如何用WIN2000帐号来验证防火墙用户.docVIP

如何用Windows2000帐号 来认证netScreen防火墙用户 （v 1.0） 作者 审核 分类 非SUN技术文档 子类 网络安全 更新时间 2007年7月05日 关键字 Radius 帐号安全 摘要 通过通过集成IAS来认证防火墙用户 主要适用环境 Windows 2000 server windows 2003 server juniper-netscreen防火墙 版本说明 版本 日期 内容 编写人 V1.0 2007-7-2 文档初稿 实验目标： 用WINDOWS2000上的帐号对内部用户访问INTERNET做用户认证。 实验环境： 一个局域网环境，内部有一台WINDOWS2000 SERVER和多台客户端，出口为NETSCREEN防火墙设备，可以通过防火墙访问到INTERNET。 实验设备： NetScreen设备一台，Windows2000 Server一台。 一、安装RADIUS认证服务器 为了让WINDOWS 2000能支持Radius认证，需要添加Windows系统中的Internet authentication service 组件，该组件支持标准的Radius协议。 在”networking services”中，选择”internet authentication service” 二、配置RADIUS认证服务器 进入“INTERNET验证服务”——右键单击“客户端”——“新建客户端”——自定义一个客户端名如“NS—5GT”——“下一步”——输入NS5GT管理IP“”——“验证”——“解析”——有哪些信誉好的足球投注网站结果中出现则说明网络连接正常，否则请用PING检查服务器与防火墙的网络连接是否正常——“使用此IP”——“确定”——输入“共享机密”和“确认共享机密”如12345——“完成 ” 单击“远程访问策略”——右键单击“如果启用拨入许可，就允许访问”——“属性”——选择“授予远和访问权限”——“编辑配置文件”——“身份验证”——在MS-CHAP V2、MS-CHAP、CHAP、PAP,SPAP选项上打勾——“确定”——“确定” 如果不希望对用户组进行限制，可以只用时间作为一个限制条件，对用户的访问权限做限制。如下图所示： 如果希望对拨入用户的组做限制，则按以下步骤来做： 1．在“policy setting”中，点击ADD，选择“windows-group”。 在出现的用户组中，选择择期望使用的用户组。 选定，点击OK。 默认情况下，用户帐号并不能直接通过RADIUS的验证，需要针对每个帐号打开允许拨入的权限： 找到“dial-in”属性页，选择“allow access”,点击OK完成。 三、配置防火墙 找开Netscreen防火墙，定位至：configurations(auth(auth servers，secret。 在防火墙的策略的高级选项中，选择“authentication”,并选择相应的认证服务器。 四、功能测试 这时候可以让匹配这条策略的用户访问某个HTTP/TELNET/FTP站点。因为这三种协议是可交互的，这时候防火墙会把需要认证的界面弹出来。用户只有输入IAS所允许的正确的用户名和口令以后，才可以访问到管理员所设定的相应资源。