DHCP Üzerinde NAP Network Access Protection - Bölüm3 | Serhat AKINCI - IT Blog
Server Manager konsolunu açıyoruz ve Features içinde Add Features diyoruz.
Gelen pencerede Group Policy Management özelliğini tıklayıp Next diyoruz.
Gelen pencerede; Install diyerek kurulumu bitiriyoruz.
NAP Client Policy Ayarları
Yeni bir GPO oluşturmak için GPO Management Editör ‘ü açıyoruz (Bu az önce yüklediğimiz gpmc.msc konsolu değil.)
Start> Run> gpme.msc yazıyoruz.
Açılan pencerede test.local domain’i seçiliyken, NAP Client Ayarları isimli yeni bir GPO yaratıyoruz ve Ok diyoruz.
Karşımıza, oluşturduğumuz GPO’yu düzenlemek için bir editör geliyor.
Öncelikle NAP kontrolü için client’lar üzerinde çalışması zorunlu olan Network Access Protection Agent servisini, otomatik başlayacak şekilde yapılandırıyoruz. (Bu NAP için ilk gereklilik (NAP Agent Service)) Eğer client üzerinde bu servis çalışmaz ise, NAP kontrolü gerçekleşmez.
Computer Configuration/ Policies/ Windows Settings/ Security Settings/ System Services altında Network Access Protection Agent çift tıklıyoruz
Bu servisi aşağıdaki şekilde otomatik başlaması için yapılandırıyoruz.
Daha sonra, Client’ları DHCP üzerinden NAP kontrolüne zorlamak için yine aynı editör içinde,
Network Access Protection\ NAP Client Configuration\ Enforcement Clients altında DHCP Quarantine Enforcement Client ‘a sağ tıklayıp enable yapıyoruz. (Bu NAP için ikinci gereklilik (NAP Enforcement Clients))
Ve ayarın Enable olmasını sağlıyoruz.
Bu noktadan sonra group policy editör içinde NAP Client Configuration ‘a sağ tıklayıp Apply dememiz gerekiyor.
Yine aynı editör içinde;
Computer Configuration\ Policies\ Administrative Templates\ Windows Components\ Security Center altında Turn on Security Center (Domain PCs only) ayarını Enable yapıyoruz.
Böylece domain’deki client’lar üzerinde güvenlik merkezinin açık olmasını sağlıyoruz. Güvenlik merkezi sayesinde NAP ile ilgili uyarıları alıyor olacağız.
GP Management Editor penceresini kapatabiliriz.
Oluşturduğumuz bu GPO ayarlarının serverlar gibi NAP kontrolü ile alakası olmayacak bilgisayarları etkilemesini istemeyiz sanırım. Bu nedenle NAP Client ayarlarını alacak bilgisayarlar için, active directory altında bir gurup oluşturmamız uygun olur. Bunun için DC olan makine üzerinde (main-dc), NAP Computers adında, kapsamı Global olan ve türü Security olan bir grup oluşturuyorum. Henüz kimseyi bu guruba üye yapmıyoruz.
Normal bir grup oluştururmuş gibi oluşturabilirsiniz. Ancak Global grup oluşturabilmek için Etki Alanı İşlev Düzeyi Windows server 2003 veya üzeri olmak zorunda olduğunu unutmayın.
NAP Computers gurubunu oluşturduktan sonra, tekrar NPS01 makinemize geliyoruz.
Policy ayarı üzerinde bir filtreleme işlemi ile, yalnızca belirli bir guruba etki etmesini sağlayacağız. Bu belirli gurup ise az önce oluşturduğumuz NAP Computers gurubu olacak.
Start> Run> gpmc.msc konsolunu açıyoruz (Hatırlarsanız bu konsolu sonradan yüklemiştik)
Forest: test.local\ Domains\ test.local\ Group Policy Objects altında yer alan
NAP Client Ayarları isimli GPO’yu tıklıyoruz.
Bu pencerede Security Filtering kısmında Authenticated Users gurubunu kaldırıyoruz.
Daha sonra yine Security Filtering kısmında Add diyerek NAP Computers gurubunu ekliyoruz.
Böylece, oluşturmuş olduğumuz NAP Client Ayarlari isimli GPO’nun sadece NAP Computers gurubuna üye olan bilgisayarlara etki edeceğini garanti etmiş olduk. NAP kontrolünden geçecek bilgisayarları domaine join ettikten sonra bu guruba üye yapacağız.
Bu Serinin Diğer Bölümleri
Yazı Etiketleri: Ağ Erişim Koruması , DHCP ile NAP , NAP Ayarları , NAP Nasıl Yapılandırılır , NAP Nedir , Network Access Protection , Windows Server 2008
07.04.2011 - 15:23
merhaba gpo mmc konsolunu ana makinede(server 2003)’de kurup ayarları (clientlere etki eden)oluşturdugumuz ou daki bilgisaylara link ederek baglasak olurmu iilla bu gpo ayarlarını nap kurulu bilgisayarda mı yapmalıyız
09.04.2011 - 23:30
@Şenol, yapabilirsin. GPO domain’de tektir yani herhangi bir noktadan gpo yaratabilirsin.