So konfigurieren Sie den Microsoft Network Policy Server (NPS) für Zyxel Firewalls mit Windows Server 2025 Active Directory

Microsoft Network Policy Server (NPS) ist Microsofts Implementierung eines RADIUS-Servers. Er ermöglicht es Zyxel Firewalls, VPN-Benutzer über das RADIUS-Protokoll gegen Active Directory zu authentifizieren.

In diesem Beispiel wird Windows Server 2025 als RADIUS-Server verwendet, sodass sich Remote-Benutzer mit ihren Active Directory-Anmeldedaten beim Verbinden mit der Zyxel Firewall authentifizieren können.

Dieser Artikel erklärt, wie Microsoft Network Policy Server (NPS) installiert und konfiguriert wird und wie er in eine Zyxel Firewall für die Remote Access VPN-Authentifizierung integriert wird.

Hinweis: Frühere ZLD-basierte Firewalls enthielten einen integrierten RADIUS-Authentifizierungsserver. Diese Funktion ist bei aktuellen uOS-basierten Firewalls nicht verfügbar, da uOS für die Integration mit dedizierten externen Identitätsanbietern wie Microsoft NPS, FreeRADIUS, Active Directory, LDAP, OIDC und cloudbasierten Authentifizierungsdiensten konzipiert ist. Es gibt derzeit keine Pläne, einen integrierten RADIUS-Authentifizierungsserver wieder einzuführen.

Voraussetzungen

• Zyxel Firewall mit uOS 1.39 oder höher 
• Windows Server 2025 mit installiertem Active Directory Domain Services (AD DS) 
• Der Server ist einer Active Directory-Domäne beigetreten 
• DNS ist korrekt für die Namensauflösung konfiguriert 
• Administratorzugang sowohl zum Windows Server als auch zur Zyxel Firewall

Netzwerktopologie

Schritt 1 – Installation der Active Directory-Zertifikatdienste (AD CS)

Bevor LDAPS konfiguriert wird, muss der Domänencontroller ein gültiges Zertifikat besitzen, das Serverauthentifizierung unterstützt. Dieses Zertifikat wird von den Active Directory-Zertifikatdiensten (AD CS) ausgestellt.

In diesem Beispiel hostet der Domänencontroller auch die Zertifizierungsstelle.

Öffnen Sie den Assistenten „Rollen und Features hinzufügen“

1. Öffnen Sie den Server-Manager.
2. Klicken Sie auf Verwalten.
3. Wählen Sie Rollen und Features hinzufügen.

Schritt 2 – Konfiguration der Active Directory-Zertifikatdienste

Nach Abschluss der Installation klicken Sie:

Active Directory-Zertifikatdienste auf dem Zielserver konfigurieren

Enterprise-CA integriert sich in Active Directory und wird für Domänenumgebungen empfohlen. Sie unterstützt die automatische Zertifikatsregistrierung und ist für die meisten Active Directory-Zertifikatbereitstellungen, einschließlich LDAPS, erforderlich.

Standalone-CA ist für isolierte oder Offline-Bereitstellungen gedacht und integriert sich nicht in Active Directory.

Hinweis: Dieses Beispiel verwendet eine Enterprise Root CA mit einem neuen privaten Schlüssel, um die Bereitstellung zu vereinfachen. Diese Einstellungen werden für eine neue CA-Installation empfohlen und sind für die LDAPS-Authentifizierung in den meisten Labor- und KMU-Umgebungen ausreichend.

Kryptografie

Belassen Sie die Standardeinstellungen:

• Kryptografischer Anbieter: RSA#Microsoft Software Key Storage Provider
• Schlüssellänge: 2048 Bit
• Hash-Algorithmus: SHA256

CA-Name

Geben Sie einen beschreibenden Namen für die Zertifizierungsstelle an oder behalten Sie den automatisch generierten Wert bei.

Beispiel:

ZY-Root-CA

Hinweis: Die standardmäßigen kryptografischen Einstellungen werden für die meisten Bereitstellungen empfohlen. Der CA-Name identifiziert die Zertifizierungsstelle und erscheint in allen von dieser CA ausgestellten Zertifikaten.

Schritt 3 – Überprüfung der Zertifizierungsstelle

Nach Abschluss der AD CS-Konfiguration überprüfen Sie, ob die Zertifizierungsstelle erfolgreich installiert wurde und betriebsbereit ist.

1. Öffnen Sie den Server-Manager.
2. Klicken Sie auf Extras.
3. Wählen Sie Zertifizierungsstelle.
4. Vergewissern Sie sich, dass die Zertifizierungsstelle aufgelistet ist und ihr Status ohne Fehler angezeigt wird.

Hinweis: Ein grünes Statussymbol neben der Zertifizierungsstelle zeigt an, dass der Dienst ordnungsgemäß ausgeführt wird und bereit ist, Zertifikate auszustellen.

Überprüfung des Domänencontroller-Zertifikats 

1. Öffnen Sie Ausführen, geben Sie certlm.msc ein und drücken Sie Enter.
2. Navigieren Sie zu Zertifikate (Lokaler Computer) → Persönlich → Zertifikate.
3. Überprüfen Sie, ob das Domänencontroller-Zertifikat vorhanden ist und die erweiterte Schlüsselverwendung Serverauthentifizierung enthält.

Hinweis: Der Domänencontroller muss über ein gültiges Serverauthentifizierungs-Zertifikat verfügen, um LDAPS-Verbindungen über TCP-Port 636 zu akzeptieren.

Überprüfung der LDAPS-Konnektivität

Stellen Sie sicher, dass der Domänencontroller sichere LDAP-Verbindungen auf TCP-Port 636 akzeptiert.

Führen Sie den folgenden Befehl in PowerShell aus:

Test-NetConnection localhost -Port 636

Vergewissern Sie sich, dass TcpTestSucceeded auf True steht.

Hinweis: Falls der Test fehlschlägt, überprüfen Sie, ob der Domänencontroller über ein gültiges Serverauthentifizierungszertifikat verfügt und der Dienst Active Directory Domain Services nach Ausstellung des Zertifikats neu gestartet wurde.

Schritt 4 – Exportieren des Root-CA-Zertifikats

1. Öffnen Sie die Zertifizierungsstelle.
2. Klicken Sie mit der rechten Maustaste auf die Zertifizierungsstelle und wählen Sie Eigenschaften.
3. Klicken Sie auf der Registerkarte Allgemein auf Zertifikat anzeigen.
4. Wechseln Sie zur Registerkarte Details und klicken Sie auf In Datei kopieren....

Hinweis: Exportieren Sie nur das Root-CA-Zertifikat. Exportieren Sie nicht den privaten Schlüssel.

1. Wählen Sie Base-64 codiertes X.509 (.CER) und klicken Sie auf Weiter.
2. Geben Sie einen Dateinamen an und klicken Sie auf Fertig stellen.

Schritt 5 – Importieren des Root-CA-Zertifikats in die Firewall

• Melden Sie sich an der Weboberfläche des USG FLEX H an. 
• Navigieren Sie zu System → Zertifikat → Vertrauenswürdige Zertifikate. 
• Klicken Sie auf Importieren. Geben Sie einen Namen ein (z. B. ZY-Root-CA). 
• Wählen Sie die exportierte Datei ZY-Root-CA.cer aus. 
• Klicken Sie auf OK, um das Zertifikat zu importieren.

Hinweis: Das importierte CA-Zertifikat wird verwendet, um die Identität des LDAPS-Servers während des TLS-Handshakes zu überprüfen.

Schritt 6 – Installation der Network Policy Server-Rolle

Installieren Sie die Rolle Network Policy Server (NPS) auf Ihrem Windows Server.

1. Öffnen Sie den Server-Manager.
2. Klicken Sie auf Verwalten > Rollen und Features hinzufügen.
3. Wählen Sie Rollenbasierte oder featurebasierte Installation.
4. Wählen Sie den Zielserver aus.
5. Erweitern Sie unter Serverrollen Netzwerkrichtlinien- und Zugriffsdienste und wählen Sie Network Policy Server aus.
6. Klicken Sie auf Weiter, dann auf Installieren.
7. Warten Sie, bis die Installation abgeschlossen ist, und klicken Sie dann auf Schließen.

Nach Abschluss der Installation ist die Verwaltungskonsole des Network Policy Server unter Extras im Server-Manager verfügbar.

Schritt 7 – Registrierung des NPS-Servers in Active Directory

Registrieren Sie den NPS-Server in Active Directory, bevor Sie RADIUS-Clients und Netzwerkrichtlinien konfigurieren. Dadurch kann der NPS-Server Benutzerkontoinformationen lesen und Active Directory-Benutzer authentifizieren.

1. Öffnen Sie den Server-Manager.
2. Klicken Sie auf Extras > Network Policy Server.
3. Klicken Sie im linken Bereich mit der rechten Maustaste auf NPS (Lokal).
4. Wählen Sie Server in Active Directory registrieren.
5. Klicken Sie auf OK, um den Server zu autorisieren.

Nach erfolgreicher Registrierung ist der NPS-Server bereit, Active Directory-Benutzer zu authentifizieren.

Nützliche Befehle für den NPS-Server

NPS-Server registrieren

netsh nps add registeredserver

Registrierung entfernen

Remove-ADGroupMember "RAS and IAS Servers" -Members "$env:COMPUTERNAME`$" -Confirm:$false

Registrierung überprüfen

Get-ADGroupMember "RAS and IAS Servers"

Schritt 9 – Hinzufügen der Zyxel Firewall als RADIUS-Client

Damit die Zyxel Firewall RADIUS-Authentifizierungsanfragen senden kann, fügen Sie sie als RADIUS-Client auf dem Microsoft NPS-Server hinzu.

Öffnen Sie den Network Policy Server und navigieren Sie zu RADIUS Clients und Server → RADIUS Clients. Klicken Sie mit der rechten Maustaste auf RADIUS Clients und wählen Sie Neu.

Konfigurieren Sie den RADIUS-Client mit den folgenden Einstellungen und klicken Sie auf OK.

Einstellung	Wert
Freundlicher Name	USG FLEX H
Adresse (IP oder DNS)	192.168.162.1
Herstellername	RADIUS Standard
Gemeinsames Geheimnis	Das gleiche gemeinsame Geheimnis, das auf der Zyxel Firewall konfiguriert wurde
Gemeinsames Geheimnis bestätigen	Geben Sie das gemeinsame Geheimnis erneut ein

Hinweis: Das Gemeinsame Geheimnis muss exakt mit dem Schlüssel übereinstimmen, der im RADIUS-Serverprofil der Zyxel Firewall konfiguriert ist. Andernfalls lehnt der NPS-Server Authentifizierungsanfragen ab.

Schritt 10 – Konfiguration der Netzwerkrichtlinie

1. Öffnen Sie den Network Policy Server.
2. Gehen Sie zu Richtlinien → Netzwerkrichtlinien.
3. Klicken Sie mit der rechten Maustaste auf Netzwerkrichtlinien und wählen Sie Neu.
4. Klicken Sie auf Hinzufügen, wählen Sie Windows-Gruppen und klicken Sie auf Hinzufügen.

Fügen Sie die Active Directory-Gruppe hinzu, die sich authentifizieren darf (z. B. VPN-Benutzer), 

und klicken Sie dann auf Weiter.

Schritt 11 – Konfiguration der Authentifizierungsmethoden

Konfigurieren Sie die folgenden Authentifizierungsmethoden:

EAP-Typen

• Microsoft: Geschütztes EAP (PEAP)
• Microsoft: Gesichertes Passwort (EAP-MSCHAP v2)

Weniger sichere Authentifizierungsmethoden

Aktivieren Sie:

• Microsoft Verschlüsselte Authentifizierung Version 2 (MS-CHAP-v2)
• Unverschlüsselte Authentifizierung (PAP, SPAP)

Klicken Sie auf Weiter, um fortzufahren.

Hinweis: PAP ist für die SSL VPN-Authentifizierung mit Microsoft NPS erforderlich. Wenn PAP deaktiviert wird, schlägt die SSL VPN-Authentifizierung fehl.

Schritt 12 – Konfiguration der VPN-Authentifizierung

Überprüfung der VPN-Authentifizierung

Überprüfen Sie die Authentifizierung mit beiden unterstützten VPN-Clients.

SecuExtender IKEv2	SecuExtender SSL VPN

Wichtig:
Nach jeglichen Änderungen an der VPN-Konfiguration auf der Firewall laden Sie die aktualisierte VPN-Konfigurationsdatei erneut herunter und importieren sie vor dem Testen erneut in SecuExtender oder OpenVPN Connect. Die Verwendung einer veralteten Client-Konfiguration kann zu Verbindungsfehlern oder unerwartetem Verhalten führen.

Fehlerbehebung

• Überprüfen der RADIUS-Konfiguration

show config aaa

Überprüfen Sie die IP-Adresse des RADIUS-Servers, den Authentifizierungsport (1812), das gemeinsame Geheimnis und die NAS-IP-Adresse.

• Überprüfen des IPSec Remote Access VPN

show config vrf main ike

Überprüfen Sie den Authentifizierungsserver und die zugelassenen Benutzer.

• Überprüfen des SSL VPN

show config vrf main sslvpn-server

Überprüfen Sie den Authentifizierungsserver und die zugelassenen Benutzer.

• Überprüfen der Benutzerobjekte

show config object user-object

Überprüfen Sie den Benutzertyp, den Authentifizierungsserver und die Gruppenkennung.

• Überprüfen der Konnektivität

ping <NPS_Server_IP>

• Überprüfen der Authentifizierungsereignisse

Prüfen Sie im Ereignisanzeige → Netzwerkrichtlinien- und Zugriffsdienste die Authentifizierungsergebnisse und weitere wichtige Ereignisse.

• Erfassen des RADIUS-Verkehrs

Erfassen Sie den Datenverkehr auf dem NPS-Server mit Wireshark.

Die folgende Erfassung zeigt eine SSL VPN-Authentifizierungsanfrage. Das Vorhandensein des Attributs User-Password im Access-Request-Paket zeigt, dass PAP für die RADIUS-Authentifizierung verwendet wird.

Das Microsoft NPS-Ereignisprotokoll bestätigt die verwendete Authentifizierungsmethode (Authentication Type: PAP).