Verwalten von mit NPS verwendeten Zertifikaten

Wenn Sie eine zertifikatbasierte Authentifizierungsmethode bereitstellen, z. B. Extensible Authentication Protocol-Transport Layer Security (EAP-TLS), Protected Extensible Authentication Protocol-Transport Layer Security (PEAP-TLS) und PEAP-Microsoft Challenge Handshake Authentication Protocol Version 2 (MS-CHAP v2), müssen Sie ein Serverzertifikat für alle Ihre NPS registrieren. Das Serverzertifikat muss:

• Erfüllen der Mindestanforderungen für Serverzertifikate, wie unter Konfigurieren von Zertifikatvorlagen für PEAP- und EAP-Anforderungen beschrieben

• von einer Zertifizierungsstelle (CA) ausgestellt werden, der die Clientcomputer vertrauen. Eine Zertifizierungsstelle ist vertrauenswürdig, wenn ihr Zertifikat für den aktuellen Benutzer und den lokalen Computer im Zertifikatspeicher „Vertrauenswürdige Stammzertifizierungsstellen“ vorhanden ist.

Die folgenden Anweisungen bieten Unterstützung beim Verwalten von NPS-Zertifikaten in Bereitstellungen, bei denen die vertrauenswürdige Stamm-CA eine Drittanbieterzertifizierungsstelle wie Verisign oder eine Zertifizierungsstelle ist, die Sie für Ihre Public Key-Infrastruktur (PKI) mithilfe von Active Directory-Zertifikatdiensten (AD CS) bereitgestellt haben.

Umgang mit dem Ablauf von Zertifikaten

Im Netzwerkrichtlinienserver (Network Policy Server, NPS) auf Windows Server wird das Serverzertifikat, das Sie an eine Netzwerkrichtlinie binden, nicht automatisch aktualisiert, wenn sie abläuft. Wenn das auf eine Richtlinie angewendete Zertifikat abläuft, muss ein Administrator jede Richtlinie, die zertifikatbasierte Authentifizierung verwendet, manuell aktualisieren, um auf ein neues, nicht abgelaufenes Zertifikat zu verweisen. Bis Sie die Richtlinie aktualisieren, können Clients, die auf dieser Richtlinie basieren, nicht erfolgreich authentifiziert werden.

Sie müssen das folgende Verfahren für jede Netzwerkrichtlinie wiederholen, die für die Verwendung der zertifikatbasierten Authentifizierung konfiguriert ist (z. B. EAP-TLS, PEAP-TLS oder PEAP-MS-CHAP v2).

Die Mitgliedschaft in Administratoren oder gleichwertig ist das Mindestmaß, um dieses Verfahren abzuschließen.

So aktualisieren Sie das Zertifikat in einer Netzwerkrichtlinie

1. Öffnen Sie die Netzwerkrichtlinienserver-Konsole .

2. Erweitern Sie in der Konsolenstruktur Richtlinien, und wählen Sie dann "Netzwerkrichtlinien" aus.

3. Klicken Sie im Detailbereich mit der rechten Maustaste auf die Richtlinie, die Sie aktualisieren möchten, und wählen Sie dann "Eigenschaften" aus.

4. Wählen Sie die Registerkarte "Einschränkungen " und dann " Authentifizierungsmethoden" aus.

5. Wählen Sie in der Liste "EAP-Typen" den EAP-Typ aus, der das ablaufende Zertifikat verwendet, und wählen Sie dann "Bearbeiten" aus.

6. Wählen Sie in der Dropdownliste Zertifikat ausgestellt für das neue (nicht abgelaufene) Zertifikat aus, und klicken Sie dann auf OK.

7. Wählen Sie Übernehmen und dann OK aus, um die Eigenschaften der Richtlinie zu schließen.

8. Wiederholen Sie die vorherigen Schritte für jede Netzwerkrichtlinie, die für die zertifikatbasierte Authentifizierung konfiguriert ist.

9. Starten Sie den Netzwerkrichtlinienserverdienst (IAS) neu, damit die Änderung wirksam wird. Führen Sie in einer Eingabeaufforderung mit erhöhten Rechten Folgendes aus:

   net stop ias && net start ias
   

So überprüfen Sie das Zertifikat, das an eine Netzwerkrichtlinie gebunden ist

Um zu bestätigen, welches Zertifikat eine Netzwerkrichtlinie derzeit verwendet, exportieren Sie die NPS-Konfiguration, suchen Sie die Richtlinie anhand des Namens, und lesen Sie den Fingerabdruck des konfigurierten Zertifikats aus dem EAP-Konfigurations-BLOB.

1. Führen Sie an einer PowerShell-Eingabeaufforderung mit erhöhten Rechten den folgenden Codeausschnitt aus. Legen Sie $PolicyName den Namen der Netzwerkrichtlinie fest, die Sie überprüfen möchten.

   $PolicyName = "EAP configured network policy"  # Change this to your policy name (case-insensitive)
   $NPSConfigPath = "$env:TEMP\nps-config.xml"
   Export-NpsConfiguration -Path $NPSConfigPath
   $blob = (([xml](Get-Content "$env:TEMP\nps-config.xml" -Raw)).SelectNodes("//RadiusProfiles//*[@name]") | Where-Object { $_.name -ieq $PolicyName }).Properties.msEAPConfiguration.'#text'
   $found = [regex]::Matches($blob, '14000000([0-9a-f]{40})') | ForEach-Object { $_.Groups[1].Value.ToUpper() } | Select-Object -Unique
   if (-not $found) { "No certificate thumbprint found in policy '$PolicyName'" } elseif ($found.Count -eq 1) { "Bound certificate thumbprint:$found" } else { "WARNING: multiple candidate thumbprints found, manual review of $NPSConfigPath needed:`n$($found -join "`n")" }
   

2. Vergleichen Sie den zurückgegebenen Fingerabdruck mit dem Fingerabdruck des Zertifikats, dessen Verwendung durch die Richtlinie Sie erwarten (z. B. im Snap-In Zertifikate unter dem Speicher Lokaler Computer>Eigene Zertifikate). Wenn sie übereinstimmen, ist die Richtlinie an das erwartete Zertifikat gebunden.

Ändern des Ablaufzeitpunkts des zwischengespeicherten TLS-Handles

Während der anfänglichen Authentifizierungsprozesse für EAP-TLS, PEAP-TLS und PEAP-MS-CHAP v2 speichert der NPS einen Teil der TLS-Verbindungseigenschaften des Verbindungsclients zwischen. Der Client speichert auch einen Teil der TLS-Verbindungseigenschaften des NPS zwischen.

Jede einzelne Sammlung dieser TLS-Verbindungseigenschaften wird als TLS-Handle bezeichnet.

Clientcomputer können die TLS-Handles für mehrere Authentifikatoren zwischenspeichern, während NPSs die TLS-Handles vieler Clientcomputer zwischenspeichern können.

Die zwischengespeicherten TLS-Handles auf dem Client und Server beschleunigen den Prozess der erneuten Authentifizierung. Wenn ein drahtloser Computer beispielsweise eine erneute Authentifizierung mit einem NPS durchführt, kann der NPS das TLS-Handle für den drahtlosen Client untersuchen und schnell feststellen, dass es sich bei der Clientverbindung um eine erneute Verbindung handelt. Der NPS autorisiert die Verbindung, ohne eine vollständige Authentifizierung durchzuführen.

Entsprechend überprüft der Client das TLS-Handle für den NPS, ermittelt, dass es sich um eine erneute Verbindung handelt, und muss keine Serverauthentifizierung durchführen.

Auf Computern, auf denen Windows 10 und Windows Server 2016 ausgeführt werden, beträgt der standardmäßige Ablaufzeitraum des TLS-Handles 10 Stunden.

Unter bestimmten Umständen können Sie die Ablaufzeit des TLS-Handles erhöhen oder verringern.

Beispielsweise können Sie die Ablaufzeit des TLS-Handles verringern, wenn das Zertifikat eines Benutzers von einem Administrator widerrufen wird und das Zertifikat abgelaufen ist. In diesem Szenario kann der Benutzer weiterhin eine Verbindung mit dem Netzwerk herstellen, wenn ein NPS über ein zwischengespeichertes TLS-Handle verfügt, das nicht abgelaufen ist. Eine Verringerung der Ablaufzeit des TLS-Handles kann dazu beitragen, dass Benutzer mit gesperrten Zertifikaten keine Verbindung herstellen können.

Konfigurieren der Ablaufzeit des TLS-Handles auf Clientcomputern

Mithilfe dieses Verfahrens können Sie die Zeitspanne ändern, in der Clientcomputer das TLS-Handle eines NPS zwischenspeichern. Nach der erfolgreichen Authentifizierung eines NPS speichern Clientcomputer TLS-Verbindungseigenschaften des NPS als TLS-Handle zwischen. Das TLS-Handle hat eine Standarddauer von 10 Stunden (36.000.000 Millisekunden). Mit dem folgenden Verfahren können Sie die Ablaufzeit des TLS-Handles erhöhen oder verringern.

Die Mitgliedschaft in Administratoren oder gleichwertig ist das Mindestmaß, um dieses Verfahren abzuschließen.

So konfigurieren Sie die Ablaufzeit des TLS-Handles auf Clientcomputern

1. Öffnen Sie den Registrierungs-Editor auf einem NPS.

2. Navigieren Sie zum Registrierungsschlüssel HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL

3. Klicken Sie im Menü "Bearbeiten" auf "Neu" und dann auf "Schlüssel".

4. Geben Sie "ClientCacheTime" ein, und drücken Sie dann die EINGABETASTE.

5. Klicken Sie mit der rechten Maustaste auf "ClientCacheTime", klicken Sie auf "Neu", und klicken Sie dann auf "DWORD"-Wert (32-Bit).

6. Geben Sie den Zeitraum in Millisekunden ein, für den Clientcomputer das TLS-Handle eines NPS nach dem ersten erfolgreichen Authentifizierungsversuch durch den NPS zwischenspeichern sollen.

Konfigurieren der Ablaufzeit des TLS-Handles auf NPSs

Mithilfe dieses Verfahrens können Sie die Zeitspanne ändern, in der NPSs das TLS-Handle von Clientcomputern zwischenspeichern. Nach der erfolgreichen Authentifizierung eines Zugriffsclients speichern NPSs die TLS-Verbindungseigenschaften des Clientcomputers als TLS-Handle zwischen. Das TLS-Handle hat eine Standarddauer von 10 Stunden (36.000.000 Millisekunden). Mit dem folgenden Verfahren können Sie die Ablaufzeit des TLS-Handles erhöhen oder verringern.

Die Mitgliedschaft in Administratoren oder gleichwertig ist das Mindestmaß, um dieses Verfahren abzuschließen.

So konfigurieren Sie die Ablaufzeit des TLS-Handles auf NPSs

1. Öffnen Sie den Registrierungs-Editor auf einem NPS.

2. Navigieren Sie zum Registrierungsschlüssel HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL

3. Klicken Sie im Menü "Bearbeiten" auf "Neu" und dann auf "Schlüssel".

4. Geben Sie ServerCacheTime ein, und drücken Sie dann die EINGABETASTE.

5. Klicken Sie mit der rechten Maustaste auf ServerCacheTime, klicken Sie auf "Neu", und klicken Sie dann auf "DWORD(32-Bit)-Wert".

6. Geben Sie den Zeitraum in Millisekunden ein, für den NPSs das TLS-Handle eines Clientcomputers nach dem ersten erfolgreichen Authentifizierungsversuch durch den Client zwischenspeichern sollen.

Abrufen des SHA-1-Hash eines vertrauenswürdigen Stammzertifizierungsstellenzertifikats

Über dieses Verfahren können Sie den SHA-1-Algorithmus (Secure Hash Algorithm) einer vertrauenswürdigen Stammzertifizierungsstelle (CA) aus einem Zertifikat abrufen, das auf dem lokalen Computer installiert ist. Unter bestimmten Umständen, z. B. bei der Bereitstellung von „Gruppenrichtlinie“, ist es erforderlich, ein Zertifikat mithilfe des SHA-1-Hash des Zertifikats festzulegen.

Wenn Sie „Gruppenrichtlinie“ verwenden, können Sie ein oder mehrere vertrauenswürdige Stammzertifizierungsstellenzertifikate festlegen, die Clients verwenden müssen, um den NPS während des Prozesses der gegenseitigen Authentifizierung mit EAP oder PEAP zu authentifizieren. Um ein vertrauenswürdiges Stammzertifizierungsstellenzertifikat festzulegen, das Clients zum Überprüfen des Serverzertifikats verwenden müssen, können Sie den SHA-1-Hash des Zertifikats eingeben.

In diesem Verfahren wird veranschaulicht, wie sie den SHA-1-Hash eines vertrauenswürdigen Stammzertifizierungsstellenzertifikats mithilfe des MMC-Snap-Ins (Microsoft Management Console) für Zertifikate abrufen.

Um dieses Verfahren abzuschließen, müssen Sie Mitglied der Gruppe "Benutzer" auf dem lokalen Computer sein.

So rufen Sie den SHA-1-Hash eines vertrauenswürdigen Stammzertifizierungsstellenzertifikats ab

1. Geben Sie im Dialogfeld "Ausführen" oder in Windows PowerShell den Befehl mmc ein, und drücken Sie dann die EINGABETASTE. Die Microsoft Management Console (MMC) wird geöffnet. Klicken Sie im MMC auf "Datei", und klicken Sie dann auf " Snap\in hinzufügen/entfernen". Das Dialogfeld "Snap-Ins hinzufügen oder entfernen " wird geöffnet.

2. Doppelklicken Sie in " Snap-Ins hinzufügen oder entfernen" in "Verfügbare Snap-Ins" auf "Zertifikate". Der Assistent für das Snap-In „Zertifikate“ wird geöffnet. Klicken Sie auf "Computerkonto", und klicken Sie dann auf "Weiter".

3. Stellen Sie unter "Computer auswählen" sicher, dass der lokale Computer (auf dem die Konsole ausgeführt wird) ausgewählt ist, klicken Sie auf "Fertig stellen", und klicken Sie dann auf "OK".

4. Doppelklicken Sie im linken Bereich auf Zertifikate (lokaler Computer), und doppelklicken Sie dann auf den Ordner "Vertrauenswürdige Stammzertifizierungsstellen ".

5. Der Ordner "Zertifikate" ist ein Unterordner des Ordners "Vertrauenswürdige Stammzertifizierungsstellen ". Klicken Sie auf den Ordner "Zertifikate ".

6. Navigieren Sie im Detailbereich zum Zertifikat für Ihre vertrauenswürdige Stammzertifizierungsstelle. Doppelklicken Sie auf das Zertifikat. Das Dialogfeld "Zertifikat " wird geöffnet.

7. Klicken Sie im Dialogfeld "Zertifikat " auf die Registerkarte "Details ".

8. Scrollen Sie in der Liste der Felder, und wählen Sie "Fingerabdruck" aus.

9. Im unteren Bereich wird die Hexadezimalzeichenfolge angezeigt, die den SHA-1-Hash Ihres Zertifikats darstellt. Wählen Sie den SHA-1-Hash aus, und kopieren Sie den Hash mithilfe der Windows-Tastenkombination Strg+C in die Windows-Zwischenablage.

10. Öffnen Sie den Speicherort, an den Sie den SHA-1-Hash einfügen möchten, ermitteln Sie die richtige Position des Cursors, und drücken Sie dann die Windows-Tastenkombination für den Befehl „Einfügen“ (STRG+V).

Weitere Informationen zu Zertifikaten und NPS finden Sie unter Konfigurieren von Zertifikatvorlagen für PEAP- und EAP-Anforderungen.

Weitere Informationen zu NPS finden Sie unter Network Policy Server (NPS).