使用RADIUS 實現統一身份認證

■河北 蓋俊飛 王春海

某連鎖企業在多個地方有分公司和辦事處。每個分公司配置了VPN 服務器為遠程用戶提供接入。為了對這些分散在不同位置的VPN 服務器提供統一身份驗證，使用總公司的Active Directory服務器作為RADIUS，為不同公司的VPN 服務器提供身份驗證服務，網絡拓撲如圖1所示。

在圖1中，Active Directory 服務器配置為RADIUS 服務器（這是一臺Windows Server 2008 R2的服務器，升級到Active Directory 服務器），防火墻（圖中IP 地址為101.n1.n2.82的服務器）將RADIUS 服務器的端口發布到Internet。其他分公司或辦事處的VPN 服務器（圖中的VPN 服務器2 至VPN 服務器5）配置使用IP 地址為101.n1.n2.82的RADIUS 服務器進行身份驗證。圖中的VPN 服務器是總部的VPN 服務器，直接使用192.168.1.15 的RADIUS 服務器進行身份驗證。

Active Directory 服務器端配置

在總公司Active Directory 的服務器上創建組織單位、添加用戶、添加網絡策略服務器并進行配置，主要內容如下：

1.在總公司Active Directory 服務器上根據分公司、辦事處創建組織單位，再在組織單位中創建用戶。然后修改用戶屬性，在“撥入”選項卡中選擇“允許訪問”。

2.打開“服務器管理器”添加角色，添加“網絡策略和訪問服務→網絡策略服務器”。

3.安裝完成后，打開“網絡策略服務器”，在“RADIUS客戶端和服務器→RADIUS客戶端”中添加RADIUS 客戶端。

4.如果要添加新的RADIUS 客戶端，用鼠標右鍵單擊RADIUS 客戶端，選擇“新建”，彈出“新建RADIUS客戶端”的對話框，在“友好名稱”文本框中輸入新建的RADIUS 客戶端的顯示名稱，在“地址”欄中輸入要添加的RADIUS 客戶端的IP 地址，本示例中這些IP 地址是圖1 中各VPN 服務器外網的IP地址，然后在“共享機密”處輸入機密文字用以在RADIUS客戶端連接RADIUS 服務器端時確認。每一臺遠程的VPN 服務器都需要添加一個RADIUS 客戶端。

5.在“策略→連接請求策略”中，修改Use Windows authentication for all users 策略，在“條件”選項卡設置此策略的條件，在此選擇任意的日期和時間。在“設置”選項卡，設置身份驗證方法和連接請求，根據用戶的實際情況選擇，一般選擇“受保護的EAP”、安全密碼（EAP-MSCHAP V2）等EAP類型與身份驗證方法。

圖1 VPN、RADIUS 拓撲圖

6.在“策略→網絡策略”新建策略，在“約束”選項卡中設置身份驗證方法，在此根據實際情況進行設置。

至此RADIUS 服務器配置完成，接下來是在防火墻中將RADIUS 服務器的端口發布到Internet。

防火墻發布RADIUS 服務器

RADIUS 服務器使用UDP的1812、1813 端口對外提供服務。如果要發布RADIUS服務器，可以將防火墻外網的UDP 的1812、1813 端口映射給RADIUS 服務器上。任何一臺硬件、軟件防火墻可以實現這個功能。我們當時這個項目是使用的Forefront TMG 2010 的 軟件防火墻，VPN 也是使用TMG 2010 配置實現的。所以本文以TMG 2010 為例進行介紹，如果你是其他的防火墻或VPN 服務器，進行類似的配置就行，主要原理都是一樣的。

在圖1 中的防火墻服務器中，在TMG 管理控制臺的防火墻策略中，創建名為RADIUS-Server 的協議，協議類型為UDP、端口范圍為1812-1813，方向為接收發送。然后創建非Web 服務器發布規則，通訊協議選擇RADIUS-Server，發布的目標為192.168.1.15（圖1 中RADIUS Server 的內網IP 地址）。

VPN 服務器配置RADIUS 服務器

在配置好了RADIUS 服務器，并把RADIUS 服務器發布到Internet 之后，可以配置各VPN 服務器。對于圖1 中的VPN 服務器1 來說，因為RADIUS 服務器與VPN 服務器1 都在同一個網絡中，所以指定RADIUS 服務器的時候，直接使用RADIUS 服務器的內網地址即可；而對于服務器1 以外的其他VPN 服務器，在指定RADIUS 服務器的IP地址時，需要指定RADIUS 服務器防火墻的外網地址。下面一一介紹（本文的VPN 服務器仍然以Forefront TMG 2010 為例）。

1.在VPN 服務器1 的TMG 控制臺中，在“遠程訪問策略（VPN）→VPN 客戶端”中單擊“指定RADIUS 配置”鏈接，在“遠程訪問策略（VPN）屬性”對話框中，在RADIUS 選項卡中單擊“使用RADIUS 進行身份驗證”，然后單擊“RADIUS 服務器”按鈕。

2.在RADIUS 服務器對話框中單擊“添加”按鈕，在彈出的“編輯RADIUS 服務器”對話框中，在服務器名中輸入要使用的RADIUS 服務器的IP 地址，本示例中RADIUS 服務器與VPN 服務器處在同一個局域網中，所以使用RADIUS 服務器本身的IP 地 址192.168.1.15，服務器描述寫上標識名稱，在“共享的機密”中單擊“更改”按鈕，輸入新建VPN 客戶端時，為RADIUS 客戶端指定的共享密碼（一般情況下在新建RADIUS 客戶端時，不同的RADIUS 客戶端的共享密鑰都不同），身份驗證端口選擇1812。設置完成后單擊“確定”按鈕完成設置。

配置完成后返回TMG 2010，單擊“應用”按鈕讓設置生效。

對于VPN 服務器2～VPN服務器5，在指定RADIUS 服務器時，使用圖1 中防火墻服務器的外網地址101.n1.n2.82，這些不一一介紹。

VPN 客戶端使用

在配置好VPN 服務器之后，外網用戶可以創建VPN客戶端連接到各VPN 服務器。在此大家應該注意，本示例中有5 臺VPN 服務器，每臺VPN 服務器的外網地址都不同，那是不是對于客戶來說需要創建5 個VPN 連接，在需要訪問不同的分公司（或辦事處）時撥叫不同的VPN服務器呢？實際上，我使用Windows 連接管理器定制的VPN 客戶端連接程序，將這5臺VPN 服務器都集成到了一個客戶端，在需要訪問不同的服務器時，只需要在列表中選擇不同的VPN 服務器地址即可配置好的VPN 客戶端使用步驟簡單介紹如下。

1.運行VPN 客戶端連接程序，在連接之前單擊“屬性”按鈕。

2.在“VPN 選項卡”中的VPN 目的地下拉列表中選擇目標VPN 服務器，單擊“確定”按鈕返回。然后在VPN 客戶端連接程序里單擊“連接”按鈕即可連接到指定的VPN服務器。