare l'UPN in un modello di certificato:

    1. Aprire Modelli di certificato.

    2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

    3. Fare clic sulla scheda Nome soggetto e quindi su Crea in base alle informazioni di Active Directory.

    4. In Includere le seguenti informazioni nel nome soggetto alternativo selezionare Nome entità utente (UPN).

  • Per i certificati computer, l'estensione relativa al nome alternativo soggetto (SubjectAltName) del certificato deve contenere il nome di dominio completo (FQDN, Fully Qualified Domain Name) del client, denominato anche nome DNS. Per configurare questo nome nel modello di certificato:

    1. Aprire Modelli di certificato.

    2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

    3. Fare clic sulla scheda Nome soggetto e quindi su Crea in base alle informazioni di Active Directory.

    4. In Includere le seguenti informazioni nel nome soggetto alternativo selezionare Nome DNS.

Se i metodi di autenticazione utilizzati sono PEAP-TLS e EAP-TLS, nei client viene visualizzato un elenco di tutti i certificati installati nello snap-in Certificati, con le eccezioni seguenti:

  • Nei client wireless non vengono visualizzati i certificati per l'accesso con smart card e basati sul Registro di sistema.

  • Nei client wireless e VPN non vengono visualizzati i certificati protetti da password.

  • I certificati che non contengono lo scopo Autenticazione client nelle estensioni EKU non vengono visualizzati.


Panoramica del protocollo EAP

Il protocollo Extensible Authentication Protocol (EAP) estende le funzionalità del protocollo Point-to-Point Protocol (PPP) consentendo l'utilizzo di metodi di autenticazione arbitrari che utilizzano scambi di informazioni e credenziali di lunghezza arbitraria. Il protocollo EAP offre metodi di autenticazione che utilizzano dispositivi di sicurezza, ad esempio smart card, schede token e strumenti di algoritmi di crittografia. EAP fornisce un'architettura standard per il supporto di metodi di autenticazione aggiuntivi all'interno di PPP.

Protocollo EAP e Server dei criteri di rete

Utilizzando il protocollo EAP è possibile supportare schemi di autenticazione aggiuntivi denominati tipi EAP. Questi schemi includono le schede token, le password monouso e l'autenticazione della chiave pubblica mediante smart card e certificati. Il protocollo EAP, combinato con tipi EAP avanzati, rappresenta un componente di cruciale importanza per connessioni VPN sicure, connessioni cablate 802.1X e connessioni wireless 802.1X. Affinché l'autenticazione venga eseguita correttamente, sia il client di accesso alla rete che l'autenticatore, ad esempio il server che esegue Server dei criteri di rete, devono supportare lo stesso tipo EAP.

Importante

I tipi EAP avanzati, ad esempio quelli basati su certificati, offrono un livello di sicurezza da tentativi di accesso non autorizzato basati su vocabolario o sul cosiddetto "metodo della forza bruta", nonché da tentativi di individuazione delle password, superiore rispetto a qualsiasi altro protocollo di autenticazione basato su password, ad esempio il protocollo CHAP (Challenge Handshake Authentication Protocol) o MS-CHAP (Microsoft Challenge Handshake Authentication Protocol).

Con il protocollo EAP una connessione di accesso remoto viene autenticata mediante un meccanismo di autenticazione arbitrario. Lo schema di autenticazione da utilizzare viene negoziato dal client di accesso remoto e dall'autenticatore (il server di accesso alla rete o il server RADIUS). Routing e Accesso remoto include per impostazione predefinita il supporto per EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) e PEAP-MS-CHAP v2. È possibile collegare altri moduli EAP al server che esegue Routing e Accesso remoto per implementare altri metodi EAP.

Il protocollo EAP consente una conversazione aperta tra il client di accesso remoto e l'autenticatore. Tale conversazione è costituita dalle richieste dell'autenticatore di informazioni di autenticazione e dalle risposte del client di accesso remoto. Se ad esempio EAP viene utilizzato con schede token di sicurezza, l'autenticatore può inviare una query separata al client di accesso remoto per il nome, il PIN e il valore della scheda token. Man mano che le singole query vengono eseguite e ottengono risposta, il client di accesso remoto passa a un livello successivo di autenticazione. Quando tutte le domande hanno ricevuto la risposta necessaria, il client di accesso remoto viene autenticato.

Windows Server® 2008 include un'infrastruttura EAP, due tipi EAP e l'opzione per il trasferimento di messaggi EAP a un server RADIUS (EAP-RADIUS).

Infrastruttura EAP

Il protocollo EAP è costituito da un insieme di componenti interni che forniscono un supporto a livello di architettura per qualsiasi tipo di EAP sotto forma di modulo plug-in. Affinché l'autenticazione riesca, è necessario che lo stesso modulo di autenticazione EAP sia installato nel client di accesso remoto e nell'autenticatore. È anche possibile installare tipi di EAP aggiuntivi. In questo caso, i componenti relativi a un tipo di EAP dovranno essere installati in ogni client di accesso remoto e in ogni autenticatore.

Nota

I sistemi operativi Windows Server 2003 supportano due tipi EAP: MD5-Challenge e EAP-TLS. MD5-Challenge non è supportato in Windows Server 2008.

Protocollo EAP-TLS

Il protocollo EAP-TLS è un tipo EAP utilizzato negli ambienti di sicurezza basati su certificati. Se si utilizzano smart card per l'autenticazione dell'accesso remoto, è necessario utilizzare il metodo di autenticazione EAP-TLS. Lo scambio di messaggi di EAP-TLS determina l'autenticazione reciproca, la negoziazione del metodo di crittografia e la definizione della chiave crittografata tra il client di accesso remoto e l'autenticatore. EAP-TLS rappresenta il più affidabile metodo di autenticazione e definizione della chiave.

Nota

Durante il processo di autenticazione EAP-TLS, vengono generate chiavi di crittografia segrete condivise per la crittografia Microsoft Point-to-Point.

EAP-TLS è supportato solo nei server che eseguono Routing e Accesso remoto, sono configurati per l'utilizzo di RADIUS (Remote Authentication Dial-In User Service) o dell'autenticazione di Windows e sono membri di un dominio. Un server di accesso alla rete eseguito come server autonomo o membro di un gruppo di lavoro non supporta EAP-TLS.

Utilizzare RADIUS come server di trasporto per EAP

L'utilizzo di RADIUS come server di trasporto per EAP consente il trasferimento di messaggi EAP di qualsiasi tipo EAP da un client RADIUS a un server RADIUS per l'autenticazione. In un server di accesso alla rete configurato per l'autenticazione RADIUS, ad esempio, i messaggi EAP inviati tra il client di accesso remoto e il server di accesso alla rete vengono incapsulati e formattati come messaggi RADIUS tra il server di accesso alla rete e il server RADIUS. Quando si utilizza il protocollo EAP in RADIUS, il protocollo viene definito EAP-RADIUS.

EAP-RADIUS viene utilizzato negli ambienti in cui il provider di autenticazione è RADIUS. Un vantaggio dell'utilizzo di EAP-RADIUS è che non è necessario installare i tipi EAP in ogni server di accesso alla rete, bensì solo nel server RADIUS. Nel caso di un server dei criteri di rete, è necessario installare i tipi EAP nel Server dei criteri di rete.

Un esempio tipo di configurazione EAP-RADIUS è dato da un server che esegue Routing e Accesso Remoto e che è configurato per l'utilizzo di EAP e un server per l'autenticazione. Quando si stabilisce una connessione, il client di accesso remoto negozia l'utilizzo di EAP con il server di accesso alla rete. Quando il client invia un messaggio EAP al server di accesso alla rete, il server incapsula il messaggio EAP come messaggio RADIUS e lo invia al Server dei criteri di rete configurato. Tale server elabora il messaggio EAP e invia un messaggio EAP incapsulato come RADIUS al server di accesso alla rete. Quest'ultimo inoltra il messaggio EAP al client di accesso remoto. In questa configurazione, il server di accesso alla rete è solo un dispositivo di pass-through. L'elaborazione dei messaggi EAP viene infatti eseguita interamente nel client di accesso remoto e nel Server dei criteri di rete.

È possibile configurare Routing e Accesso remoto per l'autenticazione in locale o in un server RADIUS. Nel primo caso, tutti i metodi EAP verranno autenticati in locale. Se invece Routing e Accesso remoto viene configurato per l'autenticazione in un server RADIUS, tutti i messaggi EAP verranno inoltrati al server RADIUS con EAP-RADIUS.

Per abilitare l'autenticazione EAP

  1. Abilitare EAP come protocollo di autenticazione sul server di accesso alla rete. Per ulteriori informazioni, vedere la documentazione relativa al server di accesso alla rete.

  2. Abilitare EAP e, se necessario, configurare il tipo EAP nei vincoli del criterio di rete appropriato.

  3. Abilitare e configurare EAP sul client di accesso remoto. Per ulteriori informazioni, vedere la documentazione relativa al client di accesso.


Panoramica del protocollo PEAP

Il protocollo PEAP (Protected Extensible Authentication Protocol) è un membro della famiglia di protocolli EAP (Extensible Authentication Protocol).

PEAP utilizza Transport Layer Security (TLS) per creare un canale crittografato tra un client PEAP autenticato, ad esempio un computer wireless, e un autenticatore PEAP, ad esempio un Server dei criteri di rete o altro server RADIUS (Remote Authentication Dial-In User Service).

Protocollo PEAP e Server dei criteri di rete

Il protocollo PEAP non specifica un metodo di autenticazione ma incrementa la sicurezza per altri protocolli di autenticazione EAP, ad esempio EAP-MSCHAP v2 (Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2), che possono utilizzare il canale crittografato TLS fornito da PEAP. Il protocollo PEAP viene utilizzato come metodo di autenticazione per i computer client della rete dell'organizzazione mediante i seguenti tipi di server di accesso alla rete:

  • Punti di accesso wireless 802.1X

  • Commutatori di autenticazione 802.1X

  • Server VPN (Virtual Private Network, rete privata virtuale) che eseguono Windows Server® 2008 o Windows Server® 2008 R2 e il servizio Routing e Accesso remoto

  • Computer che eseguono Windows Server 2008 e Gateway di Servizi terminale oppure Windows Server® 2008 R2 e Gateway Desktop remoto.

Per migliorare i protocolli EAP e la sicurezza della rete, PEAP assicura:

  • Un canale TLS per la protezione della negoziazione del metodo EAP tra client e server. Questo contribuisce a evitare che l'autore di un attacco inserisca pacchetti tra il client e il server di accesso alla rete per determinare la negoziazione di un tipo EAP che garantisce una sicurezza inferiore. Il canale TLS crittografato contribuisce inoltre a evitare attacchi di tipo Denial of Service contro il server che esegue Server dei criteri di rete.

  • Supporto per la frammentazione e il riassemblaggio dei messaggi, consentendo l'utilizzo di tipi EAP che non lo prevedono.

  • Client in grado di autenticare il server che esegue Server dei criteri di rete o un altro server RADIUS. Dato che il server autentica a sua volta il client, si verifica un'autenticazione reciproca.

  • Protezione dalla distribuzione di un punto di accesso wireless non autorizzato quando il client EAP autentica il certificato fornito dal server dei criteri di rete. Inoltre, il master secret TLS creato dall'autenticatore PEAP e dal client non viene condiviso con il punto di accesso. Di conseguenza, il punto di accesso non può decifrare il messaggio protetto mediante PEAP.

  • Supporto per la riconnessione rapida, che consente di ridurre l'intervallo di attesa tra la richiesta di autenticazione di un client e la risposta da parte di Server dei criteri di rete o altro server RADIUS. La riconnessione rapida PEAP consente inoltre ai client wireless di spostarsi tra punti di accesso configurati come client RADIUS per lo stesso server RADIUS senza richieste di autenticazione ripetute e di ridurre i requisiti del client e del server in termini di risorse nonché il numero di richieste di credenziali agli utenti.

Nella tabella seguente sono elencati i punti di forza di PEAP-MS-CHAP v2 in confronto a MS-CHAP v2:

Funzionalità/funzione | MS-CHAP v2 | PEAP-MS-CHAP v2
Consente l'autenticazione del client mediante password. | Sì | Sì
Garantisce l'accesso del server alle credenziali. | Sì | Sì
Consente di autenticare il server. | Sì | Sì
Impedisce la contraffazione dei punti di accesso wireless. | No | Sì
Impedisce a un server non autorizzato di negoziare il metodo di autenticazione con sicurezza minima. | No | Sì
Utilizza chiavi TLS generate con una chiave pubblica. | No | Sì
Offre funzionalità di crittografia end-to-end | No | Sì
Impedisce attacchi con dizionario o a forza bruta. | No | Sì
Evita attacchi di tipo riproduzione di pacchetti. | No | Sì
Consente il concatenamento di metodi di autenticazione. | No | Sì
Richiede l'attendibilità dei certificati del client forniti dal server. | No | Sì

Processo di autenticazione PEAP

Il processo di autenticazione PEAP tra client e autenticatore PEAP è costituito da due fasi. La prima consiste nell'impostazione di un canale sicuro tra il client PEAP e il server di autenticazione, la seconda nell'autenticazione EAP tra il client e l'autenticatore EAP.

Canale di crittografia TLS

Nella prima fase di autenticazione PEAP, viene creato il canale TLS tra client PEAP e Server dei criteri di rete. Nella procedura seguente vengono descritte le modalità di creazione del canale TLS per client PEAP wireless.

  1. Il client PEAP viene associato a un punto di accesso wireless configurato come client RADIUS in un server che esegue Server dei criteri di rete. Un'associazione basata su IEEE 802.11 consente un'autenticazione a sistema aperto o a chiave condivisa prima di creare un'associazione sicura tra il client PEAP e il punto di accesso.

  2. Dopo aver stabilito un'associazione basata su IEEE 802.11 tra il client e il punto di accesso, la sessione TLS viene negoziata con il punto di accesso.

  3. Dopo che l'autenticazione a livello di computer tra il client PEAP wireless e Server dei criteri di rete è stata completata, tra i due viene negoziata la sessione TLS. La chiave ottenuta durante questa negoziazione viene utilizzata per crittografare tutte le comunicazioni successive, inclusa l'autenticazione dell'accesso alla rete che consente all'utente di connettersi alla rete dell'organizzazione.

Comunicazione autenticata EAP

La comunicazione EAP completa, inclusa la negoziazione EAP, avviene attraverso il canale TLS e costituisce la seconda fase dell'autenticazione PEAP. Nella procedura seguente viene ampliato l'esempio precedente e descritta la modalità per completare l'autenticazione di client wireless con Server dei criteri di rete utilizzando PEAP.

Dopo che è stato creato il canale TLS tra Server dei criteri di rete e il client PEAP, il client trasmette le credenziali (nome utente e password oppure un certificato utente o computer) al server dei criteri di rete attraverso il canale di crittografia.

Il punto di accesso inoltra soltanto messaggi tra client wireless e server RADIUS. Il punto di accesso, o un utente che ne esegue il monitoraggio, non è in grado di decrittografare questi messaggi poiché non rappresenta l'endpoint TLS.

Server dei criteri di rete autentica l'utente e il computer client utilizzando il tipo di autenticazione selezionato per l'utilizzo con PEAP. Il tipo di autenticazione può essere EAP-TLS (smart card o altro certificato) o EAP-MS-CHAP v2 (password sicura).

Nota

È possibile configurare PEAP come metodo di autenticazione nei criteri di rete di Server dei criteri di rete.

Tipi EAP

È possibile scegliere tra due tipi EAP, definiti anche tipi di autenticazione, da utilizzare con il protocollo PEAP: EAP-MS-CHAP v2 o EAP-TLS. Per l'autenticazione dell'utente, EAP-MS-CHAP v2 utilizza credenziali basate su password (nome utente e password), mentre per l'autenticazione del server utilizza un certificato contenuto nell'archivio certificati del server. EAP-TLS utilizza certificati installati nell'archivio certificati del computer client o una smart card per l'autenticazione dell'utente e del computer client e un certificato dell'archivio certificati del computer server per l'autenticazione del server.

Protocollo PEAP con EAP-MS-CHAP v2

Il protocollo PEAP con EAP-MS-CHAPv2 (PEAP-MS-CHAP v2) è più semplice da distribuire rispetto a EAP-TLS, poiché l'autenticazione utente viene eseguita con credenziali basate su password, ovvero nome utente e password, anziché con certificati o smart card. In questo caso solo Server dei criteri di rete o un altro server RADIUS deve disporre di un certificato. Il certificato di server dei criteri di rete viene utilizzato da Server dei criteri di rete durante il processo di autenticazione per dimostrare la propria identità a client PEAP.

Affinché l'autenticazione PEAP-MS-CHAP v2 riesca, il client deve considerare attendibile Server dei criteri di rete dopo aver esaminato il certificato del server. Affinché il client consideri attendibile il Server dei criteri di rete, è necessario che l'autorità di certificazione rilasciata dal certificato del server disponga di un proprio certificato nell'archivio delle autorità di certificazione radice disponibili nell'elenco locale sui computer client.

Il certificato server utilizzato da Server dei criteri di rete può essere emesso dall'Autorità di certificazione radice attendibile dell'organizzazione o da un'Autorità di certificazione pubblica, ad esempio VeriSign o Thawte, già considerata attendibile dal computer client.

Nota

PEAP-MS-CHAP v2 offre una maggiore sicurezza di MS-CHAP v2 poiché utilizza la generazione di chiavi con TLS e l'autenticazione reciproca che impedisce a un server non autorizzato di negoziare il metodo di autenticazione meno sicuro con il client PEAP.

Protocollo PEAP con EAP-TLS

Quando si distribuisce un'infrastruttura a chiave pubblica con Servizi certificati Active Directory, è possibile utilizzare il protocollo PEAP con EAP-TLS. I certificati offrono un metodo di autenticazione molto più efficace rispetto a quelli che utilizzano credenziali basate su password. Il protocollo PEAP-TLS utilizza certificati per l'autenticazione del server e certificati o smart card, con certificato incorporato, oppure certificati registrati sul computer client archiviati sul computer locale nell'archivio certificati, per l'autenticazione dell'utente o del computer client. Per utilizzare PEAP-TLS, è necessario distribuire un'infrastruttura a chiave pubblica.

Supporto PEAP per la riconnessione rapida

La riconnessione rapida PEAP consente ai client wireless di spostarsi tra i punti di accesso wireless sulla stessa rete senza dover essere nuovamente autenticati ogni volta che vengono associati a un punto di accesso.

I punti di accesso wireless vengono configurati come client RADIUS di server RADIUS. Se un client wireless si sposta tra punti di accesso configurati come client sullo stesso server RADIUS, al client non è richiesta l'autenticazione per ogni nuova associazione. Sebbene venga nuovamente autenticato, quando un client si sposta su un punto di accesso configurato come client RADIUS su un server RADIUS diverso, il processo viene eseguito in modo molto più rapido ed efficiente.

La riconnessione rapida fornita da PEAP riduce il tempo di risposta per l'autenticazione tra client e autenticatore poiché la richiesta di autenticazione viene inoltrata dal nuovo punto di accesso a Server dei criteri di rete che ha originariamente eseguito l'autenticazione e l'autorizzazione della richiesta di connessione del client. Poiché sia il client PEAP che Server dei criteri di rete utilizzano proprietà di connessione TLS precedentemente memorizzate nella cache, il cui insieme è denominato handle di TLS, Server dei criteri di rete può determinare rapidamente che la connessione del client è una riconnessione.

Il client può memorizzare nella cache handle di TLS per più autenticatori PEAP. Se il Server dei criteri di rete originale non è disponibile, è necessario che avvenga un'autenticazione completa tra il client e il nuovo autenticatore. Il nuovo handle di TLS dell'autenticatore PEAP viene memorizzato nella cache dal client. Per l'autenticazione con smart card o PEAP-MS-CHAP v2, all'utente viene chiesto di fornire rispettivamente il PIN o le credenziali.
Mediante l'autenticazione PEAP-MS-CHAP v2

Se il nuovo punto di accesso è un client dello stesso server RADIUS | Se il nuovo punto di accesso è un client di un nuovo server RADIUS
All'utente non vengono richieste credenziali ogni volta che il computer viene associato a un nuovo punto di accesso. | All'utente vengono richieste credenziali in occasione dell'associazione iniziale. La volta successiva che il computer client verrà associato a un punto di accesso che costituisce un client su quel server, non verranno richieste credenziali utente.
Al server RADIUS non viene chiesto di fornire un certificato. | Il server RADIUS fornisce un certificato in occasione dell'associazione iniziale in modo che il client wireless possa eseguire l'autenticazione con il server RADIUS. La volta successiva che il computer client verrà associato a un punto di accesso che costituisce un client su quel server, al server non verrà chiesta una nuova autenticazione.
Mediante autenticazione PEAP-TLS:

Se il nuovo punto di accesso è un client dello stesso server RADIUS | Se il nuovo punto di accesso è un client di un nuovo server RADIUS
Al client e al server non viene chiesto di scambiare certificati. | Il client e il server scambiano certificati in occasione della prima associazione. La volta successiva che il computer client verrà associato a un punto di accesso che costituisce un client su quel server, i certificati non verranno scambiati.
All'utente non viene chiesto un codice PIN (personal identification number) per la smart card ogni volta che il computer client viene associato a un nuovo punto di accesso. | All'utente viene chiesto un PIN di smart card in occasione della prima associazione. La volta successiva che il computer client verrà associato a un punto di accesso che costituisce un client su quel server, all'utente non verrà chiesto il codice PIN.

Per abilitare la riconnessione rapida PEAP:

  • È necessario che la riconnessione rapida sia abilitata sia nel client PEAP (client wireless 802.11) che nell'autenticatore PEAP (server RADIUS).

  • Tutti i punti di accesso sui quali si sposta il client PEAP devono essere configurati come client RADIUS su un server RADIUS (l'autenticatore PEAP) per il quale PEAP viene configurato come metodo di autenticazione per le connessioni wireless.

  • Tutti i punti di accesso a cui viene associato il client PEAP devono essere configurati per preferire lo stesso server RADIUS (autenticatore PEAP) allo scopo di evitare la richiesta di credenziali da ciascun server RADIUS. Se non è possibile configurare il punto di accesso per preferire un server RADIUS, è possibile configurare un proxy RADIUS di Server dei criteri di rete con un server RADIUS preferito.

Informazioni aggiuntive
  • Il protocollo PEAP non supporta l'autenticazione guest.

  • Quando si distribuiscono i protocolli PEAP ed EAP senza la protezione PEAP, non utilizzare lo stesso tipo di autenticazione EAP con e senza PEAP. Se si distribuisce PEAP-TLS, ad esempio, non distribuire anche EAP-TLS senza PEAP. La distribuzione dei metodi di autenticazione dello stesso tipo determina un rischio per la sicurezza.


Distribuire i certificati per i protocolli PEAP ed EAP

È possibile utilizzare le sezioni seguenti per distribuire la propria autorità di certificazione (CA) con Servizi certificati Active Directory® (AD CS) e registrare automaticamente i certificati sui server che eseguono Server dei criteri di rete, computer client membri del dominio e utenti del dominio.

  • Distribuire certificati di computer client

  • Distribuire certificati utente

  • Distribuire un'autorità di certificazione (CA) e un certificato di Server dei criteri di rete


Distribuire certificati di computer client

Questa procedura consente di configurare il modello di certificato utilizzato da Servizi certificati di Active Directory® come base per i certificati dei computer che vengono registrati nei computer client membri di un dominio.

Per completare la procedura, è necessaria almeno l'appartenenza ai gruppi Enterprise Admins e Domain Admins del dominio radice.

Importante

Se i certificati server sono stati già distribuiti utilizzando la procedura descritta in Certificato del Server dei criteri di rete: configurazione del modello e della registrazione automatica, non sarà necessario eseguire i passaggi 13-20 di questa procedura. Questi passaggi consentono di configurare la registrazione automatica dei certificati del computer e corrispondono alla procedura disponibile nell'argomento sopra citato.

Per configurare il modello di certificato e la registrazione automatica

  1. Nel computer in cui è installato Servizi certificati Active Directory fare clic sul pulsante Start, scegliere Esegui, digitare mmc e quindi fare clic su OK.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File. Verrà visualizzata la finestra di dialogo Aggiungi o rimuovi snap-in.

  3. In Snap-in disponibili fare doppio clic su Autorità di certificazione. Selezionare l'Autorità di certificazione (CA) che si desidera gestire tramite lo snap-in e quindi fare clic su Fine. La finestra di dialogo Autorità di certificazione verrà chiusa e si tornerà alla finestra di dialogo Aggiungi o rimuovi snap-in.

  4. In Snap-in disponibili fare doppio clic su Modelli di certificato e quindi fare clic su OK.

  5. Nell'albero della console fare clic su Modelli di certificato. Tutti i modelli di certificato verranno visualizzati nel riquadro dei dettagli.

  6. Nel riquadro dei dettagli fare clic sul modello Autenticazione workstation.

  7. Scegliere Duplica modello dal menu Azione. Verrà visualizzata la finestra di dialogo Duplica modello. Selezionare la versione del modello appropriata per la distribuzione in corso e quindi fare clic su OK. Verrà visualizzata la finestra di dialogo delle proprietà del nuovo modello.

  8. Nella scheda Generale in Nome visualizzato digitare un nuovo nome per il modello di certificato o mantenere il nome predefinito.

  9. Fare clic sulla scheda Sicurezza. In Utenti e gruppi fare clic su Computer del dominio.

  10. In Autorizzazioni per computer del dominio in Consenti selezionare le caselle di controllo delle autorizzazioni Registrazione e Registrazione automatica e quindi fare clic su OK.

  11. Fare doppio clic su Autorità di certificazione e sul nome della CA e quindi fare clic su Modelli di certificato. Scegliere Nuovo dal menu Azione e quindi fare clic su Modello di certificato da rilasciare. Verrà visualizzata la finestra di dialogo Attivazione modelli di certificato.

  12. Fare clic sul nome del modello di certificato appena configurato e quindi su OK. Ad esempio, se il nome predefinito del modello di certificato non è stato modificato, fare clic su Copia di Autenticazione workstation e quindi su OK.

  13. Nel computer in cui è installato Servizi di dominio Active Directory fare clic sul pulsante Start, scegliere Esegui, digitare mmc e quindi fare clic su OK.

  14. Scegliere Aggiungi/Rimuovi snap-in dal menu File. Verrà visualizzata la finestra di dialogo Aggiungi o rimuovi snap-in.

  15. In Snap-in disponibili nella finestra di dialogo Aggiungi o rimuovi snap-in fare doppio clic su Editor Gestione Criteri di gruppo. Verrà avviata la procedura guidata Selezione oggetto Criteri di gruppo. Fare clic su Sfoglia e quindi selezionare Criteri di dominio predefiniti. Fare clic su OK, su Fine e quindi di nuovo su OK.

  16. Fare doppio clic su Criterio dominio predefinito. Aprire Configurazione computer, Criteri, Impostazioni di Windows, Impostazioni sicurezza e quindi Criteri chiave pubblica.

  17. Nel riquadro dei dettagli fare doppio clic su Client Servizi certificati - registrazione automatica. Verrà visualizzata la finestra di dialogo Client Servizi certificati - registrazione automatica - Proprietà.

  18. In Modello configurazione nella finestra di dialogo Client Servizi certificati - registrazione automatica - Proprietà selezionare Abilitato.

  19. Selezionare la casella di controllo Rinnova i certificati scaduti, aggiorna quelli in sospeso e rimuovi i certificati revocati.

  20. Selezionare la casella di controllo Aggiorna i certificati che utilizzano modelli di certificato e quindi fare clic su OK.

Ulteriori considerazioni

Dopo avere completato la procedura, i computer client membri del dominio eseguono la registrazione automatica di un certificato del computer client quando i Criteri di gruppo vengono aggiornati. Per aggiornare i Criteri di gruppo, riavviare il computer client o eseguire gpupdate al prompt dei comandi.


Distribuire certificati utente

Questa procedura consente di configurare il modello di certificato utilizzato da Servizi certificati Active Directory® come base per i certificati utente registrati per i membri del gruppo Domain Users.

Per completare la procedura, è necessaria almeno l'appartenenza ai gruppi Enterprise Admins e Domain Admins del dominio radice.

Per configurare il modello di certificato e la registrazione automatica

  1. Nel computer in cui è installato Servizi certificati Active Directory fare clic sul pulsante Start, scegliere Esegui, digitare mmc e quindi fare clic su OK.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File. Verrà visualizzata la finestra di dialogo Aggiungi o rimuovi snap-in.

  3. In Snap-in disponibili fare doppio clic su Autorità di certificazione. Selezionare l'Autorità di certificazione (CA) che si desidera gestire e quindi fare clic su Fine. La finestra di dialogo Autorità di certificazione verrà chiusa e si tornerà alla finestra di dialogo Aggiungi o rimuovi snap-in.

  4. In Snap-in disponibili fare doppio clic su Modelli di certificato e quindi fare clic su OK.

  5. Nell'albero della console fare clic su Modelli di certificato. Tutti i modelli di certificato verranno visualizzati nel riquadro dei dettagli.

  6. Nel riquadro dei dettagli fare clic sul modello Utente.

  7. Scegliere Duplica modello dal menu Azione. Verrà visualizzata la finestra di dialogo Duplica modello. Selezionare la versione del modello appropriata per la distribuzione in corso e quindi fare clic su OK. Verrà visualizzata la finestra di dialogo delle proprietà del nuovo modello.

  8. Nella scheda Generale in Nome visualizzato digitare un nuovo nome per il modello di certificato o mantenere il nome predefinito.

  9. Fare clic sulla scheda Sicurezza. In Utenti e gruppi fare clic su Domain Users.

  10. In Autorizzazioni per Domain Users in Consenti selezionare le caselle di controllo delle autorizzazioni Registrazione e Registrazione automatica e quindi fare clic su OK.

  11. Fare doppio clic su Autorità di certificazione e sul nome della CA e quindi fare clic su Modelli di certificato. Scegliere Nuovo dal menu Azione e quindi fare clic su Modello di certificato da rilasciare. Verrà visualizzata la finestra di dialogo Attivazione modelli di certificato.

  12. Fare clic sul nome del modello di certificato appena configurato e quindi su OK. Ad esempio, se il nome del modello di certificato predefinito non è stato modificato, fare clic su Copia di utente e quindi su OK.

  13. Nel computer in cui è installato Servizi di dominio Active Directory fare clic sul pulsante Start, scegliere Esegui, digitare mmc e quindi fare clic su OK.

  14. Scegliere Aggiungi/Rimuovi snap-in dal menu File. Verrà visualizzata la finestra di dialogo Aggiungi o rimuovi snap-in.

  15. In Snap-in disponibili nella finestra di dialogo Aggiungi o rimuovi snap-in fare doppio clic su Editor Gestione Criteri di gruppo. Verrà avviata la procedura guidata Selezione oggetto Criteri di gruppo. Fare clic su Sfoglia e quindi selezionare Criteri di dominio predefiniti. Fare clic su OK, su Fine e quindi di nuovo su OK.

  16. Fare clic su Criteri di dominio predefiniti. Aprire Configurazione utente, Criteri, Impostazioni di Windows, Impostazioni sicurezza e quindi Criteri chiave pubblica.

  17. Nel riquadro dei dettagli fare doppio clic su Client Servizi certificati - registrazione automatica. Verrà visualizzata la finestra di dialogo Client Servizi certificati - registrazione automatica - Proprietà.

  18. In Modello configurazione nella finestra di dialogo Client Servizi certificati - registrazione automatica - Proprietà selezionare Abilitato.

  19. Selezionare la casella di controllo Rinnova i certificati scaduti, aggiorna quelli in sospeso e rimuovi i certificati revocati.

  20. Selezionare la casella di controllo Aggiorna i certificati che utilizzano modelli di certificato e quindi fare clic su OK.

Ulteriori considerazioni

Al termine della procedura, un certificato utente verrà automaticamente registrato agli utenti del dominio quando Criteri di gruppo sarà aggiornato. Per aggiornare i Criteri di gruppo, riavviare il computer client o eseguire gpupdate al prompt dei comandi.

Verificare che tutti i contenitori di sistema del dominio appropriati siano configurati per la registrazione automatica di certificati utente sia mediante la propagazione delle impostazioni di Criteri di gruppo di un contenitore di sistema padre oppure mediante la configurazione esplicita.


Distribuire un'autorità di certificazione (CA) e un certificato di Server dei criteri di rete

Le procedure seguenti consentono di installare Servizi certificati Active Directory® (AD CS) e di effettuare la registrazione di un certificato del server sui server che eseguono Server dei criteri di rete. Se si distribuisce un'autenticazione basata su certificato, è necessario che i server che eseguono Server dei criteri di rete dispongano di un certificato del server. Durante il processo di autenticazione, tali server inviano il proprio certificato server ai computer client per l'identificazione.

Il processo di configurazione della registrazione del certificato di Server dei criteri di rete viene eseguito in tre fasi:

  1. Installazione del ruolo server Servizi certificati Active Directory. Questa fase è necessaria solo se non è già stata distribuita un'autorità di certificazione sulla rete.

  2. Configurazione del modello e della registrazione automatica di un certificato server. L'autorità di certificazione rilascia certificati basati su un modello di certificato ed è quindi necessario configurare il modello per il certificato del server dei criteri di rete prima che l'autorità di certificazione ne possa rilasciare uno. Quando si configura la registrazione automatica, un certificato del server viene rilasciato automaticamente a tutti i server che eseguono Server dei criteri di rete sulla rete al momento dell'aggiornamento di Criteri di gruppo sul server che esegue Server dei criteri di rete. Anche i server che verranno aggiunti in seguito riceveranno automaticamente un certificato server.

  3. Aggiornamento di Criteri di Gruppo in server che eseguono Server dei criteri di rete. Quando Criteri di gruppo viene aggiornato, i server che eseguono Server dei criteri di gruppo ricevono due certificati. Uno è costituito dal certificato server basato sul modello configurato nella fase precedente. Questo certificato viene utilizzato da Server dei criteri di rete per l'autenticazione su computer client che tentano di connettersi alla rete in uso. L'altro certificato è il certificato di rilascio dell'Autorità di certificazione che viene installato automaticamente nei server che eseguono Server dei criteri di rete nell'archivio certificati delle Autorità di certificazione radice attendibili. Server dei criteri di rete utilizza questo certificato per determinare se considerare attendibili i certificati ricevuti da altri computer. Se ad esempio si distribuisce EAP-TLS (Extensible Authentication Protocol-Transport Layer Security), i computer client utilizzano un certificato per l'autenticazione sul server che esegue Server dei criteri di rete. Quando il server riceve un certificato da un computer client, l'attendibilità del certificato viene stabilita perché il server che esegue Server dei criteri di rete trova il certificato dell'autorità di certificazione emittente nell'archivio dei certificati delle autorità di certificazione radice disponibili nell'elenco locale.

Anziché registrare automaticamente un certificato server di Server dei criteri di rete, è possibile registrare il certificato utilizzando uno dei metodi seguenti:

  • Importazione manuale di un certificato server di Server dei criteri di rete da un disco floppy o da un compact disc nell'archivio certificati di Server dei criteri di rete.

  • Utilizzo dello strumento di registrazione Web dei Servizi certificati per ottenere un certificato del server dei criteri di rete.

Poiché il certificato del Server dei criteri di rete è un certificato del computer, è necessario importare il certificato nell'archivio certificati per il computer locale anziché per l'utente corrente.

Attenzione

Se il certificato server di Server dei criteri di rete viene installato erroneamente nell'archivio certificati Utente corrente, Server dei criteri di rete non sarà in grado di utilizzare il certificato per l'autenticazione PEAP o EAP perché nelle chiavi private del certificato sarà contenuto un elenco di controllo di accesso non configurato correttamente che non consente l'accesso alle chiavi da parte del sistema locale. È possibile verificare la posizione del certificato server di Server dei criteri di rete tramite lo snap-in MMC (Microsoft Management Console) Certificati. Se il certificato server di Server dei criteri di rete non si trova in una posizione corretta, non tentare di trascinare il certificato dall'archivio certificati Utente locale all'archivio certificati Computer locale. Le chiavi private per il certificato conterranno ancora un elenco di controllo di accesso configurato in modo errato. Revocare invece il certificato utilizzando Servizi certificati Active Directory e rilasciare un nuovo certificato server al server che esegue Server dei criteri di rete.

Per distribuire un'autorità di certificazione e registrare automaticamente i certificati del Server dei criteri di rete, eseguire le operazioni seguenti:

  • Certificato del Server dei criteri di rete: installazione della CA

  • Certificato del Server dei criteri di rete: configurazione del modello e della registrazione automatica


Certificato del Server dei criteri di rete: installazione della CA

È possibile utilizzare questa procedura per installare Servizi certificati Active Directory® allo scopo di registrare un certificato del server nei Server dei criteri di rete. Se si distribuisce l'autenticazione basata su certificati, i Server dei criteri di rete devono disporre di un certificato del server. Durante il processo di autenticazione, i Server dei criteri di rete inviano i propri certificati del server ai computer client per l'identificazione.

Per completare la procedura, è necessaria almeno l'appartenenza ai gruppi Enterprise Admins e Domain Admins del dominio radice.

Per installare Servizi certificati Active Directory

  1. Eseguire l'accesso come membro del gruppo Enterprise Admins e del gruppo Domain Admins del dominio radice.

  2. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Server Manager. Verrà aperta la console Server Manager. Nel riquadro sinistro fare clic su Ruoli e quindi nel riquadro dei dettagli fare clic su Aggiungi ruoli.

  3. Verrà visualizzata l'Aggiunta guidata ruoli. Fare clic su Avanti.

  4. Nella pagina Selezione ruoli server, in Ruoli, selezionare Servizi certificati Active Directory e fare clic due volte su Avanti.

  5. Nella pagina Selezione servizi ruolo, in Servizi ruolo, fare clic su Autorità di certificazione e quindi su Avanti.

  6. Nella pagina Introduzione a Servizi certificati Active Directory esaminare le informazioni fornite e quindi fare clic su Avanti.

  7. Nella pagina Selezione servizi ruolo verificare che sia selezionata l'opzione Autorità di certificazione, selezionare eventuali servizi ruolo aggiuntivi desiderati e quindi fare clic su Avanti.

  8. Nella pagina Impostazione tipo di installazione verificare che sia selezionata l'opzione Dell'organizzazione (Enterprise) e quindi fare clic su Avanti.

  9. Nella pagina Indicazione del tipo di CA fare clic su CA radice e quindi su Avanti.

  10. Nella pagina Configurazione chiave privata verificare che sia selezionata l'opzione Crea una nuova chiave privata e quindi fare clic su Avanti.

  11. Nella pagina Configurazione crittografia per la CA mantenere le impostazioni predefinite oppure modificarle in base alle proprie esigenze. Si noti che il valore predefinito di Lunghezza chiave in caratteri è 2048, ovvero il doppio rispetto alla lunghezza predefinita di 1024 nelle versioni precedenti. È possibile modificare questo valore in base al traffico e alle dimensioni della rete. Fare clic su Avanti.

  12. Nella pagina Configurazione nome CA conservare il nome comune suggerito per la CA oppure modificarlo in base alle esigenze, quindi fare clic su Avanti.

  13. In Selezionare il periodo di validità per il certificato generato per la CA nella pagina Impostazione del periodo di validità digitare il numero e selezionare il valore temporale, ovvero anni, mesi, settimane o giorni, che determina la data di scadenza dei certificati emessi dalla CA. È consigliabile utilizzare l'impostazione predefinita di cinque anni. Fare clic su Avanti.

  14. Nella pagina Configurazione database certificati, in Percorso database certificati e Percorso registro database certificati, specificare il percorso della cartella per questi elementi. Se si specificano percorsi diversi da quelli predefiniti, verificare che le cartelle siano protette tramite elenchi di controllo di accesso (ACL) che impediscano a utenti o computer non autorizzati l'accesso al database della CA e ai file di registro. Fare clic su Avanti e quindi su Fine oppure continuare con l'installazione di eventuali servizi ruolo aggiuntivi selezionati.


Certificato del Server dei criteri di rete: configurazione del modello e della registrazione automatica

Questa procedura consente di configurare il modello di certificato utilizzato da Servizi certificati Active Directory® come base per i certificati server registrati nei server che eseguono Server dei criteri di rete.

Per completare la procedura, è necessaria almeno l'appartenenza ai gruppi Enterprise Admins e Domain Admins del dominio radice.

Per configurare il modello e la registrazione automatica del certificato

  1. Nel computer in cui è installato Servizi certificati Active Directory fare clic sul pulsante Start, scegliere Esegui, digitare mmc e quindi fare clic su OK.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File. Verrà visualizzata la finestra di dialogo Aggiungi o rimuovi snap-in.

  3. In Snap-in disponibili fare doppio clic su Autorità di certificazione. Selezionare la CA da aggiornare e quindi fare clic su Fine. La finestra di dialogo Autorità di certificazione verrà chiusa e si tornerà alla finestra di dialogo Aggiungi o rimuovi snap-in.

  4. In Snap-in disponibili fare doppio clic su Modelli di certificato e quindi fare clic su OK.

  5. Nell'albero della console fare clic su Modelli di certificato. Tutti i modelli di certificato verranno visualizzati nel riquadro dei dettagli.

  6. Nel riquadro dei dettagli, fare clic sul modello Server RAS e IAS.

  7. Scegliere Duplica modello dal menu Azione. Nella finestra di dialogo Duplica modello selezionare la versione del modello appropriata per la distribuzione e quindi fare clic su OK. Verrà visualizzata la finestra di dialogo delle proprietà del nuovo modello.

  8. Nella scheda Generale in Nome visualizzato digitare un nuovo nome per il modello di certificato o mantenere il nome predefinito.

  9. Fare clic sulla scheda Sicurezza. In Utenti e gruppi fare clic su Server RAS e IAS.

  10. In Autorizzazioni per server RAS e IAS, in Consenti selezionare le caselle di controllo delle autorizzazioni Registrazione e Registrazione automatica e quindi fare clic su OK.

  11. Fare doppio clic su Autorità di certificazione e sul nome della CA e quindi fare clic su Modelli di certificato. Scegliere Nuovo dal menu Azione e quindi fare clic su Modello di certificato da rilasciare. Verrà visualizzata la finestra di dialogo Attivazione modelli di certificato.

  12. In Attivazione modelli di certificato fare clic sul nome del modello di certificato appena configurato e quindi su OK. Se ad esempio il nome del modello di certificato predefinito non è stato modificato, fare clic su Copia di Server RAS e IAS e quindi su OK.

  13. Nel computer in cui è installato Servizi di dominio Active Directory fare clic sul pulsante Start, scegliere Esegui, digitare mmc e quindi fare clic su OK.

  14. Scegliere Aggiungi/Rimuovi snap-in dal menu File. Verrà visualizzata la finestra di dialogo Aggiungi o rimuovi snap-in.

  15. In Snap-in disponibili fare doppio clic su Editor Gestione Criteri di gruppo. Verrà avviata la procedura guidata Selezione oggetto Criteri di gruppo. Fare clic su Sfoglia e quindi selezionare Criteri di dominio predefiniti. Fare clic su OK, su Fine e quindi di nuovo su OK.

  16. Fare doppio clic su Criterio dominio predefinito. Aprire Configurazione computer, Criteri, Impostazioni di Windows, Impostazioni sicurezza e quindi Criteri chiave pubblica.

  17. Nel riquadro dei dettagli fare doppio clic su Client Servizi certificati - registrazione automatica. Verrà visualizzata la finestra di dialogo Client Servizi certificati - registrazione automatica - Proprietà.

  18. In Modello configurazione nella finestra di dialogo Client Servizi certificati - registrazione automatica - Proprietà selezionare Abilitato.

  19. Selezionare la casella di controllo Rinnova i certificati scaduti, aggiorna quelli in sospeso e rimuovi i certificati revocati.

  20. Selezionare la casella di controllo Aggiorna i certificati che utilizzano modelli di certificato e quindi fare clic su OK.

Ulteriori considerazioni

Dopo il completamento della procedura, i server che eseguono Server dei criteri di gruppo registreranno automaticamente un certificato server quando Criteri di gruppo viene aggiornato. Per aggiornare Criteri di gruppo, riavviare il server oppure al prompt dei comandi eseguire gpupdate.

Vedere anche

  • Certificato del Server dei criteri di rete: installazione della CA


Elenchi di controllo per Server dei criteri di rete

Elenchi di controllo per Server dei criteri di rete (NPS)

Negli elenchi di controllo seguenti vengono illustrati i passaggi necessari per distribuire Server dei criteri di rete come server RADIUS (Remote Authentication Dial-In User Service), proxy RADIUS e server dei criteri di Protezione accesso alla rete.

  • Elenco di controllo: configurare Server dei criteri di rete per l'accesso con commutatore di autenticazione 802.1X

  • Elenco di controllo: configurare Server dei criteri di rete per la connesione remota e l'accesso VPN

  • Elenco di controllo: configurare Server dei criteri di rete come un proxy RADIUS

  • Elenco di controllo: configurare Server dei criteri di rete per l'accesso wireless sicuro

  • Elenco di controllo: configurare Protezione accesso alla rete


Elenco di controllo: configurare Server dei criteri di rete per l'accesso con commutatore di autenticazione 802.1X

In questo elenco di controllo vengono indicate le attività necessarie per distribuire i commutatori di autenticazione 802.1X con Server dei criteri di rete.

Attività | Riferimento
Installazione e configurazione di commutatori di autenticazione 802.1X nella rete | Server RADIUS per connessioni wireless o cablate 802.1X e la documentazione dell'hardware
Determinazione del metodo di autenticazione che si desidera utilizzare. | Server RADIUS per connessioni wireless o cablate 802.1X; Requisiti dei certificati per PEAP ed EAP; Panoramica del protocollo EAP; Panoramica del protocollo PEAP e la documentazione dell'hardware
Registrazione automatica di un certificato server nei server che eseguono Server dei criteri di rete oppure, se si utilizza solo PEAP-MS-CHAP v2 (Protected Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2), possibile acquisto di un certificato server anziché distribuzione della propria Autorità di certificazione. | Distribuire un'autorità di certificazione (CA) e un certificato di Server dei criteri di rete e pagina relativa al download e all'installazione di un certificato server WLAN VeriSign per l'autenticazione wireless PEAP-MS-CHAP v2 nell'Area download Microsoft all'indirizzo http://go.microsoft.com/fwlink/?LinkId=33675
Se si utilizza EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) o PEAP-TLS senza smart card, registrazione automatica dei certificati utente, dei certificati dei computer o di entrambi nei computer client membri del dominio. | Distribuire certificati di computer client; Distribuire certificati utente
Configurazione dei client di accesso a reti cablate 802.1X tramite l'estensione di Gestione Criteri di gruppo Criteri per reti cablate (IEEE 802.3). | Configurare client di accesso a reti cablate 802.1X tramite Gestione Criteri di gruppo
Configurazione dei commutatori di autenticazione 802.1X come client RADIUS (Remote Authentication Dial-In User Service) in Server dei criteri di rete. | Aggiungere un nuovo client RADIUS e Client RADIUS
Creazione di un gruppo di utenti in Servizi di dominio Active Directory® che contenga gli utenti che possono accedere alla rete tramite i commutatori | Creare un gruppo per un criterio di rete
Nel Server dei criteri di rete configurazione di uno o più criteri di rete per l'accesso con commutatore 802.1X. | Aggiungere un criterio di rete, Creare criteri per connessioni wireless o cablate 802.1X mediante la procedura guidata e Criteri di rete


Elenco di controllo: configurare Server dei criteri di rete per la connesione remota e l'accesso VPN

In questo elenco di controllo vengono descritte le attività necessarie per distribuire i server di connessione remota e VPN (Virtual Private Network, rete privata virtuale) con Server dei criteri di rete.

Attività | Riferimento
Installare e configurare i server di connessione remota e VPN. | Server RADIUS per connessioni remote o VPN e la documentazione dell'hardware in uso
Determinare il metodo di autenticazione da utilizzare. | Server RADIUS per connessioni remote o VPN; Requisiti dei certificati per PEAP ed EAP e la documentazione dell'hardware in uso
Eseguire la registrazione automatica di un certificato server nei server che eseguono Server dei criteri di rete oppure, se si utilizza solo PEAP-MS-CHAP v2 (Protected Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2), acquistare un certificato server. | Distribuire un'autorità di certificazione (CA) e un certificato di Server dei criteri di rete e pagina relativa al download e all'installazione di un certificato server WLAN VeriSign per l'autenticazione wireless PEAP-MS-CHAP v2 nell'Area download Microsoft all'indirizzo http://go.microsoft.com/fwlink/?LinkId=33675
Se si utilizza EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) o PEAP-TLS senza smart card, eseguire la registrazione automatica dei certificati utente, dei certificati computer o di entrambi nei computer client membri del dominio o di Domain Users. | Distribuire certificati di computer client e Distribuire certificati utente
Configurare i server di connessione remota e VPN come client RADIUS (Remote Authentication Dial-In User Service) in Server dei criteri di rete. | Aggiungere un nuovo client RADIUS e Client RADIUS
Creare un gruppo di utenti in Servizi di dominio Active Directory® che contenga gli utenti che possono accedere alla rete tramite i server VPN. | Creare un gruppo per un criterio di rete
In Server dei criteri di gruppo, configurare uno o più criteri di rete per i server di connessione remota e VPN. | Aggiungere un criterio di rete, Creare criteri per una connessione remota o VPN mediante una procedura guidata e Criteri di rete


Elenco di controllo: configurare Server dei criteri di rete come un proxy RADIUS

Nell'elenco di controllo seguente vengono illustrate le attività necessarie per configurare Server dei criteri di rete come proxy RADIUS (Remote Authentication Dial-In User Service) che inoltra le richieste di connessione ad altri server RADIUS per l'autenticazione e l'autorizzazione.

Importante

I computer client, ad esempio i portatili wireless e altri computer in cui sono in esecuzione sistemi operativi client, non sono client RADIUS. I client RADIUS sono server di accesso alla rete, ad esempio punti di accesso wireless, commutatori che supportano 802.1X, server di reti private virtuali (VPN, Virtual Private Network) e server di connessione remota, in quanto utilizzano il protocollo RADIUS per comunicare con server RADIUS, ad esempio server dei criteri di rete.

Attività | Riferimento
Configurare i server di accesso alla rete come client RADIUS in Server dei criteri di rete. | Aggiungere un nuovo client RADIUS; Client RADIUS
Nel server proxy Server dei criteri di rete utilizzare la procedura guidata Nuovo gruppo di server RADIUS remoto per creare un gruppo di server remoto con uno o più server RADIUS a cui vengono inoltrati i messaggi RADIUS. Configurare i segreti condivisi e le porte RADIUS comuni al server proxy Server dei criteri di rete e ai server RADIUS (a cui vengono inoltrate le richieste). | Aggiungere un gruppo di server RADIUS remoto e Gruppi di server RADIUS remoti
Nel server proxy Server dei criteri di rete utilizzare la procedura guidata Nuovo criterio di richiesta di connessione per creare un criterio di richiesta di connessione per inoltrare le richieste di connessione e le informazioni di accounting al gruppo di server RADIUS remoto. | Aggiungere un criterio di richiesta di connessione e Criteri di richiesta di connessione
Configurare i metodi di registrazione per le richieste di autenticazione e accounting. | Accounting RADIUS e Configurare le proprietà del file di registro
Registrare i server proxy Server dei criteri di rete nei domini di Servizi di dominio Active Directory®. | Registrare il server che esegue Server dei criteri di rete in Servizi di dominio Active Directory
Configurare i server proxy Server dei criteri di rete come client RADIUS sui server RADIUS (a cui vengono inoltrate le richieste). | Aggiungere un nuovo client RADIUS e documentazione dell'hardware


Elenco di controllo: configurare Server dei criteri di rete per l'accesso wireless sicuro

In questo elenco di controllo sono indicate le attività necessarie per distribuire punti di accesso wireless 802.1X con Server dei criteri di rete.

Attività | Riferimento
Installare e configurare punti di accesso wireless 802.1X nella rete. | Server RADIUS per connessioni wireless o cablate 802.1X e la documentazione dell'hardware
Determinare il metodo di autenticazione che si desidera utilizzare. | Server RADIUS per connessioni wireless o cablate 802.1X; Requisiti dei certificati per PEAP ed EAP; Panoramica del protocollo EAP; Panoramica del protocollo PEAP e la documentazione dell'hardware
Registrare automaticamente un certificato server nei server che eseguono Server dei criteri di rete o acquistare un certificato server. | Distribuire un'autorità di certificazione (CA) e un certificato di Server dei criteri di rete e pagina relativa al download e all'installazione di un certificato server WLAN VeriSign per l'autenticazione wireless PEAP-MS-CHAP v2 nell'Area download Microsoft all'indirizzo http://go.microsoft.com/fwlink/?LinkId=33675
Se si utilizza EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) o PEAP-TLS (Protected Extensible Authentication Protocol-Transport Layer Security) senza smart card, eseguire la registrazione automatica dei certificati client o computer nei computer client membri del dominio. | Distribuire certificati di computer client e Distribuire certificati utente
Configurare client di accesso a reti wireless 802.1X utilizzando l'estensione di Gestione Criteri di gruppo Criteri di rete wireless (IEEE 802.11). | Configurare client di accesso a reti wireless 802.1X tramite Gestione Criteri di gruppo
Configurare punti di accesso wireless 802.1X come client RADIUS (Remote Authentication Dial-In User Service) in Server dei criteri di rete. | Aggiungere un nuovo client RADIUS e Client RADIUS
Creare un gruppo di utenti in Servizi di dominio Active Directory® che contenga gli utenti che possono accedere alla rete tramite i punti di accesso wireless. | Creare un gruppo per un criterio di rete
Nel Server dei criteri di rete configurare uno o più criteri di rete per l'accesso wireless 802.1X. | Aggiungere un criterio di rete, Creare criteri per connessioni wireless o cablate 802.1X mediante la procedura guidata e Criteri di rete


Elenco di controllo: configurare Protezione accesso alla rete

Sono disponibili informazioni su Protezione accesso alla rete nella sezione relativa alla rete nella Raccolta di documentazione tecnica su Windows Server® 2008 e Windows Server® 2008 R2 sul Web. Per ulteriori informazioni, vedere la pagina relativa alla rete all'indirizzo http://go.microsoft.com/fwlink/?LinkId=139900.


Configurare le informazioni sulla porta UDP del Server dei criteri di rete

È possibile utilizzare la procedura seguente per configurare le porte utilizzate da Server dei criteri di rete per il traffico di autenticazione e accounting RADIUS (Remote Authentication Dial-In User Service).

Per impostazione predefinita, il Server dei criteri di rete è in ascolto del traffico RADIUS sulle porte 1812, 1813, 1645 e 1646 per IPv6 e IPv4, per tutte le schede di rete installate.

Nota

Se si disinstalla IPv4 o IPv6 su una scheda di rete, il Server dei criteri di rete non eseguirà il monitoraggio del traffico RADIUS per il protocollo disinstallato.

I valori di porta 1812 per l'autenticazione e 1813 per l'accounting rappresentano le porte standard RADIUS definite nelle RFC 2865 e 2866 da Internet Engineering Task Force (IETF). Per impostazione predefinita, molti server di accesso utilizzano tuttavia la porta 1645 per le richieste di autenticazione e la porta 1646 per le richieste di accounting. Indipendentemente dai numeri di porta che si sceglie di utilizzare, verificare che il Server dei criteri di rete e il server di accesso siano configurati per utilizzare gli stessi numeri.

Importante

Se non vengono utilizzati i numeri di porta RADIUS predefiniti, è necessario configurare eccezioni per il firewall nel computer locale per consentire il traffico RADIUS sulle nuove porte. Per ulteriori informazioni, vedere Server dei criteri di rete e firewall.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare le informazioni sulla porta UDP di Server dei criteri di rete

  1. Aprire la console Server dei criteri di rete.

  2. Fare clic con il pulsante destro del mouse su Server dei criteri di rete e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Porte ed esaminare le impostazioni per le porte. Se le porte UDP per l'autenticazione e l'accounting RADIUS differiscono dai valori predefiniti (1812 e 1645 per l'autenticazione, 1813 e 1646 per l'accounting), immettere le impostazioni delle porte in Autenticazione e Accounting.

  4. Per utilizzare impostazioni di più porte per le richieste di autenticazione o accounting, separare i numeri delle porte con virgole.

Vedere anche

  • Configurare il Server dei criteri di rete in un computer multihomed


Configurare il Server dei criteri di rete in un computer multihomed

Se si utilizzano più schede di rete in un Server dei criteri di rete, è possibile configurare gli elementi seguenti:

  • Schede di rete che inviano e ricevono oppure non inviano e ricevono traffico RADIUS (Remote Authentication Dial-In User Service).

  • Per le singole schede di rete, se il Server dei criteri di rete esegue il monitoraggio del traffico RADIUS su IPv4 (Internet Protocol versione 4), IPv6 o entrambi.

  • I numeri delle porte UDP sulle quali il traffico RADIUS viene inviato e ricevuto per i diversi protocolli (IPv4 o IPv6), in base alle singole schede di rete.

Per impostazione predefinita, il Server dei criteri di rete è in ascolto del traffico RADIUS sulle porte 1812, 1813, 1645 e 1646 per IPv6 e IPv4, per tutte le schede di rete installate. Poiché Server dei criteri di rete utilizza automaticamente tutte le schede di rete per il traffico RADIUS, è necessario specificare le schede di rete che devono essere utilizzate da Server dei criteri di rete per il traffico RADIUS solo quando si desidera impedire a Server dei criteri di rete di utilizzare una scheda di rete specifica.

Nota

Se si disinstalla IPv4 o IPv6 su una scheda di rete, il Server dei criteri di rete non eseguirà il monitoraggio del traffico RADIUS per il protocollo disinstallato.

In un server che esegue Server dei criteri di rete in cui sono installate più schede di rete è possibile configurare Server dei criteri di rete per inviare e ricevere il traffico RADIUS solo sulle schede specificate.

Ad esempio, una scheda di rete installata nel Server dei criteri di rete può condurre a un segmento della rete che non contiene client RADIUS, mentre un'altra scheda di rete può indicare al Server dei criteri di rete un percorso di rete per i client RADIUS configurati. In questo scenario è importante impostare il Server dei criteri di rete in modo che utilizzi la seconda scheda di rete per tutto il traffico RADIUS.

In un altro esempio nel server che esegue Server dei criteri di rete sono installate tre schede di rete, ma si desidera che ne vengano utilizzate solo due per il traffico RADIUS. In tal caso sarà necessario configurare le informazioni della porta solo per le due schede selezionate. Escludendo la configurazione della porta per la terza scheda si impedisce al Server dei criteri di rete di utilizzare tale scheda per il traffico RADIUS.

Utilizzare una scheda di rete

Per configurare Server dei criteri di rete per l'ascolto e l'invio di traffico RADIUS su una scheda di rete, utilizzare la sintassi seguente nella finestra di dialogo Proprietà nella console Server dei criteri di rete:

  • Sintassi per il traffico IPv4: IndirizzoIP:portaUDP, dove IndirizzoIP è l'indirizzo IPv4 configurato sulla scheda di rete tramite la quale si desidera inviare il traffico RADIUS e portaUDP è il numero della porta RADIUS che si desidera utilizzare per l'autenticazione e l'accounting del traffico RADIUS.

  • Sintassi per il traffico IPv6: [IndirizzoIPv6]:portaUDP, dove le parentesi che racchiudono IndirizzoIPv6 sono obbligatorie, IndirizzoIPv6 è l'indirizzo IPv6 configurato sulla scheda di rete tramite la quale si desidera inviare il traffico RADIUS e portaUDP è il numero della porta RADIUS che si desidera utilizzare per il traffico di accounting o autenticazione RADIUS.

I caratteri seguenti possono essere utilizzati come delimitatori per la configurazione dell'indirizzo IP e della porta UDP:

  • Delimitatore indirizzo/porta: due punti (:)

  • Delimitatore porta: virgola (,)

  • Delimitatore interfaccia: punto e virgola (;)

Configurare i server di accesso alla rete

Verificare che i server di accesso alla rete siano configurati con gli stessi numeri di porta UDP RADIUS impostati nei Server dei criteri di rete. Le porte UDP RADIUS standard definite nelle RFC 2865 e 2866 sono 1812 per l'autenticazione e 1813 per l'accounting; tuttavia, per impostazione predefinita alcuni server di accesso sono configurati per l'utilizzo della porta UDP 1645 per le richieste di autenticazione e della porta UDP 1646 per le richieste di accounting.

Importante

Se non vengono utilizzati i numeri di porta RADIUS predefiniti, è necessario configurare eccezioni per il firewall nel computer locale per consentire il traffico RADIUS sulle nuove porte. Per ulteriori informazioni, vedere Server dei criteri di rete e firewall.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per specificare la scheda di rete e le porte UDP utilizzate dal Server dei criteri di rete per il traffico RADIUS

  1. Aprire la console Server dei criteri di rete.

  2. Fare clic con il pulsante destro del mouse su Server dei criteri di rete e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Porte e anteporre l'indirizzo IP della scheda di rete che si desidera utilizzare per il traffico RADIUS ai numeri di porta esistenti. Ad esempio, se si desidera utilizzare l'indirizzo IP 192.168.1.2 e le porte RADIUS 1812 e 1645 per le richieste di autenticazione, modificare l'impostazione della porta da 1812,1645 a 192.168.1.2:1812,1645.

    Se le porte UDP di autenticazione e accounting RADIUS sono diverse dai valori predefiniti, modificare le impostazioni della porta di conseguenza.

  4. Per utilizzare impostazioni di più porte per le richieste di autenticazione o accounting, separare i numeri delle porte con virgole.

Vedere anche

  • Configurare le informazioni sulla porta UDP del Server dei criteri di rete


Configurazione di computer client

Configurazione di computer client

Negli argomenti seguenti vengono fornite informazioni sulla configurazione di client di accesso per l'utilizzo con Server dei criteri di rete.

  • Configurazione di client 802.1X con Criteri di gruppo

  • Distribuire certificati di computer client


Configurazione di client 802.1X con Criteri di gruppo

Le procedure della prima sezione consentono di accedere alle estensioni di Criteri di gruppo per i criteri per reti cablate e wireless. Nelle altre due sezioni è possibile scegliere le procedure per la configurazione dei client tramite le estensioni di Gestione Criteri di gruppo Criteri per reti cablate (IEEE 802.3) e Criteri di rete wireless (IEEE 802.11).

  • Accedere alle estensioni di Criteri di gruppo per connessioni 802.1X cablate e wireless

  • Configurare client di accesso a reti cablate 802.1X tramite Gestione Criteri di gruppo

  • Configurare client di accesso a reti wireless 802.1X tramite Gestione Criteri di gruppo


Accedere alle estensioni di Criteri di gruppo per connessioni 802.1X cablate e wireless

In questa sezione vengono illustrate le procedure per l'attivazione e l'apertura di Criteri per reti cablate (IEEE 802.3) e Criteri di rete wireless (IEEE 802.11), nonché per l'accesso a tali criteri per visualizzarli o modificarli.

Se il criterio a cui si desidera accedere è stato già attivato, sarà sufficiente eseguire le procedure descritte nell'argomento Aprire criteri per reti cablate o wireless per la modifica. In caso contrario, per aprire il criterio desiderato sarà necessario eseguire i passaggi delle prime due procedure in modo da aprire l'oggetto Criteri di gruppo corretto.

  • Aprire oppure aggiungere e aprire un oggetto Criteri di gruppo

  • Attivare criteri per reti cablate o wireless predefiniti

  • Aprire criteri per reti cablate o wireless per la modifica


Aprire oppure aggiungere e aprire un oggetto Criteri di gruppo

Per impostazione predefinita, lo snap-in Gestione Criteri di gruppo viene installato nei computer che eseguono Windows Server 2008 quando viene installato il ruolo server Servizi di dominio Active Directory. In questa procedura viene descritto come aprire Gestione Criteri di gruppo in un controller di dominio che esegue Windows Server 2008. Viene quindi illustrato come aprire per la modifica un oggetto Criteri di gruppo esistente a livello di dominio oppure come creare un nuovo oggetto Criteri di gruppo e aprirlo per la modifica.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per aprire oppure aggiungere e aprire un oggetto Criteri di gruppo

  1. In un controller di dominio che esegue Windows Server 2008 fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Gestione Criteri di gruppo. Verrà visualizzata la console Gestione Criteri di gruppo.

  2. Nel riquadro sinistro fare doppio clic sulla foresta visualizzata. Ad esempio, fare doppio clic su Foresta: example.com.

  3. Nel riquadro sinistro fare doppio clic su Domini e quindi sul dominio contenente l'oggetto Criteri di gruppo che si desidera gestire. Ad esempio, fare doppio clic su example.com.

  4. Eseguire una delle operazioni seguenti:

    • Per aprire un oggetto Criteri di gruppo esistente a livello di dominio per la modifica, fare doppio clic sul dominio contenente l'oggetto Criteri di gruppo che si desidera gestire, fare clic con il pulsante destro del mouse sul criterio di dominio da gestire e quindi scegliere Modifica.

    • Per creare un nuovo oggetto Criteri di gruppo e aprirlo per la modifica, fare clic con il pulsante destro del mouse sul dominio per il quale si desidera creare un nuovo oggetto Criteri di gruppo e quindi scegliere Crea un oggetto Criteri di gruppo in questo dominio e crea qui un collegamento.

      In Nome in Nuovo oggetto Criteri di gruppo digitare un nome per il nuovo oggetto Criteri di gruppo e quindi fare clic su OK.

      Fare clic con il pulsante destro del mouse sul nuovo oggetto Criteri di gruppo e quindi scegliere Modifica. Verrà visualizzato l'Editor Gestione Criteri di gruppo.


Attivare criteri per reti cablate o wireless predefiniti

Questa procedura consente di attivare i criteri predefiniti Criteri per reti cablate (IEEE 802.3) o Criteri di rete wireless (IEEE 802.11) tramite l'Editor Gestione Criteri di gruppo.

Non seguire questa procedura per criteri per reti cablate o wireless già attivati.

Nota

Dopo l'attivazione, un criterio per reti cablate o wireless sarà accessibile solo nel riquadro dei dettagli dell'Editor Gestione Criteri di gruppo selezionando il nodo del criterio per reti cablate o wireless corrispondente. Questo stato resta invariato finché il criterio non viene eliminato, nel qual caso viene ripristinato lo stato inattivo.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per attivare criteri predefiniti per reti cablate o wireless

  1. Nel controller di dominio che esegue Windows Server 2008 eseguire una delle operazioni seguenti:

    • Se l'Editor Gestione Criteri di gruppo è già aperto, andare al passaggio 2.

    • Se invece l'Editor Gestione Criteri di gruppo non è ancora aperto, eseguire le operazioni seguenti:

      1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Gestione Criteri di gruppo. Verrà visualizzato lo snap-in MMC Gestione Criteri di gruppo.

      2. Nel riquadro sinistro fare doppio clic sulla foresta visualizzata. Ad esempio, fare doppio clic su Foresta: example.com.

      3. Nel riquadro sinistro fare doppio clic su Domini e quindi fare doppio clic sul dominio che contiene l'oggetto Criteri di gruppo che si desidera gestire. Ad esempio, fare doppio clic su example.com.

      4. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo a livello di dominio che si desidera gestire e quindi scegliere Modifica. Verrà visualizzato l'Editor Gestione Criteri di gruppo.

  2. Nel riquadro sinistro dell'Editor Gestione Criteri di gruppo fare doppio clic su Configurazione computer, Impostazioni di Windows e quindi Impostazioni sicurezza.

  3. In Impostazioni sicurezza fare clic con il pulsante destro del mouse su Criteri per reti cablate (IEEE 802.3) o Criteri di rete wireless (IEEE 802.11) e quindi scegliere l'opzione appropriata dall'elenco seguente:

    • Per Criteri per reti cablate (IEEE 802.3) scegliere Crea un nuovo criterio per reti cablate per Windows Vista e versioni successive.

    • Per Criteri di rete wireless (IEEE 802.11) per computer che eseguono Windows® 7 e Windows Vista® scegliere Crea un nuovo criterio di rete wireless per Windows Vista e versioni successive.

    • Per Criteri di rete wireless (IEEE 802.11) per computer che eseguono Windows XP scegliere Crea un nuovo criterio di Windows XP.

  4. Verrà visualizzata la finestra di dialogo delle proprietà relativa al criterio selezionato. Fare clic su OK. Il criterio predefinito selezionato verrà attivato ed elencato nel riquadro dei dettagli dell'Editor Gestione Criteri di gruppo.

Per accedere alle proprietà di un criterio, nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul criterio desiderato e quindi scegliere Proprietà.


Aprire criteri per reti cablate o wireless per la modifica

Questa procedura consente di utilizzare l'estensione di Gestione Criteri di gruppo Criteri di rete wireless (IEEE 802.11) per aprire i criteri attivati.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per utilizzare Criteri di rete wireless (IEEE 802.11) per aprire un criterio attivato

  1. Nel controller di dominio con Windows Server 2008 eseguire una delle operazioni seguenti:

    • Se l'Editor Gestione Criteri di gruppo è già aperto, andare al passaggio 2.

    • Se invece l'Editor Gestione Criteri di gruppo non è ancora aperto, eseguire le operazioni seguenti:

      1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Gestione Criteri di gruppo. Verrà visualizzato Gestione Criteri di gruppo.

      2. Nel riquadro sinistro fare doppio clic sulla foresta visualizzata. Ad esempio, fare doppio clic su Foresta: example.com.

      3. Nel riquadro sinistro fare doppio clic su Domini e quindi fare doppio clic sul dominio che contiene l'oggetto Criteri di gruppo che si desidera gestire. Ad esempio, fare doppio clic su example.com.

      4. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo che si desidera gestire e quindi scegliere Modifica. Ad esempio, fare clic con il pulsante destro del mouse su Criteri di dominio predefiniti e quindi scegliere Modifica. Verrà visualizzato l'Editor Gestione Criteri di gruppo.

        Nota

        L'oggetto Criteri di gruppo selezionato deve corrispondere a quello specificato quando è stato attivato Criteri di rete wireless (IEEE 802.11).

  2. Nel riquadro sinistro dell'Editor Gestione criteri di gruppo aprire Configurazione computer, Criteri, Impostazioni di Windows, Impostazioni sicurezza e quindi selezionare Criteri per reti cablate (IEEE 802.3) o Criteri di rete wireless (IEEE 802.11), a seconda dei criteri che si desidera configurare.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse su uno degli elementi seguenti e quindi scegliere Proprietà:

    • Nuovi criteri per reti cablate per i computer con Windows 7, Microsoft Windows Vista o Windows XP con Service Pack 3 che utilizzano le connessioni cablate autenticate con 802.1X nella rete.

    • Nuovo criterio di rete wireless per i computer con Windows 7 o Microsoft Windows Vista che utilizzano connessioni wireless autenticate con 802.1X nella rete.

    • Nuovo criterio XP per reti wireless per i computer con Windows XP che utilizzano connessioni wireless autenticate con 802.1X nella rete.

    Verrà visualizzata la finestra di dialogo delle proprietà relativa al criterio selezionato.

I criteri per reti wireless e cablate non sono necessariamente denominati Nuovi criteri per reti cablate, Nuovo criterio di rete wireless o Nuovo criterio XP per reti wireless nel riquadro dei dettagli dell'Editor Gestione criteri di gruppo. Se il nome del criterio predefinito è stato precedentemente cambiato in un altro nome, tale modifica si rifletterà nel riquadro dei dettagli dell'Editor Gestione criteri di gruppo. I criteri di rete wireless (IEEE 802.11) tuttavia vengono differenziati in base al valore specificato in Tipo, ovvero Vista o XP.


Configurare client di accesso a reti cablate 802.1X tramite Gestione Criteri di gruppo

Le procedure illustrate in questa sezione consentono di configurare Criteri per reti cablate (IEEE 802.3) per computer client con Windows® 7, Windows Vista® e Windows XP con Service Pack 3 che si connettono alla rete Ethernet cablata tramite commutatori di autenticazione 802.1X.

Per impostazione predefinita, è possibile utilizzare Criteri per reti cablate (IEEE 802.3), un'estensione di Criteri di gruppo, per configurare l'autenticazione 802.1X seguente nei computer client di accesso a reti cablate:

  • EAP (Extensible Authentication Protocol), per l'autenticazione basata su smart card o altri certificati.

  • PEAP (Protected EAP), per l'autenticazione basata su smart card o altri certificati.

  • PEAP-MS-CHAP v2 (PEAP-Microsoft Challenge Handshake Authentication Protocol version 2), per l'autenticazione basata su password sicure.

Nelle sezioni seguenti vengono fornite procedure per la configurazione di Criteri per reti cablate (IEEE 802.3) per computer che eseguono Windows® 7, Windows Vista® e Windows XP con Service Pack 3:

  • Configurare client di accesso a reti cablate 802.1X per l'autenticazione PEAP-MS-CHAP v2

  • Configurare client di accesso a reti cablate 802.1X per l'autenticazione PEAP-TLS

  • Configurare client di accesso a reti cablate 802.1X per l'autenticazione EAP-TLS

Per eseguire queste procedure, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Nota

Per informazioni sull'attivazione o l'apertura di Criteri per reti cablate (IEEE 802,3), vedere Accedere alle estensioni di Criteri di gruppo per connessioni 802.1X cablate e wireless.


Configurare client di accesso a reti cablate 802.1X per l'autenticazione PEAP-MS-CHAP v2

Questa procedura consente di configurare un profilo PEAP-MS-CHAP v2 (Protected Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2) per l'autenticazione client tramite password protette.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare un profilo per connessioni cablate PEAP-MS-CHAP v2

  1. Nella scheda Generale eseguire le operazioni seguenti:

    1. In Nome criterio digitare il nome del criterio per reti cablate.

    2. In Descrizione digitare una breve descrizione del criterio.

    3. Verificare che sia selezionata l'opzione Usa servizio di configurazione automatica per reti cablate di Windows per i client.

    4. Per consentire agli utenti di computer che eseguono Windows 7 di immettere e archiviare le proprie credenziali di dominio, ovvero nome utente e password, che potranno essere utilizzate dal computer per la connessione alla rete anche se l'utente non sarà effettivamente connesso, selezionare Consenti credenziali esplicite in Impostazioni criterio Windows 7.

    5. Per specificare la durata per cui i computer che eseguono Windows 7 non potranno effettuare tentativi di connessione automatica alla rete, selezionare Attiva periodo di blocco e quindi in Periodo di blocco (minuti) specificare il numero di minuti desiderato per il periodo di blocco. L'intervallo di minuti valido è compreso tra 1 e 60.

      Nota

      Per ulteriori informazioni sulle impostazioni presenti nelle schede, premere F1 mentre è visualizzata la scheda.

  2. Nella scheda Sicurezza eseguire le operazioni seguenti:

    1. Selezionare Consenti utilizzo dell'autenticazione IEEE 802.1X per l'accesso in rete.

    2. In Selezionare un metodo di autenticazione di rete selezionare Microsoft: PEAP (Protected EAP).

    3. In Modalità autenticazione selezionare quanto riportato di seguito in base alle proprie necessità: Autenticazione utente o computer (scelta consigliata), Autenticazione computer, Autenticazione utente, Autenticazione Guest. L'opzione Autenticazione utente o computer è selezionata per impostazione predefinita.

    4. In Numero massimo errori di autenticazione specificare il numero massimo consentito di tentativi non riusciti prima che l'utente venga informato dell'esito negativo dell'autenticazione. Per impostazione predefinita il valore è impostato su 1.

    5. Per specificare che si desidera che le credenziali utente vengano memorizzate nella cache, selezionare Memorizza informazioni utente per successive connessioni a questa rete.

  3. Per configurare le impostazioni avanzate 802.1X o di Single Sign-On, fare clic su Avanzate. Nella scheda Avanzate eseguire le operazioni seguenti:

    1. Per configurare le impostazioni avanzate 802.1X, selezionare Applica impostazioni avanzate 802.1X e quindi modificare, solo se necessario, le impostazioni per: Numero massimo messaggi di avvio EAPOL, Periodo di sospensione, Periodo di avvio, Periodo di autenticazione e Messaggio di avvio EAPOL.

    2. Per configurare Single Sign-On, selezionare Attiva Single Sign-On per la rete e quindi modificare, se necessario, le impostazioni per:

      • Esegui immediatamente prima dell'accesso utente

      • Esegui immediatamente dopo l'accesso utente

      • Ritardo massimo connettività

      • Consenti visualizzazione di finestre di dialogo aggiuntive durante Single Sign-On

      • La rete utilizza una VLAN diversa per l'autenticazione con credenziali utente e computer

  4. Fare clic su OK. La finestra di dialogo Impostazioni di sicurezza avanzate verrà chiusa e si tornerà alla scheda Sicurezza. Nella scheda Sicurezza fare clic su Proprietà. Verrà visualizzata la finestra di dialogo Proprietà PEAP.

  5. Nella finestra di dialogo Proprietà PEAP eseguire le operazioni seguenti:

    1. Selezionare Convalida certificato server.

    2. Per specificare i server RADIUS (Remote Authentication Dial-In User Service) che dovranno essere utilizzati dai client di accesso a reti cablate per l'autenticazione e l'autorizzazione, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come è visualizzato nel campo dell'oggetto del certificato server. Se si specificano più nomi di server RADIUS, separarli con il punto e virgola.

    3. In Autorità di certificazione radice attendibili selezionare l'Autorità di certificazione radice attendibile che ha emesso il certificato server per il server che esegue Server dei criteri di rete.

      Nota

      Questa impostazione limita ai valori selezionati le CA radice che i client considerano attendibili. Se non vengono selezionate CA radice attendibili, i client considereranno attendibili tutte le CA radice attendibili presenti nel relativo archivio delle Autorità di certificazione radice attendibili.

    4. Per una sicurezza e un'esperienza utente migliori selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili.

    5. In Selezionare il metodo di autenticazione selezionare Password protetta (EAP-MSCHAP v2).

    6. Per specificare l'attivazione della riconnessione rapida PEAP, selezionare Abilita riconnessione rapida.

    7. Per impostare l'esecuzione di controlli di integrità del sistema nei client per garantire che soddisfino i requisiti di integrità necessari prima di autorizzare connessioni alla rete, selezionare Imponi Protezione accesso alla rete.

    8. Per richiedere il TLV di cryptobinding, selezionare Disconnetti se il server non presenta TLV di cryptobinding.

    9. Per configurare i client affinché non inviino l'identità in testo normale prima dell'autenticazione con il server RADIUS, selezionare Consenti privacy identità e in Identità anonima digitare un nome o un valore oppure lasciare vuoto il campo.

      Se ad esempio Consenti privacy identità è selezionato e si utilizza "guest" come valore per l'identità anonima, la risposta di identità per un utente con identità alice@realm sarà guest@realm. Se si seleziona Consenti privacy identità ma non si specifica un valore per l'identità anonima, la risposta di identità sarà @realm.

    10. Fare clic su OK per salvare le impostazioni di Proprietà PEAP e quindi di nuovo su OK per salvare il criterio.


Configurare client di accesso a reti cablate 802.1X per l'autenticazione PEAP-TLS

Questa procedura consente di configurare un profilo PEAP-TLS (Protected Extensible Authentication Protocol-Transport Layer Security) per l'autenticazione client mediante smart card o altri certificati.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare un profilo per connessioni cablate PEAP-TLS

  1. Nella scheda Generale eseguire le operazioni seguenti:

    1. In Nome criterio digitare il nome del criterio per reti cablate.

    2. In Descrizione digitare una breve descrizione del criterio.

    3. Verificare che sia selezionata l'opzione Usa servizio di configurazione automatica per reti cablate di Windows per i client.

    4. Per consentire agli utenti di computer che eseguono Windows 7 di immettere e archiviare le proprie credenziali di dominio, ovvero nome utente e password, che potranno essere utilizzate dal computer per la connessione alla rete anche se l'utente non sarà effettivamente connesso, selezionare Consenti credenziali esplicite in Impostazioni criterio Windows 7.

    5. Per specificare la durata per cui i computer che eseguono Windows 7 non potranno effettuare tentativi di connessione automatica alla rete, selezionare Attiva periodo di blocco e quindi in Periodo di blocco (minuti) specificare il numero di minuti desiderato per il periodo di blocco. L'intervallo di minuti valido è compreso tra 1 e 60.

      Nota

      Per ulteriori informazioni sulle impostazioni presenti nelle schede, premere F1 mentre è visualizzata la scheda.

  2. Nella scheda Sicurezza eseguire le operazioni seguenti:

    1. Selezionare Consenti utilizzo dell'autenticazione IEEE 802.1X per l'accesso in rete.

    2. In Selezionare un metodo di autenticazione di rete selezionare Microsoft: PEAP (Protected EAP).

    3. In Modalità autenticazione selezionare quanto riportato di seguito in base alle proprie necessità: Autenticazione utente o computer, Autenticazione computer, Autenticazione utente, Autenticazione Guest. L'opzione Autenticazione utente o computer è selezionata per impostazione predefinita.

    4. In Numero massimo errori di autenticazione specificare il numero massimo consentito di tentativi non riusciti prima che l'utente venga informato dell'esito negativo dell'autenticazione. Per impostazione predefinita il valore è impostato su 1.

    5. Per specificare che si desidera che le credenziali utente vengano memorizzate nella cache, selezionare Memorizza informazioni utente per successive connessioni a questa rete.

  3. Per configurare le impostazioni avanzate 802.1X o di Single Sign-On, fare clic su Avanzate. Nella scheda Avanzate eseguire le operazioni seguenti:

    1. Per configurare le impostazioni avanzate 802.1X, selezionare Applica impostazioni avanzate 802.1X e quindi modificare, solo se necessario, le impostazioni per: Numero massimo messaggi di avvio EAPOL, Periodo di sospensione, Periodo di avvio, Periodo di autenticazione e Messaggio di avvio EAPOL.

    2. Per configurare Single Sign-On, selezionare Attiva Single Sign-On per la rete e quindi modificare, se necessario, le impostazioni per:

      • Esegui immediatamente prima dell'accesso utente

      • Esegui immediatamente dopo l'accesso utente

      • Ritardo massimo connettività

      • Consenti visualizzazione di finestre di dialogo aggiuntive durante Single Sign-On

      • La rete utilizza una VLAN diversa per l'autenticazione con credenziali utente e computer

  4. Fare clic su OK. La finestra di dialogo Impostazioni di sicurezza avanzate verrà chiusa e si tornerà alla scheda Sicurezza. Nella scheda Sicurezza fare clic su Proprietà. Verrà visualizzata la finestra di dialogo Proprietà PEAP.

  5. Nella finestra di dialogo Proprietà PEAP eseguire le operazioni seguenti:

    1. Selezionare Convalida certificato server.

    2. Per specificare i server RADIUS (Remote Authentication Dial-In User Service) che devono essere utilizzati dai client di accesso a reti cablate per l'autenticazione e le autorizzazioni, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come viene visualizzato nel campo dell'oggetto del certificato del server. Se si specificano più nomi di server RADIUS, separarli con il punto e virgola.

    3. In Autorità di certificazione radice attendibili selezionare l'Autorità di certificazione radice attendibile che ha emesso il certificato server per i server che eseguono Server dei criteri di rete.

      Nota

      Questa impostazione limita ai valori selezionati le CA radice che i client considerano attendibili. Se non vengono selezionate CA radice attendibili, i client considereranno attendibili tutte le CA radice attendibili presenti nel relativo archivio delle Autorità di certificazione radice attendibili.

    4. Per una sicurezza e un'esperienza utente migliori selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili.

    5. In Selezionare il metodo di autenticazione selezionare Smart card o altro certificato.

    6. Per abilitare la riconnessione rapida PEAP, selezionare Abilita riconnessione rapida.

    7. Per impostare l'esecuzione di controlli di integrità del sistema nei client per garantire che soddisfino i requisiti di integrità necessari prima di autorizzare connessioni alla rete, selezionare Imponi Protezione accesso alla rete.

    8. Per richiedere il metodo TLV di cryptobinding, selezionare Disconnetti se il server non presenta TLV di cryptobinding.

    9. Per configurare i client affinché non inviino l'identità in testo normale prima dell'autenticazione con il server RADIUS, selezionare Consenti privacy identità e in Identità anonima digitare un nome o un valore oppure lasciare vuoto il campo.

      Se ad esempio Consenti privacy identità è selezionato e si utilizza "guest" come valore per l'identità anonima, la risposta di identità per un utente con identità alice@realm sarà guest@realm. Se si seleziona Consenti privacy identità ma non si specifica un valore per l'identità anonima, la risposta di identità sarà @realm.

    10. Per configurare le proprietà PEAP-TLS, fare clic su Configura e in Proprietà smart card o altro certificato configurare gli elementi seguenti in base alle specifiche esigenze:

      • In Per la connessione selezionare Utilizza la smart card oppure selezionare le opzioni Utilizza un certificato su questo computer e Utilizza selezione certificati semplice (opzione consigliata).

      • Per richiedere la convalida del certificato del Server dei criteri di rete ai client di accesso, selezionare Convalida certificato server.

      • Per specificare i server RADIUS che devono essere utilizzati dai client di accesso a reti cablate per l'autenticazione e le autorizzazioni, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come viene visualizzato nel campo dell'oggetto del certificato del server. Per specificare più nomi di server RADIUS separarli con punti e virgola.

      • In Autorità di certificazione radice attendibili selezionare la CA che ha emesso i certificati server per i Server dei criteri di rete nella rete.

      • Per specificare che i client devono utilizzare un nome alternativo per il tentativo di accesso, selezionare Utilizza un nome utente diverso per la connessione.

      • Per evitare che venga richiesto agli utenti di autorizzare un certificato server se tale certificato non è configurato correttamente e/o non è già considerato attendibile, selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili (scelta consigliata).

      • Fare clic su OK per chiudere la finestra di dialogo Proprietà smart card o altro certificato e quindi fare di nuovo clic su OK per chiudere la finestra di dialogo Proprietà PEAP. Si tornerà alla finestra di dialogo Proprietà - Nuovi criteri per reti cablate.


Configurare client di accesso a reti cablate 802.1X per l'autenticazione EAP-TLS

Questa procedura consente di configurare un profilo EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) per l'autenticazione mediante smart card o altri certificati.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare un profilo EAP-TLS per connessioni cablate

  1. Nella scheda Generale eseguire le operazioni seguenti:

    1. In Nome criterio digitare il nome del criterio per reti cablate.

    2. In Descrizione digitare una breve descrizione del criterio.

    3. Verificare che sia selezionata l'opzione Usa servizio di configurazione automatica per reti cablate di Windows per i client.

    4. Per consentire agli utenti di computer che eseguono Windows 7 di immettere e archiviare le proprie credenziali di dominio, ovvero nome utente e password, che potranno essere utilizzate dal computer per la connessione alla rete anche se l'utente non sarà effettivamente connesso, selezionare Consenti credenziali esplicite in Impostazioni criterio Windows 7.

    5. Per specificare la durata per cui i computer che eseguono Windows 7 non potranno effettuare tentativi di connessione automatica alla rete, selezionare Attiva periodo di blocco e quindi in Periodo di blocco (minuti) specificare il numero di minuti desiderato per il periodo di blocco. L'intervallo di minuti valido è compreso tra 1 e 60.

      Nota

      Per ulteriori informazioni sulle impostazioni presenti nelle schede, premere F1 mentre è visualizzata la scheda.

  2. Nella scheda Sicurezza eseguire le operazioni seguenti:

    1. Selezionare Consenti utilizzo dell'autenticazione IEEE 802.1X per l'accesso in rete.

    2. In Selezionare un metodo di autenticazione di rete selezionare Smart card o altro certificato.

    3. In Modalità autenticazione selezionare quanto riportato di seguito in base alle proprie necessità: Autenticazione utente o computer, Autenticazione computer, Autenticazione utente, Autenticazione Guest. L'opzione Autenticazione utente o computer è selezionata per impostazione predefinita.

    4. In Numero massimo errori di autenticazione specificare il numero massimo consentito di tentativi non riusciti prima che l'utente venga informato dell'esito negativo dell'autenticazione. Per impostazione predefinita il valore è impostato su 1.

    5. Per specificare che si desidera che le credenziali utente vengano memorizzate nella cache, selezionare Memorizza informazioni utente per successive connessioni a questa rete.

  3. Per configurare le impostazioni avanzate 802.1X o di Single Sign-On, fare clic su Avanzate. Nella scheda Avanzate eseguire le operazioni seguenti:

    1. Per configurare le impostazioni avanzate 802.1X, selezionare Applica impostazioni avanzate 802.1X e quindi modificare, solo se necessario, le impostazioni per: Numero massimo messaggi di avvio EAPOL, Periodo di sospensione, Periodo di avvio, Periodo di autenticazione e Messaggio di avvio EAPOL.

    2. Per configurare Single Sign-On, selezionare Attiva Single Sign-On per la rete e quindi modificare, se necessario, le impostazioni per:

      • Esegui immediatamente prima dell'accesso utente

      • Esegui immediatamente dopo l'accesso utente

      • Ritardo massimo connettività

      • Consenti visualizzazione di finestre di dialogo aggiuntive durante Single Sign-On

      • La rete utilizza una VLAN diversa per l'autenticazione con credenziali utente e computer

  4. Fare clic su OK. La finestra di dialogo Impostazioni di sicurezza avanzate verrà chiusa e si tornerà alla scheda Sicurezza. Nella scheda Sicurezza fare clic su Proprietà. Verrà visualizzata la finestra di dialogo Proprietà smart card o altro certificato.

  5. Nella finestra di dialogo Proprietà smart card o altro certificato eseguire le operazioni seguenti:

    1. In Per la connessione selezionare Utilizza la smart card oppure selezionare le opzioni Utilizza un certificato su questo computer e Utilizza selezione certificati semplice (opzione consigliata).

    2. Selezionare Convalida certificato server.

    3. Per specificare i server RADIUS (Remote Authentication Dial-In User Service) che devono essere utilizzati dai client di accesso a reti cablate per l'autenticazione e le autorizzazioni, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come viene visualizzato nel campo dell'oggetto del certificato del server. Se si specificano più nomi di server RADIUS, separarli con il punto e virgola.

    4. In Autorità di certificazione radice attendibili selezionare l'Autorità di certificazione radice attendibile che ha emesso il certificato server per il server che esegue Server dei criteri di rete.

      Nota

      Questa impostazione limita ai valori selezionati le CA radice che i client considerano attendibili. Se non vengono selezionate CA radice attendibili, i client considereranno attendibili tutte le CA radice attendibili presenti nel relativo archivio di Autorità di certificazione radice attendibili.

    5. Per specificare che i client devono utilizzare un nome alternativo per il tentativo di accesso, selezionare Utilizza un nome utente diverso per la connessione.

    6. Per una sicurezza e un'esperienza utente migliori selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili.

    7. Fare clic su OK per salvare le impostazioni di Proprietà smart card o altro certificato. Fare di nuovo clic su OK per tornare alla finestra di dialogo Proprietà - Nuovi criteri per reti cablate.


Configurare client di accesso a reti wireless 802.1X tramite Gestione Criteri di gruppo

Le procedure illustrate in questa sezione consentono di configurare Criteri di rete wireless (IEEE 802.11) per computer client che eseguono Windows® 7, Windows Vista® e Windows XP con Service Pack 3 (SP3) che si connettono alla rete wireless tramite punti di accesso wireless che supportano 802.1X.

Per impostazione predefinita, è possibile utilizzare le due estensioni di Gestione Criteri di gruppo wireless, ovvero Nuovi criteri di rete wireless (IEEE 802.11) di Microsoft Windows Vista e Criteri di rete wireless XP (IEEE 802.11), per configurare l'autenticazione 802.1X seguente:

  • EAP-TLS (Extensible Authentication Protocol-Transport Layer Security), per l'autenticazione basata su smart card o altri certificati.

  • PEAP-TLS (Protected EAP-TLS), per l'autenticazione basata su smart card o altri certificati.

  • PEAP-MS-CHAP v2 (PEAP-Microsoft Challenge Handshake Authentication Protocol version 2), per l'autenticazione basata su password sicure.

I computer che eseguono Windows 7 e Microsoft Windows Vista possono essere configurati utilizzando Nuovo criterio di rete wireless. È possibile utilizzare Nuovo criterio di rete wireless per configurare computer che eseguono Windows XP. Poiché sono disponibili criteri separati per la configurazione di computer che eseguono Windows XP e di computer che eseguono Microsoft Windows Vista e versioni successive di Windows, le procedure per la configurazione dell'autenticazione 802.1X per client di accesso a reti wireless 802.1X tramite Gestione Criteri di gruppo sono suddivise in due sezioni:

  • Configurare client di accesso a reti wireless 802.1X che eseguono Windows 7 e Windows Vista

  • Configurare client di accesso a reti wireless 802.1X che eseguono Windows XP

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Nota

Per informazioni sull'attivazione o l'apertura di Criteri di rete wireless (IEEE 802.11), vedere Accedere alle estensioni di Criteri di gruppo per connessioni 802.1X cablate e wireless.


Configurare client di accesso a reti wireless 802.1X che eseguono Windows 7 e Windows Vista

Le procedure illustrate in questa sezione consentono di configurare il nuovo criterio di rete wireless per computer client che eseguono Windows® 7 e Windows Vista® che si connettono alla rete wireless tramite punti di accesso wireless che supportano 802.1X.

Per eseguire queste procedure, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

  • Configurare client wireless che eseguono Windows 7 e Windows Vista per l'autenticazione PEAP-MS-CHAP v2

  • Configurare client wireless che eseguono Windows 7 e Windows Vista per l'autenticazione PEAP-TLS

  • Configurare client wireless che eseguono Windows 7 e Windows Vista per l'autenticazione EAP-TLS

  • Configurare autorizzazioni di rete e preferenze di connessione


Configurare client wireless che eseguono Windows 7 e Windows Vista per l'autenticazione PEAP-MS-CHAP v2

Questa procedura consente di configurare un profilo wireless PEAP-MS-CHAP v2 (Protected Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2).

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare un profilo wireless PEAP-MS-CHAP v2 per computer che eseguono Windows 7 e Windows Vista

  1. Aprire la finestra di dialogo Proprietà - Nuovo criterio di rete wireless.

  2. Nella scheda Generale in Nome criterio digitare un nuovo nome per il criterio o mantenere il valore predefinito.

  3. In Descrizione digitare una descrizione del criterio.

  4. Selezionare Usa Servizio configurazione automatica WLAN di Windows per i client per specificare che per configurare le impostazioni delle schede di rete wireless verrà utilizzato il servizio Configurazione automatica WLAN.

  5. Nella scheda Generale eseguire una delle operazioni seguenti:

    • Per aggiungere e configurare un nuovo profilo, fare clic su Aggiungi e quindi selezionare Infrastruttura.

    • Per modificare un profilo esistente, selezionare il profilo desiderato e quindi fare clic su Modifica.

  6. Se si aggiunge un nuovo profilo, in Nome profilo nella scheda Connessione digitare un nome per il profilo. Se si modifica un profilo già aggiunto in precedenza, utilizzare il nome del profilo esistente oppure modificarlo in base alle necessità.

  7. In Nome(i) rete (SSID) digitare l'identificatore del set di servizi (SSID) per i punti di accesso wireless e quindi fare clic su Aggiungi.

    Se nella distribuzione in uso sono presenti più SSID e ogni punto di accesso wireless utilizza le stesse impostazioni di sicurezza wireless, ripetere questo passaggio per aggiungere l'SSID per ogni punto di accesso wireless a cui si desidera applicare il profilo.

    Se nella distribuzione in uso sono presenti più SSID e le impostazioni di sicurezza non sono uguali per tutti gli SSID, configurare un profilo distinto per ogni gruppo di SSID che utilizza le stesse impostazioni di sicurezza. Se ad esempio è presente un gruppo di punti di accesso wireless configurato per utilizzare WPA2-Enterprise e AES e un altro gruppo di punti di accesso wireless che utilizza WPA-Enterprise e TKIP, configurare un profilo per ogni gruppo di punti di accesso wireless.

  8. Per specificare che i client wireless dovranno connettersi automaticamente ai punti di accesso wireless per cui l'SSID è specificato in Nome(i) rete (SSID), selezionare Connetti automaticamente quando la rete si trova nel campo del computer.

  9. Per specificare che i client wireless dovranno connettersi automaticamente alle reti in ordine di preferenza, selezionare Connetti a una rete con preferenza superiore, se disponibile.

  10. Se sono stati distribuiti punti di accesso wireless configurati per non utilizzare il beacon di broadcast, selezionare Connetti anche se la rete non sta trasmettendo.

    Sicurezza Nota

    L'attivazione di questa opzione può creare un rischio per la sicurezza perché i client wireless eseguiranno il probe e tenteranno la connessione a qualsiasi rete wireless. Per impostazione predefinita, l'impostazione è disattivata.

  11. Fare clic sulla scheda Sicurezza. In Selezionare i metodi di sicurezza per la rete selezionare WPA2-Enterprise per Autenticazione se è supportato dal punto di accesso wireless e dalle schede di rete dei client wireless. In caso contrario, selezionare WPA-Enterprise.

    Nota

    Se si seleziona WPA2 verranno visualizzate impostazioni per Roaming veloce non disponibili per WPA. Le impostazioni predefinite per il roaming veloce sono sufficienti per la maggior parte delle distribuzioni wireless.

  12. In Crittografia selezionare AES se è supportato dal punto di accesso wireless e dalle schede di rete dei client wireless. In caso contrario, selezionare TKIP.

    Nota

    Le impostazioni di Autenticazione e Crittografia devono corrispondere a quelle configurate nel punto di accesso wireless.

  13. In Selezionare un metodo di autenticazione di rete selezionare Microsoft: PEAP (Protected EAP).

  14. In Modalità autenticazione selezionare quanto riportato di seguito in base alle proprie necessità: Autenticazione utente o computer, Autenticazione computer, Autenticazione utente, Autenticazione Guest. L'opzione Autenticazione utente o computer è selezionata per impostazione predefinita.

  15. In Numero massimo errori di autenticazione specificare il numero massimo consentito di tentativi non riusciti prima che l'utente venga informato dell'esito negativo dell'autenticazione. Per impostazione predefinita il valore è impostato su 1.

  16. Per specificare che si desidera che le credenziali utente vengano memorizzate nella cache, selezionare Memorizza informazioni utente per successive connessioni a questa rete.

  17. Fare clic su Avanzate e quindi configurare le impostazioni seguenti:

    1. Per configurare le impostazioni 802.1X avanzate, in IEEE 802.1X selezionare Applica impostazioni avanzate 802.1X e quindi configurare le impostazioni seguenti in base alle necessità: Numero massimo messaggi di avvio EAPOL, Periodo di sospensione, Periodo di avvio e Periodo di autenticazione.

      I valori predefiniti sono sufficienti per la maggior parte delle distribuzioni wireless se vengono applicate le impostazioni 802.1X avanzate.

    2. Per attivare Single Sign-On, selezionare Attiva Single Sign-On per la rete.

    3. Per specificare quando dovrà essere eseguito Single Sign-On, selezionare Esegui immediatamente prima dell'accesso utente o Esegui immediatamente dopo l'accesso utente, in base alle necessità.

      Gli altri valori predefiniti di Single Sign-On sono sufficienti per tutte le distribuzioni wireless tipiche.

    4. Per specificare l'intervallo di tempo massimo, in secondi, che l'autenticazione 802.1X può impiegare per completare e autorizzare l'accesso alla rete, immettere un valore in Ritardo massimo connettività (secondi) in base alle necessità.

    5. Per consentire la visualizzazione di finestre di dialogo durante Single Sign-On, selezionare Consenti visualizzazione di finestre di dialogo aggiuntive durante Single Sign-On.

    6. Per specificare che all'avvio i computer wireless verranno inseriti in una rete locale virtuale (VLAN, Virtual Local Area Network) mentre dopo l'accesso dell'utente al computer passeranno in una rete diversa, selezionare La rete utilizza una VLAN diversa per l'autenticazione con credenziali utente e computer.

    7. Per abilitare il roaming veloce, selezionare Consenti memorizzazione nella cache Pairwise Master Key (PMK) in Roaming veloce. I valori predefiniti di Durata (TTL) PMK (minuti) e Numero di voci nella cache PMK sono in genere sufficienti per il roaming veloce.

    8. Se il punto di accesso wireless è configurato per la preautenticazione, selezionare La rete utilizza la preautenticazione. Il valore predefinito 3 di Numero massimo tentativi di preautenticazione è in genere sufficiente.

    9. Per specificare che la crittografia dovrà essere conforme alla modalità certificata FIPS 140-2, selezionare Esegui crittografia in modalità certificata FIPS 140-2.

  18. Fare clic su OK per salvare le impostazioni e tornare alla scheda Sicurezza.

  19. Fare clic su Proprietà. Verrà visualizzata la finestra di dialogo Proprietà PEAP.

  20. Verificare che l'opzione Convalida certificato server sia selezionata in Proprietà PEAP.

  21. In Autorità di certificazione radice attendibili selezionare l'Autorità di certificazione radice attendibile che ha emesso il certificato server per il server che esegue Server dei criteri di rete.

    Nota

    Questa impostazione limita alle CA selezionate le CA radice attendibili che i client considerano attendibili. Se non vengono selezionate CA radice attendibili, i client considereranno attendibili tutte le CA radice presenti nel relativo archivio delle Autorità di certificazione radice attendibili.

  22. Per specificare i server RADIUS (Remote Authentication Dial-In User Service) che dovranno essere utilizzati dai client di accesso a reti cablate per l'autenticazione e l'autorizzazione, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come è visualizzato nel campo dell'oggetto del certificato server. Se si specificano più nomi di server RADIUS, separarli con il punto e virgola.

  23. Per una sicurezza e un'esperienza utente migliori selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili.

  24. In Selezionare il metodo di autenticazione selezionare Password protetta (EAP-MSCHAP v2).

  25. Per abilitare la riconnessione rapida PEAP, selezionare Abilita riconnessione rapida.

  26. Per impostare l'esecuzione di controlli di integrità del sistema nei client per garantire che soddisfino i requisiti di integrità necessari prima di autorizzare connessioni alla rete, selezionare Imponi Protezione accesso alla rete.

  27. Per richiedere il TLV di cryptobinding, selezionare Disconnetti se il server non presenta TLV di cryptobinding.

  28. Per configurare i client affinché non inviino l'identità in testo normale prima dell'autenticazione con il server RADIUS, selezionare Consenti privacy identità e quindi in Identità anonima digitare un nome o un valore oppure lasciare vuoto il campo.

    Se ad esempio Consenti privacy identità è selezionato e si utilizza "guest" come valore per l'identità anonima, la risposta di identità per un utente con identità alice@realm sarà guest@realm. Se si seleziona Consenti privacy identità ma non si specifica un valore per l'identità anonima, la risposta di identità sarà @realm.

  29. Fare clic su Configura. Nella finestra di dialogo Proprietà EAP MSCHAPv2 verificare che l'opzione Utilizza automaticamente il nome utente, la password e, se disponibile, il dominio di accesso a Windows sia selezionata, fare clic su OK e quindi su OK per chiudere Proprietà PEAP.

  30. Fare clic su OK per salvare le impostazioni e chiudere la scheda Sicurezza e quindi fare di nuovo clic su OK per chiudere i criteri Vista per reti wireless.


Configurare client wireless che eseguono Windows 7 e Windows Vista per l'autenticazione PEAP-TLS

Questa procedura consente di configurare un profilo PEAP-TLS (Protected Extensible Authentication Protocol-Transport Layer Security) per l'autenticazione mediante smart card o altri certificati.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare un profilo wireless PEAP-TLS per computer che eseguono Windows 7 e Windows Vista

  1. Aprire la finestra di dialogo Proprietà - Nuovo criterio di rete wireless.

  2. Nella scheda Generale in Nome criterio digitare un nuovo nome per il criterio o mantenere il valore predefinito.

  3. In Descrizione digitare una descrizione del criterio.

  4. Selezionare Usa Servizio configurazione automatica WLAN di Windows per i client per specificare che per configurare le impostazioni delle schede di rete wireless verrà utilizzato il servizio Configurazione automatica WLAN.

  5. Nella scheda Generale eseguire una delle operazioni seguenti:

    • Per aggiungere e configurare un nuovo profilo, fare clic su Aggiungi e quindi selezionare Infrastruttura.

    • Per modificare un profilo esistente, selezionare il profilo desiderato e quindi fare clic su Modifica.

  6. Se si aggiunge un nuovo profilo, in Nome profilo nella scheda Connessione digitare un nome per il profilo. Se si modifica un profilo già aggiunto in precedenza, utilizzare il nome del profilo esistente oppure modificarlo in base alle necessità.

  7. In Nome(i) rete (SSID) digitare l'identificatore del set di servizi (SSID) per i punti di accesso wireless e quindi fare clic su Aggiungi.

    Se nella distribuzione in uso sono presenti più SSID e ogni punto di accesso wireless utilizza le stesse impostazioni di sicurezza wireless, ripetere questo passaggio per aggiungere l'SSID per ogni punto di accesso wireless a cui si desidera applicare il profilo.

    Se nella distribuzione in uso sono presenti più SSID e le impostazioni di sicurezza non sono uguali per tutti gli SSID, configurare un profilo distinto per ogni gruppo di SSID che utilizza le stesse impostazioni di sicurezza. Se ad esempio è presente un gruppo di punti di accesso wireless configurato per utilizzare WPA2-Enterprise e AES e un altro gruppo di punti di accesso wireless che utilizza WPA-Enterprise e TKIP, configurare un profilo per ogni gruppo di punti di accesso wireless.

  8. Per specificare che i client wireless dovranno connettersi automaticamente ai punti di accesso wireless per cui l'SSID è specificato in Nome(i) rete (SSID), selezionare Connetti automaticamente quando la rete si trova nel campo del computer.

  9. Per specificare che i client wireless dovranno connettersi automaticamente alle reti in ordine di preferenza, selezionare Connetti a una rete con preferenza superiore, se disponibile.

  10. Se sono stati distribuiti punti di accesso wireless configurati per non utilizzare il beacon di broadcast, selezionare Connetti anche se la rete non sta trasmettendo.

    Sicurezza Nota

    L'attivazione di questa opzione può creare un rischio per la sicurezza perché i client wireless eseguiranno il probe e tenteranno la connessione a qualsiasi rete wireless. Per impostazione predefinita, l'impostazione è disattivata.

  11. Fare clic sulla scheda Sicurezza. In Selezionare i metodi di sicurezza per la rete selezionare WPA2-Enterprise per Autenticazione se è supportato dal punto di accesso wireless e dalle schede di rete dei client wireless. In caso contrario, selezionare WPA-Enterprise.

    Nota

    Se si seleziona WPA2 verranno visualizzate impostazioni per Roaming veloce non disponibili per WPA. Le impostazioni predefinite per il roaming veloce sono sufficienti per la maggior parte delle distribuzioni wireless.

  12. In Crittografia selezionare AES se è supportato dal punto di accesso wireless e dalle schede di rete dei client wireless. In caso contrario, selezionare TKIP.

    Nota

    Le impostazioni di Autenticazione e Crittografia devono corrispondere a quelle configurate nel punto di accesso wireless.

  13. In Selezionare un metodo di autenticazione di rete selezionare Microsoft: PEAP (Protected EAP).

  14. In Modalità autenticazione selezionare quanto riportato di seguito in base alle proprie necessità: Autenticazione utente o computer, Autenticazione computer, Autenticazione utente, Autenticazione Guest. L'opzione Autenticazione utente o computer è selezionata per impostazione predefinita.

  15. In Numero massimo errori di autenticazione specificare il numero massimo consentito di tentativi non riusciti prima che l'utente venga informato dell'esito negativo dell'autenticazione. Per impostazione predefinita questo valore è impostato su 1.

  16. Per specificare che si desidera che le credenziali utente vengano memorizzate nella cache, selezionare Memorizza informazioni utente per successive connessioni a questa rete.

  17. Fare clic su Avanzate e quindi configurare le impostazioni seguenti:

    1. Per configurare le impostazioni 802.1X avanzate, in IEEE 802.1X selezionare Applica impostazioni avanzate 802.1X e quindi configurare le impostazioni seguenti in base alle necessità: Numero massimo messaggi di avvio EAPOL, Periodo di sospensione, Periodo di avvio e Periodo di autenticazione.

      I valori predefiniti sono sufficienti per la maggior parte delle distribuzioni wireless se vengono applicate le impostazioni 802.1X avanzate.

    2. Per attivare Single Sign-On, selezionare Attiva Single Sign-On per la rete.

    3. Per specificare quando dovrà essere eseguito Single Sign-On, selezionare Esegui immediatamente prima dell'accesso utente o Esegui immediatamente dopo l'accesso utente, in base alle necessità.

      Gli altri valori predefiniti di Single Sign-On sono sufficienti per tutte le distribuzioni wireless tipiche.

    4. Per specificare l'intervallo di tempo massimo, in secondi, che l'autenticazione 802.1X può impiegare per completare e autorizzare l'accesso alla rete, immettere un valore in Ritardo massimo connettività (secondi) in base alle necessità.

    5. Per consentire la visualizzazione di finestre di dialogo durante Single Sign-On, selezionare Consenti visualizzazione di finestre di dialogo aggiuntive durante Single Sign-On.

    6. Per specificare che all'avvio i computer wireless verranno inseriti in una rete locale virtuale (VLAN, Virtual Local Area Network) mentre dopo l'accesso dell'utente al computer passeranno in una rete diversa, selezionare La rete utilizza una VLAN diversa per l'autenticazione con credenziali utente e computer.

    7. Per abilitare il roaming veloce, selezionare Consenti memorizzazione nella cache Pairwise Master Key (PMK) in Roaming veloce. I valori predefiniti di Durata (TTL) PMK (minuti) e Numero di voci nella cache PMK sono in genere sufficienti per il roaming veloce.

    8. Se il punto di accesso wireless è configurato per la preautenticazione, selezionare La rete utilizza la preautenticazione. Il valore predefinito 3 di Numero massimo tentativi di preautenticazione è in genere sufficiente.

    9. Per specificare che la crittografia dovrà essere conforme alla modalità certificata FIPS 140-2, selezionare Esegui crittografia in modalità certificata FIPS 140-2.

  18. Fare clic su OK per salvare le impostazioni e tornare alla scheda Sicurezza.

  19. Fare clic su Proprietà. Verrà visualizzata la finestra di dialogo Proprietà PEAP.

  20. Verificare che l'opzione Convalida certificato server sia selezionata in Proprietà PEAP.

  21. In Autorità di certificazione radice attendibili selezionare l'Autorità di certificazione radice attendibile che ha emesso il certificato server per il server che esegue Server dei criteri di rete.

    Nota

    Questa impostazione limita alle CA selezionate le CA radice attendibili che i client considerano attendibili. Se non vengono selezionate CA radice attendibili, i client considereranno attendibili tutte le CA radice presenti nel relativo archivio delle Autorità di certificazione radice attendibili.

  22. Per specificare i server RADIUS (Remote Authentication Dial-In User Service) che dovranno essere utilizzati dai client di accesso a reti cablate per l'autenticazione e l'autorizzazione, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come è visualizzato nel campo dell'oggetto del certificato server. Se si specificano più nomi di server RADIUS, separarli con il punto e virgola.

  23. Per una sicurezza e un'esperienza utente migliori selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili.

  24. In Selezionare il metodo di autenticazione selezionare Smart card o altro certificato.

  25. Per abilitare la riconnessione rapida PEAP, selezionare Abilita riconnessione rapida.

  26. Per impostare l'esecuzione di controlli di integrità del sistema nei client per garantire che soddisfino i requisiti di integrità necessari prima di autorizzare connessioni alla rete, selezionare Imponi Protezione accesso alla rete.

  27. Per richiedere il TLV di cryptobinding, selezionare Disconnetti se il server non presenta TLV di cryptobinding.

  28. Per configurare i client affinché non inviino l'identità in testo normale prima dell'autenticazione con il server RADIUS, selezionare Consenti privacy identità e quindi in Identità anonima digitare un nome o un valore oppure lasciare vuoto il campo.

    Se ad esempio Consenti privacy identità è selezionato e si utilizza "guest" come valore per l'identità anonima, la risposta di identità per un utente con identità alice@realm sarà guest@realm. Se si seleziona Consenti privacy identità ma non si specifica un valore per l'identità anonima, la risposta di identità sarà @realm.

  29. Fare clic su Configura. In Per la connessione nella finestra di dialogo Proprietà smart card o altro certificato selezionare Utilizza la smart card oppure selezionare entrambe le opzioni Utilizza un certificato su questo computer e Utilizza selezione certificati semplice (opzione consigliata).

  30. Per richiedere la convalida del certificato del Server dei criteri di rete ai client di accesso, selezionare Convalida certificato server.

  31. Per specificare i server RADIUS che devono essere utilizzati dai client di accesso a reti cablate per l'autenticazione e le autorizzazioni, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come viene visualizzato nel campo dell'oggetto del certificato del server. Per specificare più nomi di server RADIUS separarli con punti e virgola.

  32. In Autorità di certificazione radice attendibili selezionare la CA che ha emesso i certificati per i server che eseguono Server dei criteri di rete.

  33. Per specificare che i client devono utilizzare un nome alternativo per il tentativo di accesso, selezionare Utilizza un nome utente diverso per la connessione.

  34. Per evitare che venga richiesto agli utenti di autorizzare un certificato server se tale certificato non è configurato correttamente e/o non è già considerato attendibile, selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili (scelta consigliata).

  35. Fare clic su OK per chiudere la finestra di dialogo Proprietà smart card o altro certificato e quindi di nuovo su OK per chiudere la finestra di dialogo Proprietà PEAP e tornare alla finestra Proprietà - Nuovo criterio di rete wireless.


Configurare client wireless che eseguono Windows 7 e Windows Vista per l'autenticazione EAP-TLS

Questa procedura consente di configurare un profilo EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) per l'autenticazione mediante smart card o altri certificati.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare un profilo wireless EAP-TLS per computer che eseguono Windows Vista

  1. Aprire la finestra di dialogo Proprietà - Nuovo criterio di rete wireless.

  2. Nella scheda Generale in Nome criterio digitare un nuovo nome per il criterio o mantenere il valore predefinito.

  3. In Descrizione digitare una descrizione del criterio.

  4. Selezionare Usa Servizio configurazione automatica WLAN di Windows per i client per specificare che per configurare le impostazioni delle schede di rete wireless verrà utilizzato il servizio Configurazione automatica WLAN.

  5. Nella scheda Generale eseguire una delle operazioni seguenti:

    • Per aggiungere e configurare un nuovo profilo, fare clic su Aggiungi e quindi selezionare Infrastruttura.

    • Per modificare un profilo esistente, selezionare il profilo desiderato e quindi fare clic su Modifica.

  6. Se si aggiunge un nuovo profilo, in Nome profilo nella scheda Connessione digitare un nome per il profilo. Se si modifica un profilo già aggiunto in precedenza, utilizzare il nome del profilo esistente oppure modificarlo in base alle necessità.

  7. In Nome(i) rete (SSID) digitare l'identificatore del set di servizi (SSID) per i punti di accesso wireless e quindi fare clic su Aggiungi.

    Se nella distribuzione in uso sono presenti più SSID e ogni punto di accesso wireless utilizza le stesse impostazioni di sicurezza wireless, ripetere questo passaggio per aggiungere l'SSID per ogni punto di accesso wireless a cui si desidera applicare il profilo.

    Se nella distribuzione in uso sono presenti più SSID e le impostazioni di sicurezza non sono uguali per tutti gli SSID, configurare un profilo distinto per ogni gruppo di SSID che utilizza le stesse impostazioni di sicurezza. Se ad esempio è presente un gruppo di punti di accesso wireless configurato per utilizzare WPA2-Enterprise e AES e un altro gruppo di punti di accesso wireless che utilizza WPA-Enterprise e TKIP, configurare un profilo per ogni gruppo di punti di accesso wireless.

  8. Per specificare che i client wireless dovranno connettersi automaticamente ai punti di accesso wireless per cui l'SSID è specificato in Nome(i) rete (SSID), selezionare Connetti automaticamente quando la rete si trova nel campo del computer.

  9. Per specificare che i client wireless dovranno connettersi automaticamente alle reti in ordine di preferenza, selezionare Connetti a una rete con preferenza superiore, se disponibile.

  10. Se sono stati distribuiti punti di accesso wireless configurati per non utilizzare il beacon di broadcast, selezionare Connetti anche se la rete non sta trasmettendo.

    Sicurezza Nota

    L'attivazione di questa opzione può creare un rischio per la sicurezza perché i client wireless eseguiranno il probe e tenteranno la connessione a qualsiasi rete wireless. Per impostazione predefinita, l'impostazione è disattivata.

  11. Fare clic sulla scheda Sicurezza. In Selezionare i metodi di sicurezza per la rete selezionare WPA2-Enterprise per Autenticazione se è supportato dal punto di accesso wireless e dalle schede di rete dei client wireless. In caso contrario, selezionare WPA-Enterprise.

    Nota

    Se si seleziona WPA2 verranno visualizzate impostazioni per Roaming veloce non disponibili per WPA. Le impostazioni predefinite per il roaming veloce sono sufficienti per la maggior parte delle distribuzioni wireless.

  12. In Crittografia selezionare AES se è supportato dal punto di accesso wireless e dalle schede di rete dei client wireless. In caso contrario, selezionare TKIP.

    Nota

    Le impostazioni di Autenticazione e Crittografia devono corrispondere a quelle configurate nel punto di accesso wireless.

  13. In Selezionare un metodo di autenticazione di rete selezionare Microsoft: Smart card o altro certificato.

  14. In Modalità autenticazione selezionare quanto riportato di seguito in base alle proprie necessità: Autenticazione utente o computer, Autenticazione computer, Autenticazione utente, Autenticazione Guest. L'opzione Autenticazione utente o computer è selezionata per impostazione predefinita.

  15. In Numero massimo errori di autenticazione specificare il numero massimo consentito di tentativi non riusciti prima che l'utente venga informato dell'esito negativo dell'autenticazione. Per impostazione predefinita il valore è impostato su 1.

  16. Per specificare che si desidera che le credenziali utente vengano memorizzate nella cache, selezionare Memorizza informazioni utente per successive connessioni a questa rete.

  17. Fare clic su Avanzate e quindi configurare le impostazioni seguenti:

    1. Per configurare le impostazioni 802.1X avanzate, in IEEE 802.1X selezionare Applica impostazioni avanzate 802.1X e quindi configurare le impostazioni seguenti in base alle necessità: Numero massimo messaggi di avvio EAPOL, Periodo di sospensione, Periodo di avvio e Periodo di autenticazione.

      I valori predefiniti sono sufficienti per la maggior parte delle distribuzioni wireless se vengono applicate le impostazioni 802.1X avanzate.

    2. Per attivare Single Sign-On, selezionare Attiva Single Sign-On per la rete.

    3. Per specificare quando dovrà essere eseguito Single Sign-On, selezionare Esegui immediatamente prima dell'accesso utente o Esegui immediatamente dopo l'accesso utente, in base alle necessità.

      Gli altri valori predefiniti di Single Sign-On sono sufficienti per tutte le distribuzioni wireless tipiche.

    4. Per specificare l'intervallo di tempo massimo, in secondi, che l'autenticazione 802.1X può impiegare per completare e autorizzare l'accesso alla rete, immettere un valore in Ritardo massimo connettività (secondi) in base alle necessità.

    5. Per consentire la visualizzazione di finestre di dialogo durante Single Sign-On, selezionare Consenti visualizzazione di finestre di dialogo aggiuntive durante Single Sign-On.

    6. Per specificare che all'avvio i computer wireless verranno inseriti in una rete locale virtuale (VLAN, Virtual Local Area Network) mentre dopo l'accesso dell'utente al computer passeranno in una rete diversa, selezionare La rete utilizza una VLAN diversa per l'autenticazione con credenziali utente e computer.

    7. Per abilitare il roaming veloce, selezionare Consenti memorizzazione nella cache Pairwise Master Key (PMK) in Roaming veloce. I valori predefiniti di Durata (TTL) PMK (minuti) e Numero di voci nella cache PMK sono in genere sufficienti per il roaming veloce.

    8. Se il punto di accesso wireless è configurato per la preautenticazione, selezionare La rete utilizza la preautenticazione. Il valore predefinito 3 di Numero massimo tentativi di preautenticazione è in genere sufficiente.

    9. Per specificare che la crittografia dovrà essere conforme alla modalità certificata FIPS 140-2, selezionare Esegui crittografia in modalità certificata FIPS 140-2.

  18. Fare clic su Proprietà. In Per la connessione nella finestra di dialogo Proprietà smart card o altro certificato selezionare Utilizza la smart card oppure selezionare entrambe le opzioni Utilizza un certificato su questo computer e Utilizza selezione certificati semplice (opzione consigliata).

  19. Per richiedere la convalida del certificato server di Server dei criteri di rete da parte dei client di accesso, selezionare Convalida certificato server.

  20. Per specificare i server RADIUS (Remote Authentication Dial-In User Service) che dovranno essere utilizzati dai client di accesso a reti cablate per l'autenticazione e l'autorizzazione, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come è visualizzato nel campo dell'oggetto del certificato server. Se si specificano più nomi di server RADIUS, separarli con il punto e virgola.

  21. In Autorità di certificazione radice attendibili selezionare la CA che ha emesso i certificati per i server che eseguono Server dei criteri di rete.

  22. Per specificare che i client devono utilizzare un nome alternativo per il tentativo di accesso, selezionare Utilizza un nome utente diverso per la connessione.

  23. Per una sicurezza e un'esperienza utente migliori selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili.

  24. Fare clic su OK per chiudere la finestra di dialogo Proprietà smart card o altro certificato e tornare alla finestra di dialogo Proprietà - Nuovo criterio di rete wireless.


Configurare autorizzazioni di rete e preferenze di connessione

È possibile utilizzare questa procedura per eseguire le operazioni seguenti:

  • Per configurare l'ordine preferenziale in base al quale i computer wireless che eseguono Windows® 7 e Microsoft Windows Vista tentano di connettersi alle reti wireless.

  • Per specificare per nome le reti wireless alle quali consentire o negare l'accesso da parte di computer wireless che eseguono Windows 7 e Microsoft Windows Vista.

  • Per specificare se gli utenti con computer che eseguono Windows 7 o Microsoft Windows Vista possono visualizzare le reti wireless enumerate nell'elenco degli oggetti non autorizzati.

  • Per configurare impostazioni wireless specifiche di Windows 7 relative a reti ospitate e credenziali esplicite.

Per completare queste procedure, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare le autorizzazioni per le reti

  1. Aprire Proprietà criteri di rete wireless (IEEE 802.11) di Windows Vista.

    In Connetti alle reti disponibili secondo l'ordine dei profili elencati di seguito nella scheda Generale selezionare un profilo e quindi fare clic sulla freccia verso l'alto o sulla freccia verso il basso per spostare il profilo nella posizione desiderata nell'elenco.

  2. Aprire il criterio wireless di Microsoft Windows Vista.

  3. Nella scheda Autorizzazioni reti fare clic su Aggiungi. Verrà visualizzata la finestra di dialogo Nuova voce autorizzazione.

  4. Nella finestra di dialogo Nuova voce autorizzazione configurare quanto segue:

    1. In Nome di rete (SSID) digitare l'identificatore del set di servizi (SSID) di una rete wireless.

    2. In Tipo di rete selezionare Infrastruttura oppure Ad hoc.

      Nota

      Se non si è sicuri del fatto che la rete di trasmissione sia in modalità infrastruttura oppure ad hoc, è possibile configurare un'autorizzazione per entrambi i tipi.

    3. In Autorizzazioni selezionare Consenti o Nega e quindi fare clic su OK. La finestra di dialogo Nuova voce autorizzazione verrà chiusa e si tornerà alla scheda Autorizzazioni reti.

  5. Nella scheda Autorizzazioni reti deselezionare o selezionare Impedisci connessioni a reti ad hoc per consentire o impedire ai client wireless di connettersi a reti ad hoc.

  6. Per consentire o impedire ai client wireless di connettersi a reti in modalità infrastruttura, deselezionare o selezionare Impedisci connessioni a reti in modalità infrastruttura.

  7. Per consentire o impedire la visualizzazione delle reti wireless nella finestra di dialogo Connessione a una rete, selezionare o deselezionare Consenti all'utente di visualizzare le reti negate.

  8. Per consentire agli utenti di creare profili wireless, selezionare Consenti al gruppo Everyone di creare tutti i profili utente.

  9. Per specificare che possono essere utilizzati solo i profili wireless creati tramite Gestione Criteri di gruppo per connettersi alle reti consentite, selezionare Utilizza solo profili di Criteri di gruppo per le reti consentite.

  10. Per impedire agli utenti di ospitare una rete wireless in computer che eseguono Windows 7 dotati di schede di rete wireless che supportano Soft Access Point e Virtual Wi-Fi, selezionare Disabilita rete ospitata.

  11. Per consentire agli utenti di computer che eseguono Windows 7 di immettere e archiviare le proprie credenziali di dominio, ovvero nome utente e password, che potranno essere utilizzate dal computer per la connessione alla rete anche se l'utente non sarà effettivamente connesso, selezionare Consenti credenziali esplicite in Impostazioni criterio Windows 7.

  12. Per specificare la durata per cui i computer che eseguono Windows 7 non potranno effettuare tentativi di connessione automatica alla rete, selezionare Attiva periodo di blocco e quindi in Periodo di blocco (minuti) specificare il numero di minuti desiderato per il periodo di blocco. L'intervallo di minuti valido è compreso tra 1 e 60.

    Nota

    Per ulteriori informazioni sulle impostazioni presenti nelle schede, premere F1 mentre è visualizzata la scheda.

  13. Fare clic su OK per salvare le impostazioni e chiudere la scheda Autorizzazioni reti.


Configurare client di accesso a reti wireless 802.1X che eseguono Windows XP

Nelle procedure incluse in questa sezione vengono illustrati i passaggi necessari per utilizzare Nuovo criterio XP per reti wireless per configurare profili wireless utilizzati dai client wireless che eseguono Windows XP per connettersi alla rete wireless.

Analogamente a Nuovo criterio di rete wireless per i computer che eseguono Microsoft Windows Vista, è possibile utilizzare Nuovo criterio XP per reti wireless per configurare e classificare in ordine di priorità più profili utilizzando il criterio di rete wireless per i computer che eseguono Windows XP. Diversamente dai criteri wireless per Microsoft Windows Vista, nel caso dei criteri wireless per Windows XP è necessario tuttavia specificare un identificatore del set di servizi (SSID) univoco per ogni profilo.

Per eseguire queste procedure, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

  • Configurare client wireless che eseguono Windows XP per l'autenticazione PEAP-MS-CHAP v2

  • Configurare client wireless che eseguono Windows XP per l'autenticazione PEAP-TLS

  • Configurare client wireless che eseguono Windows XP per l'autenticazione EAP-TLS


Configurare client wireless che eseguono Windows XP per l'autenticazione PEAP-MS-CHAP v2

Questa procedura consente di configurare un profilo di configurazione wireless PEAP-MS-CHAP v2 (Protected Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2) per i computer wireless che eseguono Windows XP e Windows Server 2003.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare un profilo wireless PEAP-MS-CHAP v2 per computer che eseguono Windows XP

  1. Aprire la finestra di dialogo Proprietà - Nuovo criterio XP per reti wireless.

    Nella scheda Generale eseguire le operazioni seguenti:

    1. In Nome criterio XP digitare un nome per il criterio wireless.

    2. In Descrizione digitare una descrizione del criterio.

    3. In Reti a cui accedere selezionare La rete disponibile (di preferenza con punto di accesso) o Solo reti con punto di accesso.

    4. Selezionare Usa Servizio configurazione automatica WLAN di Windows per i client.

  2. Nella scheda Reti preferite fare clic su Aggiungi e quindi selezionare Infrastruttura. Nella scheda Proprietà di rete configurare gli elementi seguenti:

    1. In Nome di rete (SSID) immettere l'identificatore del set di servizi (SSID) della rete.

      Nota

      Il valore immesso in questo campo deve corrispondere al valore configurato nei punti di accesso distribuiti nella rete.

    2. In Descrizione immettere una descrizione per le proprietà di Nuova impostazione preferita.

    3. Se sono stati distribuiti punti di accesso wireless configurati per non utilizzare il beacon di broadcast, selezionare Connetti anche se la rete non sta trasmettendo.

      Sicurezza Nota

      L'attivazione di questa opzione può creare un rischio per la sicurezza perché i client wireless eseguiranno il probe e tenteranno la connessione a qualsiasi rete wireless. Per impostazione predefinita, l'impostazione è disattivata.

    4. In Autenticazione all'interno di Selezionare i metodi di sicurezza per la rete selezionare WPA2 (preferenziale) o WPA. In Crittografia specificare AES o TKIP.

      Nota

      In Criteri reti wireless (IEEE 802.11) di Windows XP WPA2 e WPA corrispondono rispettivamente alle impostazioni WPA2-Enterprise e WPA-Enterprise di Criteri reti wireless (IEEE 802.11) di Microsoft Windows Vista. WPA-PSK e WPA2-PSK sono per le reti che non utilizzano l'autenticazione 802.1X. Non utilizzarli per le distribuzioni di punti di accesso wireless con autenticazione 802.1X.

      Nota

      Se si seleziona WPA2 verranno visualizzate impostazioni per Roaming veloce non disponibili per WPA. Le impostazioni predefinite per il roaming veloce sono sufficienti per la maggior parte delle distribuzioni wireless.

  3. Fare clic sulla scheda IEEE 802.1X. In Tipo EAP è selezionato per impostazione predefinita il tipo PEAP (Protected EAP).

    Le restanti impostazioni predefinite nella scheda IEEE 802.1X sono sufficienti per la maggior parte delle distribuzioni wireless.

  4. Fare clic su Impostazioni. Nella finestra di dialogo Proprietà PEAP eseguire le operazioni seguenti:

    1. Selezionare Convalida certificato server.

    2. Per specificare i server RADIUS (Remote Authentication Dial-In User Service) che dovranno essere utilizzati dai client di accesso a reti cablate per l'autenticazione e l'autorizzazione, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come è visualizzato nel campo dell'oggetto del certificato server. Se si specificano più nomi di server RADIUS, separarli con il punto e virgola.

    3. In Autorità di certificazione radice attendibili selezionare l'Autorità di certificazione radice attendibile che ha emesso il certificato server per il server che esegue Server dei criteri di rete.

      Nota

      Questa impostazione limita ai valori selezionati le CA radice che i client considerano attendibili. Se non vengono selezionate CA radice attendibili, i client considereranno attendibili tutte le CA radice attendibili presenti nel relativo archivio delle Autorità di certificazione radice attendibili.

    4. Per una sicurezza e un'esperienza utente migliori selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili.

    5. In Selezionare il metodo di autenticazione selezionare Password protetta (EAP-MSCHAP v2).

    6. Per abilitare la riconnessione rapida PEAP, selezionare Abilita riconnessione rapida.

    7. Per impostare l'esecuzione di controlli di integrità del sistema nei client per garantire che soddisfino i requisiti di integrità necessari prima di autorizzare connessioni alla rete, selezionare Imponi Protezione accesso alla rete.

    8. Per richiedere il TLV di cryptobinding, selezionare Disconnetti se il server non presenta TLV di cryptobinding.

    9. Per configurare i client affinché non inviino l'identità in testo normale prima dell'autenticazione con il server RADIUS, selezionare Consenti privacy identità e quindi in Identità anonima digitare un nome o un valore oppure lasciare vuoto il campo.

      Se ad esempio Consenti privacy identità è selezionato e si utilizza "guest" come valore per l'identità anonima, la risposta di identità per un utente con identità alice@realm sarà guest@realm. Se si seleziona Consenti privacy identità ma non si specifica un valore per l'identità anonima, la risposta di identità sarà @realm.

  5. Fare clic su OK per salvare le impostazioni di Proprietà PEAP e quindi di nuovo su OK per salvare il criterio.


Configurare client wireless che eseguono Windows XP per l'autenticazione PEAP-TLS

Questa procedura consente di configurare un profilo wireless PEAP-TLS (Protected Extensible Authentication Protocol-Transport Layer Security) per computer wireless che eseguono Windows XP e Windows Server 2003.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare un profilo wireless PEAP-TLS per computer che eseguono Windows XP

  1. Aprire la finestra di dialogo Proprietà - Nuovo criterio XP per reti wireless.

    Nella scheda Generale eseguire le operazioni seguenti:

    1. In Nome criterio XP digitare un nome per il criterio wireless.

    2. In Descrizione digitare una descrizione del criterio.

    3. In Reti a cui accedere selezionare Solo reti con punto di accesso o La rete disponibile (di preferenza con punto di accesso).

    4. Selezionare Usa Servizio configurazione automatica WLAN di Windows per i client.

  2. Nella scheda Reti preferite fare clic su Aggiungi e quindi selezionare Infrastruttura. Nella scheda Proprietà di rete configurare gli elementi seguenti:

    1. In Nome di rete (SSID) immettere l'identificatore del set di servizi (SSID) della rete.

      Nota

      Il valore immesso in questo campo deve corrispondere al valore configurato nei punti di accesso distribuiti nella rete.

    2. In Descrizione immettere una descrizione per le proprietà di Nuova impostazione preferita.

    3. In Autenticazione all'interno di Selezionare i metodi di sicurezza per la rete selezionare WPA2 (preferenziale) o WPA. In Crittografia specificare AES o TKIP.

      Nota

      In Criteri reti wireless (IEEE 802.11) di Windows XP WPA2 e WPA corrispondono rispettivamente alle impostazioni WPA2-Enterprise e WPA-Enterprise di Criteri reti wireless (IEEE 802.11) di Microsoft Windows Vista.

      Nota

      Se si seleziona WPA2 vengono esposte impostazioni aggiuntive per il roaming veloce. Le impostazioni predefinite per il roaming veloce sono sufficienti per la maggior parte delle distribuzioni wireless.

  3. Fare clic sulla scheda IEEE 802.1X. In Tipo EAP è selezionato per impostazione predefinita il tipo PEAP (Protected EAP).

    Le restanti impostazioni predefinite nella scheda IEEE 802.1X sono sufficienti per la maggior parte delle distribuzioni wireless.

  4. Fare clic su Impostazioni. Nella finestra di dialogo Proprietà PEAP eseguire le operazioni seguenti:

    1. Selezionare Convalida certificato server.

    2. Per specificare i server RADIUS (Remote Authentication Dial-In User Service) che dovranno essere utilizzati dai client di accesso a reti cablate per l'autenticazione e l'autorizzazione, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come è visualizzato nel campo dell'oggetto del certificato server. Se si specificano più nomi di server RADIUS, separarli con il punto e virgola.

    3. In Autorità di certificazione radice attendibili selezionare l'Autorità di certificazione radice attendibile che ha emesso il certificato server per il server che esegue Server dei criteri di rete.

      Nota

      Questa impostazione limita ai valori selezionati le CA radice che i client considerano attendibili. Se non vengono selezionate CA radice attendibili, i client considereranno attendibili tutte le CA radice attendibili presenti nel relativo archivio di Autorità di certificazione radice attendibili.

    4. Per una sicurezza e un'esperienza utente migliori selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili.

    5. In Selezionare il metodo di autenticazione selezionare Smart card o altro certificato.

    6. Per abilitare la riconnessione rapida PEAP, selezionare Abilita riconnessione rapida.

    7. Per impostare l'esecuzione di controlli di integrità del sistema nei client per garantire che soddisfino i requisiti di integrità necessari prima di autorizzare connessioni alla rete, selezionare Imponi Protezione accesso alla rete.

    8. Per richiedere il metodo TLV di cryptobinding, selezionare Disconnetti se il server non presenta TLV di cryptobinding.

    9. Per configurare i client affinché non inviino l'identità in testo normale prima dell'autenticazione con il server RADIUS, selezionare Consenti privacy identità e quindi in Identità anonima digitare un nome o un valore oppure lasciare vuoto il campo.

      Se ad esempio Consenti privacy identità è selezionato e si utilizza "guest" come valore per l'identità anonima, la risposta di identità per un utente con identità alice@realm sarà guest@realm. Se si seleziona Consenti privacy identità ma non si specifica un valore per l'identità anonima, la risposta di identità sarà @realm.

    10. Per configurare le proprietà PEAP-TLS, fare clic su Configura e in Proprietà smart card o altro certificato configurare gli elementi seguenti in base alle specifiche esigenze:

      • In Per la connessione selezionare Utilizza la smart card oppure selezionare le opzioni Utilizza un certificato su questo computer e Utilizza selezione certificati semplice (opzione consigliata).

      • Per richiedere la convalida del certificato del Server dei criteri di rete ai client di accesso, selezionare Convalida certificato server.

      • Per specificare i server RADIUS che devono essere utilizzati dai client di accesso a reti cablate per l'autenticazione e le autorizzazioni, in Connetti ai server seguenti digitare il nome di ogni server RADIUS esattamente come viene visualizzato nel campo dell'oggetto del certificato del server. Per specificare più nomi di server RADIUS separarli con punti e virgola.

      • In Autorità di certificazione radice attendibili selezionare la CA che ha emesso i certificati server per i Server dei criteri di rete nella rete.

      • Per specificare che i client devono utilizzare un nome alternativo per il tentativo di accesso, selezionare Utilizza un nome utente diverso per la connessione.

      • Per evitare che venga richiesto agli utenti di autorizzare un certificato server se tale certificato non è configurato correttamente e/o non è già considerato attendibile, selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili (scelta consigliata).

      • Fare clic su OK per chiudere la finestra di dialogo Proprietà smart card o altro certificato e quindi di nuovo su OK per chiudere la finestra di dialogo Proprietà PEAP e tornare alla finestra Proprietà - Nuovo criterio XP per reti wireless.


Configurare client wireless che eseguono Windows XP per l'autenticazione EAP-TLS

Questa procedura consente di definire profili di configurazione wireless EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) per computer wireless che eseguono Windows XP e Windows Server 2003.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare un profilo wireless EAP-TLS per computer che eseguono Windows XP

  1. Aprire la finestra di dialogo Proprietà - Nuovo criterio XP per reti wireless.

    Nella scheda Generale eseguire le operazioni seguenti:

    1. In Nome criterio XP digitare un nome per il criterio wireless.

    2. In Descrizione digitare una descrizione del criterio.

    3. In Reti a cui accedere selezionare La rete disponibile (di preferenza con punto di accesso) o Solo reti con punto di accesso.

    4. Selezionare Usa Servizio configurazione automatica WLAN di Windows per i client.

  2. Nella scheda Reti preferite fare clic su Aggiungi e quindi selezionare Infrastruttura. Nella scheda Proprietà di rete configurare gli elementi seguenti:

    1. In Nome di rete (SSID) immettere l'identificatore del set di servizi (SSID) della rete.

      Nota

      Il valore immesso in questo campo deve corrispondere al valore configurato nei punti di accesso distribuiti nella rete.

    2. In Descrizione immettere una descrizione per le proprietà di Nuova impostazione preferita.

    3. In Autenticazione all'interno di Selezionare i metodi di sicurezza per la rete selezionare WPA2 (preferenziale) o WPA. In Crittografia specificare AES o TKIP.

      Nota

      In Criteri reti wireless (IEEE 802.11) di Windows XP WPA2 e WPA corrispondono rispettivamente alle impostazioni WPA2-Enterprise e WPA-Enterprise di Criteri reti wireless (IEEE 802.11) di Microsoft Windows Vista.

      Nota

      Se si seleziona WPA2 vengono esposte impostazioni aggiuntive per il roaming veloce. Le impostazioni predefinite per il roaming veloce sono sufficienti per la maggior parte delle distribuzioni wireless.

  3. Fare clic sulla scheda IEEE 802.1X. In Tipo EAP selezionare Smart card o altro certificato.

    Le restanti impostazioni predefinite nella scheda IEEE 802.1X sono generalmente sufficienti per le distribuzioni wireless.

  4. Fare clic su Impostazioni. Nella finestra di dialogo Proprietà smart card o altro certificato eseguire le operazioni seguenti:

    1. In Per la connessione selezionare Utilizza la smart card oppure selezionare le opzioni Utilizza un certificato su questo computer e Utilizza selezione certificati semplice (opzione consigliata).

    2. Verificare che l'opzione Convalida certificato server sia selezionata.

    3. In Autorità di certificazione radice attendibili selezionare l'Autorità di certificazione radice attendibile che ha emesso il certificato server per il server che esegue Server dei criteri di rete.

      Nota

      Questa impostazione limita ai valori selezionati le CA radice che i client considerano attendibili. Se non vengono selezionate CA radice attendibili, i client considereranno attendibili tutte le CA radice attendibili presenti nel relativo archivio delle Autorità di certificazione radice attendibili.

    4. Per specificare che i client devono utilizzare un nome alternativo per il tentativo di accesso, selezionare Utilizza un nome utente diverso per la connessione.

    5. Per una sicurezza e un'esperienza utente migliori selezionare Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili.

  5. Fare due volte clic su OK. Il profilo EAP-TLS è elencato in Reti. Fare clic su OK e quindi chiudere la Console Gestione Criteri di gruppo.


Protezione accesso alla rete in Server dei criteri di rete

Protezione accesso alla rete è una tecnologia per la creazione, l'imposizione, il monitoraggio e l'aggiornamento dei criteri di integrità dei client, disponibile in Windows Vista®, Windows Server® 2008, Windows® 7 e Windows Server® 2008 R2. Con Protezione accesso alla rete è possibile creare criteri di integrità che definiscono ad esempio i requisiti software, i requisiti di aggiornamento della sicurezza e le impostazioni di configurazione necessarie per i computer che si connettono alla rete.

Protezione accesso alla rete consente di imporre criteri di integrità controllando e valutando l'integrità di computer client, limitando l'accesso alla rete ai computer client non conformi ai criteri di integrità ed eseguendo il monitoraggio e l'aggiornamento di computer client non conformi allo scopo di renderli conformi ai criteri di integrità prima di autorizzarne l'accesso completo alla rete. Protezione accesso alla rete impone i criteri di integrità ai computer client che tentano di connettersi a una rete e assicura l'imposizione della conformità in termini di integrità mentre un computer client è connesso a una rete.

Protezione accesso alla rete è una piattaforma estendibile contenente un'infrastruttura e un insieme di API (Application Programming Interface). Utilizzando l'insieme di API di Protezione accesso alla rete, è possibile aggiungere ai client di Protezione accesso alla rete e ai server che eseguono Server dei criteri di rete componenti che controllano l'integrità dei computer, impongono i criteri di integrità di rete ed eseguono il monitoraggio e l'aggiornamento automatici di computer non conformi per renderli conformi ai criteri di integrità.

La piattaforma Protezione accesso alla rete non offre da sola i componenti per la verifica o per il monitoraggio e l'aggiornamento dell'integrità dei computer. Altri componenti, noti anche come Agente integrità sistema e Convalida integrità sistema, offrono funzionalità di controllo e segnalazione sullo stato di integrità di computer client, di convalida dello stato di integrità di computer client rispetto ai criteri di integrità e forniscono infine impostazioni di configurazione per rendere conforme il computer client ai criteri di integrità.

Agente integrità sicurezza di Windows è incluso in Microsoft Windows Vista e Windows 7 come parte del sistema operativo. Il componente corrispondente Convalida integrità sicurezza di Windows è incluso in Windows Server 2008 e Windows Server 2008 R2 come parte del sistema operativo. Utilizzando l'insieme di API di Protezione accesso alla rete, altri prodotti possono implementare istanze di Agente di integrità sistema e di Convalida integrità sistema da integrare a Protezione accesso alla rete. Ad esempio, un fornitore di un software antivirus può utilizzare il set di API per la creazione di istanze personalizzate di Agente integrità sistema e di Convalida integrità sistema. Questi componenti possono essere integrati nelle soluzioni di Protezione accesso alla rete distribuite dai clienti del fornitore di software.

Un amministratore di rete o di sistema può distribuire Protezione accesso alla rete con Agente integrità sicurezza di Windows e Convalida integrità sicurezza di Windows inclusi nel sistema operativo. Può inoltre verificare se altri fornitori di software offrono istanze di Agente integrità sistema e di Convalida integrità sistema per i propri prodotti.

Panoramica di Protezione accesso alla rete

La maggior parte delle organizzazioni creano criteri di rete che determinano il tipo di hardware e di software che è possibile distribuire nella rete dell'organizzazione. Tali criteri spesso includono regole per la configurazione dei computer client prima di consentire la connessione alla rete. Numerose organizzazioni richiedono ad esempio l'esecuzione nei computer client di software antivirus con aggiornamenti recenti nonché l'installazione e l'attivazione di un firewall prima di connettersi alla rete dell'organizzazione. Un computer client configurato in base ai criteri della rete dell'organizzazione può essere visualizzato come conforme ai criteri, mentre un computer non configurato in base ai criteri di rete dell'organizzazione può essere visualizzato come non conforme ai criteri.

Protezione accesso alla rete consente di utilizzare iServer dei criteri di rete per la creazione di criteri che definiscono l'integrità del computer client. Protezione accesso alla rete consente inoltre di imporre i criteri di integrità del client creati e di aggiornare automaticamente o di eseguire il monitoraggio e l'aggiornamento di computer client idonei per Protezione accesso alla rete allo scopo di renderli conformi ai criteri di integrità del client. Protezione accesso alla rete consente il rilevamento costante dell'integrità del computer client per impedire casi in cui un computer client che risulta conforme quando si connette alla rete dell'organizzazione non sia più conforme nel corso della connessione.

Protezione accesso alla rete garantisce la protezione complementare del computer client e della rete dell'organizzazione verificando la conformità dei computer che si connettono alla rete ai criteri di rete dell'organizzazione e di integrità del client. Ciò consente di proteggere la rete da elementi dannosi introdotti da computer client, quali i virus, e di proteggere inoltre i computer client da elementi dannosi che possono essere introdotti dalla rete a cui si connettono.

Il monitoraggio e l'aggiornamento automatico di Protezione accesso alla rete riduce il tempo di inibizione dell'accesso alle risorse della rete dell'organizzazione per i computer client non conformi. Se è configurata la funzionalità di monitoraggio e aggiornamento automatici e i client sono in uno stato di non conformità, i componenti client di Protezione accesso alla rete sono in grado di aggiornare rapidamente il computer utilizzando le risorse fornite dall'utente su una rete di monitoraggio e aggiornamento, consentendo al client che ora risulta conforme di essere autorizzato più rapidamente da Server dei criteri di rete a connettersi alla rete.

Server dei criteri di rete e Protezione accesso alla rete

Server dei criteri di rete può essere utilizzato come server dei criteri di Protezione accesso alla rete per tutti i metodi di imposizione di Protezione accesso alla rete.

Quando il Server dei criteri di rete viene configurato come server dei criteri di Protezione accesso alla rete, Server dei criteri di rete valuta i rapporti di integrità inviati dai computer client idonei per Protezione accesso alla rete che richiedono la connessione alla rete. È possibile configurare criteri di Protezione accesso alla rete in Server dei criteri di rete per l'aggiornamento della configurazione dei computer client allo scopo di renderli conformi ai criteri di rete dell'organizzazione.

Integrità del computer client

Per integrità si intendono le informazioni relative a un computer client utilizzate da Protezione accesso alla rete per autorizzare o negare l'accesso del client a una rete. La valutazione dello stato di integrità del computer client indica lo stato di configurazione di un client rispetto allo stato richiesto dal criterio di integrità.

Misure esemplificative dell'integrità includono:

  • Lo stato operativo di Windows Firewall, ovvero l'attivazione o la disattivazione del firewall.

  • Lo stato di aggiornamento delle firme del software antivirus, ovvero se sono disponibili le firme più recenti.

  • Lo stato di installazione degli aggiornamenti per la sicurezza, ovvero se sul client sono installati gli aggiornamenti per la sicurezza più recenti.

Lo stato di integrità del computer client è incapsulato in un rapporto di integrità, rilasciato dai componenti client di Protezione accesso alla rete. I componenti client di Protezione accesso alla rete inviano il rapporto di integrità ai componenti del server di Protezione accesso alla rete per valutare la conformità del client e l'autorizzazione dell'accesso completo alla rete.

Nell'ambito di Protezione accesso alla rete la verifica della conformità di un computer ai requisiti di integrità definiti è denominata convalida dei criteri di integrità. Server dei criteri di rete esegue la convalida dei criteri di integrità per Protezione accesso alla rete.

Funzionamento dell'imposizione di Protezione accesso alla rete

Protezione accesso alla rete impone criteri di integrità utilizzando componenti sul lato client che esaminano e valutano l'integrità dei computer client, componenti sul lato server che limitano l'accesso alla rete per computer client ritenuti non conformi e componenti lato client e lato server che facilitano il monitoraggio e l'aggiornamento di computer client non conformi per l'accesso completo alla rete.

Principali processi di Protezione accesso alla rete

Per garantire la protezione dell'accesso alla rete, Protezione accesso alla rete utilizza tre processi: la convalida dei criteri, l'imposizione Protezione accesso alla rete e la restrizione alla rete e infine il monitoraggio e l'aggiornamento e la conformità costante.

Convalida dei criteri

Server dei criteri di rete consente di creare criteri di integrità relativi ai client utilizzando le istanze di Convalida integrità sistema che offrono a Protezione accesso alla rete la possibilità di rilevare, imporre ed eseguire il monitoraggio e l'aggiornamento delle configurazioni dei computer client.

Agente integrità sicurezza di Windows e Convalida integrità sicurezza di Windows offrono le funzionalità seguenti per computer idonei per Protezione accesso alla rete:

  • Un firewall è installato e attivato nel computer client.

  • Un software antivirus è installato e in esecuzione sul computer client.

  • Gli aggiornamenti antivirus più recenti sono installati sul computer client.

  • Un software antispyware è installato e in esecuzione sul computer client.

  • Gli aggiornamenti antispyware più recenti sono installati sul computer client.

  • Microsoft Update Services è attivato sul computer client.

Se i computer client idonei per Protezione accesso alla rete eseguono inoltre l'agente di Windows Update e sono registrati con un server Windows Server Update Services, Protezione accesso alla rete è in grado di verificare l'installazione degli aggiornamenti software più recenti per la sicurezza in base a uno dei quattro possibili valori corrispondenti alle classificazioni di gravità per i problemi di sicurezza di Microsoft Security Response Center.

Quando si creano criteri che definiscono lo stato di integrità del computer client, i criteri vengono convalidati dal Server dei criteri di rete. I componenti Protezione accesso alla rete lato client inviano un rapporto di integrità al server dei criteri di rete durante il processo di connessione alla rete. Server dei criteri di rete esamina il rapporto di integrità e lo confronta ai criteri di integrità.

Imposizione e restrizione alla rete di Protezione accesso alla rete

Protezione accesso alla rete nega l'accesso ai computer client non conformi oppure consente loro di accedere solo a una rete speciale con restrizioni denominata rete di monitoraggio e aggiornamento. Una rete di monitoraggio e aggiornamento offre ai computer client l'accesso a server di monitoraggio e aggiornamento, che garantiscono aggiornamenti software, e ad altri servizi principali di Protezione accesso alla rete, ad esempio server Autorità registrazione integrità, necessari per rendere conformi al criterio di integrità i client di Protezione accesso alla rete non conformi.

L'impostazione di imposizione Protezione accesso alla rete nel criterio di rete di Server dei criteri di rete consente di limitare l'accesso alla rete o di osservare lo stato di computer client idonei per Protezione accesso alla rete che non sono conformi al criterio di integrità della rete.

È possibile decidere di limitare l'accesso, rinviare le restrizioni di accesso oppure consentire l'accesso mediante le impostazioni dei criteri di rete.

Monitoraggio e aggiornamento

I computer client non conformi che vengono inseriti in una rete con restrizioni possono essere sottoposti al processo di monitoraggio e di aggiornamento. Il processo di monitoraggio e aggiornamento consiste nell'aggiornamento automatico di un computer client per soddisfare i criteri di integrità correnti. Una rete con restrizioni può contenere, ad esempio, un server FTP che aggiorna automaticamente le firme obsolete del software antivirus dei computer client non conformi.

Conformità costante

Protezione accesso alla rete è in grado di imporre la conformità di integrità a computer client già connessi alla rete. Questa funzionalità è utile per garantire la protezione costante di una rete con il variare dei criteri di integrità e dell'integrità dei computer client. Protezione accesso alla rete determina ad esempio che il computer client non è conforme se un criterio di integrità richiede l'attivazione di Windows Firewall e un amministratore lo disattiva inavvertitamente. Protezione accesso alla rete disconnette quindi il computer client dalla rete dell'organizzazione e lo connette al computer client della rete di monitoraggio e di aggiornamento finché Windows Firewall non viene nuovamente attivato.

È possibile utilizzare le impostazioni di Protezione accesso alla rete nei criteri di rete di Server dei criteri di rete per configurare il monitoraggio e l'aggiornamento automatico in modo che i componenti client di Protezione accesso alla rete tentino automaticamente di aggiornare il computer client quando non è conforme. Esattamente come le impostazioni di imposizione Protezione accesso alla rete, il monitoraggio e l'aggiornamento automatico viene configurato nelle impostazioni dei criteri di rete.


Criteri di integrità

I criteri di integrità sono costituiti da una o più istanze di Convalida integrità sistema e da altre impostazioni che consentono di definire i requisiti di configurazione di computer client per i computer idonei per Protezione accesso alla rete che tentano di connettersi alla rete.

Quando i computer idonei per Protezione accesso alla rete tentano di connettersi alla rete, il computer client invia un rapporto di integrità al Server dei criteri di rete. Il rapporto di integrità è un resoconto dello stato di configurazione del client e il Server dei criteri di rete confronta tale rapporto con i requisiti definiti nel criterio di integrità. Se lo stato di configurazione del client non soddisfa i requisiti definiti nel criterio di integrità, il Server dei criteri di rete esegue una della azioni seguenti in base alla configurazione di Protezione accesso alla rete:

  • La richiesta di connessione da parte del client Protezione accesso alla rete viene rifiutata.

  • Il client Protezione accesso alla rete viene posizionato in una rete con restrizioni dove può ricevere gli aggiornamenti dai server di monitoraggio e aggiornamento in modo da conformarsi al criterio di integrità. Quando il client sarà conforme al criterio di integrità, verrà autorizzato alla connessione.

  • Al client Protezione accesso alla rete viene consentita la connessione alla rete nonostante non sia conforme al criterio di integrità.

È possibile definire i criteri di integrità del client nel Server dei criteri di rete aggiungendo una o più istanze di Convalida integrità sistema al criterio di integrità.

Dopo aver configurato un criterio di integrità con una o più istanze di Convalida integrità sistema, è possibile aggiungerlo alla condizione Criteri di integrità di un criterio di rete che si desidera utilizzare per imporre Protezione accesso alla rete quando i computer client si connettono alla rete.

Utilizzare più istanze di Convalida integrità sistema in un criterio di integrità

Per impostazione predefinita, Convalida integrità sicurezza di Windows è incluso nel Server dei criteri di rete. È inoltre possibile che altre società mettano a disposizione coppie di istanze aggiuntive di Convalida integrità sistema e Agente integrità sistema per i prodotti compatibili con Protezione accesso alla rete.

Se si desidera utilizzare un prodotto compatibile con Protezione accesso alla rete, è possibile consultare la documentazione del prodotto per informazioni sull'installazione di Agente integrità sistema nei computer client idonei per Protezione accesso alla rete e quindi installare Convalida integrità sistema nel server che esegue Server dei criteri di rete. Dopo aver installato Convalida integrità sistema nel Server dei criteri di rete, è possibile configurare l'istanza di Convalida integrità sistema e quindi aggiungerla a un criterio di rete.

Quando il criterio di integrità è stato configurato con le istanze di Convalida integrità sistema che si desidera utilizzare, è possibile aggiungere il criterio di integrità alle impostazioni di un criterio di rete.


Gruppi server di monitoraggio e aggiornamento

Un gruppo server di monitoraggio e aggiornamento è un elenco di server nella rete con restrizioni che offrono le risorse necessarie per rendere client non idonei per Protezione accesso alla rete conformi al criterio di integrità del client definito dall'amministratore.

Un server di monitoraggio e di aggiornamento ospita gli aggiornamenti che l'agente Protezione accesso alla rete può utilizzare per rendere i computer client conformi al criterio di integrità definito in Server dei criteri di rete. Un server di monitoraggio e aggiornamento, ad esempio, può ospitare le firme del software antivirus. Se il criterio di integrità richiede l'installazione nei computer client delle definizioni del software antivirus più recenti, le istanze di Agente integrità sistema del software antivirus, le istanze di convalida integrità sistema del software antivirus, un server di criteri del software antivirus e il server di monitoraggio e di aggiornamento utilizzato per ospitare le firme del software antivirus collaborano per l'aggiornamento di computer non conformi.


Istanze di Convalida integrità sistema

Le istanze di Convalida integrità sistema sono i corrispondenti software server delle istanze di Agente integrità sistema. A ogni istanza di Agente integrità sistema corrisponde un'istanza di Convalida integrità sistema in Server dei criteri di rete. Le istanze di Convalida integrità sistema consentono a Server dei criteri di rete la verifica del rapporto di integrità generato dall'istanza corrispondente di Agente integrità sistema nel computer client.

Le istanze di Convalida integrità sistema contengono i dettagli delle impostazioni di configurazione necessarie sui computer client. Ad esempio, Convalida integrità sicurezza di Windows è il corrispondente di Agente integrità sicurezza di Windows sui computer client. Convalida integrità sicurezza di Windows consente di creare un criterio per la configurazione delle impostazioni dei computer client idonei per Protezione accesso alla rete. Se le impostazioni nel computer client riportate nel rapporto di integrità non corrispondono alle impostazioni delle istanze di Convalida integrità sistema nel computer che esegue Server dei criteri di rete, il computer client non è conforme al criterio di integrità.

Per ampliare l'esempio, se si configura Convalida integrità sicurezza di Windows all'utilizzo dell'impostazione Firewall attivo per tutte le connessioni di rete, il firewall attivo sul computer client deve essere Windows Firewall o altro firewall compatibile con il Centro sicurezza PC Windows. Se nel computer client non è attivo Windows Firewall o altro firewall compatibile con Centro sicurezza PC Windows, l'agente Protezione accesso alla rete nel computer client invia a Server dei criteri di rete un rapporto di integrità in cui viene segnalata questa informazione. Server dei criteri di rete confronta il rapporto di integrità con la configurazione di Convalida integrità sicurezza di Windows determinando che il computer client non è conforme al criterio di integrità.


Impostazioni di Convalida integrità sistema

Le impostazioni di Convalida integrità sistema consentono di configurare i requisiti di integrità del sistema per i computer client di Protezione accesso alla rete. Se una Convalida integrità sistema è progettata per funzionare con un server dei requisiti di integrità, è possibile configurare alcune o tutte le impostazioni di Convalida integrità sistema su tale server. Per configurare le impostazioni di Convalida integrità sistema in Server dei criteri di rete, fare clic su Configura nelle finestra delle proprietà di Convalida integrità sistema per aprire la finestra di configurazione di Convalida integrità sistema.

Se un'istanza di Convalida integrità sistema supporta l'archiviazione di più configurazioni, è possibile creare ulteriori impostazioni di Convalida integrità sistema da utilizzare con i profili di integrità.

Ulteriori riferimenti

  • Codici di errore di Convalida integrità sistema


Codici di errore di Convalida integrità sistema

I codici di errore di Convalida integrità sistema possono essere restituiti per un'istanza di Convalida integrità sistema quando l'Agente integrità sistema associato in un computer client di Protezione accesso alla rete richiede l'accesso alla rete. Se viene restituito un codice di errore, è possibile decidere se considerare il computer client di Protezione accesso alla rete come conforme o non conforme ai requisiti di integrità. Per impostazione predefinita, tutti i codici di errore sono impostati sulla non conformità.

Di seguito è riportata una descrizione dei codici di errore disponibili:

  • Convalida integrità sistema non è in grado di contattare i servizi richiesti. Questo errore può verificarsi in caso di interruzione della connessione tra Server dei criteri di rete e un server dei requisiti di integrità, ad esempio un server delle firme antivirus.

  • Agente integrità sistema non è in grado di contattare i servizi richiesti. Questo errore può verificarsi se Agente integrità sistema non riesce a leggere correttamente la configurazione client.

  • Agente integrità sistema non risponde al client di Protezione accesso alla rete. Questo errore può verificarsi se un Agente integrità sistema non è inizializzato e registrato correttamente.

  • Convalida integrità sistema non risponde. Questo errore può verificarsi in caso di deterioramento delle prestazioni di un'istanza di Convalida integrità sistema, ad esempio se la memoria di Server dei criteri di rete è insufficiente.

  • Codice di errore specifico del fornitore ricevuto. Questo errore può verificarsi se Server dei criteri di rete riceve un codice di errore specifico del fornitore di Agente integrità sistema o Convalida integrità sistema. Alcuni fornitori possono restituire questo codice quando Server dei criteri di rete non riesce a contattare un server dei requisiti di integrità.

Ulteriori riferimenti

  • Impostazioni di Convalida integrità sistema


Convalida integrità sicurezza di Windows

Convalida integrità sicurezza di Windows propone le impostazioni che possono essere configurate in base ai requisiti della distribuzione.

Impostazioni Convalida integrità sicurezza di Windows

È possibile configurare le impostazioni Convalida integrità sicurezza di Windows seguenti per i criteri.

Firewall

Per utilizzare l'impostazione Firewall attivo per tutte le connessioni di rete, il software firewall in esecuzione nel computer client deve essere Windows Firewall o un altro software firewall compatibile con Centro sicurezza PC Windows.

Il software firewall non compatibile con Centro sicurezza PC Windows non può essere gestito o rilevato da Agente integrità sicurezza di Windows nel computer client.

Se si seleziona Firewall attivo per tutte le connessioni di rete, Agente integrità sicurezza di Windows nel computer client verifica se il software firewall è in esecuzione nel client ed esegue le operazioni seguenti:

  • Se il computer client non esegue il software firewall, tale computer viene limitato a una rete di monitoraggio e aggiornamento fino a quando il software firewall non verrà installato ed eseguito.

  • Se l'unico software firewall in esecuzione nel computer client non è compatibile con Centro sicurezza PC Windows, Agente integrità sicurezza di Windows segnala al servizio Protezione accesso alla rete che non è abilitato alcun firewall e il computer client viene limitato a una rete di monitoraggio e aggiornamento.

Importante

Se si seleziona Firewall attivo per tutte le connessioni di rete e i computer client non eseguono Windows Firewall o un altro software firewall compatibile con Centro sicurezza PC Windows, i computer client non potranno connettersi alla rete.

Se non si seleziona Firewall attivo per tutte le connessioni di rete, Agente integrità sicurezza di Windows nel computer client non eseguirà alcun controllo e ai computer client che non eseguono il software firewall non verrà impedito di connettersi alla rete.

Monitoraggio e aggiornamento automatici

Se si seleziona Firewall attivo per tutte le connessioni di rete, si attiva la funzionalità di monitoraggio e aggiornamento automatici di Protezione accesso alla rete e Agente integrità sicurezza di Windows nel computer client segnalerà che non è attivato alcun firewall e quindi Convalida integrità sicurezza di Windows indicherà ad Agente integrità sicurezza di Windows nel computer client di attivare Windows Firewall.

Importante

Se il monitoraggio e l'aggiornamento automatici sono attivati e i computer client eseguono software firewall non compatibile con Centro sicurezza PC Windows e pertanto non rilevabile da Agente integrità sicurezza di Windows, quest'ultimo attiverà Windows Firewall nel computer client, dove pertanto saranno in esecuzione contemporaneamente due diversi firewall. Le eventuali eccezioni configurate nel firewall non compatibile e non configurate in Windows Firewall possono causare una perdita di funzionalità nel computer client. Per questo motivo, è sconsigliabile che i computer client eseguano contemporaneamente due diversi firewall.

Protezione da virus

Se si seleziona Applicazione antivirus attiva, Agente integrità sicurezza di Windows nel computer client verifica se il software antivirus è in esecuzione nel computer client. Se il computer client non esegue il software antivirus, tale computer viene limitato a una rete di monitoraggio e aggiornamento fino a quando il software antivirus non verrà installato ed eseguito.

Il software antivirus in esecuzione nel computer client deve essere compatibile con Centro sicurezza PC Windows. Il software antivirus non compatibile con Centro sicurezza PC Windows non può essere gestito o rilevato da Agente integrità sicurezza di Windows nel computer client. Se l'unico software antivirus in esecuzione nel computer client non è compatibile con Centro sicurezza PC Windows, Agente integrità sicurezza di Windows segnalerà a Convalida integrità sicurezza di Windows che non è attivato alcun antivirus e il computer client verrà limitato a una rete di monitoraggio e aggiornamento.

Se si seleziona Antivirus aggiornato, Agente integrità sicurezza di Windows nel computer client verifica che le versioni delle definizioni antivirus per le applicazioni antivirus siano le più recenti e che siano aggiornate.

Per verificare che il software antivirus sia in esecuzione e che le definizioni antivirus siano le più recenti, è necessario selezionare Applicazione antivirus attiva e Antivirus aggiornato.

Se non si seleziona Applicazione antivirus attiva, Agente integrità sicurezza di Windows nel computer client non eseguirà alcun controllo e ai computer client che non eseguono software antivirus non verrà impedito di connettersi alla rete.

Se non si selezionano entrambe le opzioni Applicazione antivirus attiva e Antivirus aggiornato, Agente integrità sicurezza di Windows nel computer client non eseguirà alcun controllo e ai computer client che non eseguono software antivirus oppure che eseguono software antivirus con definizioni non aggiornate non verrà impedito di connettersi alla rete.

Protezione da spyware

Se si seleziona Applicazione antispyware attiva, Agente integrità sicurezza di Windows nel computer client verifica se il software antispyware è in esecuzione nel computer client. Se il computer client non esegue il software antispyware, tale computer viene limitato a una rete di monitoraggio e aggiornamento fino a quando il software antispyware non verrà installato ed eseguito.

Il software antispyware in esecuzione nel computer client deve essere Windows Defender o un altro software antispyware compatibile con Centro sicurezza PC Windows.

Il software antispyware non compatibile con Centro sicurezza PC Windows non può essere gestito o rilevato da Agente integrità sicurezza di Windows nel computer client. Se l'unico software antispyware in esecuzione nel computer client non è compatibile con Centro sicurezza PC Windows, Agente integrità sicurezza di Windows segnala a Convalida integrità sicurezza di Windows che non è abilitato alcun antispyware e il computer client viene limitato a una rete di monitoraggio e aggiornamento.

Se si seleziona Antispyware aggiornato, Agente integrità sicurezza di Windows nel computer client verifica che le versioni delle definizioni antispyware per le applicazioni antispyware siano le più recenti e che siano aggiornate.

Per verificare che il software antispyware sia in esecuzione e che le definizioni antispyware siano le più recenti, è necessario selezionare Applicazione antispyware attiva e Antispyware aggiornato.

Se non si seleziona Applicazione antispyware attiva, Agente integrità sicurezza di Windows nel computer client non eseguirà alcun controllo e ai computer client che non eseguono software antispyware non verrà impedito di connettersi alla rete.

Se non si selezionano entrambe le opzioni Applicazione antispyware attiva e Antispyware aggiornato, Agente integrità sicurezza di Windows nel computer client non eseguirà alcun controllo e ai computer client che non eseguono software antispyware oppure che eseguono software antispyware con definizioni non aggiornate non verrà impedito di connettersi alla rete.

Monitoraggio e aggiornamento automatici

Se si seleziona Applicazione antispyware attiva, si attiva la funzionalità di monitoraggio e aggiornamento automatici di Protezione accesso alla rete e Agente integrità sicurezza di Windows nel computer client segnalerà che non è attivato alcun software antispyware e quindi Convalida integrità sicurezza di Windows indicherà ad Agente integrità sicurezza di Windows nel computer client di attivare Windows Defender.

Importante

Se il monitoraggio e l'aggiornamento automatici sono abilitati e i computer client eseguono software antispyware non compatibile con Centro sicurezza PC Windows e pertanto non rilevabile da Agente integrità sicurezza di Windows, quest'ultimo attiverà Windows Defender nel computer client, dove pertanto saranno in esecuzione contemporaneamente due diversi antispyware.

Nota

È possibile configurare il monitoraggio e l'aggiornamento automatici mediante lo snap-in MMC di gestione del client di Protezione accesso alla rete.

Aggiornamento automatico

Se si seleziona Aggiornamenti automatici attivati e Microsoft Update Services non è abilitato nel computer client, Agente integrità sicurezza di Windows limita il computer client a una rete di monitoraggio e aggiornamento fino a quando Microsoft Update Services non sarà stato abilitato.

Microsoft Update Services viene abilitato quando una delle impostazioni seguenti è selezionata nel computer client:

  • Installa gli aggiornamenti automaticamente (scelta consigliata)

  • Scarica gli aggiornamenti ma consenti all'utente di scegliere se installarli

  • Verifica la disponibilità di aggiornamenti ma consenti all'utente di scegliere se scaricarli e installarli.

Monitoraggio e aggiornamento automatici

Se si seleziona Aggiornamenti automatici attivati, si abilita il monitoraggio e l'aggiornamento automatici di Protezione accesso alla rete e Agente integrità sicurezza di Windows nel computer client segnala che Microsoft Update Services non è abilitato, Convalida integrità sicurezza di Windows indirizza Agente integrità sicurezza di Windows al computer client per attivare Microsoft Update Services e configurare Microsoft Update Services per scaricare e installare automaticamente gli aggiornamenti.

Nota

È possibile configurare il monitoraggio e l'aggiornamento automatici mediante lo snap-in MMC di gestione del client di Protezione accesso alla rete.

Aggiornamenti per la sicurezza

Non è consigliabile configurare Aggiornamenti per la sicurezza nel criterio Convalida integrità sicurezza di Windows, a meno che i computer client della rete non eseguano Agente di Windows Update. Inoltre, i computer client che eseguono Agente di Windows Update devono essere registrati presso un server che esegua Windows Server Update Service (WSUS).

Importante

Se queste condizioni non vengono soddisfatte e si configura Aggiornamenti per la sicurezza nel criterio di Convalida integrità sicurezza di Windows, il criterio non potrà essere applicato da Agente integrità sicurezza di Windows nel computer client e i computer client verranno limitati a una rete di monitoraggio e aggiornamento e non potranno connettersi alla rete.

Se i computer client eseguono Agente di Windows Update e sono registrati presso un server WSUS, è possibile configurare Aggiornamenti per la sicurezza per il criterio Convalida integrità sicurezza di Windows.

In questo caso, se si seleziona Imponi quarantena per aggiornamenti di protezione mancanti e gli aggiornamenti di sicurezza più recenti non sono stati installati, Agente integrità sicurezza di Windows limita i computer client a una rete di monitoraggio e aggiornamento fino a quando gli aggiornamenti di sicurezza più recenti non verranno installati.

È possibile configurare Aggiornamenti per la sicurezza con numerosi valori diversi che corrispondono ai livelli di gravità della sicurezza del sito Web Microsoft relativo alle risposte sui problemi di sicurezza (MSRC). Sono disponibili i valori seguenti:

  • Solo critici. Se si seleziona questo valore, nei computer client devono essere installati tutti gli aggiornamenti di sicurezza contrassegnati da un livello di gravità critico in MSRC. I computer client in cui questi aggiornamenti non sono installati sono limitati a una rete di monitoraggio e aggiornamento finché gli aggiornamenti non vengono scaricati e installati.

  • Importanti e superiori. Questa è l'impostazione predefinita. Se si seleziona questo valore, nei computer client devono essere installati tutti gli aggiornamenti di sicurezza contrassegnati da un livello di gravità importante o critico in MSRC. I computer client in cui questi aggiornamenti non sono installati sono limitati a una rete di monitoraggio e aggiornamento finché gli aggiornamenti non vengono scaricati e installati.

  • Importanza moderata e superiore. Se si seleziona questo valore, nei computer client devono essere installati tutti gli aggiornamenti di sicurezza contrassegnati con un livello di gravità moderato, importante o critico in MSRC. I computer client in cui questi aggiornamenti non sono installati sono limitati a una rete di monitoraggio e aggiornamento finché gli aggiornamenti non vengono scaricati e installati.

  • Importanza bassa e superiore. Se si seleziona questo valore, nei computer client devono essere installati tutti gli aggiornamenti di sicurezza contrassegnati con un livello di gravità basso, moderato, importante o critico in MSRC. I computer client in cui questi aggiornamenti non sono installati sono limitati a una rete di monitoraggio e aggiornamento finché gli aggiornamenti non vengono scaricati e installati.

  • Tutti. Se si seleziona questo valore i computer client devono avere tutti gli aggiornamenti di sicurezza, indipendentemente dal livello di gravità in MSRC. I computer client in cui non sono installati gli aggiornamenti più recenti sono limitati a una rete di monitoraggio e aggiornamento finché gli aggiornamenti non vengono scaricati e installati.

Dopo aver configurato il livello di gravità dell'aggiornamento di sicurezza, è possibile specificare il numero minimo di ore consentite da quando il client verifica la disponibilità di nuovi aggiornamenti di sicurezza nel server WSUS. Il valore predefinito per l'intervallo minimo di sincronizzazione è 22 ore.

Quando un computer client tenta per la prima volta di connettersi a una rete abilitata per Protezione accesso alla rete e l'impostazione Aggiornamenti per la sicurezza è configurata nel criterio Convalida integrità sicurezza di Windows, Agente integrità sicurezza di Windows determina se limitare il computer client a una rete di monitoraggio e aggiornamento sulla base dell'orario più recente in cui il computer client ha verificato la disponibilità di aggiornamenti di sicurezza nel server WSUS. Agente integrità sicurezza di Windows adotta la procedura seguente per determinare se limitare il client a una rete di monitoraggio e aggiornamento:

  • Se il client verifica la disponibilità di aggiornamenti a intervalli maggiori del numero minimo di ore consentito tra le verifiche, come configurato nel criterio Convalida integrità sicurezza di Windows, il computer client viene limitato a una rete di monitoraggio e aggiornamento. Solo quando il client avrà verificato la disponibilità di aggiornamenti ed eventualmente scaricato e installato gli aggiornamenti recenti, verrà concesso l'accesso completo alla rete.

  • Se il client verifica la disponibilità di aggiornamenti a intervalli uguali o minori del numero minimo di ore consentito tra le verifiche, come configurato nel criterio Convalida integrità sicurezza di Windows, il computer client non viene limitato a una rete di monitoraggio e aggiornamento.

Nota

Agente integrità sicurezza di Windows nel computer client esegue questa verifica solo quando il computer client tenta di connettersi alla rete. Se tale computer resta connesso alla rete per un tempo superiore al periodo di sincronizzazione minimo configurato, Agente integrità sicurezza di Windows non attiva una verifica della disponibilità di aggiornamenti di sicurezza, non attiva il download degli aggiornamenti e non limita il computer client a una rete di monitoraggio e aggiornamento.

Monitoraggio e aggiornamento automatici

Affinché il monitoraggio e aggiornamento automatici funzionino con l'impostazione Aggiornamenti per la sicurezza abilitata e configurata nel criterio Convalida integrità sicurezza di Windows, è necessario che le condizioni seguenti siano soddisfatte:

  • I computer client nella rete eseguono Agente di Windows Update.

  • I computer client che eseguono Agente di Windows Update sono registrati in un server WSUS.

  • Il monitoraggio e l'aggiornamento automatici sono configurati e abilitati.

Se queste condizioni sono soddisfatte, Agente integrità sicurezza di Windows nel computer client verifica la disponibilità di aggiornamenti di sicurezza recenti nel server WSUS. Se Agente integrità sicurezza di Windows rileva che gli aggiornamenti di sicurezza più recenti del livello di gravità MSRC configurato non sono installati nel computer client, scaricherà e installerà direttamente gli aggiornamenti di sicurezza più recenti.


Metodi di imposizione di Protezione accesso alla rete

Server dei criteri di rete applica i criteri di integrità di Protezione accesso alla rete per le tecnologie di rete seguenti:

  • Controllo di accesso alla rete cablata e wireless basato sulla porta 802.1X. Per ulteriori informazioni, vedere Imposizione di Protezione accesso alla rete per 802.1X.

  • Lease e rinnovo degli indirizzi DHCP del protocollo IP versione 4. Per ulteriori informazioni, vedere Imposizione di Protezione accesso alla rete per DHCP.

  • Criteri IPsec per Windows Firewall su computer client. Per l'imposizione IPsec di Protezione accesso alla rete, è necessario che il client di imposizione IPsec sia installato sui computer client. Per ulteriori informazioni, vedere Imposizione di Protezione accesso alla rete per le comunicazioni IPsec.

  • Connessioni Gateway Desktop remoto tramite Servizi Desktop remoto, conosciuto come Servizi terminal nelle versioni precedenti. Per ulteriori informazioni, vedere Imposizione di Protezione accesso alla rete per Gateway Desktop remoto.

  • Reti private virtuali (VPN) con Routing e Accesso remoto. Per ulteriori informazioni, vedere Imposizione di Protezione accesso alla rete per VPN.

Utilizzo di più metodi di imposizione

Ciascuno di questi metodi di imposizione Protezione accesso alla rete presenta punti di forza e di debolezza. Combinando diversi metodi di imposizione è possibile ovviare alla maggior parte dei punti di debolezza della distribuzione di Protezione accesso alla rete in uso. La distribuzione di più metodi di imposizione Protezione accesso alla rete, tuttavia, può rendere più complessa la gestione dell'implementazione di Protezione accesso alla rete.


Imposizione di Protezione accesso alla rete per 802.1X

L'imposizione di Protezione accesso alla rete per il controllo dell'accesso alla rete basato sulla porta 802.1X viene distribuita tramite un server che esegue Server dei criteri di rete e un componente client di imposizione dell'host EAP (Extensible Authentication Protocol). Con l'imposizione basata sulla porta 802.1X, Server dei criteri di rete indica a un commutatore di autenticazione 802.1X o a un punto di accesso wireless conforme a 802.1X di inserire i client 802.1X non conformi in una rete di monitoraggio e aggiornamento. Server dei criteri di rete limita l'accesso del client alla rete di monitoraggio e aggiornamento applicando filtri IP o un identificatore LAN virtuale alla connessione. L'imposizione 802.1X applica restrizioni severe per la rete per tutti i computer che vi accedono utilizzando server di accesso alla rete conformi a 802.1X.

Requisiti per connessioni cablate 802.1X

Per distribuire Protezione accesso alla rete con connessioni cablate 802.1X, è necessario configurare gli elementi seguenti:

  • Nel Server dei criteri di rete configurare il criterio di richiesta di connessione, i criteri di rete e il criterio di integrità di Protezione accesso alla rete. È possibile configurare questi criteri singolarmente, utilizzando la console Server dei criteri di rete, oppure utilizzare la procedura guidata Nuovi criteri di Protezione accesso alla rete.

  • Installare e configurare i commutatori di autenticazione 802.1X.

  • Abilitare il client di imposizione di Protezione accesso alla rete per EAP e il servizio Protezione accesso alla rete su computer client idonei per Protezione accesso alla rete.

  • Configurare Convalida integrità sicurezza di Windows o installare e configurare altre istanze di Agente integrità sistema e Convalida integrità sistema in base alla distribuzione di Protezione accesso alla rete eseguita.

  • Se si utilizza PEAP-TLS (Protected Extensible Authentication Protocol-Transport Layer Security) o EAP-TLS con smart card o certificati, distribuire un'infrastruttura a chiave pubblica (PKI) con Servizi certificati Active Directory®.

  • Se si utilizza PEAP-MS-CHAP v2 (Protected Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2), emettere i certificati server con Servizi certificati Active Directory oppure acquistare certificati server da un'altra Autorità di certificazione (CA) radice attendibile.

Requisiti per connessioni wireless 802.1X

Per distribuire Protezione accesso alla rete con connessioni wireless 802.1X, configurare gli elementi seguenti:

  • In Server dei criteri di rete configurare il criterio di richiesta di connessione, i criteri di rete e il criterio di integrità Protezione accesso alla rete. È possibile configurare questi criteri singolarmente, utilizzando la console Server dei criteri di rete, oppure utilizzare la procedura guidata Nuovi criteri di Protezione accesso alla rete.

  • Installare e configurare i punti di accesso wireless 802.1X.

  • Abilitare il client di imposizione di Protezione accesso alla rete per EAP e il servizio Protezione accesso alla rete in computer client idonei per Protezione accesso alla rete.

  • Configurare Convalida integrità sicurezza di Windows o installare e configurare altre istanze di Agente integrità sistema e Convalida integrità sistema in base alla distribuzione di Protezione accesso alla rete eseguita.


Imposizione di Protezione accesso alla rete per DHCP

L'imposizione DHCP (Dynamic Host Configuration Protocol) viene distribuita con un componente server di imposizione di Protezione accesso alla rete DHCP, un componente client di imposizione DHCP e Server dei criteri di rete. Utilizzando l'imposizione di Protezione accesso alla rete DHCP, i server DHCP e Server dei criteri di rete possono imporre il criterio di integrità quando un computer tenta di eseguire un lease o di rinnovare un indirizzo IP versione 4 (IPv4). Se i computer client tuttavia sono configurati con un indirizzo IP statico o in modo da ignorare l'utilizzo di DHCP, questo metodo di imposizione non è efficace.

Nota

I dati relativi alla convalida dell'integrità archiviati in DHCP sono visibili agli altri computer. Il client di imposizione DHCP, tuttavia, invia un rapporto di integrità solo se tale rapporto viene richiesto dal server DHCP.

Requisiti

Per distribuire Protezione accesso alla rete con DHCP, è necessario eseguire le operazioni seguenti:

  • Nel Server dei criteri di rete configurare il criterio di richiesta di connessione, i criteri di rete e il criterio di integrità di Protezione accesso alla rete. È possibile configurare questi criteri singolarmente, utilizzando la console Server dei criteri di rete, oppure utilizzare la procedura guidata Nuovi criteri di Protezione accesso alla rete.

  • Abilitare il client di imposizione Protezione accesso alla rete DHCP e il servizio Protezione accesso alla rete su computer client idonei per Protezione accesso alla rete.

  • Installare DHCP nel computer locale o in un computer remoto.

  • Nello snap-in MMC (Microsoft Management Console) DHCP attivare Protezione accesso alla rete per singoli ambiti o per tutti gli ambiti configurati nel server DHCP.

  • Configurare Convalida integrità sicurezza di Windows o installare e configurare altre istanze di Agente integrità sistema e Convalida integrità sistema in base alla distribuzione di Protezione accesso alla rete eseguita.

Se DHCP non è installato nel computer locale, è inoltre necessario eseguire le operazioni seguenti:

  • Installare Server dei criteri di rete nel computer che esegue DHCP.

  • Configurare Server dei criteri di rete sul Server dei criteri di rete DHCP remoto come proxy RADIUS per inoltrare le richieste di connessione al Server dei criteri di rete locale.


Imposizione di Protezione accesso alla rete per le comunicazioni IPsec

L'imposizione di Protezione accesso alla rete per i criteri IPsec (Internet Protocol security) relativi a Windows Firewall viene distribuita mediante un server dei certificati di integrità, un server Autorità registrazione integrità, un server che esegue Server dei criteri di rete e un client di imposizione IPsec. Il server dei certificati di integrità rilascia certificati X.509 ai client Protezione accesso alla rete ritenuti conformi. Tali certificati vengono quindi utilizzati per autenticare i client Protezione accesso alla rete quando avviano comunicazioni IPsec con altri client Protezione accesso alla rete in un'Intranet.

L'imposizione IPsec limita la comunicazione nella rete solo ai client conformi e costituisce l'implementazione più affidabile di Protezione accesso alla rete. Poiché questo metodo di imposizione si avvale di IPsec, è possibile definire requisiti per la comunicazione sicura per i singoli indirizzi IP o per i singoli numeri di porta TCP/UDP.

Requisiti

Per distribuire Protezione accesso alla rete con IPsec e Autorità registrazione integrità, è necessario configurare gli elementi seguenti:

  • Nel Server dei criteri di rete configurare il criterio di richiesta di connessione, i criteri di rete e il criterio di integrità di Protezione accesso alla rete. È possibile configurare questi criteri singolarmente, utilizzando la console Server dei criteri di rete, oppure utilizzare la procedura guidata Nuovi criteri di Protezione accesso alla rete.

  • Abilitare il client di imposizione di Protezione accesso alla rete per IPsec e il servizio Protezione accesso alla rete sui computer client idonei per Protezione accesso alla rete.

  • Installare Autorità registrazione integrità nel computer locale o in un computer remoto.

  • Installare e configurare Servizi certificati Active Directory® e Modelli di certificato.

  • Configurare Criteri di gruppo e qualsiasi altra impostazione richiesta per la distribuzione.

  • Configurare Convalida integrità sicurezza di Windows o installare e configurare altre istanze di Agente integrità sistema e Convalida integrità sistema in base alla distribuzione di Protezione accesso alla rete eseguita.

Se Autorità registrazione integrità non è installato nel computer locale, è inoltre necessario configurare gli elementi seguenti:

  • Installare Server dei criteri di rete nel computer che esegue Autorità registrazione integrità.

  • Configurare Server dei criteri di rete nel server remoto Autorità registrazione integrità come proxy RADIUS (Remote Authentication Dial-In User Service) per inoltrare le richieste di connessione al server locale che esegue Server dei criteri di rete.

Per ulteriori informazioni su Autorità registrazione integrità, aprire la console Autorità registrazione integrità e quindi premere F1 per accedere al contenuto della relativa Guida.


Imposizione di Protezione accesso alla rete per Gateway Desktop remoto

Gateway Desktop remoto è un servizio ruolo del ruolo server Servizi Desktop remoto disponibile in Windows Server® 2008 R2.

Nota

In Windows Server 2008 R2 Servizi Desktop remoto sostituisce Servizi terminal di Windows Server® 2008.

Utilizzando Gateway Desktop remoto, gli utenti autorizzati possono connettersi da qualsiasi dispositivo connesso a Internet a server terminal e a desktop remoti della rete dell'organizzazione. Lo stato di integrità dei computer client Desktop remoto può inoltre essere imposto e monitorato con Protezione accesso alla rete.

L'imposizione di Protezione accesso alla rete per Gateway Desktop remoto viene distribuita con un server che esegue Server dei criteri di rete e un server Gateway Desktop remoto.

Requisiti

Per distribuire Protezione accesso alla rete con Gateway Desktop remoto, è necessario configurare gli elementi seguenti:

  • Installare e configurare Gateway Desktop remoto. Quando si esegue l'Aggiunta guidata ruoli per installare il servizio ruolo Gateway Desktop remoto, selezionare Desktop remoto. Nella pagina Selezione servizi ruolo è quindi possibile selezionare il servizio ruolo Gateway Desktop remoto da installare.

  • Nel Server dei criteri di rete configurare il criterio di richiesta di connessione, i criteri di rete e il criterio di integrità di Protezione accesso alla rete. È possibile configurare questi criteri singolarmente, utilizzando la console Server dei criteri di rete, oppure utilizzare la procedura guidata Nuovi criteri di Protezione accesso alla rete.

  • Configurare Convalida integrità sicurezza di Windows o installare e configurare altre istanze di Agente integrità sistema e Convalida integrità sistema in base alla distribuzione di Protezione accesso alla rete eseguita.

  • Se si utilizza PEAP-TLS (Protected Extensible Authentication Protocol-Transport Layer Security) o EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) con smart card o certificati, distribuire un'infrastruttura a chiave pubblica (PKI) con Servizi certificati Active Directory®.

  • Se si utilizza PEAP-MS-CHAP v2 (Protected Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2), emettere i certificati server con Servizi certificati Active Directory oppure acquistare certificati server da un'Autorità di certificazione (CA) radice attendibile.

  • Abilitare i controlli dei criteri di integrità di Protezione accesso alla rete nel server Gateway Desktop remoto utilizzando lo snap-in Gestione gateway Desktop remoto.

  • Abilitare il client di imposizione di Protezione accesso alla rete per Gateway Desktop remoto, il client di imposizione EAP e il servizio Protezione accesso alla rete nei computer client idonei per Protezione accesso alla rete.


Imposizione di Protezione accesso alla rete per VPN

L'imposizione di Protezione accesso alla rete per reti private virtuali (VPN) viene distribuita mediante un componente server di imposizione VPN e un componente client di imposizione VPN. Utilizzando questo metodo di imposizione, i server VPN possono imporre il criterio di integrità quando i computer client tentano di connettersi alla rete utilizzando una connessione VPN. L'imposizione VPN garantisce un accesso alla rete sicuro con restrizioni per tutti i computer che accedono alla rete tramite una connessione VPN.

Nota

L'imposizione VPN si differenzia da Controllo quarantena accesso alla rete, una funzionalità di Windows Server® 2003 e Internet Security and Acceleration (ISA) Server 2004.

Requisiti

Per distribuire Protezione accesso alla rete con VPN, è necessario configurare gli elementi seguenti:

  • Installare e configurare il servizio Routing e Accesso remoto come server VPN. Configurare il server che esegue Server dei criteri di rete come server RADIUS (Remote Authentication Dial-In User Service) primario in Routing e Accesso remoto.

  • In Server dei criteri di rete configurare i server VPN come client RADIUS. Configurare inoltre il criterio di richiesta di connessione, i criteri di rete e il criterio di integrità di Protezione accesso alla rete. È possibile configurare questi criteri singolarmente, utilizzando la console Server dei criteri di rete, oppure utilizzare la procedura guidata Nuovi criteri di Protezione accesso alla rete.

  • Abilitare i client di accesso remoto e di imposizione EAP di Protezione accesso alla rete in computer client idonei per Protezione accesso alla rete.

  • Abilitare il servizio Protezione accesso alla rete in computer client idonei per Protezione accesso alla rete.

  • Configurare Convalida integrità sicurezza di Windows o installare e configurare altre istanze di Agente integrità sistema e Convalida integrità sistema in base alla distribuzione di Protezione accesso alla rete eseguita.

  • Se si utilizza PEAP-TLS (Protected Extensible Authentication Protocol-Transport Layer Security) o EAP-TLS con smart card o certificati, distribuire un'infrastruttura a chiave pubblica (PKI) con Servizi certificati Active Directory®.

  • Se si utilizza PEAP-MS-CHAP v2 (Protected Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2), emettere i certificati server con Servizi certificati Active Directory oppure acquistare certificati server da un'Autorità di certificazione (CA) radice attendibile.

Ulteriori considerazioni

Se si distribuisce il metodo di imposizione di Protezione accesso alla rete VPN e l'imposizione di Protezione accesso alla rete è stata configurata con l'opzione Consenti accesso completo alla rete per un periodo di tempo limitato, i client VPN connessi alla rete quando viene raggiunta l'ora di scadenza verranno disconnessi automaticamente, indipendentemente dal fatto che siano conformi o non conformi al criterio di integrità.

Dopo la data e l'ora di scadenza, i client VPN non conformi al criterio di integrità che tenteranno di connettersi alla rete verranno inseriti in una rete con restrizioni, mentre ai client conformi verrà concesso l'accesso completo alla rete.


RADIUS

In questa sezione vengono descritti gli argomenti seguenti:

  • Accounting RADIUS

  • Client e server RADIUS

  • Proxy RADIUS

  • Server RADIUS


Accounting RADIUS

In Server dei criteri di rete sono disponibili tre tipi di registrazione:

  • Registrazione eventi.

    Utilizzata principalmente per i tentativi di connessione di controllo e di risoluzione dei problemi. È possibile configurare la registrazione eventi di Server dei criteri di rete ottenendo le proprietà del server nella relativa console.

  • Registrazione delle richieste di autenticazione utente e di accounting a un file locale.

    Utilizzata principalmente per scopi di fatturazione e di analisi di connessione. Utile inoltre come strumento di indagine sulla sicurezza perché offre un metodo di verifica dell'attività di utenti malintenzionati dopo un attacco. È possibile configurare la registrazione in file locale utilizzando la Configurazione guidata accounting.

  • Registrazione di richieste di autenticazione utente e di accounting a un database Microsoft® SQL Server™ compatibile con XML.

    Utilizzata per consentire a più server che eseguono Server dei criteri di rete di disporre di un'unica origine dati. Offre inoltre i vantaggi legati all'utilizzo di un database relazionale. È possibile configurare la registrazione in SQL Server utilizzando la Configurazione guidata accounting.

Configurazione guidata accounting

La Configurazione guidata accounting nella console Servizi dei criteri di rete consente di configurare le quattro impostazioni di accounting seguenti:

  • Solo registrazione in SQL. Mediante questa impostazione, è possibile configurare un collegamento dati a un computer SQL Server che consente a Server dei criteri di rete di connettersi e inviare dati di accounting al computer SQL Server. La procedura guidata inoltre consente di configurare il database in SQL Server in modo da garantirne la compatibilità con la registrazione su SQL Server di Server dei criteri di rete.

  • Solo registrazione in file di testo. Mediante questa impostazione, è possibile configurare Server dei criteri di rete per la registrazione dei dati di accounting in un file di testo.

  • Registrazione parallela. Mediante questa impostazione, è possibile configurare il collegamento dati e il database SQL Server. È inoltre possibile configurare la registrazione in file di testo in modo che Server dei criteri di rete esegua la registrazione sia nel file di testo che nel database SQL Server.

  • Registrazione in SQL con backup. Mediante questa impostazione, è possibile configurare il collegamento dati e il database SQL Server. È inoltre possibile configurare la registrazione in file di testo utilizzata da Server dei criteri di rete qualora la registrazione in SQL server abbia esito negativo.

Oltre a queste impostazioni, sia la registrazione in SQL Server che la registrazione in file di testo consentono di specificare se Server dei criteri di rete deve continuare a elaborare le richieste di connessione qualora la registrazione abbia esito negativo. È possibile specificare questa impostazione di failover nelle proprietà di registrazione in file locale, nelle proprietà di registrazione in SQL Server e mentre si esegue la Configurazione guidata accounting.

Vedere anche

  • Configurare le proprietà del file di registro
  • Configurare la registrazione in SQL Server da Server dei criteri di rete


Configurare le proprietà del file di registro

È possibile configurare Server dei criteri di rete per eseguire l'accounting RADIUS (Remote Authentication Dial-In User Service) per le richieste di autenticazione utente, i messaggi di autorizzazione e di rifiuto di accesso, le richieste e le risposte di accounting e gli aggiornamenti di stato periodici. Questa procedura consente di configurare i file di registro in cui si desidera archiviare i dati di accounting.

Per evitare che il disco rigido possa riempirsi, è consigliabile archiviare i file di registro su una partizione separata dalla partizione di sistema. Di seguito sono riportate ulteriori informazioni sulla configurazione dell'accounting per Server dei criteri di rete:

  • Per inviare i dati del file di registro a un altro processo, è possibile configurare Server dei criteri di rete in modo che registri le informazioni in una named pipe. Per utilizzare le named pipe, impostare la cartella dei file di registro su \\.\pipe o \\NomeComputer\pipe. Il programma server della named pipe crea una named pipe denominata \\.\pipe\iaslog.log per l'accettazione dei dati. Nella finestra di dialogo Proprietà file locale, in Crea un file di registro nuovo, selezionare Mai (dimensioni file illimitate) quando si utilizzano named pipe.

  • È possibile creare la directory dei file di registro utilizzando le variabili d'ambiente di sistema, anziché le variabili utente, ovvero %systemdrive%, %systemroot% e %windir%. Il percorso seguente, definito mediante la variabile di ambiente %windir%, imposta ad esempio il file di registro nella sottocartella della directory di sistema \System32\Logs (ovvero %windir%\System32\Logs\).

  • Il passaggio da un formato di file di registro all'altro non comporta la creazione di un nuovo file di registro. Se si passa a un altro formato di file di registro, il file attivo al momento della modifica conterrà una combinazione dei due formati. In altri termini, i record all'inizio del registro presenteranno il formato precedente, mentre quelli alla fine presenteranno il nuovo formato.

  • Se si verifica un errore nell'accounting RADIUS perché il disco rigido è pieno e per altri motivi, il Server dei criteri di rete interrompe l'elaborazione delle richieste di connessione, impendendo l'accesso alle risorse della rete.

  • Server dei criteri di rete consente la registrazione in un database Microsoft® SQL Server™ oltre a, o anziché, la registrazione in un file locale.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

Per configurare le proprietà dei file di registro di Server dei criteri di rete

  1. Aprire la console Server dei criteri di rete o lo snap-in MMC Server dei criteri di rete.

  2. Nell'albero della console fare clic su Accounting.

  3. Nel riquadro dei dettagli in Proprietà file di registro fare clic su Modifica proprietà file di registro. Verrà visualizzata la finestra di dialogo Proprietà file di registro.

  4. In Registrare le informazioni seguenti nella scheda Impostazioni di Proprietà file di registro verificare di aver scelto di registrare una quantità di informazioni sufficiente per gli obiettivi di accounting. Se ad esempio i file di registro devono eseguire la correlazione della sessione, selezionare tutte le caselle di controllo.

  5. In Azione esito negativo registrazione selezionare Non considerare le richieste di connessione se la registrazione ha esito negativo se si desidera che Server dei criteri di rete interrompa l'elaborazione dei messaggi Access-Request quando i file di registro sono pieni o non sono disponibili per qualche motivo. Se si desidera che Server dei criteri di rete continui l'elaborazione delle richieste di connessione in caso di registrazione non riuscita, non selezionare questa casella di controllo.

  6. Nella finestra di dialogo Proprietà file di registro fare clic sulla scheda File di registro.

  7. Nella scheda File di registro, in Directory, digitare il percorso per la cartella in cui verranno archiviati i file di registro di Server dei criteri di rete. Il percorso predefinito è la cartella systemroot\System32\LogFiles.

    Nota

    Se in Directory file di registro non viene specificata l'istruzione del percorso completo, verrà utilizzato il percorso predefinito. Digitando ad esempio NPSLogFile in Directory file di registro, il percorso del file sarà %systemroot%\System32\NPSLogFile.

  8. In Formato fare clic su Conforme a DTS. Se lo si preferisce, è possibile selezionare invece un formato di file legacy, ad esempio ODBC (Legacy) o IAS (Legacy).

  9. Per configurare Server dei criteri di rete in modo che utilizzi file di registro nuovi a intervalli specifici, in Crea un file di registro nuovo fare clic sull'intervallo che si desidera utilizzare:

    • Per volumi di transazioni e attività di registrazione intense selezionare Giornaliero.

    • Per volumi di transazioni e attività di registrazione meno intense selezionare Settimanale o Mensile.

    • Per archiviare tutte le transazioni in un unico file di registro selezionare Mai (dimensioni file illimitate).

    • Per limitare la dimensione di ogni file di registro selezionare Quando le dimensioni del file di registro sono: e quindi digitare la dimensione del file in base alla quale sarà creato un nuovo registro. La dimensione predefinita è 10 megabyte (MB).

  10. Se si desidera che Server dei criteri di rete elimini i file di registro obsoleti per liberare spazio su disco per i nuovi file di registro qualora lo spazio disponibile sul disco rigido stia per esaurirsi, verificare che sia selezionata l'opzione Quando il disco è pieno elimina i vecchi file di registro. Questa opzione tuttavia non è disponibile se il valore di Crea un file di registro nuovo è Mai (dimensioni file illimitati). Se inoltre il file di registro corrente corrisponde al file meno recente, esso non verrà eliminato.


Configurare la registrazione in SQL Server da Server dei criteri di rete

Questa procedura consente di registrare i dati di accounting RADIUS (Remote Authentication Dial-In User Service) in un database locale o remoto che esegue Microsoft® SQL Server™.

È possibile configurare il Server dei criteri di rete per eseguire l'accounting RADIUS per le richieste di autenticazione degli utenti, i messaggi di autorizzazione e rifiuto dell'accesso, le richieste e le risposte di accounting e gli aggiornamenti di stato periodici. Questa procedura consente di configurare le proprietà di registrazione e la connessione al server in cui è in esecuzione SQL Server per l'archiviazione dei dati di accounting.

Nota

Server dei criteri di rete formatta i dati di accounting come documento XML che viene inviato alla stored procedure report_event nel database SQL Server indicato in Server dei criteri di rete. Affinché la registrazione in SQL Server possa essere eseguita correttamente, è necessario che il database SQL Server disponga di una stored procedure denominata report_event in grado di ricevere e analizzare i documenti XML inviati da Server dei criteri di rete.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare la registrazione in SQL Server in Server dei criteri di rete

  1. Aprire la console Server dei criteri di rete o lo snap-in MMC Server dei criteri di rete.

  2. Nell'albero della console fare clic su Accounting.

  3. Nel riquadro dei dettagli in Proprietà registrazione in SQL Server fare clic su Modifica proprietà registrazione in SQL Server. Verrà visualizzata la finestra di dialogo Proprietà registrazione in SQL Server.

  4. In Registra le informazioni seguenti, selezionare le informazioni che si desidera registrare:

    1. Per registrare tutte le richieste di accounting, selezionare Richieste di accounting.

    2. Per registrare tutte le richieste di autenticazione, selezionare Richieste di autenticazione.

    3. Per la registrazione dello stato di accounting periodico, fare clic su Stato accounting periodico.

    4. Per registrare lo stato periodico, ad esempio richieste di accounting ad interim, selezionare Stato periodico.

  5. Per configurare il numero di sessioni simultanee consentite tra il server che esegue Server dei criteri di rete e SQL Server, digitare un numero in Numero massimo di sessioni simultanee.

  6. Per configurare l'origine dati di SQL Server, in Registrazione server SQL fare clic su Configura. Verrà visualizzata la finestra di dialogo Proprietà del collegamento dati. Nella scheda Connessione eseguire le operazioni seguenti:

    • Per specificare il nome del server in cui è archiviato il database, digitare o selezionare un nome in Selezionare o specificare un nome di server.

    • Per specificare il metodo di autenticazione per accedere al server, selezionare Utilizza protezione integrata di Windows NT oppure selezionare Usa nome utente e password specifici e quindi digitare le credenziali in Nome utente e Password.

    • Per consentire l'uso di password vuote, selezionare Nessuna password.

    • Per archiviare la password, selezionare Consenti salvataggio password.

    • Per specificare il database a cui connettersi sul computer che esegue SQL Server, fare clic su Selezionare il database sul server e quindi selezionare un nome di database dall'elenco.

  7. Per il test della connessione tra Server dei criteri di rete e SQL Server, fare clic su Verifica connessione.


Client e server RADIUS

Se nella console Server dei criteri di rete si fa clic su Client e server RADIUS, è poi possibile scegliere di configurare client RADIUS o gruppi di server RADIUS remoti.

Per ulteriori informazioni sui client RADIUS, vedere Client RADIUS.

Per ulteriori informazioni sui gruppi di server RADIUS remoti, vedere Gruppi di server RADIUS remoti.

Per informazioni sulla configurazione di Server dei criteri di rete come server RADIUS, vedere Server RADIUS.


Client RADIUS

Un server di accesso alla rete è una periferica che offre un certo livello di accesso a una rete più estesa. Un server di accesso che utilizza un'infrastruttura RADIUS è anche un client RADIUS, che invia richieste di connessione e messaggi di accounting a un server RADIUS per l'autenticazione, l'autorizzazione e l'accounting.

Importante

I computer client, ad esempio i portatili wireless e altri computer in cui sono in esecuzione sistemi operativi client, non sono client RADIUS. I client RADIUS sono server di accesso alla rete, ad esempio punti di accesso wireless, commutatori che supportano 802.1X, server di reti private virtuali (VPN, Virtual Private Network) e server di connessione remota, in quanto utilizzano il protocollo RADIUS per comunicare con server RADIUS, ad esempio server dei criteri di rete.

Per distribuire Server dei criteri di rete come server RADIUS, proxy RADIUS o server dei criteri Protezione accesso alla rete è necessario configurare i client RADIUS in Server dei criteri di rete.

Esempi di client RADIUS

Esempi di server di accesso alla rete sono:

  • Server di accesso alla rete che garantiscono la connettività per l'accesso remoto alla rete di un'organizzazione o a Internet. Un esempio di questo tipo di server è rappresentato da un computer che esegue il sistema operativo Windows Server® 2008 e il servizio Routing e Accesso remoto e che offre servizi di connessione remota tradizionali o VPN alla rete Intranet di un'organizzazione.

  • Punti di accesso wireless che garantiscono accesso a livello fisico alla rete di un'organizzazione utilizzando tecnologie di trasmissione e ricezione wireless.

  • Commutatori che garantiscono accesso a livello fisico alla rete di un'organizzazione utilizzando tecnologie LAN tradizionali, ad esempio Ethernet.

  • Proxy RADIUS che inoltrano richieste di connessione ai server RADIUS membri di un gruppo di server RADIUS remoti configurati sul proxy RADIUS.

Messaggi di richiesta di accesso RADIUS

I client RADIUS creano messaggi di richiesta di accesso RADIUS e li inoltrano a un proxy RADIUS o server RADIUS oppure inoltrano messaggi di richiesta di accesso a un server RADIUS ricevuti da un altro client RADIUS ma che non hanno creato.

I client RADIUS non elaborano messaggi di richiesta di accesso eseguendo l'autenticazione, l'autorizzazione e l'accounting. Solo i server RADIUS eseguono tali funzioni.

Server dei criteri di rete può essere tuttavia configurato contemporaneamente come proxy RADIUS e come server RADIUS in modo da elaborare messaggi di richiesta di accesso e inoltrare altri messaggi.

Server dei criteri di rete come client RADIUS

Server dei criteri di rete viene utilizzato come client RADIUS quando viene configurato come proxy RADIUS per l'inoltro di messaggi di richiesta di accesso ad altri server RADIUS per l'elaborazione. Quando si utilizza Server dei criteri di rete come proxy RADIUS, è necessario eseguire la seguente procedura di configurazione generale:

  1. I server di accesso alla rete, ad esempio punti di accesso wireless e server VPN, vengono configurati con l'indirizzo IP del proxy di Server dei criteri di rete come il server RADIUS o il server di autenticazione indicato. In questo modo i server di accesso alla rete, che creano i messaggi di richiesta di accesso in base alle informazioni ricevute dai client di accesso, sono in grado di inoltrare i messaggi al proxy di Server dei criteri di rete.

  2. Il proxy di Server dei criteri di rete viene configurato aggiungendo ogni server di accesso alla rete come client RADIUS. Queste operazioni di configurazione consentono al proxy di Server dei criteri di rete di ricevere messaggi dai server di accesso alla rete e di comunicare con essi durante l'intero processo di autenticazione. I criteri di richiesta di connessione sul proxy di Server dei criteri di rete vengono inoltre configurati per specificare i messaggi di richiesta di accesso da inoltrare a uno o più server RADIUS. Tali criteri vengono anche configurati con un gruppo di server RADIUS remoto che indica a Server dei criteri di rete dove inviare i messaggi ricevuti dai server di accesso alla rete.

  3. Server dei criteri di rete o altri server RADIUS membri del gruppo di server RADIUS remoto sul proxy di Server dei criteri di rete vengono configurati per la ricezione di messaggi dal proxy di Server dei criteri di rete. Questo è possibile configurando il proxy di Server dei criteri di rete come client RADIUS.

Proprietà del client RADIUS

Quando si aggiunge un client RADIUS alla configurazione di Server dei criteri di rete mediante lo snap-in Server dei criteri di rete oppure utilizzando i comandi netsh per Server dei criteri di rete, Server dei criteri di rete viene configurato per la ricezione di messaggi di richiesta di accesso RADIUS da un server di accesso alla rete oppure da un proxy RADIUS.

Quando si configura un client RADIUS in Server dei criteri di rete, è possibile impostare le proprietà seguenti:

  • Nome client

    Nome descrittivo per il client RADIUS che ne facilita l'identificazione quando si utilizza lo snap-in di Server dei criteri di rete o i comandi netsh per Server dei criteri di rete.

  • Indirizzo IP

    L'indirizzo IP versione 4 (IPv4) o il nome DNS (Domain Name System) del client RADIUS.

  • Fornitore client

    Il fornitore del client RADIUS. Altrimenti, è possibile utilizzare il valore standard RADIUS per fornitore client.

  • Segreto condiviso

    Stringa di testo utilizzata come password tra client RADIUS, server RADIUS e proxy RADIUS. Quando viene utilizzato l'attributo autenticatore del messaggio, il segreto condiviso viene utilizzato anche come chiave di codifica dei messaggi RADIUS. Questa stringa deve essere configurata sul client RADIUS e nello snap-in Server dei criteri di rete.

  • Attributo autenticatore del messaggio

    Descritto nella specifica RFC 2869, "RADIUS Extensions", hash MD5 dell'intero messaggio RADIUS. Se l'attributo autenticatore del messaggio RADIUS è presente, viene verificato. Se il messaggio non supera la verifica, viene scartato. Se le impostazioni del client richiedono l'attributo autenticatore del messaggio e questo non è presente, il messaggio RADIUS viene scartato. L'utilizzo dell'attributo autenticatore del messaggio è consigliato.

    Nota

    L'attributo autenticatore del messaggio è necessario e attivato per impostazione predefinita quando si utilizza l'autenticazione EAP.

  • Il client è idoneo per Protezione accesso alla rete

    L'indicazione che il client RADIUS è compatibile con Protezione accesso alla rete e Server dei criteri di rete invia gli attributi Protezione accesso alla rete al client RADIUS nel messaggio di autorizzazione di accesso.


Aggiungere un nuovo client RADIUS

Questa procedura consente di aggiungere un server di accesso alla rete come client RADIUS (Remote Authentication Dial-In User Service) nello snap-in MMC Server dei criteri di rete.

Quando si configura un server di accesso alla rete (NAS) come client RADIUS nello snap-in MMC Server dei criteri di rete, il client RADIUS inoltra al server che esegue Server dei criteri di rete le richieste di connessione dei client di accesso per l'autenticazione, l'autorizzazione e l'accounting.

Importante

I computer client, ad esempio i portatili wireless e altri computer in cui sono in esecuzione sistemi operativi client, non sono client RADIUS. I client RADIUS sono server di accesso alla rete, ad esempio punti di accesso wireless, commutatori che supportano 802.1X, server di reti private virtuali (VPN, Virtual Private Network) e server di connessione remota, in quanto utilizzano il protocollo RADIUS per comunicare con server RADIUS, ad esempio server dei criteri di rete.

Oltre a configurare un nuovo client RADIUS, è inoltre necessario configurare il server di accesso alla rete in modo che sia in grado di comunicare con il server dei criteri di rete. Per ulteriori informazioni, vedere la documentazione fornita dal produttore del server di accesso alla rete.

Per configurare un nuovo client RADIUS in Server dei criteri di rete, è necessario eseguire la Configurazione guidata nuovo client RADIUS. Nella Configurazione guidata nuovo client RADIUS eseguire le operazioni seguenti:

  • Se il server di accesso alla rete supporta l'utilizzo dell'attributo Message-Authenticator, denominato anche attributo di firma, nella procedura guidata Nuovo client RADIUS fare clic su La richiesta deve contenere l'attributo autenticatore del messaggio. Se invece il server di accesso alla rete non supporta l'attributo Message-Authenticator, non selezionare questa impostazione. L'utilizzo dell'attributo Message-Authenticator garantisce una maggiore sicurezza qualora nei criteri di rete siano configurati come metodi di autenticazione i protocolli PAP (Password Authentication Protocol), CHAP (Challenge Handshake Authentication Protocol), MS-CHAP (Microsoft Challenge Handshake Authentication Protocol) e MS-CHAP v2. Poiché l'attributo Message-Authenticator viene utilizzato dal protocollo EAP (Extensible Authentication Protocol) per impostazione predefinita, non sarà necessario abilitarlo se viene utilizzato questo protocollo.

  • Se utilizzano criteri di rete specifici per il server NAS, ad esempio un criterio che contiene attributi specifici del fornitore, fare clic su Fornitore client e quindi selezionare il nome del produttore del server NAS. Se il nome del produttore del server NAS non è noto o se non è presente nell'elenco, selezionare RADIUS standard.

Nota

Se il Server dei criteri di rete riceve una richiesta di accesso da un proxy RADIUS, non è in grado di rilevare il produttore del server NAS che ha originato la richiesta. Questa situazione può provocare problemi se si pianifica di utilizzare condizioni dei criteri di rete basato sul fornitore del client e se è presente almeno un client RADIUS che agisce come proxy RADIUS. In questo caso le richieste di connessione inoltrate dal Server dei criteri di rete dal proxy RADIUS potrebbero non corrispondere ad alcun criterio di rete, provocando il rifiuto di tutte le richieste di connessione. Per questo motivo, quando si utilizzano proxy RADIUS, è necessario configurare almeno un criterio di rete non basato su attributi specifici del server NAS, ad esempio l'attributo specifico del fornitore.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per aggiungere un nuovo client RADIUS

  1. Aprire lo snap-in MMC Server dei criteri di rete e quindi fare doppio clic su Client e server RADIUS.

  2. Fare clic con il pulsante destro del mouse su Client RADIUS e quindi scegliere Nuovo client RADIUS.

  3. Eseguire le operazioni descritte nella Configurazione guidata nuovo client RADIUS.


Proxy RADIUS

Server dei criteri di rete può essere utilizzato come proxy RADIUS per fornire il routing dei messaggi RADIUS tra i client RADIUS (server di accesso) e i server RADIUS che eseguono l'autenticazione utente, l'autorizzazione e l'accounting per il tentativo di connessione. Se utilizzato come proxy RADIUS, il Server dei criteri di rete è un punto di commutazione o di routing centrale attraverso il quale passano i messaggi di accesso e accounting RADIUS. Il Server dei criteri di rete registra in un registro di accounting le informazioni relative ai messaggi inoltrati.

Nella figura seguente viene illustrato il Server dei criteri di rete come proxy RADIUS tra i client RADIUS (server di accesso) e i server RADIUS o un altro proxy RADIUS.

NPS come un proxy RADIUS

Se il Server dei criteri di rete viene utilizzato come proxy RADIUS tra un client RADIUS e un server RADIUS, i messaggi RADIUS per i tentativi di accesso alla rete vengono inoltrati nel modo seguente:

  1. I server di accesso, quali i server di connessione remota alla rete, i server VPN e i punti di accesso wireless, ricevono le richieste di connessione dai client di accesso.

  2. Il server di accesso, configurato per utilizzare RADIUS come protocollo di autenticazione, autorizzazione e accounting, crea un messaggio di richiesta di accesso e lo invia al Server dei criteri di rete utilizzato come proxy RADIUS.

  3. Il proxy RADIUS Server dei criteri di rete riceve il messaggio di richiesta di accesso e, in base ai criteri di connessione configurati localmente, determina dove inoltrare tale messaggio.

  4. Il proxy RADIUS Server dei criteri di rete inoltra il messaggio di richiesta di accesso al server RADIUS appropriato.

  5. Il server RADIUS valuta il messaggio di richiesta di accesso.

  6. Se necessario, il server RADIUS invia un messaggio di richiesta di verifica di accesso al proxy RADIUS Server dei criteri di rete, dove viene inoltrato al server di accesso. Il server di accesso elabora la richiesta di verifica con il client di accesso e invia una richiesta di accesso aggiornata al proxy RADIUS Server dei criteri di rete, dove viene inoltrata al server RADIUS.

  7. Il server RADIUS autentica e autorizza il tentativo di connessione.

  8. Se il tentativo di connessione viene autenticato e autorizzato, il server RADIUS invia un messaggio di autorizzazione di accesso al proxy RADIUS Server dei criteri di rete, dove viene inoltrato al server di accesso.

    Se il tentativo di connessione non viene autenticato o autorizzato, il server RADIUS invia un messaggio di rifiuto di accesso al proxy RADIUS Server dei criteri di rete, dove viene inoltrato al server di accesso.

  9. Il server di accesso completa il processo di connessione con il client di accesso e invia un messaggio di richiesta di accesso al proxy RADIUS Server dei criteri di rete. Tale proxy registra i dati di accounting e inoltra il messaggio al server RADIUS.

  10. Il server RADIUS invia una risposta di accounting al proxy RADIUS Server dei criteri di rete, dove viene inoltrata al server di accesso.

È possibile utilizzare Server dei criteri di rete come proxy RADIUS nei casi seguenti:

  • L'utente è un provider di servizi che offre in outsourcing servizi di accesso alla rete in connessione remota, VPN o wireless a più clienti. I server di accesso alla rete inviano richieste di connessione al proxy RADIUS Server dei criteri di rete. Sulla base della parte dell'area di autenticazione del nome utente nella richiesta di connessione, il proxy RADIUS Server dei criteri di rete inoltra la richiesta di connessione a un server RADIUS gestito dal cliente in grado di autenticare e autorizzare il tentativo di connessione.

  • Si desidera offrire l'autenticazione e l'autorizzazione per gli account utente che non sono membri del dominio di cui è membro il Server dei criteri di rete o di un altro dominio che dispone di un trust bidirezionale con il dominio di cui è membro il Server dei criteri di rete. Tali account includono quelli dei domini non trusted, dei domini con trust unidirezionale e di altre foreste. Anziché configurare i server di accesso per l'invio delle richieste di connessione a un server RADIUS Server dei criteri di rete, è possibile configurarli per l'invio delle richieste di connessione a un proxy RADIUS Server dei criteri di rete. Tale proxy utilizza la parte del nome dell'area di autenticazione all'interno del nome utente e inoltra la richiesta a un Server dei criteri di rete nel dominio o nella foresta appropriati. I tentativi di connessione per gli account utente in un dominio o in una foresta possono essere autenticati per i server di accesso alla rete in un altro dominio o in un'altra foresta.

  • Si desidera eseguire l'autenticazione e l'autorizzazione utilizzando un database diverso da un database di account Windows. In questo caso le richieste di connessione che corrispondono a uno specifico nome dell'area di autenticazione vengono inoltrate a un server RADIUS che ha accesso a un diverso database di account utente e dati di autorizzazione. Altri esempi di database utenti includono i database NDS (Novell Directory Services) e SQL (Structured Query Language).

  • Si desidera elaborare un elevato numero di richieste di connessione. In questo caso, anziché configurare i client RADIUS per tentare di bilanciare le relative richieste di connessione e accounting tra più server RADIUS, è possibile configurarli per l'invio delle relative richieste di connessione e accounting a un proxy RADIUS Server dei criteri di rete. Tale proxy bilancia dinamicamente il carico delle richieste di connessione e accounting tra più server RADIUS e incrementa la velocità di elaborazione al secondo di un numero elevato di client RADIUS e autenticazioni.

  • Si desidera offrire l'autenticazione e autorizzazione RADIUS per i provider di servizi in outsourcing e limitare la configurazione del firewall dell'Intranet. Il firewall di una Intranet è posizionato tra la rete perimetrale (la rete compresa tra l'Intranet e Internet) e l'Intranet. Se si posiziona un server che esegue Server dei criteri di rete nella rete perimetrale, il firewall tra la rete perimetrale e la rete Intranet deve consentire il flusso del traffico tra Server dei criteri di rete e più controller di dominio. Se si sostituisce il server che esegue Server dei criteri di rete con un proxy Server dei criteri di rete, il firewall dovrà consentire il passaggio solo del traffico RADIUS tra il proxy Server dei criteri di rete e uno o più server che eseguono Server dei criteri di rete all'interno della rete Intranet.


Elaborazione delle richieste di connessione

È possibile utilizzare l'elaborazione delle richieste di connessione per specificare dove deve essere eseguita l'autenticazione delle richieste di connessione, ovvero nel computer locale o in un server RADIUS remoto membro di un gruppo di server RADIUS remoto.

Se si desidera che l'autenticazione delle richieste di connessione venga eseguita a livello del server locale che esegue Server dei criteri di rete, è possibile utilizzare il criterio predefinito delle richieste di connessione senza configurazioni aggiuntive. In base al criterio predefinito, il Server dei criteri di rete esegue l'autenticazione di utenti e computer che dispongono di un account nel dominio locale e in domini trusted.

Per inoltrare le richieste di connessione a un server remoto che esegue Server dei criteri di rete o a un altro server RADIUS, creare un gruppo di server RADIUS remoto e quindi configurare un criterio di richiesta di connessione per l'inoltro delle richieste a questo gruppo. Utilizzando questa configurazione, le richieste di autenticazione possono essere inoltrate dal Server dei criteri di rete a qualsiasi server RADIUS ed è possibile autenticare gli utenti che dispongono di account in domini non trusted.

Nella figura seguente viene mostrato il percorso di un messaggio di richiesta di accesso da un server di accesso alla rete a un proxy RADIUS e quindi a un server RADIUS in un gruppo di server RADIUS remoto. Sul proxy RADIUS, il server di accesso alla rete è configurato come un client RADIUS, mentre su ogni server RADIUS, il proxy RADIUS è configurato come un client RADIUS.

Server e client RADIUS
Nota

I server di accesso alla rete utilizzati con Server dei criteri di rete possono essere dispositivi gateway conformi con il protocollo RADIUS, ad esempio punti di accesso wireless e commutatori di autenticazione 802.1X, server che eseguono Routing e Accesso remoto configurati come server di connessione remota o VPN, server Gateway Desktop remoto e altri dispositivi.

Se si desidera che alcune richieste di autenticazione vengano elaborate dal Server dei criteri di rete localmente e le altre inoltrate a un gruppo di server RADIUS remoto, configurare più criteri di richiesta di connessione.

Per configurare un criterio di richiesta di connessione in cui specificare il server che esegue Server dei criteri di rete o il gruppo di server RADIUS che deve elaborare le richieste di autenticazione, vedere Criteri di richiesta di connessione.

Per specificare il server che esegue Server dei criteri di rete o altri server RADIUS a cui devono essere inoltrate le richieste di autenticazione, vedere Gruppi di server RADIUS remoti.


Criteri di richiesta di connessione

I criteri di richiesta di connessione sono gruppi di condizioni e impostazioni che consentono agli amministratori di rete di designare i server RADIUS (Remote Authentication Dial-In User Service) che dovranno eseguire l'autenticazione e l'autorizzazione delle richieste di connessione ricevute nel computer che esegue Server dei criteri di rete da parte dei client RADIUS. Possono essere configurati per designare i server RADIUS che verranno utilizzati per l'accounting RADIUS.

Importante

Se si distribuisce Protezione accesso alla rete utilizzando i metodi di imposizione VPN (Virtual Private Network, rete privata virtuale) o 802.1X con l'autenticazione PEAP (Protected Extensible Authentication Protocol), sarà necessario configurare l'autenticazione PEAP nel criterio di richiesta di connessione anche se le richieste di connessione sono elaborate localmente.

È possibile creare criteri di richiesta di connessione per elaborare localmente alcuni messaggi di richiesta RADIUS inviati dai client RADIUS (server dei criteri di rete viene utilizzato come server RADIUS) e per inoltrare altri tipi di messaggi a un altro server RADIUS (server dei criteri di rete viene utilizzato come proxy RADIUS).

Con i criteri di richiesta di connessione, è possibile utilizzare Server dei criteri di rete come server RADIUS o come proxy RADIUS in base a fattori come:

  • L'ora del giorno e il giorno della settimana

  • Il nome dell'area nella richiesta di connessione

  • Il tipo di connessione richiesto

  • L'indirizzo IP del client

I messaggi di richiesta di accesso RADIUS vengono elaborati o inoltrati da Server dei criteri di rete solo se le impostazioni del messaggio in ingresso soddisfano almeno uno dei criteri di richiesta di connessione configurati nel server dei criteri di rete. Se le impostazioni dei criteri corrispondono e il criterio richiede l'elaborazione del messaggio da parte di Server dei criteri di rete, Server dei criteri di rete viene utilizzato da server RADIUS, autenticando e autorizzando la richiesta di connessione. Se le impostazioni dei criteri corrispondono e i criteri richiedono l'inoltro del messaggio da parte di Server dei criteri di rete, Server dei criteri di rete viene utilizzato come proxy RADIUS e inoltra la richiesta di connessione a un server RADIUS remoto per l'elaborazione.

Se le impostazioni di un messaggio di richiesta di accesso RADIUS in ingresso non soddisfano almeno uno dei criteri di richiesta di connessione, viene inviato un messaggio di rifiuto dell'accesso al client RADIUS negando l'accesso all'utente o al computer che sta tentando di connettersi alla rete.

Esempi di configurazione

Negli esempi di configurazione riportati di seguito vengono illustrate le modalità di utilizzo dei criteri di richiesta di connessione:

  • Server dei criteri di rete come server RADIUS

    Il criterio di richiesta di connessione predefinito è il solo criterio configurato. Nell'esempio seguente, Server dei criteri di rete è configurato come server RADIUS e tutte le richieste di connessione vengono elaborate da un server dei criteri di rete locale. Server dei criteri di rete può autenticare e autorizzare gli utenti i cui account sono inclusi nel dominio del dominio del server dei criteri di rete e nei domini trusted.

  • Server dei criteri di rete come proxy RADIUS

    Il criterio di richiesta di connessione predefinito viene eliminato e vengono creati due nuovi criteri di richiesta di connessione per inoltrare le richieste a due domini diversi. In questo esempio Server dei criteri di rete è configurato come proxy RADIUS. Server dei criteri di rete non elabora alcuna richiesta di connessione nel server locale, ma inoltra le richieste di connessione a Server dei criteri di rete o altri server RADIUS configurati come membri di gruppi di server RADIUS remoti.

  • Server dei criteri di rete come server RADIUS e come proxy RADIUS

    Oltre al criterio di richiesta di connessione predefinito, viene creato un nuovo criterio di richiesta di connessione che inoltra le richieste di connessione a un Server dei criteri di rete o altro server RADIUS in un dominio non trusted. In questo esempio il criterio proxy viene visualizzato per primo nell'elenco ordinato di criteri. Se la richiesta di connessione soddisfa il criterio proxy, la richiesta di connessione viene inoltrata al server RADIUS nel gruppo di server RADIUS remoti. Se la richiesta di connessione non soddisfa il criterio proxy ma soddisfa il criterio di richiesta di connessione predefinito, Server dei criteri di rete elabora la richiesta di connessione sul server locale. Se la richiesta di connessione non soddisfa alcun criterio, verrà scartata.

  • Server dei criteri di rete come server RADIUS con server di accounting remoti

    In questo esempio il Server dei criteri di rete locale non è configurato per eseguire l'accounting e il criterio di richiesta di connessione predefinito viene modificato affinché i messaggi di accounting RADIUS vengano inoltrati a un Server dei criteri di rete o altro server RADIUS di un gruppo di server RADIUS remoto. Il Server dei criteri di rete locale esegue l'autenticazione e l'autorizzazione dei messaggi per il dominio locale e per tutti i domini trusted perché questi messaggi, a differenza di quelli di accounting, non vengono inoltrati.

  • Server dei criteri di rete con Mapping da server RADIUS remoto a utente Windows

    In questo esempio il Server dei criteri di rete esegue le funzioni di server RADIUS e proxy RADIUS per ogni richiesta di connessione, inoltrando la richiesta di autenticazione a un server RADIUS remoto e utilizzando un account utente Windows locale per l'autorizzazione. Questa configurazione viene implementata configurando l'attributo Mapping da server RADIUS remoto a utente Windows come condizione del criterio di richiesta di connessione. Deve inoltre essere creato un account utente locale con lo stesso nome dell'account utente remoto utilizzato per l'autenticazione da parte del server RADIUS remoto.

Condizioni

Le condizioni dei criteri di richiesta di connessione sono costituite da uno o più attributi RADIUS che vengono confrontati con gli attributi del messaggio Access-Request RADIUS in ingresso. Se esistono più condizioni, è necessario che tutte le condizioni nel messaggio di richiesta e nel criterio di richiesta di connessione siano soddisfatte perché il criterio sia applicato da Server dei criteri di rete.

Nella tabella riportata di seguito sono elencati gli attributi di condizione che è possibile configurare nei criteri di richiesta di connessione.

Il gruppo di attributi Connection Properties contiene gli attributi seguenti.

  • Framed Protocol. Il tipo di frame per i pacchetti in ingresso. Alcuni esempi sono rappresentati da Point-to-Point Protocol (PPP), Serial Line Internet Protocol (SLIP), Frame Relay e X.25.

  • Service Type. Il tipo di servizio richiesto. Gli esempi includono servizi con frame quali le connessioni PPP e i servizi di accesso, ad esempio le connessioni Telnet. Per ulteriori informazioni sui tipi di servizi RADIUS, vedere la RFC 2865, "Remote Authentication Dial-in User Service (RADIUS)".

  • Tunnel Type. Il tipo di tunnel creato dal client che effettua la richiesta. I tipi di tunnel includono i protocolli PPTP (Point-to-Point Tunneling Protocol) e L2TP (Layer Two Tunneling Protocol).

Il gruppo di attributi Date and Time Restrictions contiene l'attributo Day and Time Restrictions. Con questo attributo è possibile designare il giorno della settimana e l'ora del giorno in cui è stato effettuato il tentativo di connessione. Il giorno e l'ora dipendono dalla data e dall'ora di Server dei criteri di rete.

Il gruppo di attributi Gateway contiene gli attributi seguenti.

  • Called Station ID. Il numero di telefono del server di accesso alla rete. Questo attributo è una stringa di caratteri. Per specificare gli indicativi di località è possibile utilizzare i caratteri jolly.

  • NAS Identifier. Il nome del server di accesso alla rete. Questo attributo è una stringa di caratteri. Per specificare gli identificatori del server di accesso alla rete è possibile utilizzare i caratteri jolly.

  • NAS IPv4 Address. L'indirizzo IP versione 4 del server di accesso alla rete (client RADIUS). Questo attributo è una stringa di caratteri. Per specificare le reti IP è possibile utilizzare i caratteri jolly.

  • NAS IPv6 Address. L'indirizzo del protocollo IP versione 6 del server di accesso alla rete (client RADIUS). Questo attributo è una stringa di caratteri. Per specificare le reti IP è possibile utilizzare i caratteri jolly.

  • NAS Port Type. Il tipo di supporto utilizzato dal client di accesso. Alcuni esempi sono rappresentati dalle linee telefoniche analogiche, conosciute con il termine di asincrone, dalle linee ISDN (Integrated Services Digital Network), dai tunnel o dalle reti private virtuali (VPN, Virtual Private Network), dalle schede wireless IEEE 802.11 e dai commutatori Ethernet.

Il gruppo di attributi Machine Identity contiene l'attributo Machine Identity. Utilizzando questo attributo è possibile specificare il metodo di identificazione dei client nel criterio.

Il gruppo di attributi RADIUS Client Properties contiene gli attributi seguenti.

  • Calling Station ID. Il numero di telefono utilizzato dal chiamante (il client di accesso). Questo attributo è una stringa di caratteri. Per specificare gli indicativi di località è possibile utilizzare i caratteri jolly.

  • Client Friendly Name. Il nome del client RADIUS che richiede l'autenticazione. Questo attributo è una stringa di caratteri. Per specificare i nomi del client è possibile utilizzare i caratteri jolly.

  • Client IPv4 Address. L'indirizzo del protocollo IPv4 del server di accesso alla rete (client RADIUS). Questo attributo è una stringa di caratteri. Per specificare le reti IP è possibile utilizzare i caratteri jolly.

  • Client IPv6 Address. L'indirizzo del protocollo IPv6 del server di accesso alla rete (client RADIUS). Questo attributo è una stringa di caratteri. Per specificare le reti IP è possibile utilizzare i caratteri jolly.

  • Client Vendor. Il fornitore del server di accesso alla rete che richiede l'autenticazione. Il produttore del server di accesso alla rete di un computer su cui è in esecuzione il servizio di Routing e Accesso remoto è Microsoft. Questo attributo può essere utilizzato per configurare criteri distinti per diversi produttori di server di accesso alla rete. Questo attributo è una stringa di caratteri. È possibile utilizzare i caratteri jolly.

Il gruppo di attributi User Name contiene l'attributo User Name. Utilizzando questo attributo è possibile designare il nome utente o parte del nome utente che deve corrispondere al nome utente fornito dal client di accesso nel messaggio RADIUS. Questo attributo è costituito da una stringa di caratteri contenente un nome di area e un nome di account utente. Per specificare i nomi utente è possibile utilizzare i caratteri jolly.

Impostazioni

Le impostazioni dei criteri di richiesta di connessione sono un insieme di proprietà che vengono applicate a un messaggio RADIUS in ingresso. Le impostazioni sono costituite dai seguenti gruppi di proprietà:

  • Autenticazione

  • Accounting

  • Manipolazione degli attributi

  • Avanzate

Autenticazione

Questa impostazione consente di sostituire le impostazioni di autenticazione configurate in tutti i criteri di rete e designare i metodi e i tipi di autenticazione necessari per la connessione alla rete.

Importante

Se si imposta un metodo di autenticazione nel criterio di richiesta di connessione meno sicuro del metodo di autenticazione impostato nel criterio di rete, il metodo di autenticazione più sicuro impostato nei criteri di rete verrà ignorato. Se ad esempio un criterio di rete richiede l'utilizzo di PEAP-MS-CHAP v2 (Protected Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2), ovvero un metodo di autenticazione basato su password per connessioni wireless sicure, e si configura inoltre un criterio di richiesta di connessione che consente l'accesso non autenticato, nessun client dovrà essere autenticato mediante EAP-MS-CHAP v2. In questo caso a tutti i client che si connettono alla rete è concesso l'accesso non autenticato.

Accounting

Questa impostazione consente di configurare il criterio di richiesta di connessione per l'inoltro di informazioni di accounting a un server che esegue Server dei criteri di rete o a un altro server RADIUS in un gruppo di server RADIUS remoto in modo che tale gruppo esegua l'accounting.

Nota

Se nella rete sono presenti più server RADIUS e si desidera che le informazioni di accounting siano archiviate in un unico database di accounting RADIUS, è possibile utilizzare l'impostazione di accounting del criterio di richiesta di connessione in un criterio su ogni server RADIUS per l'inoltro dei dati di accounting da tutti i server a un unico server dei criteri di rete o altro server RADIUS impostato come server di accounting.

Le impostazioni di accounting del criterio di richiesta di connessione sono indipendenti dalla configurazione di accounting del server dei criteri di rete locale. In altre parole, se si configura il server dei criteri di rete locale per la registrazione delle informazioni di accounting RADIUS in un file locale o in un database Microsoft® SQL Server™, la registrazione verrà effettuata anche se non è stato configurato un criterio di richiesta di connessione per l'inoltro di messaggi di accounting a un gruppo di server RADIUS remoti.

Per registrare le informazioni di accounting in remoto e non in locale, è necessario configurare il server dei criteri di rete per non eseguire l'accounting, configurando al tempo stesso l'accounting in un criterio di richiesta di connessione per l'inoltro dei dati di accounting a un gruppo di server RADIUS remoti.

Modifica degli attributi

È possibile configurare un insieme di criteri di ricerca e di sostituzione che modifichino le stringhe di testo in uno degli attributi seguenti:

  • User Name

  • Called Station ID

  • Calling Station ID

L'elaborazione delle regole di ricerca e di sostituzione viene eseguita per uno degli attributi riportati sopra prima che per il messaggio RADIUS vengano abilitate le impostazioni di autenticazione e di accounting. Le regole di manipolazione degli attributi sono valide solo per un singolo attributo. Non è possibile configurare le regole di manipolazione degli attributi per ogni attributo. L'elenco di attributi che è possibile modificare è inoltre un elenco statico che non consente l'aggiunta di attributi per la manipolazione.

Nota

Se si utilizza il protocollo di autenticazione MS-CHAP v2, non è possibile manipolare l'attributo Nome utente se per inoltrare il messaggio RADIUS vengono utilizzati i criteri di richiesta di connessione. L'unica eccezione si verifica quando viene utilizzata la barra rovesciata (\) e la manipolazione riguarda solo le informazioni riportate a sinistra della barra. La barra rovesciata viene generalmente utilizzata per indicare un nome di dominio (le informazioni a sinistra della barra) e un nome di account utente all'interno del dominio (le informazioni a destra della barra). In questo caso sono consentite solo regole di manipolazione degli attributi che modificano o sostituiscono il nome di dominio.

Inoltro della richiesta

È possibile impostare le seguenti opzioni di inoltro della richiesta utilizzate per i messaggi di richiesta di accesso RADIUS:

Autentica le richieste su questo server. Questa impostazione consente a Server dei criteri di rete di utilizzare un dominio Windows NT 4.0, Active Directory oppure il database degli account utente di Gestione account di sicurezza (SAM) locale per autenticare la richiesta di connessione. L'impostazione specifica inoltre che il criterio di rete corrispondente configurato in Server dei criteri di rete, insieme alle proprietà della connessione remota dell'account utente, vengono utilizzati da Server dei criteri di rete per autorizzare la richiesta di connessione. In questo caso il server dei criteri di rete viene utilizzato come server RADIUS.

Inoltra le richieste al seguente gruppo di server RADIUS remoto. Questa impostazione consente a Server dei criteri di rete di inoltrare le richieste di connessione al gruppo di server RADIUS remoto specificato. Se Server dei criteri di rete riceve un messaggio di autorizzazione di accesso valido che corrisponde al messaggio di richiesta di accesso, il tentativo di connessione viene considerato autenticato e autorizzato. In questo caso, Server dei criteri di rete viene utilizzato come proxy RADIUS.

Accetta utente senza la convalida delle credenziali. Con questa impostazione Server dei criteri di rete non verifica l'identità dell'utente che tenta di connettersi alla rete né che l'utente o il computer abbia il diritto di connettersi alla rete. Quando Server dei criteri di rete è configurato per consentire l'accesso non autenticato e riceve una richiesta di connessione, invia immediatamente un messaggio di autorizzazione di accesso al client RADIUS concedendo l'accesso alla rete all'utente o al computer. Questa impostazione viene utilizzata per alcuni tipi di tunneling obbligatorio in cui per il client di accesso viene eseguito il tunneling prima dell'autenticazione delle credenziali utente.

Nota

Non è possibile utilizzare questa opzione di autenticazione se il protocollo di autenticazione del client di accesso è MS-CHAP v2 o EAP-TLS (Extensible Authentication Protocol-Transport Layer Security), poiché entrambi supportano l'autenticazione reciproca. Nell'autenticazione reciproca, il client di accesso dimostra al server di autenticazione di essere un client di accesso valido (il server dei criteri di rete) e il server di autenticazione dimostra al client di accesso di essere un server di autenticazione valido. Quando si utilizza questa opzione di autenticazione viene restituito il messaggio di autorizzazione di accesso. Il server di autenticazione non fornisce tuttavia la convalida al client di accesso e l'autenticazione non riesce.

Avanzate

È possibile impostare proprietà avanzate per specificare la serie di attributi RADIUS che vengono:

  • Aggiunti al messaggio di risposta quando Server dei criteri di rete viene utilizzato come server RADIUS di autenticazione o accounting.

    Quando sono stati specificati degli attributi sia in un criterio di accesso remoto che nel criterio di richiesta di connessione, gli attributi inviati nel messaggio di risposta RADIUS rappresentano la combinazione dei due insiemi di attributi.

  • Aggiunti al messaggio di risposta quando Server dei criteri di rete viene utilizzato come proxy RADIUS di autenticazione o accounting. Se l'attributo è già presente nel messaggio inoltrato, verrà sostituito con il valore dell'attributo specificato nel criterio di richiesta di connessione.

Alcuni attributi disponibili per la configurazione nella scheda Impostazioni del criterio di richiesta di connessione nella categoria Avanzate offrono funzionalità specifiche. Ad esempio, è possibile configurare l'attributo Mapping da server RADIUS remoto a utente Windows quando si desidera dividere l'autenticazione e l'autorizzazione di una richiesta di connessione tra due database degli account utente.

L'attributo Mapping da server RADIUS remoto a utente Windows specifica che l'autorizzazione Windows è attivata per gli utenti autenticati da un server RADIUS remoto. In altre parole, un server RADIUS remoto esegue l'autenticazione rispetto a un account utente presente in un database degli account utente remoto, mentre il server dei criteri di rete locale autorizza la richiesta di connessione rispetto a un account utente presente nel database degli account utente locale. Ciò è utile quando si desidera consentire l'accesso alla rete a visitatori.

I visitatori di organizzazioni partner possono ad esempio essere autenticati dal server RADIUS della propria organizzazione e utilizzare quindi un account utente Windows nell'organizzazione visitata per accedere a una rete locale (LAN) guest nella rete visitata.

Altri attributi che offrono funzionalità specifiche sono:

  • MS-Quarantine-IPFilter e MS-Quarantine-Session-Timeout. Attributi utilizzati quando si distribuisce Controllo quarantena accesso alla rete con la distribuzione di reti VPN di Routing e Accesso remoto.

  • Passport-User-Mapping-UPN-Suffix. Attributo che consente di autenticare richieste di connessione con le credenziali di un account utente di Windows Live™ ID.

  • Tunnel-Tag. Attributo che designa il numero ID della VLAN a cui il server NAS deve assegnare la connessione quando si distribuiscono reti locali virtuali (VLAN).

Criterio di richiesta di connessione predefinito

Quando si installa Server dei criteri di rete viene creato un criterio di richiesta di connessione predefinito con la configurazione seguente:

  • Autenticazione non viene configurato.

  • Accounting non viene configurato per l'inoltro di informazioni di accounting a un gruppo di server RADIUS remoto.

  • Attributo non viene configurato con regole di manipolazione degli attributi per l'inoltro di richieste di connessione a gruppi di server RADIUS remoti.

  • Inoltro richiesta viene configurato in modo che le richieste di connessione vengano autenticate e autorizzate sul server dei criteri di rete locale.

  • Gli attributi Avanzate non vengono configurati.

Il criterio di richiesta di connessione predefinito utilizza Server dei criteri di rete come server RADIUS. Per configurare un server che esegue Server dei criteri di rete a fungere come proxy RADIUS, è necessario configurare anche un gruppo di server RADIUS remoto. È possibile creare un nuovo gruppo di server RADIUS remoto durante la creazione di un nuovo criterio di richiesta di connessione utilizzando la procedura guidata Nuovo criterio di richiesta di connessione. È possibile eliminare il criterio di richiesta di connessione predefinito oppure verificare che il criterio di richiesta di connessione predefinito sia l'ultimo criterio elaborato.

Nota

Se nello stesso computer sono installati Server dei criteri di gruppo e il servizio Routing e Accesso remoto, e il servizio Routing e Accesso remoto è configurato per l'autenticazione e l'accounting Windows, è possibile inoltrare le richieste di autenticazione e di accounting di Routing e Accesso remoto a un server RADIUS. Ciò può verificarsi quando le richieste di autenticazione e di accounting di Routing e accesso remoto corrispondono a un criterio di richiesta di connessione configurato per l'inoltro a un gruppo di server RADIUS remoto.


Aggiungere un criterio di richiesta di connessione

I criteri di richiesta di connessione sono insiemi di condizioni e impostazioni che consentono agli amministratori di rete di designare i server RADIUS (Remote Authentication Dial-In User Service) che dovranno eseguire l'autenticazione e l'autorizzazione delle richieste di connessione inviate nel server che esegue Server dei criteri di rete da parte dei client RADIUS.

Il criterio di richiesta di connessione predefinito utilizza il Server dei criteri di rete come server RADIUS ed elabora tutte le richieste di autenticazione in locale.

Per configurare un Server dei criteri di rete affinché funga da proxy RADIUS e inoltri le richieste di connessione ad altri Server dei criteri di rete o server RADIUS, è necessario configurare un gruppo di server RADIUS remoti e aggiungere un nuovo criterio di richiesta di connessione che specifichi le condizioni e le impostazioni che le richieste di connessione devono soddisfare.

È possibile creare un nuovo gruppo di server RADIUS remoto durante la creazione di un nuovo criterio di richiesta di connessione con la procedura guidata Nuovo criterio di richiesta di connessione.

Se non si desidera che il Server dei criteri di rete funga da server RADIUS ed elabori le richieste di connessione in locale, è possibile eliminare il criterio di richiesta di connessione predefinito.

Se si desidera che il Server dei criteri di rete funga sia da server RADIUS, con l'elaborazione delle richieste di connessione in locale, sia da proxy RADIUS, con l'inoltro delle richieste di connessione a un gruppo di server RADIUS remoti, aggiungere un nuovo criterio utilizzando la procedura seguente e quindi verificare che il criterio di richiesta di connessione predefinito sia l'ultimo criterio elaborato.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per aggiungere un nuovo criterio di richiesta di connessione

  1. Aprire la console Server dei criteri di rete e fare doppio clic su Criteri.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Criteri di richiesta di connessione e quindi scegliere Nuovo criterio di richiesta di connessione.

  3. Utilizzare Creazione guidata nuovo criterio richiesta di connessione per configurare il criterio di richiesta di connessione e, se non è stato configurato in precedenza, un gruppo di server RADIUS remoti.


Gruppi di server RADIUS remoti

Quando viene configurato come proxy RADIUS (Remote Authentication Dial-In User Service), Server dei criteri di rete viene utilizzato per l'inoltro di richieste di connessione ai server RADIUS che sono in grado di elaborarle perché possono eseguire l'autenticazione e l'autorizzazione nel dominio in cui si trova l'account utente o computer. Ad esempio, per inoltrare richieste di connessione a uno o più server RADIUS in domini non trusted, è possibile configurare Server dei criteri di rete come proxy RADIUS per l'inoltro di richieste di connessione ai server RADIUS remoti nel dominio non trusted.

Per configurare Server dei criteri di rete come proxy RADIUS, è necessario creare un criterio di richiesta di connessione che contiene tutte le informazioni necessarie a Server dei criteri di rete per valutare i messaggi da inoltrare e la relativa destinazione.

Quando si configura un gruppo di server RADIUS remoto in Server dei criteri di rete e si configura un criterio di richiesta di connessione con il gruppo, si designa la posizione in cui il Server dei criteri di rete dovrà inoltrare le richieste di connessione.

Configurare server RADIUS per un gruppo

Un gruppo di server RADIUS remoto è un gruppo denominato contenente uno o più server RADIUS. Se si configura più di un server, è possibile specificare impostazioni di bilanciamento del carico per determinare l'ordine in cui il proxy utilizza i server oppure per distribuire il flusso dei messaggi RADIUS in tutti i server del gruppo in modo da evitare di sovraccaricare uno o più server con un numero eccessivo di richieste di connessione.

Per ciascun server del gruppo sono disponibili le seguenti impostazioni:

  • Nome o indirizzo

    A ciascun membro del gruppo deve essere assegnato un nome univoco all'interno del gruppo. Il nome può essere un indirizzo IP o un nome che possa essere risolto nel relativo indirizzo IP.

  • Autenticazione e accounting

    È possibile inoltrare richieste di autenticazione, richieste di accounting o entrambe a ogni membro del gruppo di server RADIUS remoto.

  • Bilanciamento del carico

    È possibile utilizzare l'impostazione di priorità per indicare il membro del gruppo di server primario (la priorità è impostata su 1). Per i membri del gruppo con la stessa priorità, viene utilizzata l'impostazione del peso per calcolare la frequenza di invio dei messaggi RADIUS a ciascun server. È possibile utilizzare impostazioni aggiuntive per configurare il modo in cui Server dei criteri di rete rileva quando un membro del gruppo non è più disponibile e quando risulta disponibile dopo che è stato segnalato non disponibile.

Dopo avere configurato un gruppo di server RADIUS remoto, è possibile specificarlo nelle impostazioni di autenticazione e di accounting di un criterio di richiesta di connessione. Di conseguenza, è possibile configurare prima un gruppo di server RADIUS remoto, quindi configurare il criterio di richiesta di connessione per l'utilizzo del gruppo di server RADIUS remoto configurato. In alternativa, è possibile utilizzare la Creazione guidata nuovo criterio richiesta di connessione per creare un nuovo gruppo server RADIUS remoto durante la creazione del criterio di richiesta di connessione.

Nota

I gruppi di server RADIUS remoti sono distinti dai gruppi di Windows e dai gruppi server di monitoraggio e aggiornamento di Protezione accesso alla rete.


Aggiungere un gruppo di server RADIUS remoto

Questa procedura consente di aggiungere un nuovo gruppo di server RADIUS remoto nello snap-in di Server dei criteri di rete.

Quando si configura Server dei criteri di rete come proxy RADIUS, viene creato un nuovo criterio di richiesta di connessione che Server dei criteri di rete utilizza per determinare le richieste di connessione da inoltrare ad altri server RADIUS. Il criterio di richiesta di connessione viene inoltre configurato specificando un gruppo di server RADIUS remoto contenente uno o più server RADIUS, che comunica a Server di criteri di rete dove inviare le richieste di connessione che soddisfano il criterio di richiesta di connessione.

Nota

È inoltre possibile configurare un nuovo gruppo di server RADIUS remoto durante il processo di creazione di un nuovo criterio di richiesta di connessione.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per aggiungere un gruppo di server RADIUS remoto

  1. Aprire la console Server dei criteri di rete.

  2. Nell'albero della console fare doppio clic su Client e server RADIUS, fare clic con il pulsante destro del mouse su Gruppi di server RADIUS remoti e quindi fare clic su Nuovo.

  3. Verrà visualizzata la finestra di dialogo Nuovo gruppo di server RADIUS remoto. In Nome gruppo, digitare un nome per il gruppo di server RADIUS remoto.

  4. In Server RADIUS fare clic su Aggiungi. Verrà visualizzata la finestra di dialogo Aggiungi server RADIUS. Digitare l'indirizzo IP del server RADIUS che si desidera aggiungere al gruppo oppure il nome di dominio completo (FQDN) del server RADIUS e quindi fare clic su Verifica.

  5. In Aggiungi server RADIUS fare clic sulla scheda Autenticazione/Accounting. In Segreto condiviso e Conferma segreto condiviso, digitare il segreto condiviso. È necessario utilizzare lo stesso segreto condiviso quando si configura il computer locale come client RADIUS sul server RADIUS remoto.

  6. Se non si utilizza il protocollo EAP per l'autenticazione, selezionare La richiesta deve contenere l'attributo identificatore del messaggio. Il protocollo EAP utilizza l'attributo Message-Authenticator per impostazione predefinita.

  7. Verificare che i numeri delle porte di autenticazione e di accounting siano validi per la distribuzione eseguita.

  8. Se si sta utilizzando un segreto condiviso diverso per l'accounting in Accounting, deselezionare la casella di controllo Utilizza stesso segreto condiviso per autenticazione e accounting e quindi digitare il segreto condiviso di accounting in Segreto condiviso e in Conferma segreto condiviso.

  9. Per non inoltrare messaggi di avvio e di fine accesso alla rete al server RADIUS remoto, deselezionare la casella di controllo Inoltra notifiche di avvio e di fine accesso alla rete a questo server.


Server RADIUS

Server dei criteri di rete può essere utilizzato come server RADIUS (Remote Authentication Dial-In User Service) per eseguire l'autenticazione, l'autorizzazione e l'accounting per client RADIUS. Un client RADIUS può essere un server di accesso, ad esempio un server di connessione remota o un punto di accesso wireless, oppure un proxy RADIUS. Se il Server dei criteri di rete viene utilizzato come un server RADIUS, offre le funzionalità seguenti:

  • Un servizio di autenticazione e autorizzazione centralizzato per tutte le richieste di accesso inviate da client RADIUS.

    Server dei criteri di rete utilizza un dominio Microsoft® Windows NT® Server 4.0, un dominio di Servizi di dominio Active Directory® o il database degli account utente del sistema di gestione degli account di sicurezza (SAM) locale per autenticare le credenziali utente per i tentativi di connessione. Il Server dei criteri di rete utilizza le proprietà della connessione remota dell'account utente e i criteri di rete per autorizzare una connessione.

  • Un servizio di registrazione accounting centralizzato per tutte le richieste di accounting inviate da client RADIUS.

    Le richieste di accounting vengono archiviate in un file di registro locale o in un database Microsoft® SQL Server™ per l'analisi.

Nella figura seguente viene illustrato Server dei criteri di rete configurato come un server RADIUS per diversi client di accesso e un proxy RADIUS. Server dei criteri di rete utilizza un dominio di Servizi di dominio Active Directory® per autenticare le credenziali utente dei messaggi Access-Request RADIUS in ingresso.

NPS come un server RADIUS

Se Server dei criteri di rete viene utilizzato come un server RADIUS, i messaggi RADIUS offrono autenticazione, autorizzazione e accounting per connessioni di accesso alla rete come descritto di seguito.

  1. I server di accesso, ad esempio server di connessione remota, server VPN e punti di accesso wireless, ricevono le richieste di connessione da client di accesso.

  2. Il server di accesso, configurato per utilizzare RADIUS come protocollo di autenticazione, autorizzazione e accounting, crea un messaggio di richiesta di accesso e lo invia al Server dei criteri di rete.

  3. Il messaggio di richiesta di accesso viene valutato dal Server dei criteri di rete.

  4. Se necessario, il Server dei criteri di rete invia un messaggio di richiesta di verifica di accesso al server di accesso. Il server di accesso elabora la richiesta di verifica e invia un messaggio di richiesta di accesso aggiornato al Server dei criteri di rete.

  5. Viene eseguita la verifica delle credenziali dell'utente e ricavate le proprietà della connessione remota dell'account utente utilizzando una connessione sicura a un controller di dominio.

  6. Il tentativo di connessione viene autorizzato con le proprietà della connessione remota dell'account utente e i criteri di rete.

  7. Se il tentativo di connessione è autenticato e autorizzato, il Server dei criteri di rete invia un messaggio di autorizzazione di accesso al server di accesso.

    Se il tentativo di connessione non è autenticato oppure non è autorizzato, il Server dei criteri di rete invia un messaggio di rifiuto di accesso al server di accesso.

  8. Il server di accesso completa il processo di connessione con il client di accesso e invia un messaggio di richiesta accounting al Server dei criteri di rete, in cui il messaggio viene registrato.

  9. Il Server dei criteri di rete invia un messaggio di risposta di accounting al server di accesso.

Nota

Il server di accesso invia inoltre messaggi di richiesta di accounting durante il periodo in cui la connessione viene stabilita, quando la connessione al client di accesso viene chiusa e quando il server di accesso viene avviato e interrotto.

Il Server dei criteri di rete può essere utilizzato come un server RADIUS quando:

  • Si utilizza un dominio Windows NT Server 4.0, un dominio di Servizi di dominio Active Directory o il database degli account utente SAM locale come database degli account utente per i client di accesso.

  • Si utilizza Routing e Accesso remoto su più server di connessione remota, server VPN o router di connessione a richiesta e si desidera centralizzare la configurazione dei criteri di rete e della registrazione connessione per l'accounting.

  • Si esegue l'outsourcing dell'accesso remoto, VPN o wireless a un provider di servizi. I server di accesso utilizzano RADIUS per autenticare e autorizzare le connessioni stabilite da membri della propria organizzazione.

  • Si desidera centralizzare autenticazione, autorizzazione e accounting per un insieme eterogeneo di server di accesso.

Nota

Nel Servizio di Autenticazione Internet (IAS) del sistema operativo Windows Server® 2003, i criteri di rete vengono indicati come criteri di accesso remoto.


Server RADIUS per connessioni wireless o cablate 802.1X

Quando si distribuisce l'accesso a reti cablate o wireless 802.1X con Server dei criteri di rete come server RADIUS (Remote Authentication Dial-In User Service), è necessario eseguire le operazioni seguenti:

  • Installare e configurare server di accesso alla rete come client RADIUS.

  • Distribuire i componenti per i metodi di autenticazione

  • Configurare il Server dei criteri di rete come server RADIUS

Installare e configurare server di accesso alla rete, ovvero client RADIUS

Per distribuire un accesso wireless 802.1X, è necessario installare e configurare punti di accesso wireless, mentre per distribuire un accesso cablato 802.1X è necessario installare e configurare commutatori di autenticazione 802.1X.

Importante

I computer client, ad esempio i portatili wireless e altri computer in cui sono in esecuzione sistemi operativi client, non sono client RADIUS. I client RADIUS sono server di accesso alla rete, ad esempio punti di accesso wireless, commutatori che supportano 802.1X, server di reti private virtuali (VPN, Virtual Private Network) e server di connessione remota, in quanto utilizzano il protocollo RADIUS per comunicare con server RADIUS, ad esempio server dei criteri di rete.

In entrambi i casi questi server di accesso alla rete devono soddisfare i requisiti seguenti:

  • Supporto per l'autenticazione 802.1X standard IEEE (Institute of Electrical and Electronics Engineers).

  • Supporto per l'autenticazione e l'accounting RADIUS.

Se si utilizzano applicazioni di fatturazione o di accounting per cui è necessaria la correlazione della sessione, i requisiti da soddisfare sono i seguenti:

  • Supporto per l'attributo Classe definito da Internet Engineering Task Force (IETF) nella RFC 2865, "Remote Authentication Dial-in User Service (RADIUS)", per consentire la correlazione della sessione per i record di autenticazione e di accounting RADIUS. Per la correlazione della sessione, quando si configura l'accounting RADIUS in un Server dei criteri di rete o in un proxy relativo, è necessario registrare tutti i dati di accounting che consentono alle applicazioni, ad esempio quelle di fatturazione, di eseguire query sul database, correlare campi appropriati e restituire una vista coesiva di ogni sessione dei risultati della query. Per implementare una correlazione della sessione, è necessario registrare almeno i dati di accounting del Server dei criteri di rete seguenti, ovvero Indirizzo-IP-NAS, Identificatore-NAS (necessari affinché il server di accesso sia in grado di inviare entrambi gli attributi), Classe, Identificatore-sessione-account, Identificatore-multi-sessione-account, Tipo-pacchetto, Tipo-stato-account, Intervallo-interim-account, Porta-NAS e Timestamp-evento.

  • Supporto per richieste di accounting ad interim che possono essere registrate, inviate periodicamente da alcuni server di accesso alla rete durante una sessione utente. Questo tipo di richiesta può essere utilizzata quando l'attributo RADIUS Acct-Interim-Interval è configurato in modo da supportare richieste periodiche nel profilo di accesso remoto sul Server dei criteri di rete. Se si desidera che le richieste di accounting ad interim vengano registrate nel server che esegue Server dei criteri di rete, è necessario che il server di accesso alla rete ne supporti l'utilizzo.

Se si utilizzano reti locali virtuali (VLAN), è necessario che siano supportate dai server di accesso alla rete.

In ambienti WAN (Wide Area Network), i server di accesso alla rete devono soddisfare il requisito seguente:

  • Supporto per la stima dinamica del timeout di ritrasmissione o per il backoff esponenziale per la gestione della congestione e dei ritardi in un ambiente WAN.

Per garantire una sicurezza avanzata per la rete, è inoltre necessario che i server di accesso alla rete supportino le funzionalità di filtro seguenti.

  • Filtro DHCP. È necessario che i server di accesso alla rete applichino un filtro sulle porte IP per impedire la trasmissione di messaggi broadcast DHCP (Dynamic Host Configuration Protocol) se il client è costituito da un server DHCP, poiché devono impedire al client di inviare pacchetti IP dalla porta 68 alla rete.

  • Filtro DNS. È necessario che i server di accesso alla rete applichino un filtro sulle porte IP per impedire a un client di funzionare come server DNS, poiché devono impedire al client di inviare pacchetti IP dalla porta 53 alla rete.

Se si distribuiscono punti di accesso wireless, è preferibile il supporto per Wi-Fi Protected Access (WPA), supportato da Windows Vista® e Windows XP con Service Pack 2. Per distribuire WPA, utilizzare inoltre schede di rete wireless che supportino questo metodo.

Distribuire i componenti per i metodi di autenticazione

Per connessioni wireless e cablate 802.1X, è possibile utilizzare i metodi di autenticazione seguenti:

  • Extensible Authentication Protocol (EAP) con Transport Layer Security (TLS), denominato anche EAP-TLS.

  • Protected EAP (PEAP) con Microsoft Challenge Handshake Authentication Protocol versione 2 (MS-CHAP v2), denominato anche PEAP-MS-CHAP v2.

  • PEAP con EAP-TLS, denominato anche PEAP-TLS.

Per EAP-TLS e PEAP-TLS è necessario distribuire un'infrastruttura a chiave pubblica (PKI) installando e configurando Servizi certificati Active Directory® per rilasciare certificati ai computer client e ai Server dei criteri di rete membri del dominio. Tali certificati vengono utilizzati durante il processo di autenticazione per l'identificazione da parte dei client e dei server che eseguono Server dei criteri di rete. Se si preferisce, anziché utilizzare i certificati dei computer client, è possibile distribuire smart card. In questo caso sarà necessario rilasciare smart card e lettori di smart card ai dipendenti dell'organizzazione.

Per PEAP-MS-CHAP v2 è possibile distribuire un'Autorità di certificazione (CA) personalizzata con Servizi certificati Active Directory per emettere certificati per i Server dei criteri di rete. In alternativa, è possibile acquistare certificati server da una CA radice attendibile pubblica considerata attendibile dai client, ad esempio VeriSign.

Per ulteriori informazioni, vedere Panoramica del protocollo EAP e Panoramica del protocollo PEAP.

Configurare il Server dei criteri di rete come server RADIUS

Quando si configura Server dei criteri di rete come server RADIUS, è necessario configurare client RADIUS, criteri di rete e accounting RADIUS.

Configurare client RADIUS

Per configurare i client RADIUS eseguire le due operazioni seguenti:

  • Configurare il client RADIUS fisico, ad esempio il punto di accesso wireless o il commutatore di autenticazione, con informazioni che consentono al server di accesso alla rete di comunicare con i Server dei criteri di rete. Questa informazione include la configurazione dell'indirizzo IP del Server dei criteri di rete e del segreto condiviso nel punto di accesso o nell'interfaccia utente del commutatore.

  • In Server dei criteri di rete aggiungere un nuovo client RADIUS. Nel Server dei criteri di rete aggiungere i punti di accesso o i commutatori di autenticazione come client RADIUS. Server dei criteri di rete consente di specificare un nome descrittivo per ogni client RADIUS, nonché l’indirizzo IP del client RADIUS e il segreto condiviso.

Per ulteriori informazioni, vedere Aggiungere un nuovo client RADIUS.

Configurare criteri di rete

I criteri di rete sono insiemi di condizioni, vincoli e impostazioni che consentono di designare gli utenti autorizzati a connettersi alla rete e le circostanze in cui tali utenti possono connettersi.

Per ulteriori informazioni, vedere Criteri di rete.

Configurare l'accounting RADIUS

L'accounting RADIUS consente di registrare le richieste di accounting e di autenticazione utente in un file di registro locale o in un database Microsoft® SQL Server® nel computer locale o in un computer remoto.

Per ulteriori informazioni, vedere Accounting RADIUS.

Vedere anche

  • Client RADIUS
  • Criteri di rete
  • Accounting RADIUS


Server RADIUS per connessioni remote o VPN

Quando si distribuiscono connessioni remote o VPN con il Server dei criteri di rete come server RADIUS, è necessario eseguire le operazioni seguenti:

  • Installare e configurare server di accesso alla rete come client RADIUS.

  • Distribuire componenti per i metodi di autenticazione.

  • Configurare il Server dei criteri di rete come server RADIUS.

Installare e configurare server di accesso alla rete, ovvero client RADIUS

Per distribuire la connessione remota, è necessario installare e configurare Routing e Accesso remoto come server di connessione remota. Per distribuire la connessione VPN, è necessario installare e configurare Routing e Accesso remoto come server VPN.

Importante

I computer client, ad esempio i portatili wireless e altri computer in cui sono in esecuzione sistemi operativi client, non sono client RADIUS. I client RADIUS sono server di accesso alla rete, ad esempio punti di accesso wireless, commutatori che supportano 802.1X, server di reti private virtuali (VPN, Virtual Private Network) e server di connessione remota, in quanto utilizzano il protocollo RADIUS per comunicare con server RADIUS, ad esempio server dei criteri di rete.

È possibile installare Routing e Accesso remoto sul Server dei criteri di rete locale o in un computer remoto.

Distribuire componenti per i metodi di autenticazione

Per le connessioni VPN è possibile utilizzare i metodi di autenticazione seguenti:

  • EAP (Extensible Authentication Protocol) con TLS (Transport Layer Security), ovvero EAP-TLS.

  • PEAP (Protected EAP) con MS-CHAP v2 (Microsoft Challenge Handshake Authentication Protocol versione 2), ovvero PEAP-MS-CHAP v2.

  • PEAP con TLS (Transport Layer Security), ovvero PEAP-TLS.

Per EAP-TLS e PEAP-TLS è necessario distribuire un'infrastruttura a chiave pubblica (PKI) installando e configurando Servizi certificati Active Directory® per rilasciare certificati ai computer client e ai Server dei criteri di rete membri del dominio. Tali certificati vengono utilizzati durante il processo di autenticazione per l'identificazione da parte dei client e dei Server dei criteri di rete. Se si preferisce, anziché utilizzare i certificati dei computer client, è possibile distribuire smart card. In questo caso sarà necessario rilasciare smart card e lettori di smart card ai dipendenti dell'organizzazione.

Per PEAP-MS-CHAP v2 è possibile distribuire un'Autorità di certificazione (CA) personalizzata con Servizi certificati Active Directory per emettere certificati per i Server dei criteri di rete. In alternativa, è possibile acquistare certificati server da una CA radice attendibile pubblica considerata attendibile dai client, ad esempio VeriSign.

Per ulteriori informazioni, vedere Panoramica del protocollo EAP e Panoramica del protocollo PEAP.

Configurare il Server dei criteri di rete come server RADIUS

Quando si configura Server dei criteri di rete come server RADIUS, è necessario configurare client RADIUS, criteri di rete e accounting RADIUS.

Configurare client RADIUS

Per configurare i client RADIUS eseguire le due operazioni seguenti:

  • Configurare il client RADIUS fisico, ad esempio il server VPN o il server di connessione remota, con informazioni che consentono al server di accesso alla rete di comunicare con i server che eseguono Server dei criteri di rete. Queste informazioni includono la configurazione dell'indirizzo IP del server che esegue Server dei criteri di rete e l'impostazione del segreto condiviso nell'interfaccia utente del server VPN o del server di connessione remota.

  • In Server dei criteri di rete aggiungere un nuovo client RADIUS. Nel server che esegue Server dei criteri di rete aggiungere ogni server VPN o di connessione remota come client RADIUS. Server dei criteri di rete consente di specificare un nome descrittivo per ogni client RADIUS, nonché l'indirizzo IP del client RADIUS e il segreto condiviso.

Per ulteriori informazioni, vedere Aggiungere un nuovo client RADIUS.

Configurare i criteri di rete

I criteri di rete sono insiemi di condizioni, vincoli e impostazioni che consentono di designare gli utenti autorizzati a connettersi alla rete e le circostanze in cui tali utenti possono connettersi.

Per ulteriori informazioni, vedere Criteri di rete.

Configurare l'accounting RADIUS

L'accounting RADIUS consente di registrare le richieste di accounting e di autenticazione utente in un file di registro locale o in un database Microsoft® SQL Server® nel computer locale o in un computer remoto.


Criteri di rete

I criteri di rete sono insiemi di condizioni, vincoli e impostazioni che consentono di designare gli utenti autorizzati a connettersi alla rete e le circostanze in cui tali utenti possono o meno connettersi. Quando si distribuisce Protezione accesso alla rete, il criterio di integrità viene aggiunto alla configurazione dei criteri di rete affinché Server dei criteri di rete esegua controlli di integrità dei client durante il processo di autorizzazione.

Durante l'elaborazione di richieste di connessione come server RADIUS (Remote Authentication Dial-In User Service), Server dei criteri di rete esegue sia l'autenticazione che l'autorizzazione della richiesta di connessione. Durante il processo di autenticazione, Server dei criteri di rete verifica l'identità dell'utente o del computer che si sta connettendo alla rete. Durante il processo di autorizzazione, Server dei criteri di rete determina se l'utente o il computer è autorizzato ad accedere alla rete.

A tale scopo, Server dei criteri di rete utilizza i criteri di rete configurati nello snap-in MMC (Microsoft Management Console) Server dei criteri di rete ed esamina inoltre le proprietà della connessione remota dell'account utente in Servizi di dominio Active Directory per eseguire l'autorizzazione.

Nota

In Servizio di Autenticazione Internet (IAS) nei sistemi operativi Windows Server® 2003 i criteri di rete sono definiti criteri di accesso remoto.

I criteri di rete possono essere visualizzati come regole. Ogni regola è costituita da un insieme di condizioni e di impostazioni. Server dei criteri di rete confronta le condizioni della regola con le proprietà delle richieste di connessione. Se la regola soddisfa la richiesta di connessione, le impostazioni definite nella regola vengono applicate alla connessione.

Quando vengono configurati più criteri di rete in Server dei criteri di rete, essi costituiscono un insieme ordinato di regole. Server dei criteri di rete confronta ogni richiesta di connessione con la prima regola dell'elenco e così via finché non trova una corrispondenza.

Ogni criterio di rete dispone di un'impostazione Stato criterio che consente di abilitare o disabilitare il criterio. Quando si disabilita un criterio di rete, Server dei criteri di rete non valuta il criterio durante l'autorizzazione delle richieste di connessione.

Importante

Affinché Server dei criteri di rete valuti un criterio di rete durante l'autorizzazione di richieste di connessione, è necessario configurare l'impostazione Stato criterio selezionando la casella di controllo Criterio attivato.

Proprietà dei criteri di rete

Ogni criterio di rete può disporre di quattro categorie di proprietà:

  • Panoramica

    Queste proprietà consentono di specificare se il criterio è attivato e se concede o nega l'accesso, nonché se è necessario un metodo di connessione di rete o un tipo di server di accesso alla rete specifico per le richieste di connessione. Consentono inoltre di specificare se le proprietà della connessione remota degli account utente in Servizi di dominio Active Directory saranno ignorate. Se si seleziona questa opzione, Server dei criteri di rete utilizza solo le impostazioni del criterio di rete per determinare se autorizzare la connessione.

  • Condizioni

    Queste proprietà consentono di specificare le condizioni della richiesta di connessione affinché soddisfi il criterio di rete. Se le condizioni configurate nel criterio soddisfano la richiesta di connessione, Server dei criteri di rete applica le impostazioni indicate nel criterio di rete alla connessione. Se si specifica ad esempio l'indirizzo IPv4 del server di accesso alla rete come condizione del criterio di rete e Server dei criteri di rete riceve una richiesta di connessione da un server di accesso alla rete con l'indirizzo IP indicato, la condizione del criterio soddisfa la richiesta di connessione.

  • Vincoli

    I vincoli sono parametri aggiuntivi del criterio di rete che la richiesta di connessione deve soddisfare. Se la richiesta di connessione non soddisfa il vincolo, Server dei criteri di rete rifiuta automaticamente la richiesta. A differenza della risposta di Server dei criteri di rete a condizioni che non soddisfano il criterio di rete, se una richiesta di connessione non soddisfa un vincolo, Server dei criteri di rete negherà la richiesta di connessione senza valutare ulteriori criteri di rete.

  • Impostazioni

    Queste proprietà consentono di specificare le impostazioni applicate da Server dei criteri di rete alla richiesta di connessione se tutte le condizioni dei criteri di rete soddisfano il criterio.

Quando si aggiunge un nuovo criterio di rete utilizzando lo snap-in Server dei criteri di rete, utilizzare la procedura guidata Nuovo criterio di rete. Dopo aver creato un criterio di rete mediante la procedura guidata, è possibile personalizzare il criterio facendo doppio clic su di esso nello snap-in Server dei criteri di rete per visualizzare le relative proprietà.


Autorizzazione di accesso

Le autorizzazioni di accesso vengono configurate nella scheda Anteprima di ogni criterio di rete in Server dei criteri di rete. Consentono di configurare il criterio in modo da concedere o negare l'accesso agli utenti a seconda che la richiesta di connessione soddisfi o meno le condizioni e i vincoli del criterio di rete. Le impostazioni di autorizzazione di accesso hanno l'effetto seguente:

  • Concedere l'accesso. L'accesso viene concesso se la richiesta di connessione soddisfa le condizioni e i vincoli configurati nel criterio.

  • Negare l'accesso. L'accesso viene negato se la richiesta di connessione soddisfa le condizioni e i vincoli configurati nel criterio.

Le autorizzazioni di accesso vengono inoltre concesse o negate in base alle proprietà della connessione remota di ogni account utente.

Nota

Gli account utente e le relative proprietà, ad esempio le proprietà della connessione remota, vengono configurati nello snap-in Utenti e computer di Active Directory o nello snap-in Utenti e gruppi locali di MMC, a seconda dello stato di installazione di Servizi di dominio Active Directory.

L'impostazione Autorizzazione di accesso alla rete dell'account utente, configurata nelle proprietà della connessione remota degli account utente, sovrascrive l'impostazione Autorizzazione di accesso del criterio di rete. Se si imposta l'autorizzazione di accesso alla rete per un account utente su Controlla accesso tramite criteri di rete del Server dei criteri di rete, l'impostazione Autorizzazione di accesso del criterio di rete determina se l'accesso utente viene concesso o negato.

Quando valuta le richieste di connessione a fronte dei criteri di rete configurati, Server dei criteri di rete esegue le azioni seguenti:

  • Se la richiesta di connessione non soddisfa le condizioni del primo criterio, verrà valutato il criterio successivo. Il processo continua finché non viene trovata una corrispondenza oppure tutti i criteri sono stati valutati.

  • Se la richiesta di connessione soddisfa le condizioni e i vincoli di un criterio, l'accesso verrà concesso o negato a seconda del valore dell'impostazione Autorizzazione di accesso nel criterio.

  • Se la richiesta di connessione soddisfa le condizioni di un criterio ma non i vincoli, questa verrà rifiutata dal Server dei criteri di rete.

  • Se la richiesta di connessione non soddisfa le condizioni di tutti i criteri, questa verrà rifiutata dal Server dei criteri di rete.

Ignorare le proprietà della connessione remota dell'account utente

È possibile configurare i criteri di rete di Server dei criteri di rete per ignorare le proprietà della connessione remota degli account utente selezionando o deselezionando la casella di controllo Ignora proprietà della connessione remota dell'account utente nella scheda Anteprima di un criterio di rete. Quando esegue l'autorizzazione di una richiesta di connessione, il Server dei criteri di rete controlla in genere le proprietà della connessione remota dell'account utente, in cui il valore dell'impostazione Autorizzazione di accesso alla rete stabilisce se l'utente è autorizzato ad accedere alla rete. Se si configura il Server dei criteri di rete per ignorare le proprietà della connessione remota degli account utente durante la procedura di autorizzazione, le impostazioni dei criteri di rete determinano se all'utente è concesso l'accesso alla rete.

Le proprietà della connessione remota degli account utente contengono gli elementi seguenti:

  • Autorizzazione di accesso alla rete

  • ID chiamante

  • Opzioni di richiamata

  • Indirizzo IP statico

  • Routing statico

Per supportare più tipi di connessioni per i quali il Server dei criteri di rete offre autenticazione e autorizzazione, potrebbe essere necessario disattivare l'elaborazione delle proprietà della connessione remota degli account utente. In questo modo è possibile gestire scenari in cui non sono richieste proprietà della connessione remota specifiche.

Le proprietà ID utente chiamante, richiamata, indirizzo IP statico e routing statico ad esempio sono designate per un client che si connette a un server di accesso remoto e non per client che si connettono a punti di accesso wireless. È possibile che un punto di accesso wireless non sia in grado di elaborare le impostazioni ricevute in un messaggio RADIUS da Server dei criteri di rete. Questo potrebbe causare la disconnessione del client wireless.

Se il Server dei criteri di rete offre l'autenticazione e l'autorizzazione per gli utenti che si connettono e accedono alla rete dell'organizzazione tramite punti di accesso wireless, è necessario configurare le proprietà della connessione remota per supportare le connessioni in ingresso (impostando le proprietà della connessione remota) o le connessioni wireless (non impostando le proprietà della connessione remota).

Utilizzare il Server dei criteri di rete per attivare l'elaborazione delle proprietà della connessione remota dell'account utente in alcuni scenari(ad esempio, connessione remota) e per disattivarla in altri (ad esempio, wireless e commutatore di autenticazione 802.1X).

È inoltre possibile utilizzare l'opzione Ignora proprietà della connessione remota dell'account utente per gestire il controllo di accesso alla rete tramite gruppi e l'impostazione di autorizzazione di accesso nei criteri di rete. Se si seleziona la casella di controllo Ignora proprietà della connessione remota dell'account utente, l'autorizzazione di accesso alla rete per l'account utente verrà ignorata.

L'unico svantaggio di questa configurazione è l'impossibilità di utilizzare le proprietà aggiuntive della connessione remota dell'account utente: ID chiamante, richiamata, indirizzo IP statico e routing statico.


Creare un gruppo per un criterio di rete

Questa procedura consente di creare un gruppo di utenti o computer in Servizi di dominio Active Directory® e successivamente di aggiungerlo come condizione in un criterio di rete di Server dei criteri di rete.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per creare un gruppo per un criterio di rete

  1. Aprire lo snap-in MMC Utenti e computer di Active Directory e quindi fare clic sul dominio in cui si desidera creare un gruppo.

  2. Eseguire una delle operazioni seguenti:

    • Per creare un gruppo i cui membri sono computer, nel riquadro dei dettagli fare clic con il pulsante destro del mouse su Computer, scegliere Nuovo e quindi fare clic su Gruppo.

    • Per creare un gruppo i cui membri sono utenti, nel riquadro dei dettagli fare clic con il pulsante destro del mouse su Utenti, scegliere Nuovo e quindi fare clic su Gruppo.

    Verrà visualizzata la finestra di dialogo Nuovo oggetto Gruppo.

  3. In Nuovo oggetto gruppo, in Nome gruppo digitare un nome per il gruppo.

  4. In Ambito del gruppo selezionare Locale al dominio, Globale o Universale.

  5. In Tipo gruppo verificare che l'opzione Sicurezza sia selezionata e quindi fare clic su OK.

  6. Fare doppio clic su Computers o su Users, in base al percorso in cui è stato creato il gruppo, e quindi fare doppio clic sul gruppo creato per aprire le relative proprietà.

  7. Nelle proprietà del gruppo fare clic sulla scheda Membri e quindi fare clic su Aggiungi. Verrà visualizzata la finestra di dialogo Seleziona utenti, contatti, computer o gruppi.

  8. In Immettere i nomi degli oggetti da selezionare in Seleziona utenti, contatti, computer o gruppi digitare i nomi degli oggetti da aggiungere al gruppo e quindi fare clic su OK due volte.

  9. Aprire la console Server dei criteri di rete e quindi fare doppio clic su Criteri. Fare clic con il pulsante destro del mouse su Criteri di rete e quindi scegliere Nuovo. Verrà aperta la procedura guidata Nuovo criterio di rete.

  10. Eseguire la procedura guidata selezionando le opzioni appropriate per la distribuzione fino alla visualizzazione della pagina Specifica condizioni.

  11. In Specifica condizioni fare clic su Aggiungi. Verrà visualizzata la finestra di dialogo Selezione condizione. Se è stato creato un gruppo di computer, fare clic su Gruppi di computer, mentre se è stato creato un gruppo di utenti fare clic su Gruppi di utenti.

  12. Fare clic su Aggiungi. Verrà visualizzata la finestra di dialogo Gruppi di Windows. Fare clic su Aggiunta gruppi.

  13. Verrà visualizzata la finestra di dialogo Seleziona gruppo. In Immettere il nome dell'oggetto da selezionare digitare il nome del gruppo creato in Servizi di dominio Active Directory e quindi fare clic su OK.

  14. Configurare condizioni aggiuntive per la distribuzione in base alle esigenze e quindi continuare con la procedura guidata Nuovo criterio di rete finché non verrà creato il nuovo criterio.


Configurare criteri di rete

Negli argomenti seguenti vengono descritte le modalità di configurazione dei criteri di rete in Server dei criteri di rete.

  • Aggiungere un criterio di rete

  • Configurare un criterio di rete per concedere o negare l'accesso

  • Creare criteri per una connessione remota o VPN mediante una procedura guidata

  • Creare criteri per connessioni wireless o cablate 802.1X mediante la procedura guidata


Aggiungere un criterio di rete

Server dei criteri di rete utilizza i criteri di rete, precedentemente noti come criteri di accesso remoto, e le proprietà della connessione remota degli account utente per determinare se autorizzare una richiesta di connessione alla rete.

È possibile utilizzare questa procedura per configurare un nuovo criterio di rete nello snap-in Server dei criteri di rete o nello snap-in Routing e Accesso remoto.

Eseguire l'autorizzazione

Quando il Server dei criteri di rete esegue l'autorizzazione di una richiesta di connessione, questa viene confrontata con tutte le voci dell'elenco ordinato dei criteri di rete, partendo dal primo criterio e quindi scorrendo l'elenco dei criteri configurati. Se uno dei criteri nell'elenco soddisfa la richiesta di connessione, questo verrà utilizzato dal Server dei criteri di rete insieme alle proprietà della connessione remota dell'account utente per eseguire l'autorizzazione. Se le proprietà della connessione remota dell'account utente sono configurate per concedere o controllare l'accesso tramite criteri di rete e la richiesta di connessione è autorizzata, le impostazioni configurate nel criterio di rete verranno applicate alla connessione.

Se nessuno dei criteri di rete soddisfa la richiesta di connessione, questa verrà rifiutata dal Server dei criteri di rete a meno che le proprietà della connessione remota dell'account utente non sono impostate per concedere l'accesso.

Se le proprietà della connessione remota dell'account utente sono impostate per negare l'accesso, la richiesta di connessione verrà rifiutata dal Server dei criteri di rete.

Impostazioni chiave

Quando si utilizza la procedura guidata Nuovo criterio di rete per creare un criterio di rete:

  • Il valore specificato in Metodo di connessione alla rete viene utilizzato per configurare automaticamente la condizione Tipo criterio.

    • Se il valore predefinito Non specificato non viene modificato, il criterio di rete creato verrà valutato da Server dei criteri di rete per tutti i tipi di connessione di rete che utilizzano un server di accesso alla rete qualsiasi.

    • Se si specifica un metodo di connessione alla rete, il criterio di rete verrà valutato dal Server dei criteri di rete solo se la richiesta di connessione proviene dal tipo di server di accesso alla rete specificato.

      Se ad esempio si specifica Gateway Desktop remoto, il criterio di rete verrà valutato da Server dei criteri di rete solo se le richieste di connessione provengono da Gateway Desktop remoto.

  • Nella pagina Autorizzazione di accesso selezionare Accesso concesso se si desidera che il criterio consenta agli utenti di connettersi alla rete. Se il criterio deve impedire agli utenti la connessione alla rete, selezionare Accesso negato. Se l'autorizzazione di accesso deve essere determinata dalle proprietà della connessione remota dell'account utente in Servizi di dominio Active Directory®, selezionare la casella di controllo L'accesso è determinato dalle proprietà della connessione remota dell'utente che hanno la priorità sui criteri di Server dei criteri di rete.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per aggiungere un criterio di rete

  1. Aprire la console Server dei criteri di rete e quindi fare doppio clic su Criteri.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Criteri di rete e quindi scegliere Nuovo. Verrà aperta la procedura guidata Nuovo criterio di rete.

  3. Utilizzare la procedura guidata Nuovo criterio di rete per creare un criterio.


Configurare un criterio di rete per concedere o negare l'accesso

I criteri di rete vengono utilizzati dal Server dei criteri di rete e dal servizio Routing e Accesso remoto per autorizzare le richieste di connessione.

I criteri di rete contengono proprietà di riepilogo che specificano il modo in cui il criterio deve essere utilizzato e interpretato. Autorizzazione di accesso consente di configurare se le proprietà della connessione remota dell'account utente in Servizi di dominio Active Directory® vengono utilizzate per eseguire l'autorizzazione. Sono ammessi due valori di accesso alla rete:

  • Concedi accesso. Se selezionato, le richieste di connessione con proprietà conformi alle condizioni e ai vincoli del criterio di rete vengono autorizzate.

  • Nega accesso. Se selezionato, le richieste di connessione con proprietà conformi alle condizioni del criterio di rete vengono negate.

Nota

Per impostazione predefinita, i criteri di rete creati mediante la procedura guidata Nuovo criterio di rete sono configurati per negare l'accesso. È pertanto necessario modificare Autorizzazione di accesso dopo l'esecuzione della procedura guidata per consentire al criterio di concedere l'accesso alla rete anziché negarlo.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per configurare un criterio di rete per concedere o negare l'accesso

  1. Nella console Server dei criteri di rete fare doppio clic su Criteri e quindi su Criteri di rete.

  2. Nel riquadro dei dettagli fare doppio clic sul criterio di rete da configurare.

  3. Nella finestra di dialogo Proprietà del criterio di rete, nella scheda Panoramica, modificare Autorizzazione di accesso in Concedi accesso o Nega accesso.

Vedere anche

  • Autorizzazione di accesso


Creare criteri per una connessione remota o VPN mediante una procedura guidata

Questa procedura consente di creare i criteri di richiesta di connessione e i criteri di rete necessari per distribuire server di connessione remota oppure server VPN (Virtual Private Network, rete privata virtuale) come client RADIUS (Remote Authentication Dial-In User Service) nel server RADIUS che esegue Server dei criteri di rete.

Importante

I computer client, ad esempio i portatili wireless e altri computer in cui sono in esecuzione sistemi operativi client, non sono client RADIUS. I client RADIUS sono server di accesso alla rete, ad esempio punti di accesso wireless, commutatori che supportano 802.1X, server di reti private virtuali (VPN, Virtual Private Network) e server di connessione remota, in quanto utilizzano il protocollo RADIUS per comunicare con server RADIUS, ad esempio server dei criteri di rete.

In questa procedura viene illustrato come aprire la procedura guidata Nuove connessioni remote o a reti private virtuali in Server dei criteri di rete.

Al termine della procedura guidata, saranno disponibili i criteri seguenti:

  • Un criterio di richiesta di connessione

  • Un criterio di rete

L'esecuzione della procedura guidata Nuove connessioni remote o a reti private virtuali non è l'unico passaggio necessario per distribuire server di connessione remota o VPN come client RADIUS nel server che esegue Server dei criteri di rete. Entrambi i metodi di accesso alla rete richiedono la distribuzione di componenti hardware e software aggiuntivi.

Nota

È possibile eseguire la procedura guidata Nuove connessioni remote o a reti private virtuali tutte le volte in cui è necessario creare nuovi criteri per server di connessione remota e VPN.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per creare criteri per una connessione remota o VPN mediante una procedura guidata

  1. Aprire la console Server dei criteri di rete. Se non è già selezionato, fare clic su Server dei criteri di rete (locale). Se si esegue lo snap-in di MMC Server dei criteri di rete e si desidera creare criteri in un Server dei criteri di rete remoto, selezionare il server.

  2. In Operazioni preliminari e Configurazione standard selezionare Server RADIUS per connessioni remote o VPN. Il testo e i collegamenti relativi subiscono modifiche in base alle selezioni eseguite.

  3. Fare clic su Configurazione VPN o connessioni remote. Verrà avviata la procedura guidata Nuove connessioni remote o a reti private virtuali.


Creare criteri per connessioni wireless o cablate 802.1X mediante la procedura guidata

Questa procedura consente di creare i criteri di richiesta di connessione e i criteri di rete necessari per distribuire commutatori di autenticazione 802.1X oppure punti di accesso wireless 802.1X come client RADIUS (Remote Authentication Dial-In User Service) nel server RADIUS che esegue Server dei criteri di rete.

Importante

I computer client, ad esempio i portatili wireless e altri computer in cui sono in esecuzione sistemi operativi client, non sono client RADIUS. I client RADIUS sono server di accesso alla rete, ad esempio punti di accesso wireless, commutatori che supportano 802.1X, server di reti private virtuali (VPN, Virtual Private Network) e server di connessione remota, in quanto utilizzano il protocollo RADIUS per comunicare con server RADIUS, ad esempio server dei criteri di rete.

In questa procedura vengono descritte le modalità per avviare la procedura guidata Nuove connessioni wireless e cablate sicure IEEE 802.1X in Server dei criteri di rete.

Al termine della procedura guidata, saranno disponibili i criteri seguenti:

  • Un criterio di richiesta di connessione

  • Un criterio di rete

L'esecuzione della procedura guidata Nuove connessioni wireless e cablate sicure IEEE 802.1X non è l'unico passaggio necessario per la distribuzione di commutatori di autenticazione e punti di accesso wireless 802.1X come client RADIUS in Server dei criteri di gruppo. Entrambi i metodi di accesso alla rete richiedono la distribuzione di componenti hardware e software aggiuntivi.

Nota

È possibile eseguire la procedura guidata Nuove connessioni wireless e cablate sicure IEEE 802.1X ogni volta che si desidera per creare nuovi criteri per l'accesso 802.1X.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per creare criteri per connessioni wireless o cablate 802.1X mediante la procedura guidata

  1. Aprire la console Server dei criteri di rete. Se non è già selezionato, fare clic su Server dei criteri di rete (locale). Se si esegue lo snap-in di MMC Server dei criteri di rete e si desidera creare criteri in un Server dei criteri di rete remoto, selezionare il server.

  2. In Operazioni preliminari e Configurazione standard selezionare Server RADIUS per connessioni wireless 802.1X o cablate. Il testo e i collegamenti sotto al testo verranno modificati per riflettere la selezione eseguita.

  3. Fare clic su Configurazione 802.1X. Verrà visualizzata la procedura guidata Nuove connessioni wireless e cablate sicure IEEE 802.1X.


Host Credential Authorization Protocol

Host Credential Authorization Protocol (HCAP) consente di integrare la soluzione Protezione accesso alla rete Microsoft esistente con Cisco Network Admission Control. Se si distribuisce HCAP con Server dei criteri di rete e Protezione accesso alla rete, è possibile utilizzare Server dei criteri di rete per l'autorizzazione dei client di accesso Cisco 802.1X e l'imposizione del criterio di integrità di Protezione accesso alla rete, mentre i server Cisco di autenticazione, autorizzazione e accounting (AAA) eseguono l'autenticazione.

Per distribuire un server HCAP, è necessario eseguire le operazioni seguenti:

  1. Distribuire computer client idonei per Protezione accesso alla rete, quindi configurarli in modo che utilizzino l'autenticazione EAP-FAST Cisco come metodo di autenticazione per l'accesso alla rete.

  2. Utilizzando le informazioni contenute nella documentazione relativa, distribuire Protezione accesso alla rete, operazione in cui è inclusa la configurazione di computer client con istanze di Agente integrità sistema e Server dei criteri di rete con le corrispondenti istanze di Convalida integrità sistema.

  3. Utilizzando la documentazione relativa, distribuire Cisco Network Admission Control.

  4. Installare il server HCAP mediante l'Aggiunta guidata ruoli di Server Manager. Il server HCAP è un servizio ruolo del ruolo server Servizi di accesso e criteri di rete. Quando si installa un server HCAP, nello stesso computer vengono installati anche i componenti necessari aggiuntivi, ovvero Internet Information Services (IIS) e Server dei criteri di rete. Nel server che esegue IIS viene inoltre eseguita la registrazione automatica di un certificato server per consentire le connessioni SSL (Secure Sockets Layer) tra IIS e il server Cisco AAA.

  5. Configurare IIS per l'ascolto di indirizzi IP specifici per consentire ai server Cisco AAA+ di inviare le richieste di autorizzazione.

  6. Configurare il server Cisco AAA con l'URL del server che esegue HCAP, Server dei criteri di rete e IIS in modo che sia in grado di inviare richieste di autorizzazione al Server dei criteri di rete.

  7. Configurare Server dei criteri di rete sul server HCAP come proxy RADIUS per inoltrare le richieste di connessione ai Server dei criteri di rete appartenenti a uno o più gruppi di server RADIUS remoti. Se si desidera, è possibile configurare Server dei criteri di rete sul server HCAP come server RADIUS per elaborare in locale le richieste di autorizzazione.

  8. Configurare Server dei criteri di rete come server RADIUS per eseguire l'autorizzazione. In questa operazione è inclusa la distribuzione di Protezione accesso alla rete e la creazione del criterio di integrità in Server dei criteri di rete. Se il Server dei criteri di rete HCAP è un proxy RADIUS che inoltra le richieste di connessione ai Server dei criteri di rete RADIUS in gruppi di server RADIUS remoti, è necessario configurarlo come client RADIUS su ogni server RADIUS.

  9. Nei Server dei criteri di rete RADIUS configurare i criteri di rete con il criterio di integrità di Protezione accesso alla rete. Se si desidera, i criteri di rete possono contenere le condizioni relative al nome gruppo e al gruppo di percorsi HCAP per l'interoperabilità di Protezione accesso alla rete con Cisco Network Admission Control. Nei criteri di rete è inoltre possibile utilizzare la condizione di stato esteso per specificare lo stato del computer client necessario per soddisfare il criterio. Gli stati estesi sono elementi di Cisco Network Admission Control che possono assumere il valore Transitorio, Infetto e Sconosciuto. Se si utilizza questa condizione dei criteri di rete, è possibile configurare Server dei criteri di rete per autorizzare o rifiutare l'accesso in base allo stato specifico in cui si trova il computer client.

Processo di autenticazione e autorizzazione

Dopo la distribuzione di Cisco Network Admission Control e Server dei criteri di rete con Protezione accesso alla rete, il processo di autenticazione e autorizzazione viene eseguito mediante le operazioni seguenti:

  1. Il client esegue un tentativo di connessione tramite un commutatore di autenticazione 802.1X oppure un punto di accesso wireless 802.1X configurato come client RADIUS per il server Cisco AAA.

  2. Dopo avere ricevuto la richiesta di connessione dal server di accesso alla rete o dal router, il server Cisco AAA invia un EAP-TLV per richiedere i dati relativi al rapporto di integrità.

  3. Le istanze di Agente integrità sistema nel computer client segnalano lo stato di integrità all'Agente protezione accesso alla rete nel client, che crea un rapporto di integrità da inviare successivamente al server Cisco AAA.

  4. Utilizzando il protocollo HCAP, il server Cisco AAA inoltra il rapporto di integrità al Server dei criteri di rete o al proxy relativo con l'ID utente, l'ID computer e il percorso.

  5. Se il Server dei criteri di rete HCAP è configurato come proxy RADIUS, Server dei criteri di rete inoltra la richiesta di autorizzazione al gruppo di server RADIUS remoto appropriato, stabilito in base alla valutazione dei criteri di richiesta di connessione configurati. Se il Server dei criteri di rete HCAP è configurato come server RADIUS, elabora la richiesta di autorizzazione in modo autonomo.

  6. Il Server dei criteri di rete valuta il rapporto di integrità in base al criterio di rete configurato e, se rileva un criterio di rete corrispondente, crea una risposta al rapporto di integrità da inviare al client. Questa risposta, con le informazioni relative allo stato di imposizione Protezione accesso alla rete e allo stato esteso, viene quindi inviata al server Cisco AAA mediante il protocollo HCAP.

  7. Il server Cisco AAA valuta lo stato di imposizione Protezione accesso alla rete in base al criterio di Cisco Network Admission Control e stabilisce il profilo di accesso alla rete.

  8. Il server Cisco AAA invia tale profilo al server di accesso alla rete, ovvero il commutatore, il punto di accesso o il router. Nel profilo di accesso alla rete sono contenute le informazioni necessarie al server per consentire l'accesso completo o per limitare o negare l'accesso al computer client.

  9. Il server Cisco AAA reinvia la risposta al rapporto di integrità al computer client.

  10. Se la configurazione del client non è conforme al criterio di integrità e la risposta al rapporto di integrità segnala che è necessario eseguire il monitoraggio e l'aggiornamento del client, quest'ultimo tenta di eseguire le operazioni indicate, ad esempio il download di aggiornamenti software o la modifica delle impostazioni di configurazione. Dopo avere eseguito il monitoraggio e l'aggiornamento, il client tenta nuovamente di accedere alla rete e il processo di autenticazione e autorizzazione viene ripetuto.

Ulteriori riferimenti

Per ulteriori informazioni, vedere Protezione accesso alla rete agli indirizzi http://go.microsoft.com/fwlink/?LinkID=56443 e http://go.microsoft.com/fwlink/?LinkId=128799.