DHCP enforcement is de meest eenvoudigste, maar ook de minst veilige NAP optie. DHCP enforcement werkt heel eenvoudig. Op het moment dat de client boot zal de DHCP vragen om zijn health status. Op basis van de health status besluit de DHCP of hij het netwerk op mag of niet. Nu is de DHCP heel makkelijk voor de gek te houden. Alles wat je hoeft te doen is een vast nummer aan een werkstation te geven en je bent op het netwerk en wordt je health status niet door de DHCP gecontroleerd.
In deze blog wil ik een step by step geven voor DHCP enforcement. Hierbij ga ik uit van de volgende setup:
- 1x een DC met DHCP, DC01
- 1x een NPS server, RRAS01
- 1x een Windows 7 werkplek met antivirus
Stap 1) Voeg de NPS rol toe, dit doen we op de NPS server RRAS01
- Start Server Manager
- Selecteer Roles
- Action/Add Roles
- Next
- Selecteer Network Policy and Access Services, Next
- Selecteer Network Policy Server, next, install
De NPS rol wordt nu geïnstalleerd.
Stap 2) Configureerd NPS
- Start Server Manager (als deze gesloten heb)
- Ga naar Roles\Network Policy and Access Services\NPS (Local)
- In het midden console, Configure NAP
- Kies als Network Connection method voor DHCP, next
In deze lab maken we gebruik van een DHCP server die aanwezig is op een andere server. Die server gaan we nu opgeven.
Je krijgt nu het scherm “New RADIUS client” voor je. Vul deze in
- Friendly name: Vul hier een waarde in waarmee je de radius client identificeert binnen NPS. Dit mag van alles zijn
- Address (IP or DNS): Vul hier de naam of IP van de RADIUS client in. In onze lab is dat de DHCP server DC01
- Als laatste kies je een Shared Secret. Deze wordt gebruikt door de RADIUS client (DC01) om te kunnen authentiseren tegen de RADIUS server (RRAS01)
Je kunt nu aangeven voor welke scope deze settings gelden. Doe je niks dan geldt het voor alle scopes. In deze lab doen we niks en gaan we verder
Je kunt nu aangegeven of het voor een speciale groep computers geldt of dat het voor alle (standaard) computers geldt. Ook hier gaan we voor alles.
Nu gaan we de server opgeven waar de client naar toe mag. Dit kan bijvoorbeeld de servers zijn waar een client updates kan ophalen voor Windows of zijn antivirus oplossing. Deze servers zijn dan dus bereikbaar als de werkplek in quarantaine is geplaatst. Deze servers heten dan de Remediation (herstel) server group. In de lab staat op DC01 ook WSUS. Uit security overweging kun je je natuurlijk afvragen of je wilt dat een werkplek die niet “healthy” is naar een DC gaat. Mijn voorkeur gaat dan uit naar een speciale server hiervoor.
- OK, Next
- Kies hiervoor de standaard settings.
- Next Finish
Stap 3) Instellen DHCP voor NAP, dit doen we op de DC01
Voordat we beginnen zullen we eerst hier de NPS role moeten toevoegen.
- Start Server Manager
- Selecteer Roles
- Action/Add Roles
- Next
- Selecteer Network Policy and Access Services, Next
- Selecteer Network Policy Server, next, install
Nu de NPS role aanwezig is, kunnen we invoeren welke server de NPS server is. De DHCP stuurt de SHV antwoorden dan door naar de NSP server. Deze geeft dan als antwoord wat de status van de client is en welke settings er doorgevoerd kunnen worden.
- Start Server Manager
- Network Policy and Access Services\NPS (local)\RADIUS Client and Servers\Remote Radius Server Group
- Action, new
Je hebt nu de Add Radius Server scherm voor je.
- Op de eerste tabblad vul je de naam in van de server
- Op de tweede tabblad de share secret
- Druk 2x op next
- Ga naar Policies\Connection Request Policies en select de default policy
- Rechtermuis knop, properties
- Ga naar settings
- Authentication
De DHCP server weet nu de NPS server te vinden en kan zich authentiseren tegen de NPS server aan. Nu moeten we DHCP server nog vertellen welke info hij moet doorgeven aan de client als deze niet “healthy” is.
- Ga naar HDCP server\DC01\IPv4
- Rechtermuisknop, properties
- Enable on all scopes, Yes
- OK
- Scope [x.x.x.x] naam\Scope options
- Rechtermuisknop, options
- Ga naar de advanced tabblad
- User class: Default network Access Protection Class
Alle opties die je nu toevoegt worden alleen uitgedeeld als de client niet “healthy” is.
- Voeg de volgende opties minimaal toe:
- 006: IP adres van de DNS server
- 015: QNET.FQDN.LOCAL
- Apply
Als laatste moet je een policy definiëren voor de werkplekken.
Nadat deze policy actief is op de werkplek zal NAP correct werken.
Martijn Bellaard