С чего начать. Нажмите кнопку Пуск, щелкните Выполнить и введите compmgmt.msc, после чего нажмите клавишу ВВОД. Этой командой открывается окно Управление компьютером.

1. В окне управления компьютером щелкните Локальные пользователи и группы, затем щелкните правой кнопкой элемент Группы и выберите команду Создать группу.
   
   
2. В окне Новая группа введите имя группы и нажмите кнопку Создать, а затем кнопку Закрыть.
   
   
3. Щелкните элемент Пользователи. Для каждого пользователя, которому необходим удаленный VPN-доступ, выполните следующие действия.
   
   
   1. Дважды щелкните пользователя, чтобы открыть его свойства.
      
      
   2. На вкладке Членство в группах нажмите кнопку Добавить.
      
      
   3. В поле Введите имена выбираемых объектов введите имя группы и нажмите кнопку OK.
      
      
   4. На вкладке Входящие звонки выберите параметр Управление на основе политики удаленного доступа и нажмите кнопку OK.
      
      

      Важно.
      Только пользователи с настроенными свойствами входящих звонков могут использовать Forefront TMG для удаленного доступа VPN-клиентов. В процессе настройки доступа VPN-клиентов при указании локальных групп, имеющих право на удаленный доступ, можно добавить только следующие группы.

   • HelpServicesGroup
     
     
   • IIS_WPG
     
     
   • TelnetClients
     
     

     Примечание.

     Другие встроенные локальные группы, такие как «Администраторы», «Операторы архива» или «Опытные пользователи», добавить нельзя. Эти группы являются общими, и Forefront TMG не удается отличить локальных администраторов от администраторов домена. В основных доменах Active Directory для учетных записей доменов установлен удаленный доступ, управляемый по умолчанию политикой удаленного доступа. В неосновных (смешанных) доменах Active Directory необходимо включить удаленный доступ для учетной записи каждого пользователя домена, которому требуется VPN-доступ. Для каждой учетной записи на вкладке Входящие звонки выберите параметр Разрешить доступ.

С чего начать. В дереве консоли управления Forefront TMG щелкните Виртуальные частные сети, а в области сведений откройте вкладку VPN-клиенты.

1. На вкладке Задачи щелкните Включить доступ VPN-клиентов, чтобы открыть диалоговое окно Свойства: VPN-клиенты.
   
   
2. На вкладке Общие щелкните Включить доступ VPN-клиентов.
   
   

   Примечание.

   При включении доступа VPN-клиентов активируется системная политика под названием Разрешить VPN-клиенты для межсетевого экрана. После включения удаленного доступа VPN-клиентов активируется используемое по умолчанию сетевое правило, чтобы установить отношение между внутренней сетью и двумя сетями VPN-клиентов (VPN-клиентами и VPN-клиентами на карантине). Необходимо создать правила доступа, разрешающие соответствующий доступ VPN-клиентам. Например, можно создать правило, разрешающее доступ из сети VPN-клиентов во внутреннюю сеть по всем или только по определенным протоколам.

3. В поле Максимальное разрешенное количество VPN-клиентов введите максимальное число VPN-клиентов, которые могут подключаться одновременно. Учтите, что максимальное число одновременных подключений VPN-клиентов не должно превышать 1000.
   
   
4. На вкладке Протоколы можно выбрать следующие параметры.
   
   
   • Разрешить протокол PPTP
     
     
   • Разрешить протокол L2TP/IPsec
     
     

     Примечание.
     Если разрешить удаленное подключение VPN-клиентов к Forefront TMG с использованием туннельного протокола L2TP, потребуется сертификат.

5. На вкладке Группы нажмите кнопку Добавить и добавьте группу VPN-клиентов, созданную при выполнении процедуры «Создание пользователей и групп для удаленных VPN-клиентов». Нажмите кнопку ОК, чтобы закрыть диалоговое окно Свойства: VPN-клиенты.
   
   

   Примечание.
   В качестве пользователей VPN нельзя добавить встроенные группы Windows. Встроенные группы доменов можно использовать (даже в том случае, когда сервер Forefront TMG является также контроллером домена).

Включите сопоставление пользователей, чтобы применить используемые по умолчанию правила доступа политики межсетевого экрана для пользователей, проверка подлинности которых осуществляется методом RADIUS или EAP.

1. На вкладке Сопоставление пользователей щелкните Включить сопоставление пользователей.
   
   
2. Если имя пользователя, предназначенное для сопоставления, не включает доменное имя, выберите параметр Если в имени пользователя не содержится домен, использовать данный домен. Затем в поле Доменное имя введите имя используемого домена.
   
   

   Важно.

   Если RADIUS-сервер (Remote Authentication Dial-In User Service) и сервер Forefront TMG находятся в различных доменах (или один из них входит в рабочую группу), сопоставление пользователей поддерживается только для методов проверки подлинности на основе протоколов проверки пароля PAP и SPAP. Сопоставление пользователей не следует применять, если настроен другой метод проверки подлинности. Чтобы использовать сопоставление пользователей, в домене необходимо установить Forefront TMG. Не включайте сопоставление пользователей в среде рабочей группы. Сопоставление пользователей необходимо применять, только если создается политика межсетевого экрана для групп. Чтобы создать политику для пользователей, можно определить наборы учетных записей в пространствах имен RADIUS.

Чтобы проверить VPN-подключения, можно понаблюдать за использованием удаленного доступа и попытками проверки подлинности через средство просмотра сеансов.

• На вкладке Задачи щелкните Наблюдение за VPN-клиентами. В средстве просмотра сеансов отображаются данные для VPN-клиентов, подключающихся к Forefront TMG.
  
  

Возможно, вы пожелаете помещать каждого подключающегося VPN-клиента в карантин, чтобы убедиться, что он соответствует применяемой политике безопасности. VPN-клиентам, не соответствующим этой политике, будет разрешено подключиться к ресурсам внутренней сети, с которых они могут загрузить программное обеспечение и обновления, необходимые для обеспечения совместимости, но им будет запрещен общий доступ к корпоративным ресурсам. Дополнительные сведения см. в разделах Настройка карантина на основе защиты доступа к сети (NAP) и Настройка управления карантином на основе RQS/RQC.