Администраторы безопасности Microsoft всегда были немного осторожны с публикацией серверов терминала в Интернете. И на то была веская причина – не было возможности для предварительной аутентификации соединения или использования политики для определения того, какие пользователи могли получить доступ к тому или иному серверу терминала (Terminal Servers). Отсутствие предварительной аутентификации было особенно сложной проблемой. Без предварительной аутентификации анонимные пользователи могли использовать свое анонимное подключение для компрометации опубликованных серверов терминала. Скомпрометированный сервер терминала, возможно, представлял собой самое опасное средство атаки вашей сети, так как атакующий пользователь имеет доступ ко всей ОС, чтобы запустить свою атаку.
Windows Server 2008 предоставляет решение для этой проблемы безопасности: шлюз служб терминала (Terminal Services Gateway). Используя шлюз служб терминала, вы можете предварительно аутентифицировать пользователей и контролировать, к каким серверам терминала пользователи могут получить доступ на основе мандатов и политики. Этот дает вам гибкий контроль, необходимый для RDP решения по безопасному удаленному доступу.
В этой серии статей, состоящей из двух частей, о том как заставить это решение работать, мы будем использовать лабораторную сеть, показанную на рисунке ниже. Стрелки показывают поток соединений внешнего RDP клиента с сервером терминала.
На каждом сервере в этом примере стоит Windows Server 2008 Enterprise Edition.
В этой сети я использую Windows Server 2008 NAT сервер в качестве Интернет-шлюза. Вы можете использовать любое другое простое устройство NAT или маршрутизатор с фильтрацией пакетов, например PIX, или даже расширенный брандмауэр типа Microsoft ISA Firewall. Ключевая опция конфигурации здесь заключается в том, что вы будете направлять соединения TCP порта 443 на компьютер шлюза служб терминала.
На контроллере домена установлены DNS, DHCP, служба сертификации в режиме Enterprise CA, а также WINS.
На сервере терминала установлена только базовая операционная система. Мы установим другие службы в ходе статьи.
На шлюзе TS установлена только базовая ОС. Мы будем устанавливать другие сервисы по ходу этой серии статей.
В этой серии статей я опишу следующие процессы и процедуры, которые вы должны будите выполнить, чтобы ваше решение работало:
- Установка служб терминала (Terminal Services) и лицензий этих служб на сервере терминала
- Настройка лицензирования служб терминала (Terminal Services Licensing)
- Установка Desktop Experience на сервер терминала (не обязательно)
- Настройка режима лицензирования служб терминала (Terminal Services Licensing Mode)
- Установка сервиса шлюза служб терминала (Terminal Services Gateway Service) на шлюзе TS
- Запрос сертификата для шлюза TS
- Настройка шлюза TS на использование сертификата
- Создание RAP шлюза TS
- Создание САР шлюза TS
- Настройка клиента RDP на использование шлюза TS
Установка служб терминала и лицензирования служб терминала на сервере терминала
Первым шагом будет установка служб терминала на компьютере служб терминала.
Для этого нужно выполнить следующие шаги:
- На компьютере служб терминала отрываем менеджера Server Manager. В Server Manager жмем по вкладке Роли в левой панели консоли.
- Переходим по ссылке Добавить роли в правой панели консоли.
Рисунок 2
- Жмем Далее на странице Прежде чем вы начнете.
- На странице Выберите роли сервера ставим галочку напротив строки Службы терминала. Жмем Далее.
Рисунок 3
- Жмем Далее на странице Службы терминала.
- На странице Выберите роль служб ставим галочку напротив стоки Сервер терминала и TS лицензирование. Жмем Далее.
Рисунок 4
- Жмем Далее на странице Удалить и переустановить приложение для совместимости.
- На странице Укажите способ аутентификации для сервера терминала выбираем опцию Требовать сетевой уровень аутентификации. В данном случае мы можем выбрать эту опцию, поскольку мы используем только Vista SP1 клиентов для подключения к серверу терминала через TS шлюз. Мы бы не смогли использовать эту опцию, если бы нам пришлось поддерживать Windows XP SP2 клиентов. Однако вы сможете поддерживать аутентификацию на сетевом уровне (Network Level Authentication) для клиентов Windows XP SP3. Но эта информация еще не подтверждена, поэтому прочтите инструкцию к Windows XP SP3, когда она будет выпущена. Жмем Далее.
Рисунок 5
- На странице Укажите способ лицензирования выбираем опцию Настроить позже. Мы могли бы выбрать опцию и сейчас, но я решил, что мы выберем опцию Настроить позже, чтобы я смог показать вам, где в консоли служб терминала вы можете настроить режим лицензирования. Жмем Далее.
Рисунок 6
- На странице Выберите использование групп, которым разрешен доступ к этому серверу терминала выбираем опцию по умолчанию. Вы можете добавлять или удалять группы, если хотите более точный контроль доступа к серверу терминала. Однако если все пользователи будут проходить через шлюз TS, вы сможете контролировать, кто из них сможет подключаться к серверу терминала, используя параметры политики шлюза TS. Оставляем стандартные настройки, как они есть, и жмем Далее.
Рисунок 7
- На странице Настроить границы обнаружения (Discovery Scope) для TS лицензирования выбираем опцию Этот домен. Мы выбираем эту опцию в данном случае, потому что у нас есть только один домен. Если бы у нас был мультидоменная среда, мы могли бы выбрать опцию Среда. Жмем Далее.
Рисунок 8
- На странице Подтвердите выбранные компоненты установки проверяем окно предупреждения, указывающее на то, что нам, возможно, придется переустановить приложения, которые уже были установлены на эту машину, если мы хотим, чтобы они корректно работали в окружении сеанса служб терминала. Также следует обратить внимание на то, что расширенные настройки безопасности IE будут выключены. Жмем Установить.
Рисунок 9
- На странице Результаты установки вы увидите предупреждение о том, что нужно перезагрузить сервер, чтобы завершить процесс установки. Жмем Далее.
Рисунок 10
- Жмем Да в диалоговом окне Мастер добавления ролей, которое спрашивает, хотим ли мы перезагрузить сервер.
- Входим от имени администратора. Процесс установки продолжится в течение пары минут после того, как появится страница Прогресс установки после открытия менеджера Server Manager.
- Жмем Закрыть на странице Результаты установки после того, как появилось сообщение Установка успешно завершена.
Рисунок 11
- Может появиться подсказка, говорящая, что Режим лицензирования служб терминала не настроен. Вы можете пропустить это предупреждение, поскольку мы настроим лицензирование служб терминала и режим лицензирования на сервер терминала позже.
Рисунок 12
Настройка лицензирования служб терминала
На данный момент мы готовы настроить лицензирование служб терминала. В этом примере я буду использовать некоторые подложные данные, которые не отвечают действительным требованиям лицензирования служб терминала клиентских подключений, но послужат примером того, как работает этот процесс. Пожалуйста, НЕ используйте ту же процедуру, которую я буду показывать здесь, для лицензирования ваших клиентов служб терминала, поскольку в этом случае вы не будете соответствовать действительным требованиям лицензирования.
Для активации вашего сервера лицензирования служб терминала выполните следующие шаги:
- В меню инструменты администрирования выберите меню Службы терминала, а затем нажмите Менеджер лицензирования TS.
- В левой панели консоли TS Licensing Manager правой клавишей кликните на имени сервера. Нажмите Активировать сервер.
Рисунок 13
- Нажмите Далее на приветственной странице Welcome to the Activate Server Wizard.
- На странице Способ соединения выберите опцию Автоматическое подключение (рекомендуется). Нажмите Далее.
Рисунок 14
- На странице Информация о компании введите информацию о своей компании и нажмите Далее.
Рисунок 15
- Если нужно введите информацию в необязательные поля на странице Информация о компании. Нажмите Далее.
Рисунок 16
- На странице завершения работы мастера Completing the Activate Server Wizard проверьте, что опция Запустить мастера установки лицензий (Start Install Licenses Wizard) теперь выбрана. Нажмите Далее.
Рисунок 17
- Нажмите Далее на приветственной странице Welcome to the Install Licenses Wizard.
- На странице Программа лицензированиянажмите стрелку вниз в списке Программа лицензирования и выберите программу лицензирования, в которой вы хотите участвовать. В этом примере я выбрал опцию Другое соглашение поскольку данное лабораторное окружение не участвует ни в одной лицензионной программе. Нажмите Далее.
Рисунок 18
- На странице Программа лицензирования введите свой Номер соглашения. В этом примере я просто ввел 1234567. Нажмите Далее.
Рисунок 19
- На странице Версия продукта и тип лицензии выберите Версию продукта, Тип лицензии и Количество, которые соответствуют нуждам вашего окружения. В этом примере мы используем Windows Server 2008 Terminal Servers, поэтому мы выбрали Windows Server 2008. Мы будем использовать CAL для каждого пользователя в примерной сети, поэтому выбрали Windows Server 2008 TS Per User (для каждого пользователя) CAL. Мы также введем 50 в текстовом окне Количество. Нажмите Далее.
Рисунок 20
- Нажмите Закончить на странице завершения работы мастера Completing the Install Licenses Wizard.
Установка Desktop Experience на сервере терминала (необязательно)
Когда клиенты Windows Vista подключаются к серверу терминала Windows Server 2008 Terminal Server, они смогут использовать функцию Vista-like desktop experience во время сеанса с сервером терминала, если установить опцию Desktop Experience на сервере терминала.
Для установки функции Desktop Experience на сервере терминала выполните следующие шаги:
- На странице Выберите параметры поставьте галочку напротив строки Desktop Experience. Нажмите Далее.
Рисунок 21
- Нажмите Установить на странице Подтвердите выбранные компоненты установки.
- На странице Результаты установки прочтите предупреждение, говорящее о том, что необходимо перезагрузить компьютер для завершения процесса установки. Нажмите Закрыть.
- Нажмите Да в диалоговом окне, запрашивающем ваше согласие на перезагрузку компьютера.
- Войдите от имени администратора. Процесс установки возобновится и займет пару минут, так что наберитесь терпения.
- Нажмите Закрыть на странице Результаты установки, которая показывает, что процесс установки успешно завершен.
Настройка режима лицензирования служб терминала
Сейчас мы завершим настройку севера терминала путем установки режима лицензирования служб терминала. Для этого нужно выполнить следующие шаги:
- В меню Инструменты администрирования выбираем элемент Службы терминала и жмем Конфигурация служб терминала.
- В средней панели консоли Конфигурация служб терминала дважды жмем на строку Режим лицензирования служб терминала.
Рисунок 22
- В диалоговом окне Свойства выбираем опцию Для каждого пользователя (Per User) для строки Укажите режим лицензирования служб терминала. Выбираем Автоматически определять сервер лицензирования для опции Укажите режим определения сервера лицензирования. Нажимаем OK.
Рисунок 23
- Переходим по вкладке Диагностика лицензирования в левой панели консоли. В средней панели вы увидите подробности конфигурации лицензирования для этого сервера терминала.
Рисунок 24
- Закрываем консоль Конфигурация служб терминала.
Заключение
В этой части серии статей по созданию решения шлюза TS, используя Windows Server 2008, мы рассмотрели процесс установки служб сервера терминала и лицензирования служб терминала, затем мы настроили лицензирование служб терминала, установили Desktop Experience на сервер терминала и, наконец, настроили режим лицензирования для сервера терминала. В следующей части мы установим и настроим шлюз TS и RDP клиента. Затем мы завершим статью установкой соединения с внешнего расположения. Увидимся! ‘Том.
Автор: Томас Шиндер (Thomas Shinder)
Источник: winsecurity.ru