## 12. Создание VPN-подключения удалённого клиента
### На компьютере CLIENT-RA
1. Зайдите в **Центр управления сетями и общим доступом**.
2. В панели снизу выберите **Настройка нового подключения**, **Далее**, **Подключиться к сети на рабочем месте**, **Далее**, **Подключение к Виртуальной частной сети**, **Далее**.
3. В окне **Как выполнить подключение** нажмите на **Использовать моё подключение к Интернет (VPN)** → **Отложить настройки подключения к Интернет**.
4. В поле **Имя местонахождения** введите `VPNReconnection`, **Далее**.
5. В поле **Интернет-адрес** введите `131.107.0.10`, **Далее**.
6. В появившемся окне в поле **Пользователь** введите `user-vpn@Study.su`. Введите пароль, отметьте галочкой **Запомнить этот пароль**, **Создать**, **Закрыть**.
7. Правой кнопкой мыши щёлкните на значок создания подключения, **Свойства**, выберите вкладку **Безопасность**.
8. В разделе **Разрешить следующие протоколы** выберите **EAP-MSCHAPv2**, остальные галочки снимите.
9. В разделе **Тип VPN** выберите протокол `L2TP / IPsec VPN`, **ОК**.
10. Осуществите **VPN-подключение** щелчком на кнопке **Подключение** (или по ярлычку подключения).
> [!note] Примечание
> Возможно, понадобится на `SERVER-AD`, `SERVER-CA` включить обнаружение сети.
11. Обратитесь к файлу в локальной сети: **Пуск** → **Выполнить**, наберите:
“`
\\192.168.0.1\Users\Администратор\Desktop\VPNData
“`
12. Удалённо откройте файл `VPNTest`, измените его содержимое, сохраните и закройте файл.
13. Разорвите соединение `VPNReconnection`.
14. Через консоль **Консоль1** удалите **IPsec-сертификат** `VPNReconnect2` у компьютера (сохраните сертификат на рабочем столе).
15. Убедитесь, что подключение `VPNReconnection` не устанавливается по причине отсутствия необходимого сертификата (после перезагрузки сервера и очистки его кэш-памяти).
16. В свойствах подключения в закладке **Сеть**, **Тип VPN** выберите протокол туннелирования `PPTP VPN`.
17. Убедитесь, что подключение `VPNReconnection` функционирует.
18. Обратно добавьте в хранилище сертификатов **IPsec-сертификат** `VPNReconnect2` и в свойствах подключения в разделе **Тип VPN** выберите `L2TP IPsec VPN`, убедитесь в работоспособности соединения.
> [!summary] Простыми словами
> Мы протестировали подключение с аутентификацией по паролю (без сертификата) и с аутентификацией по сертификату. Без сертификата подключение по L2TP/IPsec не устанавливается — это подтверждает, что сервер требует сертификат для безопасного соединения.
## 13. Изменение процедуры аутентификации с протокола MS-CHAPv2 на EAP-TLS
### 13.1. Создание шаблона сертификата для аутентификации сервера SERVER-AD
#### На компьютере SERVER-CA
1. Загрузите консоль **Центра сертификации**, выделите правой кнопкой мыши **Шаблоны сертификатов** и выберите пункт **Управление**.
2. Нажмите на шаблон **RAS и IAS-сервер** правой кнопкой мыши и выберите пункт **Свойства**.
3. На вкладке **Расширения** в разделе **Использование ключа** отметьте галочками **Цифровая подпись**, **Неподдельность**.
4. На вкладке **Безопасность** выберите **Серверы RAS и IAS** и отметьте галочками разрешения: **Чтение**, **Заявка**, **Автоматическая подача заявок**. **ОК**, закройте консоль шаблонов сертификатов.
5. В консоли службы **Центра сертификации** нажмите правой кнопкой мыши на пункте **Шаблоны сертификатов**.
6. Выберите **Создать** → **Выдаваемый шаблон сертификатов**.
7. В окне выберите шаблон **RAS и IAS-сервер**, нажмите **ОК**. Закройте консоль **Центра сертификации**.
### 13.2. Создание шаблона сертификата для аутентификации пользователя user-vpn
#### На компьютере SERVER-CA
1. Загрузите консоль **Центра сертификации**, выделите правой кнопкой мыши **Шаблоны сертификатов** и выберите пункт **Управление**.
2. Нажмите на шаблон **Проверенный сеанс** правой кнопкой мыши и выберите пункт **Скопировать шаблон**.
3. В появившемся окне оставьте пункт **Windows Server 2003 Enterprise**.
4. Измените отображаемое имя шаблона на `VPN-EAP` в закладке **Общие**.
5. На вкладке **Расширения** в разделе **Использование ключа** отметьте галочками **Цифровая подпись**, **Неподдельность**.
6. На вкладке **Безопасность** выберите `user-vpn`, если его нет, то добавьте, и отметьте галочками разрешения: **Чтение**, **Заявка**, **Автоматическая подача заявок**. **ОК**, закройте консоль шаблонов сертификатов.
7. В консоли службы **Центра сертификации** нажмите правой кнопкой мыши на пункте **Шаблоны сертификатов**.
8. Выберите **Создать** → **Выдаваемый шаблон сертификатов**.
9. В окне выберите шаблон `VPN-EAP`, нажмите **ОК**. Закройте консоль **Центра сертификации**.
> [!task] Задание
> 1. Выпустить, запросить и установить сертификат для аутентификации сервера `SERVER-AD` (осуществляется через консоль1 для локального компьютера `SERVER-AD`).
> 2. Выпустить, запросить и установить сертификат для аутентификации пользователя `user-vpn` (осуществляется через веб-интерфейс пользователем `user-vpn`).
### 13.3. Изменение настроек сервера политики сети
#### На компьютере SERVER-AD
1. В **Диспетчере серверов** выбрать **Сервер политики сети**, раскрыть **Политики**, выбрать **Сетевые политики** → **VPN Users** → **Свойства** → **Ограничения** → **Методы проверки подлинности** → **Типы EAP**.
2. В настройке методов проверки подлинности отметьте только **Расширенный протокол проверки подлинности (EAP)**, остальные варианты убрать (снять галочки и/или удалить).
3. В поле **Введите (в зависимости от способа доступа и сетевых параметров)** выберите **Microsoft: защищённые EAP (PEAP)**, нажмите **Далее**.
### 13.4. Изменение настроек VPN-подключения удалённого клиента
#### На компьютере CLIENT-RA
1. В окне **Свойства**, во вкладке **Безопасность** выберите **Дополнительные** и нажмите **Параметры**.
2. В разделе проверки подлинности выберите **Проверка подлинности (EAP)** и в выпадающем списке выберите **PEAP**.
3. Нажмите **Свойства**, выберите **Использовать сертификат на этом компьютере**, в поле **Доверенные корневые ЦС** установите галочку на установленном корневом сертификате `Server-RT`, **ОК**.
4. Во вкладке **Сеть**, **Тип VPN** выберите протокол туннелирования `L2TP IPsec VPN`, **ОК**.
5. Осуществите **VPN-подключение** щелчком на кнопке **Подключение** (или по ярлычку подключения).
> [!summary] Итог
> Мы переключили аутентификацию с паролевой (MS-CHAPv2) на сертификатную (EAP-TLS). Теперь для установления соединения клиент должен предъявить действительный сертификат, что обеспечивает более высокий уровень безопасности.