Как ограничить доступ к домену для компьютеров, которые не являются его частью?

Добрый день, <br/> <br/> Я хотел бы ограничить доступ к домену для недоменных устройств, чтобы они не могли подключаться к общим ресурсам и авторизовываться в VPN. <br/> <br/> Я уже пытался ограничить доступ на сервере NPS, установив политику только для Domain Computers, но при подключении через доменный компьютер возникает ошибка авторизации. Включаю L2TP с общим ключом и SSTP VPN. <br/> <br/> Кроме того, мне нужно реализовать подобные ограничения с помощью групповых политик, но я не могу найти соответствующие настройки.
  • 18 ноября 2024 г. 10:23
Ответы на вопрос 2
Для ограничения доступа к ресурсам домена для недоменных устройств можно использовать несколько подходов. Рассмотрим их по порядку:

### 1. Настройка Network Policy Server (NPS)

Убедитесь, что вы корректно настраиваете политики на сервере NPS. Чтобы ограничить доступ по типу устройства, вы можете воспользоваться атрибутами, такими как `Client-IPv4-Address` или идентифицировать устройства по серийному номеру сетевого адаптера.

1. **Создание политики доступа**:
   - Откройте NPS и перейдите к "Policies" > "Network Policies".
   - Создайте новую политику или отредактируйте существующую.
   - В разделе "Conditions" добавьте условия, которые определяют, что доступ разрешается только для устройств, находящихся в домене. Например, вы можете использовать атрибут `Windows-Group`, чтобы проверить членство в группе домена.
   - В "Constraints" убедитесь, что выбран правильный тип аутентификации (например, EAP).

2. **Настройка правил**:
   - Убедитесь, что правила применяются последовательно, и в порядке приоритета правила, разрешающие доступ, идут перед правилами, отказывающими в доступе.

### 2. Групповые политики

Для ограничения доступа к VPN и другим ресурсам домена для недоменных устройств через групповые политики, вы можете использовать следующие настройки:

1. **Настройка VPN-клиентов**:
   - Используйте GPO для ограничения настроек VPN. Задайте параметры так, чтобы они применялись только к доменным компьютерам. 
   - В разделе "Computer Configuration" > "Policies" > "Administrative Templates" > "Network" задайте нужные параметры, чтобы ограничить использование VPN для недоменных устройств.

2. **Использование фильтров безопасности**:
   - На GPO, которая управляет доступом к VPN, отредактируйте "Security Filtering", чтобы применить политику только к нужным группам, например, "Domain Computers". Это ограничит возможность применения политик к недоменным ПК.

### 3. Настройка сети

Если VPN не должен предоставлять доступ недоменным устройствам:

1. **Настройка Firewall**:
   - Настройте правила на вашем фаерволле, чтобы разрешать соединения только с адресов, относящихся к доменным компьютерам.

2. **Сегментация сети**:
   - Разделите вашу сеть на разные сегменты (VLAN). Например, могут быть отдельные VLAN для доменных и недоменных устройств, и настройте правила маршрутизации между ними.

### 4. Аудит и тестирование

После настройки не забудьте протестировать доступ:

1. Попробуйте подключиться к VPN с доменного компьютера — он должен успешно пройти аутентификацию.
2. Попробуйте подключиться с недоменного устройства — соединение должно быть отклонено.

Также важно проводить регулярный аудит для проверки настроек, чтобы убедиться, что недоменные устройства не получают возможность доступа.

### Заключение

Ограничение доступа к ресурсам домена для недоменных устройств требует комплексного подхода, включая настройки NPS, групповых политик и сетевой инфраструктуры. Используйте предложенные методы для достижения необходимого уровня безопасности.
Развернуть свой CA, выдавать всем доменным компьютерам сертификаты, которые по правам смогут получать только Domain Computers. 
Настроить в NPS проверку по сертификату.
Похожие вопросы