Microsoft NPS

NPS (Servidor de directivas de redes) permite crear y aplicar directivas de acceso a la red de toda la organización para autenticar y autorizar solicitudes de conexión. Esta guía lo protege con Ironchip para poder usar Ironchip en otros servicios, como RDP o VPN, mediante RADIUS.

Plugin de Ironchip para NPSúltima versión v1.0.1, publicada el 15 de noviembre de 2024

• ironchip_nps_plugin.msi 13.7 MB

Todas las versiones y notas de cada una

Requisitos

• Un Directorio Activo funcional.
• Servicios DHCP y DNS activos. Si no los tienes, consulta Preparar el entorno Windows.
• Una integración HTTP-MFA (aplicación MFA) creada en Ironchip. Consulta Crear una integración HTTP-MFA.

Configuración en Ironchip

1. Crea en la consola de administración la aplicación que hace referencia a la integración HTTP-MFA. En External ID, escribe el nombre de la política de red que vas a proteger con el plugin (en esta guía, IronchipProtected) y haz clic en Add service.

   

2. Guarda la API key que muestra Ironchip al crear la aplicación: solo aparece esta vez y la necesitarás al instalar el plugin.

3. Añade usuarios a esa aplicación con el formato Dominio\Usuario.

Crear la aplicación en Ironchip y añadir usuarios para NPSReproducir el vídeo

Configuración en Microsoft NPS

Instalar NPS en el servidor

Instala el rol Servicios de acceso y directivas de redes desde Agregar roles y características.

Crear la política de red

1. Abre el servidor de directivas de redes. En la pestaña Directivas, haz clic derecho en Directivas de red y crea una nueva política.

   

2. Ponle un nombre identificativo y haz clic en Siguiente. Este nombre se usa al instalar el plugin NPS para determinar qué política proteger.

   

3. Selecciona el grupo de usuarios al que se aplicará la política.

4. En la pestaña siguiente, deja seleccionado Acceso concedido.

   

5. Configura los métodos de autenticación que usará la política y haz clic en Siguiente.

   

6. Configura las restricciones que denegarán automáticamente el acceso si no se cumplen. Complétalo con las opciones que quieras y haz clic en Siguiente.

   

7. Añade la configuración que se aplicará cuando se cumplan las restricciones de la política y haz clic en Siguiente.

   

8. Revisa el resumen de la configuración y haz clic en Finalizar.

   

La política de red queda creada. Ya puedes instalar el plugin NPS.

Instalar el plugin NPS

1. En la sección Plugins de la consola de Ironchip, busca Windows NPS y haz clic en Download.

   

2. Ejecuta el instalador.

   

3. Haz clic en Next, acepta los términos de uso y vuelve a hacer clic en Next.

   

4. Completa la pantalla siguiente y haz clic en Next:

   • Ironchip Host: tu host de Ironchip. Si usas la solución en la nube, es api.ironchip.com; si no, indica tu host personalizado.
   • Ironchip API Key: la API key de tu empresa, que obtuviste al crear el servicio.
   • NPS Policies: el nombre de la política de red que quieres proteger con Ironchip NPS. En el ejemplo, la política creada, IronchipProtected. Para añadir más de una, sepáralas con comas.

   

5. Con todos los parámetros correctos, haz clic en Install.

   

6. Cuando termine la instalación, haz clic en Finish.

   

Instala el certificado de https://api.ironchip.com en todos los dispositivos que vayan a utilizar este servicio.

Instalar en Windows Server 2008 y Windows Server 2012

Antes de instalar el plugin NPS de Ironchip en estas versiones, necesitas instalar JDK y .NET (nuestro equipo te proporciona estos componentes) y cambiar el formato del certificado de Ironchip para que sea aceptado.

Instalar el JDK

1. Abre el programa y haz clic en Next.
2. Acepta los términos del acuerdo y haz clic en Next de nuevo.
3. La ventana siguiente permite personalizar la instalación. La configuración por defecto es suficiente: haz clic en Next.
4. Haz clic en Install.
5. Cuando termine la instalación, haz clic en Finish.

Instalar .NET

Este paso es opcional en Windows Server 2012.

1. Ejecuta el programa, acepta los términos y condiciones y haz clic en Install.
2. Cuando termine la instalación, haz clic en Finish.

Cambiar el formato del certificado de Ironchip

1. Abre api.ironchip.com en tu navegador (vale cualquiera).
2. Haz clic en No seguro y después en El certificado no es válido.
3. En la ventana siguiente, ve a Detalles y haz clic en Copiar en archivo….
4. Elige la tercera opción y selecciona Incluir todos los certificados en la ruta de acceso de certificación, si es posible. Haz clic en Siguiente.
5. En la ventana nueva, haz clic en Siguiente.
6. Elige la ruta donde quieres exportar el certificado y el nombre del archivo. Haz clic en Siguiente.
7. Cuando termine la exportación, haz clic en Finalizar.

El certificado ya está en tu equipo con el formato correcto. Impórtalo ahora:

1. Busca mmc en el buscador de programas y ábrelo.
2. Elige Archivo y después Agregar o quitar complemento….
3. Selecciona Certificados y haz clic en Agregar.
4. Elige Cuenta de equipo y haz clic en Siguiente.
5. Elige la primera opción y haz clic en Finalizar.
6. En Raíz de consola, haz clic en Certificados (equipo local) y elige Entidades de certificación raíz de confianza.
7. Despliega la carpeta Certificados. En el panel de la derecha, elige Más acciones, después Todas las tareas y Importar.
8. Elige la ubicación donde exportaste el certificado. Selecciona la extensión correcta: elige Todos los archivos (*.*). Haz clic en Siguiente.
9. En la ventana siguiente, haz clic en Siguiente de nuevo.
10. Revisa el resumen de la importación y haz clic en Finalizar.
11. Cuando aparezca el mensaje de importación correcta, haz clic en Aceptar.

Comprobación

Comprobar los registros del plugin

1. Abre el Visor de eventos para ver los registros del plugin NPS de Ironchip.
2. Si todo está bien, verás NPSP Ironchip Plugin en la lista de registros de aplicaciones y servicios. Haz clic en él. Si el plugin está instalado, los registros muestran Ironchip NPS plugin initialized successfully.

Nota

Si aparece el mensaje Unable to load IronChip license key. (no se puede cargar la clave de licencia), comprueba que la licencia es la correcta y vuelve a intentarlo. Si el problema persiste, contacta con el soporte de Ironchip.

Probar el acceso RADIUS con NTRadPing

Para comprobar que todo está bien configurado y funciona, usa la herramienta de terceros NTRadPing.

1. Descarga la aplicación desde NTRadPing.

2. Crea un cliente RADIUS para poder hacer la prueba: abre el servidor de directivas de redes, ve a Clientes y servidores RADIUS y crea uno nuevo con clic derecho en Clientes RADIUS.

   

3. En el panel que se abre, introduce estos datos:

   1. Un nombre identificativo para el cliente RADIUS.
   2. La IP del servidor en el que vas a instalarlo.
   3. Una clave secreta para RADIUS.

   

4. Reinicia el servicio para que se apliquen los ajustes.

5. Abre NTRadPing y completa los campos:

   1. IP de tu servidor.
   2. Puerto de conexión (por defecto, 1645).
   3. Tiempo antes de abortar y número de veces que se ejecutará.
   4. Contraseña del usuario.
   5. Clave del servidor RADIUS.
   6. Usuario que se va a utilizar.

   

Vídeo tutorial

Tutorial de Ironchip con NPSReproducir el vídeo

Problemas frecuentes

El plugin muestra sus mensajes en inglés. Cada apartado cita el mensaje tal como aparece y explica qué significa.

“User XXX is not authenticated in service XXX. Please, try again.”

El usuario no está autenticado o la autenticación no ha sido válida. Vuelve a intentar la autenticación en la misma página.

“Unable to load IronChip license key”

El mensaje completo es: “Unable to load IronChip license key. Check that it is the correct license and try again. If problem persist contact IronChip support for help.” (No se puede cargar la clave de licencia de Ironchip).

El formato de la licencia no es válido. Escribe a info@ironchip.net con el error: validaremos la clave de licencia que usas y te daremos una válida si no lo es.

“Id. de evento 4402: no hay ningún controlador de dominio disponible para el dominio”

No necesitas cambiar el nombre de tu dominio ni volver a una revisión anterior. Se resuelve añadiendo esta clave de registro, que fuerza a la autenticación a usar el nombre DNS en lugar del nombre NetBIOS:

• Nuevo valor de cadena (REG_SZ): Default Domain.
• Datos: ejemplo.loc (o ejemplo.dominio.loc).

“The API-Key provided is not valid”

El mensaje completo es: “The API-Key provided is not valid. Please, contact IronChip support and send logs for assistance.” (La API key proporcionada no es válida).

La licencia tiene el formato correcto, pero es antigua o no es válida. Escribe a info@ironchip.net con el error: validaremos la clave de licencia que usas y te daremos una válida si no lo es.

“Ironchip has failed. Sorry.”

El mensaje completo es: “Ironchip has failed. Sorry. Contact support to allow us to solve the problem.” (Ironchip ha fallado).

Ha ocurrido algo inesperado. Escribe al soporte de Ironchip, info@ironchip.net, y adjunta el registro de error que aparece en los registros MFA de Ironchip del Visor de eventos.