Acesso condicional para conectividade VPN usando o Microsoft Entra ID

Neste guia de instruções, irá aprender como conceder aos utilizadores de VPN acesso aos seus recursos usando Microsoft Entra Conditional Access. Com o Acesso Condicional do Microsoft Entra para conectividade de rede virtual privada (VPN), você pode ajudar a proteger as conexões VPN. O Acesso Condicional é um mecanismo de avaliação baseado em políticas que permite criar regras de acesso para qualquer aplicativo conectado ao Microsoft Entra.

Prerequisites

Antes de começar a configurar o Acesso Condicional para sua VPN, você deve ter concluído os seguintes pré-requisitos:

• Acesso condicional no Microsoft Entra ID

  • Os administradores que interagem com o Acesso Condicional devem ter uma das seguintes atribuições de função, dependendo das tarefas que estão executando. Para seguir o princípio de menor privilégio do Zero Trust, considere o uso do PIM, Gerenciamento Privilegiado de Identidades para ativar atribuições de função privilegiadas just-in-time.
    • Ler políticas e configurações de Acesso Condicional
      • Leitor de Segurança
    • Criar ou modificar políticas de Acesso Condicional
      • Administrador de Acesso Condicional

• VPN e acesso condicional

• Você concluiu Tutorial: Implantar VPN Always On - Configurar infraestrutura para VPN Always On ou você já configurou a infraestrutura VPN Always On em seu ambiente.

• Seu computador cliente Windows já foi configurado com uma conexão VPN usando o Intune. Se você não souber como configurar e implantar um perfil VPN com o Intune, consulte Implantar perfil VPN Always On para clientes Windows 10 ou mais recentes com o Microsoft Intune.

Configurar EAP-TLS para ignorar a verificação da Lista de Certificados Revogados (CRL)

Um cliente EAP-TLS não pode se conectar a menos que o servidor NPS conclua uma verificação de revogação da cadeia de certificados (incluindo o certificado raiz). Os certificados de nuvem emitidos para o usuário pelo Microsoft Entra ID não têm uma CRL porque são certificados de curta duração com uma vida útil de uma hora. O EAP no NPS precisa ser configurado para ignorar a ausência de uma CRL. Como o método de autenticação é EAP-TLS, esse valor do Registro só é necessário em EAP\13. Se outros métodos de autenticação EAP forem usados, o valor do Registro também deverá ser adicionado a eles.

Nesta seção, você adicionará IgnoreNoRevocationCheck e NoRevocationCheck. Por padrão, IgnoreNoRevocationCheck e NoRevocationCheck são definidos como 0 (desativado).

Para saber mais sobre as configurações do Registo CRL do NPS, consulte Configurar as definições de verificação da Lista de Revogação de Certificados do Servidor de Políticas de Rede.

1. Abra regedit.exe no servidor NPS.

2. Navegue até HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\PPP\EAP\13.

3. Selecione Editar > Novo e selecione Valor DWORD (32 bits) e digite IgnoreNoRevocationCheck.

4. Clique duas vezes em IgnoreNoRevocationCheck e defina os dados do valor como 1.

5. Selecione Editar > Novo e selecione Valor DWORD (32 bits) e digite NoRevocationCheck.

6. Clique duas vezes em NoRevocationCheck e defina os dados do valor como 1.

7. Selecione OK e reinicie o servidor. Reiniciar os serviços RRAS e NPS não é suficiente.

Criar certificados raiz para autenticação VPN com o Microsoft Entra ID

Nesta seção, configura-se certificados raiz de acesso condicional para autenticação VPN com o Microsoft Entra ID, o que cria automaticamente uma aplicação na nuvem chamada Servidor VPN para o inquilino. Para configurar o acesso condicional para conectividade VPN, você precisa:

1. Crie um certificado VPN no portal do Azure.
2. Faça o download do certificado VPN.
3. Implante o certificado em seus servidores VPN e NPS.

Quando um usuário tenta uma conexão VPN, o cliente VPN faz uma chamada para o Web Account Manager (WAM) no cliente Windows 10. O WAM faz uma chamada para a aplicação em nuvem do Servidor VPN. Quando as condições e controlos na política de acesso condicional são satisfeitas, o Microsoft Entra ID emite um token na forma de um certificado de autenticação de curta duração (1 hora) ao WAM. O WAM coloca o certificado no armazenamento de certificados do usuário e passa o controle para o cliente VPN. 

Em seguida, o cliente VPN envia o certificado emitido pelo ID do Microsoft Entra para a VPN para validação de credenciais. 

Para criar certificados raiz:

1. Entre no portal do Azure como administrador global.
2. No menu à esquerda, clique em Microsoft Entra ID.
3. Na página Microsoft Entra ID, na seção Gerir, clique em Segurança.
4. Na página Segurança , na seção Proteger , clique em Acesso Condicional.
5. Na página Acesso Condicional | Políticas, na secção Gerir, clique em Conectividade VPN .
6. Na página Conectividade VPN , clique em Novo certificado.
7. Na página Novo , execute as seguintes etapas: a. Em Selecionar duração, selecione 1, 2 ou 3 anos. b. Selecione Criar.

Configurar a política de acesso condicional

Nesta seção, você configura a política de acesso condicional para conectividade VPN. Quando o primeiro certificado raiz é criado no painel 'Conectividade VPN', ele cria automaticamente uma aplicação em nuvem 'Servidor VPN' no locatário.

Crie uma política de Acesso Condicional atribuída ao grupo de usuários VPN e defina o escopo do aplicativo Cloud para o Servidor VPN:

• Usuários: Usuários VPN
• Cloud App: Servidor VPN
• Grant (controlo de acesso): «Exigir autenticação multifator». Outros controles podem ser usados, se desejado.

Procedimento: Esta etapa abrange a criação da política de Acesso Condicional mais básica.  Se desejar, condições e controles adicionais podem ser usados.

1. Na página Acesso Condicional , na barra de ferramentas na parte superior, selecione Adicionar.

   

2. Na página Novo , na caixa Nome , insira um nome para sua política. Por exemplo, insira a política VPN.

   

3. Na seção Atribuição , selecione Usuários e grupos.

   

4. Na página Usuários e grupos, execute as seguintes etapas:

   

   a. Selecione Selecionar usuários e grupos.

   b. Selecione Selecionar.

   c. Na página Selecionar , selecione o grupo de usuários VPN e selecione Selecionar.

   d. Na página Utilizadores e grupos, selecione Concluído.

5. Na página Novo , execute as seguintes etapas:

   

   a. Na seção Atribuições , selecione Aplicativos na nuvem.

   b. Na página Aplicações na nuvem , selecione Selecionar aplicações.

   d. Selecione Servidor VPN.

6. Na página Novo , para abrir a página Subvenção , na seção Controles , selecione Conceder.

   

7. Na página Conceder , execute as seguintes etapas:

   

   a. Selecione Exigir autenticação multifator.

   b. Selecione Selecionar.

8. Na página Novo , em Ativar política, selecione Ativado.

   

9. Na página Novo , selecione Criar.

Implantar certificados de raiz de acesso condicional no Active Directory local

Nesta seção, você implanta um certificado raiz confiável para autenticação VPN em seu AD local.

1. Na página Conectividade VPN , selecione Baixar certificado.

   Note

   A opção de Download de certificado base64 está disponível para algumas configurações que exigem certificados base64 para implantação.

2. Faça logon em um computador associado a um domínio com direitos de administrador corporativo e execute estes comandos em um prompt de comando do administrador para adicionar o(s) certificado(s) raiz(es) na nuvem no repositório Enterprise NTauth :

   Note

   Para ambientes onde o servidor VPN não está associado ao domínio do Active Directory, os certificados raiz de nuvem devem ser adicionados ao armazenamento de Autoridades de Certificação de Raiz Confiáveis manualmente.

   Command	Description
   certutil -dspublish -f VpnCert.cer RootCA	Cria dois contêineres de CA raiz da Microsoft VPN gen 1 nos contêineres CN=AIA e CN=Certification Authorities, e publica cada certificado raiz como um valor no atributo cACertificate de ambos os contêineres de CA raiz da Microsoft VPN gen 1.
   certutil -dspublish -f VpnCert.cer NTAuthCA	Cria um contêiner CN=NTAuthCertificates nos contêineres CN=AIA e CN=Certification Authorities e publica cada certificado raiz como um valor no atributo cACertificate do contêiner CN=NTAuthCertificates .
   gpupdate /force	Agiliza a adição dos certificados raiz aos computadores cliente e servidor Windows.

3. Verifique se os certificados raiz estão presentes no repositório Enterprise NTauth e mostram como confiáveis:

   1. Inicie sessão num servidor com direitos de administrador de empresa que tenha instaladas as Ferramentas de Gestão da Autoridade de Certificação.

   Note

   Por padrão, as Ferramentas de Gestão de Autoridade de Certificação são instaladas em servidores de Autoridade de Certificação. Eles podem ser instalados em outros servidores membros como parte das Ferramentas de Administração de Funções no Gestor de Servidores.

   1. No servidor VPN, no menu Iniciar, digite pkiview.msc para abrir a caixa de diálogo PKI Empresarial.
   2. No menu Iniciar, digite pkiview.msc para abrir a caixa de diálogo PKI Empresarial.
   3. Clique com o botão direito do mouse em PKI Corporativa e selecione Gerenciar Contêineres do AD.
   4. Verifique se cada certificado de CA gen 1 raiz da Microsoft VPN está presente em:
      • NTAuthCertificates
      • Contentor AIA
      • Contentor de Autoridades Certificadoras

Criar perfis VPNv2 baseados em OMA-DM para dispositivos Windows 10

Nesta seção, você criará perfis VPNv2 baseados em OMA-DM usando o Intune para implantar uma política de Configuração de Dispositivo VPN.

1. No portal do Azure, selecione Perfisde Configuração> deDispositivodo Intune> e selecione o perfil VPN que criou em Configurar o cliente VPN utilizando o Intune.

2. No editor de políticas, selecione Configuraçõesde propriedades>>VPN base. Estenda o EAP Xml existente para incluir um filtro que dê ao cliente VPN a lógica necessária para recuperar o certificado de Acesso Condicional do Microsoft Entra do armazenamento de certificados do usuário, em vez de deixá-lo ao acaso, permitindo que ele use o primeiro certificado descoberto.

   Note

   Sem isso, o cliente VPN poderia recuperar o certificado de usuário emitido pela autoridade de certificação local, resultando em uma conexão VPN com falha.

   

3. Localize a seção que termina com </AcceptServerName></EapType> e insira a seguinte cadeia de caracteres entre esses dois valores para fornecer ao cliente VPN a lógica para selecionar o Certificado de Acesso Condicional do Microsoft Entra:

   <TLSExtensions xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2"><FilteringInfo xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV3"><EKUMapping><EKUMap><EKUName>AAD Conditional Access</EKUName><EKUOID>1.3.6.1.4.1.311.87</EKUOID></EKUMap></EKUMapping><ClientAuthEKUList Enabled="true"><EKUMapInList><EKUName>AAD Conditional Access</EKUName></EKUMapInList></ClientAuthEKUList></FilteringInfo></TLSExtensions>
   

4. Selecione a folha Acesso condicional e alterne Acesso condicional para esta conexão VPN para Habilitado.

   Habilitar esta definição modifica a configuração <DeviceCompliance><Enabled>true</Enabled> no Perfil VPNv2 XML.

   

5. Selecione OK.

6. Selecione Atribuições, em Incluir, selecione Selecionar grupos para incluir.

7. Selecione o grupo correto que recebe essa política e selecione Salvar.

   

Forçar a sincronização de políticas do MDM no cliente

Se o perfil VPN não aparecer no dispositivo cliente, em Configurações\Rede & Internet\VPN, você poderá forçar a sincronização da política MDM.

1. Entre em um computador cliente associado a um domínio como membro do grupo Usuários VPN.

2. No menu Iniciar, insira conta e pressione Enter.

3. No painel de navegação esquerdo, selecione aceder ao trabalho ou à escola.

4. Em Aceder ao trabalho ou à escola, selecione Ligado a <\domínio> MDMe, em seguida, selecione Info.

5. Selecione Sincronizar e verifique se o perfil VPN aparece em Configurações\Rede & Internet\VPN.

Próximos passos

Você terminou de configurar o perfil VPN para usar o Acesso Condicional do Microsoft Entra.

• Para saber mais sobre como o acesso condicional funciona com VPNs, consulte VPN e acesso condicional.

• Para saber mais sobre os recursos avançados de VPN, consulte Recursos avançados de VPN.

• Para ver uma visão geral do CSP VPNv2, consulte CSP VPNv2: Este tópico fornece uma visão geral do CSP VPNv2.