AD में आंतरिक संसाधनों और प्रमाणीकरण तक पहुंच नियंत्रण के साथ वीपीएन के माध्यम से उद्यम के कॉर्पोरेट नेटवर्क के लिए रिमोट एक्सेस का विकल्प

अक्सर (यदि हमेशा नहीं) आईटी विभाग जल्द या बाद में उद्यम नेटवर्क के लिए रिमोट एक्सेस को व्यवस्थित करने के काम का सामना करता है, उदाहरण के लिए, कर्मचारियों द्वारा दूसरा या केवल बीमार। इस समस्या को विभिन्न तरीकों से हल किया जा सकता है। मैं उन समाधानों के बारे में बात करना चाहता हूं जो वास्तव में हमारे होल्डिंग में उपयोग किए जाते हैं। यह समाधान कई अन्य लोगों से तीन मुख्य चीजों में भिन्न है:

1. दूरस्थ उपयोगकर्ता पक्ष पर, न्यूनतम कॉन्फ़िगरेशन की आवश्यकता होती है - विंडोज के सभी मानक अनुप्रयोगों और सुविधाओं का उपयोग किया जाता है;
2. रिमोट उपयोगकर्ता टर्मिनल सर्वर पर काम करता है, जो उसे अपने कर्तव्यों के प्रदर्शन के लिए आवश्यक वातावरण प्रदान करता है
3. कंपनी के आंतरिक संसाधनों के लिए बहुत लचीला अभिगम नियंत्रण (डोमेन प्रमाणीकरण के अनुसार TMG \ ISA फ़ायरवॉल द्वारा प्रदान किया गया)

यदि आप रुचि रखते हैं, तो बिल्ली में आपका स्वागत है।



तो, पहले मैं आपको बताता हूं कि हमें क्या चाहिए, वास्तव में ये सिर्फ दो चीजें हैं:

• TMG या ISA के साथ सर्वर
• टर्मिनल सर्वर

हमारे पास दोनों सर्वर हैं - हाइपर-वी पर नियमित रूप से वर्चुअल मशीन तैनात करना।

आपको दो मुफ्त सबनेट की भी आवश्यकता होगी (यह सब अच्छा है, मुझे लगता है, हर किसी के पास पर्याप्त है) - बिल्कुल दो के लिए, मैं आगे बताऊंगा।

अंतिम संसाधनों तक उपयोगकर्ता की पहुंच को सशर्त रूप से तीन चरणों में विभाजित किया जा सकता है:

1. एक पृथक वीपीएन क्लाइंट नेटवर्क के लिए पीपीटीपी एक्सेस
2. टर्मिनल सर्वर पर आरडीपी पहुंच
3. किसी भी एक्सेस मास्क का उपयोग करके टर्मिनल सर्वर से कंपनी के लैन संसाधनों तक सीधी पहुंच

नीचे एक सामान्य कनेक्शन आरेख और चरणों का वर्णन है।

एक पृथक वीपीएन क्लाइंट नेटवर्क के लिए पीपीटीपी एक्सेस

इसे लागू करने के लिए, हमें किसी भी पीपीटीपी सर्वर की आवश्यकता है, हम सिस्को का उपयोग करते हैं, लेकिन कुछ भी हमें बॉर्डर राउटर से फायरपार्ट को एक ही टीएमजी \ आईएसए को अग्रेषित करने से रोकता है, जिसका उपयोग हम ग्राहकों तक संसाधनों तक पहुंचने और उस पर पीपीटीपी सर्वर को बढ़ाने के लिए करेंगे। यहाँ हमारी चूत का एक टुकड़ा है जो pptp के लिए जिम्मेदार है।



vpdn enable

!

vpdn-group 1

! Default PPTP VPDN group

accept-dialin

protocol pptp

virtual-template 1

ip pmtu

ip mtu adjust



username ras_user password 7 010157010906550075581B0C4F044011530F5D2F7A743B62643

14255

username ras_guest password 7 120B541640185F3B7E2C713D653075005F025A



interface GigabitEthernet0/0.3

description Internet

encapsulation dot1Q 3

ip address xxxx 255.255.255.252

ip nat outside

ip virtual-reassembly max-fragments 64 max-reassemblies 256

ip policy route-map Internet-10-144-68

no cdp enable



interface Virtual-Template1

mtu 1400

ip unnumbered GigabitEthernet0/0.3

ip access-group 170 in

ip tcp adjust-mss 1360

peer default ip address pool vpn_users

no keepalive

ppp encrypt mppe auto

ppp authentication ms-chap-v2

ppp ipcp dns 172.22.1.201

!

ip local pool vpn_users 172.22.4.1 172.22.4.250



access-list 170 permit udp 172.22.4.0 0.0.0.255 host 172.22.1.201 eq domain

access-list 170 permit tcp 172.22.4.0 0.0.0.255 host 172.22.3.1 eq 3389

access-list 170 permit icmp any any

access-list 170 permit tcp 172.22.4.0 0.0.0.255 host 172.22.3.1 eq www







इस स्तर पर मुख्य बिंदु vpn क्लाइंट का एक नेटवर्क है, जहां से इसे कनेक्ट करने की क्षमता के साथ rdp पोर्ट पर केवल टर्मिनल सर्वर पर है।

टर्मिनल सर्वर पर आरडीपी पहुंच

तो, हमारा क्लाइंट पीपीपीपी सर्वर से जुड़ा है और टर्मिनल सर्वर तक पहुंच है, फिर रिमोट डेस्कटॉप का उपयोग करके, यह टर्मिनल सर्वर से जुड़ता है, इस कनेक्शन के लिए क्रेडेंशियल डोमेन उपयोगकर्ता खाता है। यहाँ थोड़ा स्पष्ट करना आवश्यक है:



AD में, सुरक्षा समूह मुखौटे के अनुसार बनाए जाते हैं, मोटे तौर पर, हमारे पास उदाहरण के लिए चार संसाधन समूह हैं, मान लें कि परियोजना से टूट गए हैं। Project1, Project2, Project3 और सामान्य। तदनुसार, AD में हम 4 सुरक्षा समूह बनाएंगे और "सामान्य" समूह के पहले तीन सदस्यों को बनाएंगे। "सामान्य" समूह के लिए, हम टर्मिनल सर्वर तक पहुंच की अनुमति देंगे। इसके अलावा, किसी भी AD उपयोगकर्ता के लिए रिमोट एक्सेस कनेक्ट करने के लिए, हम इसे उपयुक्त समूह में जोड़ देंगे।

किसी भी एक्सेस मास्क का उपयोग करके टर्मिनल सर्वर से कंपनी के लैन संसाधनों तक सीधी पहुंच

इस चरण को लागू करने के लिए, हमें TMG \ ISA को कॉन्फ़िगर करने की आवश्यकता है, इस लेख को लिखते समय मैंने इसे कार्रवाई के लिए एक स्पष्ट निर्देश के रूप में योजना नहीं बनाई थी, लेकिन केवल योजना के विवरण के रूप में, इसलिए मैं फ़ायरवॉल को कॉन्फ़िगर करने के विवरण में नहीं जाऊंगा, मैं केवल कुछ प्रमुख बिंदुओं पर ध्यान दूंगा।

• TMG में, बाहरी नेटवर्क हमारा LAN होगा
• आंतरिक नेटवर्क टर्मिनल सर्वर नेटवर्क है।
• टीएमजी \ आईएसए क्लाइंट को टर्मिनल सर्वर पर स्थापित किया जाना चाहिए ताकि हम उपयोगकर्ताओं को नियमों को बांध सकें।
• तदनुसार, फ़ायरवॉल के सभी नियम प्रोजेक्ट 1, प्रोजेक्ट 2, प्रोजेक्ट 3 और सामान्य सुरक्षा समूहों से जुड़े हैं जो हमने पहले बनाए थे।

सामान्य तौर पर, यह वह सब है जो मैं साझा करना चाहता था, मैं समझता हूं कि सब कुछ बहुत संक्षेप में कहा गया है, लेकिन लेख का उद्देश्य समाधानों में से एक को दिखाना है, और इसके विशिष्ट कार्यान्वयन को नहीं, बहुत कुछ यहां अलग तरीके से किया जा सकता है।