Juniper Netscreen Firewall使用Active Directory进行用户验证.doc

Juniper Netscreen Firewall使用Active Directory进行用户验证 今日的IT管理员会面临着众多的网络设备。因为根据每一种设备单独的数据库来控制对外部服务的存取，因为数据库之间的差异而造成效率的低下。每一个人员的变更，需要在每一个单独的设备进行更新，如此数以千计的设备将消耗大量时间。可喜的是今日出现的诸如RADIUS的用户验证技术较少了访问控制的管理负荷。RADIUS通过使用Windows 2000活动目录提供的服务来集中验证用户信息。Netscreen设备利用此技术进行有效率的用户验证服务。此外，使用Windows 2000活动目录提供的服务进行用户集中验证可以节省大量的硬件和软件成本。更为重要的是，很多大型企业已经部署了活动目录作为用户数据库，当用户修改密码的时候，它将与企业其他系统，诸如邮件、数据据和内部网络登录进行自动同步。将Netscreen设备与活动目录结合起来可以控制VPN、防火墙和用户管理。此文档描述了通过使用微软的互联网验证服务的RADIUS协议在Netscreen Firewall设备上使用活动目录来验证用户名和密码。 此测试基于5.4的OS和Windows Server 2003企业版。 1、安装微软的IAS服务 点击“开始”---“设置”---“控制面板”，打开“添加删除程序”，双击“添加删除Windows组件”，系统打开“Windows组件”，找到“网络服务”，点击右下角的“详细信息”，打开“网络服务”，勾选“Internet验证服务”。确定。单击“下一步”，稍后片刻，点击“完成”，完成了微软的IAS服务的安装。 回到刚才的“控制面板”，点击“管理工具”，打开的“Internet验证服务” 将Netscreen设备添加为客户端。右键单击“RADIUS客户端”，选择“新建RADIUS客户端”，在好记的名称输入：NetScreen，客户端地址输入你的Netscren IP地址，我的输入“54”，单击“下一步”，在共享的机密和确认的共享机密输入一样的密码。单击“完成”完成第一步设定。 2、在IAS服务器上配置策略 ?“控制面板”，点击“管理工具”，打开的“Internet验证服务”,右键单击“远程访问策略”，选择“新建远程访问策略”，单击“下一步”，在新建远程访问策略向导中，选择“设置自定义策略”，在策略名输入“Permit assess IT group and Return IT group abbribute”，单击“下一步”，在策略状态，单击“添加”，在选择属性中选择“Windows Group”，单击“添加”，输入正确的组名。单击“确定”。单击“下一步”，选择“授予远程访问权限”，单击“下一步”，选择编辑配置文件，访问“身份验证”选项卡，取消所有选择，勾选“未加密的身份验证(PAP，SPAP)”，单击“应用”，访问“高级”选项卡，单击“添加”,选择“Vendor-Specific,单击“添加”，在“输入供应商代码”中输入“3224”，并选择“符合”。单击“配置属性”，在“供应商指派的属性号”中输入“3”，属性格式选择“字符串”，属性值输入“IT”,连续单击“确定”回到“高级”选项卡，删除“高级”选项卡其余的栏目，保留“Vendor-Specific”。单击“应用”，“确定”。在收到系统提示的时候，选择“否”，单击“完成”完成了策略的设定 3、配置验证服务和外部用户组 以根管理员登录防火墙管理界面。首先在Ns上面定义一个RADIUS服务器，从Web管理界面菜单“Configuration”---“Auth”---“Auth Servers”，单击右上角的“New”，在打开的界面中的“Name”输入“Micorosoft IAS”，“IP/Domain Name”输入之前定义的RADIUS服务器的IP，本例是“00”，在“Account Type”中勾选“Auth”，在下面的定义RADIUS服务器属性中的“Shared Secret”输入之前定义密码。单击“OK”保存设定。 接着我们来定义外部用户组IT，菜单“Objects”---“Users”---“External Groups”,单击“New”,在“Group Name”中输入“IT”,在下面的“Group Type”中勾选“Auth”，单击“OK”保存设定。 ? 4、设定策略使用外部用户进行验证。 因之前我已经定义了一条策略允许IT对外部随意访问，先只需编辑此策略即可。 选择要编辑的策略，单击策略右边的“Edit”，点击打开界面的“Adanced”,进入策略高级编辑界面，勾选“Authentication”，点选“Auth Server”，并在其下面的列表中选择“Microsoft IAS”,点选“User