## 8. Установка и добавление RADIUS-сервера в группу серверов RAS и IAS домена Study.su
### На компьютере SERVER-AD
1. Выберите **Пуск**, **Администрирование**, **Диспетчер сервера**.
2. В появившемся окне (справа) нажмите левой кнопкой на **Управление** и выберите **Добавить роли и компоненты**.
3. В появившемся окне **Мастер добавления ролей (перед началом работы)** ознакомьтесь с информацией и нажмите **Далее** три раза.
4. В **Выбор ролей сервера** выберите пункт **Службы политики сети и доступа** и нажмите **Далее** два раза.
5. В **службе ролей** выберите пункт **Сервер политики сети**, установите данную роль.
6. Выберите **Пуск**, **Администрирование**, **Active Directory — пользователи и компьютеры**.
7. В появившемся окне, в левой части, раскройте дерево `Study.su` и выберите **Users**.
8. В появившемся справа списке, найдите **Серверы RAS и IAS** и дважды щёлкните по ним.
9. В окне **Свойства: Серверы RAS и IAS** выберите вкладку **Члены группы**, **Добавить**, **Дополнительно**, **Типы объектов** (ставьте галочку напротив **Компьютеры**), **Далее**, **Поиск** и в появившемся списке выберите **SERVER-AD** (Иногда, после того, как Вы выбрали нужный компьютер необходимо **Проверить имя**!). Нажмите **ОК** три раза.
10. Перезагрузите `SERVER-AD`.
## 9. Определение RADIUS-клиента для SERVER-AD
### На компьютере SERVER-AD
1. Выберите **Пуск**, **Администрирование**, **Сервер политики сети**.
2. В появившемся окне, слева раскройте папку **Клиенты и Серверы RADIUS**.
3. Правой кнопкой мыши нажмите на **RADIUS-клиенты**, **Новый документ**.
4. В окне **Новый RADIUS-клиент** поставьте галочку напротив **Включить этот RADIUS-клиент**, также:
– в поле **Понятное имя** напишите имя **RADIUS-клиента** (например, `RADIUS-client`);
– в поле **Адрес (IP или DNS)** пропишите **IP-адрес** `192.168.0.3`;
– **Общий секрет** выбирается **Вручную** и без ограничения общности определите его как `713`.
5. Во вкладке **Дополнительно**, **Имя поставщика** определите как **RADIUS-standard**.
6. После выполнения всех действий нажмите **ОК**.
> [!note] Примечание
> Общий секрет (shared secret) — это пароль, который используется для шифрования обмена между RADIUS-клиентом (VPN-сервером) и RADIUS-сервером (NPS). Он должен совпадать на обеих сторонах.
## 10. Определение политики доступа для VPN-пользователей
### На компьютере SERVER-AD
1. Выберите **Пуск** → **Администрирование** → **Сервер политики сети**.
2. В консоли слева выберите **NPS (локально)**. В окне (справа) в категории **стандартная конфигурация** выберите сценарий настройки **RADIUS-сервер для подключения удалённого доступа или VPN**.
3. Чуть ниже выберите **Настройка VPN или удалённого доступа**.
4. В появившемся окне выберите тип подключения **Подключение к виртуальной частной сети (VPN)**. В поле имя напишите `VPN Users` и нажмите **Далее**. Выберите **RADIUS-клиента**, **Далее**.
5. В настройке методов проверки подлинности отметьте только **Расширенный протокол проверки подлинности (EAP)**.
6. В поле **Введите (в зависимости от способа доступа и сетевых параметров)** выберите **Microsoft: защищённый пароль (EAP-MSCHAPv2)**, нажмите **Далее**.
7. В группах пользователей укажите **Пользователи домена** (Добавить, Дополнительно, Поиск, выберите пользователи домена, не забудьте нажать **Проверить имя**!). Нажмите **Далее**.
8. В окне **Задайте IP-фильтры** ничего не меняйте, ничего не настраивайте.
9. В типе шифрования укажите все типы шифрования. Нажмите **Далее**.
10. В окне **Имя сферы** ничего не меняйте и нажмите **Далее** и **Готово**.
11. Зайдите в **NPS**, **Политики**, **Сетевые политики**. Дважды щёлкните по **VPN Users**. В свойствах **VPN Users** выберите вкладку **Параметры** и найдите **Шифрование**. Отметьте **все** типы шифрования.
> [!summary] Простыми словами
> Мы создали политику доступа, которая разрешает подключение по VPN пользователям домена, использует аутентификацию по паролю (EAP-MSCHAPv2) и разрешает все типы шифрования. В дальнейшем мы заменим метод аутентификации на сертификатный (EAP-TLS).
## 11. Настройка VPN-сервера
### На компьютере SERVER-CA
1. Откройте **Пуск** → **Администрирование** → **Диспетчер сервера**. В консоли справа выберите левой кнопкой мыши **Управление**, **Создать роль**. Нажмите **Далее** 3 раза.
2. В ходе установки роли в окне **Выбор ролей сервера** отметьте галочкой **Удалённый доступ**, **Далее** 3 раза.
3. В появившемся окне отметьте галочкой **Маршрутизация**. В настройках выбрать **Развернуть только VPN**. Далее установите роль.
4. После установки роли откройте **Пуск**, **Администрирование**, **Маршрутизация и удалённый доступ**.
5. В консоли слева нажмите правой кнопкой на `SERVER-CA` и выберите **Настроить и включить маршрутизацию и удалённый доступ**. Откроется мастер установки сервера маршрутизации и удалённого доступа. Нажмите **Далее**.
6. В конфигурации выберите **Удалённый доступ (VPN или модем)**. Нажмите **Далее**.
7. В окне Удалённый доступ отметьте **Доступ к VPN** и **Удалённый доступ**. Нажмите **Далее**.
8. Выберите интерфейс с **IP-адресом** `131.107.0.10`. Нажмите **Далее**. Убрать галочку с **Безопасности**.
> [!note] Примечание
> В общем случае защиту общедоступного интерфейса следует включать. Этот параметр отключается исключительно для обеспечения связи в рассматриваемой тестовой среде.
9. В разделе **Способ назначения IP-адресов удалённым клиентам** выберите пункт **Из заданного диапазона адресов** и нажмите кнопку **Далее**.
10. Выбрав пункт **New (Создать)**, введите `192.168.0.201` в поле **Начальный IP-адрес** и `192.168.0.210` в поле **Конечный IP-адрес**, а затем последовательно нажмите кнопки **ОК** и **Далее**.
11. Затем выберите **Да, настроить данный сервер для работы с RADIUS-сервером**. Нажмите **Далее**.
12. В окне **Выбор RADIUS-сервера** в поле **Основной RADIUS-сервер** напишите `SERVER-AD.Study.su`. **Общий секрет**: `713`. **Далее**. **Готово**. **ОК**, **ОК**.
13. В службе ролей **Маршрутизация и удалённый доступ** правой кнопкой мыши щёлкните на `SERVER-CA`, нажмите **Обновить**, закройте оснастку.
> [!summary] Итог
> Мы настроили VPN-сервер для приёма подключений по протоколу L2TP/IPsec с аутентификацией через RADIUS-сервер (NPS). Удалённым клиентам будут выдаваться адреса из диапазона `192.168.0.201–210`.