# Microsoft NPS > Protege Microsoft NPS con el plugin de Ironchip: crea la política de red, instala el plugin, registra la aplicación y prueba el acceso RADIUS con NTRadPing. URL: https://docs.ironchip.com/identidad/integraciones/red/nps/ NPS (Servidor de directivas de redes) permite crear y aplicar directivas de acceso a la red de toda la organización para autenticar y autorizar solicitudes de conexión. Esta guía lo protege con Ironchip para poder usar Ironchip en otros servicios, como RDP o VPN, mediante [RADIUS](https://docs.ironchip.com/identidad/protocolos/radius/). ## Requisitos - Un Directorio Activo funcional. - Servicios DHCP y DNS activos. Si no los tienes, consulta [Preparar el entorno Windows](https://docs.ironchip.com/identidad/integraciones/puestos/rdp/#preparar-el-entorno-windows). - Una integración HTTP-MFA (aplicación MFA) creada en Ironchip. Consulta [Crear una integración HTTP-MFA](https://docs.ironchip.com/identidad/administracion/aplicaciones/#crear-una-integraci%C3%B3n-http-mfa). ## Configuración en Ironchip 1. Crea en la consola de administración la aplicación que hace referencia a la integración HTTP-MFA. En **External ID**, escribe el nombre de la política de red que vas a proteger con el plugin (en esta guía, `IronchipProtected`) y haz clic en **Add service**. [Imagen: Ventana Add a new application con la configuración HTTP_MFA y el External ID] 2. Guarda la API key que muestra Ironchip al crear la aplicación: solo aparece esta vez y la necesitarás al instalar el plugin. 3. Añade usuarios a esa aplicación con el formato `Dominio\Usuario`. Vídeo: [Crear la aplicación en Ironchip y añadir usuarios para NPS](https://play.hubspotvideo.com/v/7745202/id/130733054997) ## Configuración en Microsoft NPS ### Instalar NPS en el servidor Instala el rol **Servicios de acceso y directivas de redes** desde **Agregar roles y características**. ### Crear la política de red 1. Abre el servidor de directivas de redes. En la pestaña **Directivas**, haz clic derecho en **Directivas de red** y crea una nueva política. [Imagen: Menú contextual para crear una política de red nueva] 2. Ponle un nombre identificativo y haz clic en **Siguiente**. Este nombre se usa al instalar el plugin NPS para determinar qué política proteger. [Imagen: Nombre de la política de red] 3. Selecciona el grupo de usuarios al que se aplicará la política. 4. En la pestaña siguiente, deja seleccionado **Acceso concedido**. [Imagen: Opción Acceso concedido] 5. Configura los métodos de autenticación que usará la política y haz clic en **Siguiente**. [Imagen: Métodos de autenticación de la política] 6. Configura las restricciones que denegarán automáticamente el acceso si no se cumplen. Complétalo con las opciones que quieras y haz clic en **Siguiente**. [Imagen: Restricciones de la política] 7. Añade la configuración que se aplicará cuando se cumplan las restricciones de la política y haz clic en **Siguiente**. [Imagen: Configuración de la política] 8. Revisa el resumen de la configuración y haz clic en **Finalizar**. [Imagen: Resumen de la política de red] La política de red queda creada. Ya puedes instalar el plugin NPS. [Imagen: Política de red añadida en el servidor de directivas de redes] ### Instalar el plugin NPS 1. En la sección **Plugins** de la consola de Ironchip, busca **Windows NPS** y haz clic en **Download**. [Imagen: Sección Plugins de la consola con la descarga del plugin Windows NPS] 2. Ejecuta el instalador. [Imagen: Pantalla inicial del instalador del plugin] 3. Haz clic en **Next**, acepta los términos de uso y vuelve a hacer clic en **Next**. [Imagen: Términos de uso del instalador] 4. Completa la pantalla siguiente y haz clic en **Next**: - **Ironchip Host**: tu host de Ironchip. Si usas la solución en la nube, es `api.ironchip.com`; si no, indica tu host personalizado. - **Ironchip API Key**: la API key de tu empresa, que obtuviste al crear el servicio. - **NPS Policies**: el nombre de la política de red que quieres proteger con Ironchip NPS. En el ejemplo, la política creada, `IronchipProtected`. Para añadir más de una, sepáralas con comas. [Imagen: Datos del host, la API key y la política de red] 5. Con todos los parámetros correctos, haz clic en **Install**. [Imagen: Pantalla de confirmación de la instalación] 6. Cuando termine la instalación, haz clic en **Finish**. [Imagen: Instalación completada] Instala el certificado de `https://api.ironchip.com` en todos los dispositivos que vayan a utilizar este servicio. ### Instalar en Windows Server 2008 y Windows Server 2012 Antes de instalar el plugin NPS de Ironchip en estas versiones, necesitas instalar JDK y .NET (nuestro equipo te proporciona estos componentes) y cambiar el formato del certificado de Ironchip para que sea aceptado. #### Instalar el JDK 1. Abre el programa y haz clic en **Next**. 2. Acepta los términos del acuerdo y haz clic en **Next** de nuevo. 3. La ventana siguiente permite personalizar la instalación. La configuración por defecto es suficiente: haz clic en **Next**. 4. Haz clic en **Install**. 5. Cuando termine la instalación, haz clic en **Finish**. #### Instalar .NET Este paso es opcional en Windows Server 2012. 1. Ejecuta el programa, acepta los términos y condiciones y haz clic en **Install**. 2. Cuando termine la instalación, haz clic en **Finish**. #### Cambiar el formato del certificado de Ironchip 1. Abre `api.ironchip.com` en tu navegador (vale cualquiera). 2. Haz clic en **No seguro** y después en **El certificado no es válido**. 3. En la ventana siguiente, ve a **Detalles** y haz clic en **Copiar en archivo…**. 4. Elige la tercera opción y selecciona **Incluir todos los certificados en la ruta de acceso de certificación, si es posible**. Haz clic en **Siguiente**. 5. En la ventana nueva, haz clic en **Siguiente**. 6. Elige la ruta donde quieres exportar el certificado y el nombre del archivo. Haz clic en **Siguiente**. 7. Cuando termine la exportación, haz clic en **Finalizar**. El certificado ya está en tu equipo con el formato correcto. Impórtalo ahora: 1. Busca `mmc` en el buscador de programas y ábrelo. 2. Elige **Archivo** y después **Agregar o quitar complemento...**. 3. Selecciona **Certificados** y haz clic en **Agregar**. 4. Elige **Cuenta de equipo** y haz clic en **Siguiente**. 5. Elige la primera opción y haz clic en **Finalizar**. 6. En **Raíz de consola**, haz clic en **Certificados (equipo local)** y elige **Entidades de certificación raíz de confianza**. 7. Despliega la carpeta **Certificados**. En el panel de la derecha, elige **Más acciones**, después **Todas las tareas** y **Importar**. 8. Elige la ubicación donde exportaste el certificado. Selecciona la extensión correcta: elige **Todos los archivos (\*.\*)**. Haz clic en **Siguiente**. 9. En la ventana siguiente, haz clic en **Siguiente** de nuevo. 10. Revisa el resumen de la importación y haz clic en **Finalizar**. 11. Cuando aparezca el mensaje de importación correcta, haz clic en **Aceptar**. ## Comprobación ### Comprobar los registros del plugin 1. Abre el **Visor de eventos** para ver los registros del plugin NPS de Ironchip. 2. Si todo está bien, verás **NPSP Ironchip Plugin** en la lista de registros de aplicaciones y servicios. Haz clic en él. Si el plugin está instalado, los registros muestran `Ironchip NPS plugin initialized successfully.` :::note Si aparece el mensaje `Unable to load IronChip license key.` (no se puede cargar la clave de licencia), comprueba que la licencia es la correcta y vuelve a intentarlo. Si el problema persiste, contacta con el soporte de Ironchip. ::: ### Probar el acceso RADIUS con NTRadPing Para comprobar que todo está bien configurado y funciona, usa la herramienta de terceros NTRadPing. [Imagen: Aplicación NTRadPing] 1. Descarga la aplicación desde [NTRadPing](https://ntradping.apponic.com/). 2. Crea un cliente RADIUS para poder hacer la prueba: abre el servidor de directivas de redes, ve a **Clientes y servidores RADIUS** y crea uno nuevo con clic derecho en **Clientes RADIUS**. [Imagen: Menú contextual para crear un cliente RADIUS] 3. En el panel que se abre, introduce estos datos: 1. Un nombre identificativo para el cliente RADIUS. 2. La IP del servidor en el que vas a instalarlo. 3. Una clave secreta para RADIUS. [Imagen: Panel de propiedades del cliente RADIUS] 4. Reinicia el servicio para que se apliquen los ajustes. 5. Abre NTRadPing y completa los campos: 1. IP de tu servidor. 2. Puerto de conexión (por defecto, `1645`). 3. Tiempo antes de abortar y número de veces que se ejecutará. 4. Contraseña del usuario. 5. Clave del servidor RADIUS. 6. Usuario que se va a utilizar. [Imagen: Campos de NTRadPing rellenados] ### Vídeo tutorial Vídeo: [Tutorial de Ironchip con NPS](https://play.hubspotvideo.com/v/7745202/id/130734361351) ## Problemas frecuentes El plugin muestra sus mensajes en inglés. Cada apartado cita el mensaje tal como aparece y explica qué significa. ### "User XXX is not authenticated in service XXX. Please, try again." El usuario no está autenticado o la autenticación no ha sido válida. Vuelve a intentar la autenticación en la misma página. ### "Unable to load IronChip license key" El mensaje completo es: "Unable to load IronChip license key. Check that it is the correct license and try again. If problem persist contact IronChip support for help." (No se puede cargar la clave de licencia de Ironchip). El formato de la licencia no es válido. Escribe a [info@ironchip.net](mailto:info@ironchip.net) con el error: validaremos la clave de licencia que usas y te daremos una válida si no lo es. ### "Id. de evento 4402: no hay ningún controlador de dominio disponible para el dominio" No necesitas cambiar el nombre de tu dominio ni volver a una revisión anterior. Se resuelve añadiendo esta clave de registro, que fuerza a la autenticación a usar el nombre DNS en lugar del nombre NetBIOS: - Nuevo valor de cadena (`REG_SZ`): `Default Domain`. - Datos: `ejemplo.loc` (o `ejemplo.dominio.loc`). ### "The API-Key provided is not valid" El mensaje completo es: "The API-Key provided is not valid. Please, contact IronChip support and send logs for assistance." (La API key proporcionada no es válida). La licencia tiene el formato correcto, pero es antigua o no es válida. Escribe a [info@ironchip.net](mailto:info@ironchip.net) con el error: validaremos la clave de licencia que usas y te daremos una válida si no lo es. ### "Ironchip has failed. Sorry." El mensaje completo es: "Ironchip has failed. Sorry. Contact support to allow us to solve the problem." (Ironchip ha fallado). Ha ocurrido algo inesperado. Escribe al soporte de Ironchip, [info@ironchip.net](mailto:info@ironchip.net), y adjunta el registro de error que aparece en los registros MFA de Ironchip del Visor de eventos.