計画:
NPSロールのインストール。RADIUSクライアントの追加。
接続ポリシーの作成。
ネットワークポリシーの作成。
MikroTikに承認サーバーを追加します。
SSHおよびWinBoxによる検証。
NPSロールのインストール
ドメインが既にインストールされているWindows Server 2016 Datacenterがあります。

ロールを展開するサーバーを選択します。 マイクロソフトは、ドメインコントローラーでこれを行うことを推奨していませんが、いくつかのベストプラクティスでは、遅延を減らすために、それを配置することをお勧めします。 構成用の管理ツールと共にネットワークポリシーとアクセスサーバーの役割を追加します。
Install-WindowsFeature NPAS -IncludeManagementTools




NPS管理パネルは、便利な方法で起動します。 たとえば、サーバーマネージャーを使用します。

NPSサーバーをADに登録します。
netsh ras add registeredserver

RADIUSクライアントの追加
サーバーがどのデバイスと通信を確立するかを知るには、それらのデバイスをRADIUSクライアントに追加する必要があります。
例として、MikroTik wAPを追加します。 デバイスにIDとして設定されたフレンドリ名、および唯一の有線インターフェイスに設定されたIP。 デバイスがサーバーにログインできるようにするには、キーを入力する必要があります。 サーバー上で手動で作成されるか、自動的に生成されます。 私は2番目のオプションを好みました。
New-NpsRadiusClient –Address "10.1.1.21" –Name "router01" –SharedSecret "egEcM4myJCptphGlZ1UymS#qLh^urp@fJ1hF8dE6dwb27NI^oIJtTWKKp^MEsU6p"

標準RADIUSで停止するベンダー名。

デバイスが追加されました。
接続ポリシーを作成する

ポリシーに適切な名前を選択します。

サーバーが動作するデバイスを決定します。

Router01の値を持つクライアントフレンドリー名のみを選択しました。 これにより、作成されたクライアントを介してこのポリシーアイテムがデバイスに明確にバインドされます。 NAS Identifierを選択することにより、MikrotikデバイスをIDで識別できます。

デバイスの予備設定なしIdentity = MikroTik。

追加のポリシー設定。

認証プロトコルを選択する段階で、SSH用の暗号化されていない(警告が表示される)PAPまたはWinBox用の暗号化されたCHAPを選択するだけで十分です。 私は両方を選びました。 Webバージョンを使用する必要がある場合は、MS-CHAPv2をオンにします。それ以外はすべて同じです。

実際、安全でない方法の選択に関する警告。 彼らは、段階的な参考資料を読むことを申し出ます。

この段階では、何も触れませんでした。

最終ポリシー設定。
technetでの標準的な例でさえ、PowerShellでそれを再現することはできませんでした 。 理由を教えていただければ幸いです。
netsh nps add crp name = "Request Policy Router01" state = "ENABLE" processingorder = "1" policysource = "0" conditionid ="0x1020" conditiondata = "router01" profileid = "0x1025" profiledata = "0x1" profileid = "0x1009" profiledata = "0x1" "0x2" profileid = "0x1fb0" profiledata = "TRUE"

ポリシー項目を上下に移動して、希望の優先度を選択します。
ネットワークポリシーを作成する

彼女のルーターを呼び出しましょう。

前と同様に、条件を定義する必要があります。

ADでは、Domain Adminsグループに追加のユーザーを作成しました。 すべてのドメイン管理者がMikroTikにアクセスできるという事実に基づいて、Windowsグループ条件を選択します。


許容または禁止のルール。 条件の対象となるすべての人を許可します。

認証方法は、以前のポリシーに似ています。

必要に応じて、追加の設定を構成できます。 そのままにした。

次に、サーバーに送信するものを選択する必要があります。

結果のネットワークポリシー設定。

必要に応じて、他のポリシーから必要な優先度を選択します。

このユーザーのADのNPSでアカウントを確認するには、[ネットワークアクセス許可]セクションの[ダイヤルイン]タブで[NPSネットワークポリシーによるアクセスの制御]項目をオンにする必要があります。

WinBoxを介してログインできるようにするには、ユーザープロファイルで可逆暗号化を有効にする必要があります。

MikroTikに承認サーバーを追加する
最初に、システムのIDをrouter01に割り当て、インターフェイスのマスクを使用してIPを割り当てます。 /system identity set name=router01 /ip address add address=10.1.1.21/24 interface=ether1 network=10.1.1.0

[システム/ユーザー]および[ユーザー]タブで、[RADIUSを使用する]を有効にします。 デフォルトでは、読み取り専用アクセスが選択されています。
/user aaa set use-radius=yes

Radius設定を開き、新しいサーバーを追加します。 サービスは、宛先に基づいて選択されます。 もちろん、それらの間でアクセスを共有する方が良いです。 アドレス-NSPがインストールされているサーバーのアドレス。
シークレット-クライアントをサーバーに追加する段階で生成されたキー。
/radius add address=10.1.1.1 secret=egEcM4myJCptphGlZ1UymS#qLh^urp@fJ1hF8dE6dwb27NI^oIJtTWKKp^MEsU6p service=login

SSHおよびWinBoxによる検証
SSHを介した接続を確認し、構成をエクスポートします。
そして、Winboxで認証を確認します。

ご覧のとおり、アクティブユーザーでは、システム管理者と、SSHおよびWinboxを介した読み取りアクセス権を持つドメインユーザーの両方の接続がハングします。

すべてが機能します。
ご清聴ありがとうございました。