VPN Authentication SmartCard

VPN Authentication SmartCard





Bạn đã từng triển khai VPN trên Windows Server 2003 và VPN trên ISA Firewall nhưng bạn có bao giờ nghĩ đến việc bảo mật cho hệ thống VPN bằng công nghệ thẻ thông minh (SmartCard) chưa?

Mặc dù công nghệ thẻ thông minh (SmartCard) vẫn còn là khái niệm mới mẻ ở Việt Nam, nhưng vì mục đích cập nhật công nghệ mới nên trong bài viết này tôi xin giới thiệu tính năng và cách cấu hình phương pháp chứng thực SmartCard trong hệ thống VPN

I/ Chuẩn bị :
1/ Máy Domain Controller :
- Tạo group VPN Users
- Tạo 2 user hv1&hv2
- Cấp quyền Remote Access Permission (Allow Access) cho hv1 & hv2
- Cho 2 user làm thành viên của goup VPN USERS
- Cài Enterprise Root CA tên: NhatNghe CA
- Cài Driver & toolkit của bộ SmartCard
2/ Máy ISA (Join Domain) : ISA 2004
3/ Máy VPN Client:
- Cài Driver & toolkit của bộ SmartCard

II/ Thao Tác :
1/ Máy Domain Controller :

Phát hành Certificate
- Start->Run nhập : "certsrv.msc"
- R.Click trên "Certificate Templates" chọn New->Certificate Template to Issue




- Chọn "Enrollment Agent" và "SmartCard logon" -> OK





- Xin và cài đặt certificate Enrollment Agent cho Administrator (Enrollment Agent sẽ giúp cho Admin đại diện xin certificate cho Users)

Trên IE truy cập http://localhost/certsrv chọn Request a certificate-> advanced certificate request -> Create and submit a request to this CA -> Chọn Enrollment Agent -> Submit và Install certificate


















- Administrator xin giùm certificate SmartCard cho hv1.

Trên IE truy cập http://localhost/certsrv chọn Request a certificate-> advanced certificate request -> Request a certificate for a smart card on behalf of another user by using the smart card certificate enrollment station,














- Download certificate cho VPN Clients sữ dụng : (Trong bài viết này tôi dùng USB Drive chép certificate từ máy DC sang máy VPN Client)














II/ Máy ISA Firewall

Xin và cài đặt certificate cho computer
























- Kích hoạt và cấu hình VPN Server trên ISA 2004 Firewall

Virtual Private Networks (VPN) chọn Verify -> Enable VPN Client access





















- Tạo Rules cho VPN clients access.

R.Click Firewall Policy chọn New->Access Rule -> đặt tên rules -> Next.


















- Cấu hình Remote Access Policies





- Bạn cần có 3 thuộc tính
Authentication-Type = EAP
Tunnel-Type = Point to Point Tunneling Protocol
Windows-Group = VPN Access Group














3/ VPN Clients

- Import certificate (Certificate đã xin và lưu trong USB Drive từ bước 1)



















- Tạo kết nối VPN và chọn Smartcard



















- Kết nối VPN sử dụng SmartCard






















By Đào Duy Hiếu
www.msopenlab.com