Netscreen使用RADIUS进行用户验证.doc

Netscreen防火墙使用RADIUS进行用户验证 - /logs/32566737.html本文在windows 2003 ,netscreen ssg550 验证通过。RADIUS通过使用Windows 2003活动目录提供的服务来集中验证用户信息。将Netscreen设备与活动目录结合起来可以控制VPN、防火墙和用户管理。 1、安装微软的IAS服务点击“开始”-“设置”-“控制面板”，打开“添加删除程序”，双击“添加删除Windows组件”，系统打开“Windows组件”，找到“网络服务”，点击右下角的“详细信息”，打开“网络服务”，勾选“Internet验证服务”。确定。单击“下一步”，稍后片刻，点击“完成”，完成了微软的IAS服务的安装。2、配置微软的IAS服务 回到刚才的“控制面板”，点击“管理工具”，打开的“Internet验证服务” 将Netscreen设备添加为客户端。右键单击“RADIUS客户端”，选择“新建RADIUS客户端”，在好记的名称输入：NetScreen，客户端地址输入你的Netscren IP地址，我的输入“54”，单击“下一步”，在共享的机密和确认的共享机密输入一样的密码。单击“完成”完成第一步设定。 3、在IAS服务器上配置策略 “控制面板”，点击“管理工具”，打开的“Internet验证服务”,右键单击“远程访问策略”，选择“新建远程访问策略”，单击“下一步”，在新建远程访问策略向导中，选择“设置自定义策略”，在策略名输入“Permit assess IT group and Return IT group abbribute”，单击“下一步”，在策略状态，单击“添加”，在选择属性中选择“Windows Group”，单击“添加”，输入正确的组名。单击“确定”。 单击“下一步”，选择“授予远程访问权限”，单击“下一步”，选择编辑配置文件，访问“身份验证”选项卡，取消所有选择，勾选 “未加密的身份验证(PAP，SPAP)”，单击“应用”，访问“高级”选项卡，单击“添加”,选择“Vendor-Specific,单击“添加”，在 “输入供应商代码”中输入“3224”，并选择“符合”。单击“配置属性”，在“供应商指派的属性号”中输入“3”，属性格式选择“字符串”，属性值输入“IT”,连续单击“确定”回到“高级”选项卡，删除“高级”选项卡其余的栏目，保留“Vendor-Specific”。单击“应用”，“确定”。在收到系统提示的时候，选择“否”，单击“完成”完成了策略的设定 3、配置验证服务和外部用户组 以根管理员登录防火墙管理界面。首先在netscreen防火墙上面定义一个RADIUS服务器，从Web管理界面菜单“Configuration”-“Auth”-“Auth Servers”，单击右上角的“New”，在打开的界面中的“Name”输入“Micorosoft IAS”，“IP/Domain Name”输入之前定义的RADIUS服务器的IP，本例是“00”，在“Account Type”中勾选“Auth”，在下面的定义RADIUS服务器属性中的“Shared Secret”输入之前定义密码。单击“OK”保存设定。 接着我们来定义外部用户组IT，菜单“Objects”-“Users”-“External Groups”,单击“New”,在“Group Name”中输入“IT”,在下面的“Group Type”中勾选“Auth”，单击“OK”保存设定。 4、设定策略使用外部用户进行验证。 选择要编辑的策略，单击策略右边的“Edit”，点击打开界面的“Adanced”,进入策略高级编辑界面，勾选“Authentication”，点选“Auth Server”，并在其下面的列表中选择“Microsoft IAS”,点选“User Group”，在右边的选择“External-IT ”,单击“OK”保存策略。测试，打开IE,输入新浪的网址“”,系统弹出一个对话框，输入正确的用户和密码，即可访问新浪。 备注：若当前登录是域用户，它就自动验证。 注意:如果验证不能通过，检查域服务器上面的日志会发现“用户没有远程访问的权限”，需要打开Active Derectory用户和计算机,点击用户属性拨入远程访问权限,允许访问.确定.这个测试成功完成！ 再此有几点要说明： 1、原Juniper提供了一个PDF文档“configuring_screenOS_for_NT_Domain_v11.pdf”，提供配置方法，但此文档有几个错误的地方需要修正。 2、错误地方一：请看下图，原文章需要勾选“Encrypted Authentication(CHAP)”,请参考我的测试截图，无需勾选此处。 3、错误地方二：在NS上配置RADIUS服务器时，原文勾选的是“