Konfigurowanie dostępu warunkowego na potrzeby łączności sieci VPN przy użyciu Microsoft Entra ID

W tym przewodniku pokazano, jak udzielić użytkownikom sieci VPN dostępu do zasobów przy użyciu Dostęp warunkowy usługi Microsoft Entra. Korzystając z Dostęp warunkowy usługi Microsoft Entra dla łączności wirtualnej sieci prywatnej (VPN), możesz pomóc w ochronie połączeń sieci VPN. Dostęp warunkowy to aparat oceny oparty na zasadach, którego można użyć do tworzenia reguł dostępu dla dowolnej aplikacji połączonej Microsoft Entra.

Prerequisites

Przed rozpoczęciem konfigurowania dostępu warunkowego dla sieci VPN wykonaj następujące wymagania wstępne:

• Przejrzyj Dostęp warunkowy w Microsoft Entra ID.
  • Administratorzy korzystający z dostępu warunkowego muszą mieć jedno z następujących przypisań ról w zależności od wykonywanych zadań. Aby przestrzegać zasadę najmniejszych uprawnień w ramach modelu Zero Trust, należy rozważyć użycie Privileged Identity Management (PIM) do aktywacji przypisań ról uprzywilejowanych w trybie just-in-time.
    • Dostęp czytelnika zabezpieczeń do odczytu zasad i konfiguracji dostępu warunkowego.
    • Dostęp administratora dostępu warunkowego do tworzenia lub modyfikowania zasad dostępu warunkowego.
• Konfigurowanie sieci VPN i dostępu warunkowego.
• Skonfiguruj infrastrukturę zawsze włączonej sieci VPN w środowisku lub ukończ samouczek: wdrażanie zawsze włączonej sieci VPN — konfigurowanie infrastruktury zawsze włączonej sieci VPN.
• Skonfiguruj komputer kliencki Windows przy użyciu połączenia sieci VPN przy użyciu usługi Intune. Aby uzyskać szczegółowe informacje, zobacz Wdrażanie profilu Always On VPN do klientów Windows za pomocą Microsoft Intune.

Skonfiguruj EAP-TLS, aby ignorować sprawdzanie listy unieważnień certyfikatów (CRL)

Klient EAP-TLS nie może nawiązać połączenia, chyba że serwer zasad sieciowych (NPS) ukończy sprawdzanie odwołania łańcucha certyfikatów (w tym certyfikat główny). Certyfikaty w chmurze wystawione dla użytkownika przez Microsoft Entra ID nie mają listy CRL, ponieważ są to certyfikaty krótkotrwałe z okresem istnienia jednej godziny. Aby zignorować brak listy CRL, należy skonfigurować protokół EAP na serwerze NPS. Ponieważ metoda uwierzytelniania to EAP-TLS, musisz dodać tę wartość rejestru tylko w obszarze EAP\13. Jeśli używasz innych metod uwierzytelniania protokołu EAP, dodaj również wartość rejestru dla tych metod.

W tej sekcji dodasz IgnoreNoRevocationCheck i NoRevocationCheck. Domyślnie IgnoreNoRevocationCheck i NoRevocationCheck są ustawione na 0 (wyłączone).

Aby dowiedzieć się więcej o ustawieniach rejestru listy CRL serwera zasad sieciowych, zobacz Konfigurowanie ustawień rejestru sprawdzania listy unieważnień certyfikatów serwera zasad sieciowych.

1. Otwórz regedit.exe na serwerze NPS.

2. Przejdź do HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\PPP\EAP\13.

3. Wybierz pozycję Edytuj > Nowy i wybierz pozycję DWORD (32-bit) Wartość. Wprowadź IgnoreNoRevocationCheck.

4. Kliknij dwukrotnie IgnoreNoRevocationCheck i ustaw wartość danych na 1.

5. Wybierz Edytuj > Nowy i wybierz Wartość DWORD (32-bit). Wprowadź NoRevocationCheck.

6. Kliknij dwukrotnie NoRevocationCheck i ustaw wartość na 1.

7. Wybierz przycisk OK i uruchom ponownie serwer. Ponowne uruchamianie usług RRAS i NPS nie wystarczy.

Tworzenie certyfikatów głównych na potrzeby uwierzytelniania sieci VPN przy użyciu Microsoft Entra ID

W tej sekcji skonfigurujesz certyfikaty główne dostępu warunkowego na potrzeby uwierzytelniania sieci VPN przy użyciu Microsoft Entra ID. Podczas tworzenia pierwszego certyfikatu Microsoft Entra ID automatycznie tworzy aplikację w chmurze o nazwie VPN Server w dzierżawie. Administrator musi udzielić zgody administratora dla tej aplikacji raz, zanim łączność sieci VPN jest w pełni operacyjna. Aby skonfigurować dostęp warunkowy na potrzeby łączności sieci VPN, wykonaj następujące kroki:

1. Utwórz certyfikat sieci VPN w portalu Azure.

2. Pobierz certyfikat sieci VPN.

3. Wdróż certyfikat na serwerach sieci VPN i serwerach NPS.

Gdy użytkownik próbuje nawiązać połączenie sieci VPN, klient sieci VPN wykonuje wywołanie do Menedżera kont sieci Web (WAM) na kliencie Windows. WAM wykonuje wywołanie aplikacji chmurowej serwera VPN. Gdy warunki i kontrole w zasadach dostępu warunkowego są spełnione, Microsoft Entra ID wystawia token w postaci krótkotrwałego (jednogodzinnego) certyfikatu do WAM. WAM umieszcza certyfikat w magazynie certyfikatów użytkownika i przekazuje kontrolę klientowi sieci VPN.

Następnie klient sieci VPN wysyła certyfikat wystawiony przez Microsoft Entra ID do sieci VPN w celu weryfikacji poświadczeń. 

Tworzenie certyfikatów głównych

1. Zaloguj się do portalu Azure jako administrator Global.

2. W menu po lewej stronie wybierz pozycję Microsoft Entra ID.

3. Na stronie Microsoft Entra ID w sekcji Manage wybierz Security.

4. Na stronie Zabezpieczenia w sekcji Ochrona wybierz pozycję Dostęp warunkowy.

5. Na stronie Warunkowy dostęp | Zasady, w sekcji Zarządzanie, wybierz Łączność VPN.

6. Na stronie Łączność sieci VPN wybierz pozycję Nowy certyfikat.

7. Na stronie Nowa :

   1. W obszarze Wybierz czas trwania wybierz pozycję 1, 2 lub 3 lata.
   2. Wybierz Utwórz.

8. W przypadku pierwszego certyfikatu sieci VPN utworzonego w dzierżawie zostanie wyświetlony baner ostrzegawczy z żądaniem zgody administratora dla aplikacji serwera sieci VPN . Wybierz pozycję Udziel zgody administratora (wymaga roli administratora globalnego ) i zaakceptuj żądane uprawnienia. Tę akcję należy wykonać tylko raz na dzierżawę. Kolejne operacje certyfikatów nie wymagają ponownej zgody.

Konfigurowanie zasad dostępu warunkowego

W tej sekcji skonfigurujesz zasady dostępu warunkowego dla łączności sieci VPN. Podczas tworzenia pierwszego certyfikatu głównego w okienku łączności VPN, automatycznie utworzysz aplikację w chmurze VPN Server w dzierżawie.

Utwórz politykę dostępu warunkowego i przypisz ją do grupy użytkowników sieci VPN oraz rozszerz zakres aplikacji w chmurze do serwera sieci VPN:

• Użytkownicy: użytkownicy sieci VPN
• Aplikacja w chmurze: serwer sieci VPN
• Nadawanie (kontrola dostępu): Wymaganie uwierzytelniania wieloskładnikowego. W razie potrzeby możesz użyć innych kontrolek.

Procedura: Ten krok obejmuje tworzenie najbardziej podstawowych zasad dostępu warunkowego. W razie potrzeby możesz dodać więcej warunków i kontrolek.

1. Na stronie Dostęp warunkowy na pasku narzędzi u góry wybierz pozycję Dodaj.

   

2. Na stronie Nowy w polu Nazwa wprowadź nazwę zasad. Na przykład wprowadź zasady sieci VPN.

   

3. W sekcji Przypisanie wybierz pozycję Użytkownicy i grupy.

   

4. Na stronie Użytkownicy i grupy :

   

   1. Wybierz Wybierz użytkowników i grupy.

   2. Wybierz Select.

   3. Na stronie Wybierz wybierz grupę użytkowników sieci VPN , a następnie wybierz pozycję Wybierz.

   4. Na stronie Użytkownicy i grupy wybierz pozycję Gotowe.

5. Na stronie Nowa strona :

   

   1. W sekcji Przypisania wybierz pozycję Aplikacje w chmurze.

   2. Na stronie Aplikacje w chmurze wybierz pozycję Wybierz aplikacje.

   3. Wybierz Select.

   4. Na stronie Wybierz wybierz pozycję Serwer sieci VPN.

6. Na stronie Nowy, aby otworzyć stronę Udzielanie, w sekcji Kontrolki wybierz pozycję Udzielanie.

   

7. Na stronie Uprawnienia :

   

   1. Wybierz pozycję Wymagaj uwierzytelniania wieloskładnikowego.

   2. Wybierz Select.

8. Na stronie Nowy ustaw opcję Aktywuj zasady na Włączone.

   

9. Na stronie Nowy wybierz pozycję Utwórz.

Wdróż certyfikaty główne dostępu warunkowego w lokalnym środowisku AD

W tej sekcji wdrożysz zaufany certyfikat główny na potrzeby uwierzytelniania sieci VPN w lokalnej usłudze AD.

1. Na stronie łączność sieci VPN wybierz pozycję Pobierz certyfikat.

   Note

   Opcja Pobierz certyfikat base64 jest dostępna dla niektórych konfiguracji, które wymagają certyfikatów base64 do wdrożenia.

2. Zaloguj się do komputera dołączonego do domeny z prawami admina przedsiębiorstwa i uruchom następujące polecenia w wierszu poleceń jako administrator, aby dodać główne certyfikaty chmury do magazynu NTauth przedsiębiorstwa.

   Note

   W przypadku środowisk, w których serwer VPN nie jest przyłączony do domeny Active Directory, należy ręcznie dodać certyfikaty główne chmury do magazynu Trusted Root Certification Authorities.

   Command	Description
   certutil -dspublish -f VpnCert.cer RootCA	Tworzy dwa kontenery Microsoft główny CA VPN gen 1 w kontenerach CN=AIA oraz CN=Urzędy Certyfikacji, publikując każdy certyfikat główny jako wartość w atrybucie cACertificate zarówno dla kontenerów Microsoft główny CA VPN gen 1.
   certutil -dspublish -f VpnCert.cer NTAuthCA	Tworzy jeden kontener CN=NTAuthCertificates w kontenerach CN=AIA i CN=Certification Authorities i publikuje każdy certyfikat główny jako wartość atrybutu cACertificate kontenera CN=NTAuthCertificates .
   gpupdate /force	Przyspiesza dodawanie certyfikatów głównych do serwera Windows i komputerów klienckich.

3. Sprawdź, czy certyfikaty główne znajdują się w sklepie Enterprise NTauth i są wyświetlane jako zaufane:

   1. Zaloguj się na serwerze przy użyciu uprawnień administratora przedsiębiorstwa z zainstalowanymi narzędziami do zarządzania urzędami certyfikacji .

      Note

      Domyślnie narzędzia do zarządzania urzędami certyfikacji są instalowane na serwerach urzędu certyfikacji. Można je zainstalować na serwerach innych członków w ramach Role Administration Tools w Menedżer serwera.

   2. W menu Start wprowadź pkiview.msc , aby otworzyć okno dialogowe infrastruktury kluczy publicznych przedsiębiorstwa .

   3. Kliknij prawym przyciskiem myszy pozycję Enterprise PKI i wybierz pozycję Zarządzaj kontenerami usługi AD.

   4. Sprawdź, czy każdy certyfikat głównego urzędu certyfikacji sieci VPN Microsoft 1. generacji znajduje się w obszarze:

      • NTAuthCertificates
      • Kontener AIA
      • Kontener autorytetów certyfikacji

Tworzenie profili VPNv2 opartych na OMA-DM dla urządzeń z systemem Windows 10

W tej sekcji utworzysz profile VPNv2 oparte na OMA-DM, używając usługi Intune do wdrożenia zasad konfiguracji urządzenia VPN.

1. W portalu Azure wybierz pozycję Intune>Konfiguracja urządzenia>Profiles i wybierz profil sieci VPN utworzony w Konfiguruj klienta sieci VPN przy użyciu usługi Intune.

2. W edytorze zasad wybierz pozycjęUstawienia>właściwości>Podstawowa sieć VPN. Rozszerz istniejącą EAP Xml aby uwzględnić filtr, który daje klientowi sieci VPN logikę, której potrzebuje do pobrania certyfikatu Dostęp warunkowy usługi Microsoft Entra ze sklepu certyfikatów użytkownika zamiast używania pierwszego odnalezionego certyfikatu.

   Note

   Bez tego filtru klient sieci VPN może pobrać certyfikat użytkownika wystawiony z lokalnego urzędu certyfikacji, co powoduje niepowodzenie połączenia sieci VPN.

   Zrzut ekranu przedstawiający ustawienia profilu sieci VPN usługi Intune, wyświetlający edytor EAP XML z dodanymi rozszerzeniami TLSExtensions i EKUMapping do filtrowania certyfikatów.

3. Znajdź sekcję kończącą się </AcceptServerName></EapType> i wstaw następujący ciąg między tymi dwiema wartościami, aby zapewnić klientowi sieci VPN logikę wybierania certyfikatu Dostęp warunkowy usługi Microsoft Entra:

   <TLSExtensions xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2"><FilteringInfo xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV3"><EKUMapping><EKUMap><EKUName>AAD Conditional Access</EKUName><EKUOID>1.3.6.1.4.1.311.87</EKUOID></EKUMap></EKUMapping><ClientAuthEKUList Enabled="true"><EKUMapInList><EKUName>AAD Conditional Access</EKUName></EKUMapInList></ClientAuthEKUList></FilteringInfo></TLSExtensions>
   

4. W okienku Dostęp warunkowy ustaw opcję Dostęp warunkowy dla tego połączenia sieci VPN na wartość Włącz.

   Włączenie tego ustawienia spowoduje zmianę ustawienia <DeviceCompliance><Enabled>true</Enabled> w pliku XML profilu VPNv2.

   

5. Kliknij przycisk OK.

6. Wybierz pozycję Zadania. Na karcie Dołączanie wybierz pozycję Wybierz grupy do uwzględnienia.

7. Wybierz poprawną grupę, która odbierze te zasady, i wybierz pozycję Zapisz.

   

Wymuszanie synchronizacji zasad MDM na kliencie

Jeśli profil sieci VPN nie jest wyświetlany na urządzeniu klienckim, w obszarze Ustawienia>Sieć i internet>VPN, możesz wymusić synchronizację polityki MDM.

1. Zaloguj się do komputera klienckiego przyłączonego do domeny jako członek grupy Użytkownicy sieci VPN .

2. W menu Start wprowadź konto i naciśnij klawisz Enter.

3. W okienku nawigacji po lewej stronie wybierz pozycję Uzyskaj dostęp do miejsca pracy lub nauki.

4. W obszarze Dostęp do miejsca pracy lub nauki wybierz opcję Połączono z <\domain> MDM, a następnie wybierz opcję Szczegóły.

5. Wybierz pozycję Synchronizuj i sprawdź, czy profil sieci VPN jest wyświetlany w obszarze Ustawienia>Sieć i internetowa sieć>VPN.

Treści powiązane

• Aby dowiedzieć się więcej na temat sposobu działania dostępu warunkowego z sieciami VPN, zobacz VPN i dostęp warunkowy.

• Aby dowiedzieć się więcej na temat zaawansowanych funkcji sieci VPN, zobacz Zaawansowane funkcje sieci VPN.

• Aby zapoznać się z przeglądem CSP VPNv2, zapoznaj się z VPNv2 CSP.