## 9. Создание VPN-подключения удалённого клиента
### На компьютере CLIENT-RA
1. **Пуск** → **Панель управления** → **Сеть и Интернет** → **Центр управления сетями и общим доступом**.
2. Нажмите **Настройка нового подключения или сети** → **Подключение к рабочему месту** → **Использовать моё подключение к Интернету** → **Отложить настройку подключения к Интернету**.
3. Ввести интернет-адрес `131.107.0.10`. Задайте имя `VPNReconnection`. **Далее**, **Создать**.
4. Открыть вкладку **Изменение параметров адаптера**.
5. Два раза щёлкнуть на `VPNReconnection`.
6. В появившемся окне в поле **Пользователь** введите `user-vpn@Study.su`. Введите пароль, отметьте галочкой **Запомнить имя и пароль** (только для меня).
7. Откройте окно **Свойства**, во вкладке **Безопасность**.
8. В разделе **Разрешить следующие протоколы** выберите **Протокол проверки пароля Microsoft MS-CHAPv2**, остальные галочки снимите.
9. В разделе **Тип VPN** выберите протокол `L2TP / IPsec VPN`, **ОК**.
10. Осуществите **VPN-подключение** щелчком на кнопке **Подключение** (или по ярлычку подключения).
> [!note] Примечание
> Возможно, понадобится на `SERVER-AD`, `SERVER-CA` включить обнаружение сети.
11. Обратитесь к файлу в локальной сети: **Пуск** → **Выполнить**, наберите:
“`
\\192.168.0.1\Users\Администратор\Desktop\VPNData
“`
12. Удалённо откройте файл `VPNTest`, измените его содержимое, сохраните изменения и закройте файл.
13. Разорвите соединение `VPNReconnection`.
14. Через консоль **Консоль1** удалите **IPsec-сертификат** `VPNReconnect2` у компьютера (сохраните сертификат на рабочем столе).
15. Убедитесь, что подключение `VPNReconnection` не устанавливается по причине отсутствия необходимого сертификата (после перезагрузки сервера и очистки его кэш-памяти).
16. В свойствах подключения в закладке **Безопасность**, **Тип VPN** выберите протокол туннелирования `PPTP VPN`.
17. Убедитесь, что подключение `VPNReconnection` функционирует.
18. Обратно добавьте в хранилище сертификатов **IPsec-сертификат** `VPNReconnect2` и в свойствах подключения в разделе **Тип VPN** выберите `L2TP IPsec VPN`, убедитесь в работоспособности соединения.
> [!summary] Простыми словами
> Мы протестировали подключение с аутентификацией по паролю (без сертификата) и с аутентификацией по сертификату. Без сертификата подключение по L2TP/IPsec не устанавливается — это подтверждает, что сервер требует сертификат для безопасного соединения.
## 10. Изменение процедуры аутентификации с протокола MS-CHAPv2 на EAP-TLS
### 10.1. Создание шаблона сертификата для аутентификации сервера SERVER-CA
#### На компьютере SERVER-CA
1. Загрузите консоль **Центра сертификации**, выделите правой кнопкой мыши **Шаблоны сертификатов** и выберите пункт **Управление**.
2. Нажмите на шаблон **RAS и IAS-сервер** правой кнопкой мыши и выберите пункт **Свойства**.
3. На вкладке **Расширения** в разделе **Использование ключа** отметьте галочками **Цифровая подпись**, **Неподдельность**.
4. На вкладке **Безопасность** выберите **Серверы RAS и IAS** и отметьте галочками разрешения: **Чтение**, **Заявка**, **Автоматическая подача заявок**. **ОК**, закройте консоль шаблонов сертификатов.
5. В консоли службы **Центра сертификации** нажмите правой кнопкой мыши на пункте **Шаблоны сертификатов**.
6. Выберите **Создать** → **Выдаваемый шаблон сертификатов**.
7. В окне выберите шаблон **RAS и IAS-сервер**, нажмите **ОК**. Закройте консоль **Центра сертификации**.
### 10.2. Создание шаблона сертификата для аутентификации пользователя user-vpn
#### На компьютере SERVER-CA
1. Загрузите консоль **Центра сертификации**, выделите правой кнопкой мыши **Шаблоны сертификатов** и выберите пункт **Управление**.
2. Нажмите на шаблон **Проверенный сеанс** правой кнопкой мыши и выберите пункт **Скопировать шаблон**.
3. В появившемся окне оставьте пункт **Windows Server 2003 Enterprise**.
4. Измените отображаемое имя шаблона на `VPN-EAP` в закладке **Общие**.
5. На вкладке **Расширения** в разделе **Использование ключа** отметьте галочками **Цифровая подпись**, **Неподдельность**.
6. На вкладке **Безопасность** выберите `user-vpn`, если его нет, то добавьте, и отметьте галочками разрешения: **Чтение**, **Заявка**, **Автоматическая подача заявок**. **ОК**, закройте консоль шаблонов сертификатов.
7. В консоли службы **Центра сертификации** нажмите правой кнопкой мыши на пункте **Шаблоны сертификатов**.
8. Выберите **Создать** → **Выдаваемый шаблон сертификатов**.
9. В окне выберите шаблон `VPN-EAP`, нажмите **ОК**. Закройте консоль **Центра сертификации**.
> [!task] Задание
> 1. Выпустить, запросить и установить сертификат для аутентификации сервера `SERVER-CA` (осуществляется через консоль1 для локального компьютера `SERVER-CA`).
> 2. Выпустить, запросить и установить сертификат для аутентификации пользователя `user-vpn` (осуществляется через веб-интерфейс пользователем `user-vpn`).
### 10.3. Изменение настроек сервера политики сети
#### На компьютере SERVER-CA
1. **Пуск**, **Администрирование**, выберите **Сервер политики сети**, раскройте вкладку **Политики** и выберите раздел **Сетевые политики**.
2. Выберите **Connections to Microsoft Routing and Remote Access Server**, откройте двойным щелчком. Во вкладке **Обзор** выберите **Предоставить доступ**, на вкладке **Ограничения** выберите **Методы проверки подлинности** и в окне **Типы EAP** добавьте **Microsoft: Смарт-карта или иной сертификат**. Под окном **EAP** удалите все позиции, **ОК**.
3. Нажмите **Изменить**. Выберите сертификат для аутентификации сервера `SERVER-CA.study.su`, **ОК**, **ОК**.
### 10.4. Изменение настроек VPN-подключения удалённого клиента
#### На компьютере CLIENT-RA
1. **Пуск**, **Панель управления**, **Сетевые подключения**.
2. Щёлкните правой кнопкой мыши на `VPNReconnection`.
3. Откройте окно **Свойства**, во вкладке **Безопасность**.
4. Выберите **Протокол расширенной проверки подлинности (EAP)** и в выпадающем списке выберите **Смарт-карта или иной сертификат**.
5. Нажмите **Свойства**, выберите **Использовать сертификат на этом компьютере**, в поле **Доверенные корневые ЦС** установите галочку на установленном корневом сертификате `Server-RT`, **ОК**.
6. **Тип VPN** выберите протокол туннелирования `L2TP IPsec VPN`, **ОК**.
7. Осуществите **VPN-подключение** щелчком на кнопке **Подключение** (или по ярлычку подключения).
> [!summary] Итог
> Мы переключили аутентификацию с паролевой (MS-CHAPv2) на сертификатную (EAP-TLS). Теперь для установления соединения клиент должен предъявить действительный сертификат, что обеспечивает более высокий уровень безопасности.