Hoe Microsoft Network Policy Server (NPS) te configureren voor Zyxel Firewalls met Windows Server 2025 Active Directory

Microsoft Network Policy Server (NPS) is de implementatie van Microsoft van een RADIUS-server. Het stelt Zyxel Firewalls in staat om VPN-gebruikers te authenticeren tegen Active Directory via het RADIUS-protocol.

In dit voorbeeld wordt Windows Server 2025 gebruikt als de RADIUS-server, waardoor externe gebruikers zich kunnen authenticeren met hun Active Directory-referenties bij het verbinden met de Zyxel Firewall.

Dit artikel legt uit hoe Microsoft Network Policy Server (NPS) te installeren en configureren en hoe deze te integreren met een Zyxel Firewall voor Remote Access VPN-authenticatie.

Opmerking: Eerdere ZLD-gebaseerde firewalls hadden een ingebouwde RADIUS Authenticatie Server. Deze functie is niet beschikbaar op huidige uOS-gebaseerde firewalls omdat uOS is ontworpen om te integreren met toegewijde externe identiteitsproviders, zoals Microsoft NPS, FreeRADIUS, Active Directory, LDAP, OIDC en cloud-gebaseerde authenticatieservices. Er zijn momenteel geen plannen om een ingebouwde RADIUS Authenticatie opnieuw te introduceren.

Vereisten

• Zyxel Firewall met uOS 1.39 of later 
• Windows Server 2025 met geïnstalleerde Active Directory Domain Services (AD DS) 
• De server is lid van een Active Directory-domein 
• DNS is correct geconfigureerd voor domeinnaamresolutie 
• Beheerdersrechten voor zowel de Windows Server als de Zyxel Firewall

Netwerktopologie

Stap 1 - Active Directory Certificate Services (AD CS) installeren

Voordat LDAPS geconfigureerd kan worden, moet de Domain Controller een geldig certificaat hebben dat Server Authenticatie ondersteunt. Dit certificaat wordt uitgegeven door Active Directory Certificate Services (AD CS).

In dit voorbeeld host de Domain Controller ook de Certification Authority.

Open de wizard Rollen en Functies toevoegen

1. Open Serverbeheer.
2. Klik op Beheren.
3. Selecteer Rollen en functies toevoegen.

Stap 2 - Active Directory Certificate Services configureren

Na de installatie, klik:

Active Directory Certificate Services configureren op de doelsserver

Enterprise CA integreert met Active Directory en wordt aanbevolen voor domeinomgevingen. Het ondersteunt automatische certificaatinschrijving en is vereist voor de meeste Active Directory certificaatimplementaties, inclusief LDAPS.

Standalone CA is bedoeld voor geïsoleerde of offline implementaties en integreert niet met Active Directory.

Opmerking: Dit voorbeeld gebruikt een Enterprise Root CA met een nieuwe privésleutel om de implementatie te vereenvoudigen. Deze instellingen worden aanbevolen voor een nieuwe CA-installatie en zijn voldoende voor LDAPS-authenticatie in de meeste lab- en MKB-omgevingen.

Cryptografie

Laat de standaardinstellingen staan:

• Cryptografische Provider: RSA#Microsoft Software Key Storage Provider
• Sleutellengte: 2048 bits
• Hash-algoritme: SHA256

CA-naam

Geef een beschrijvende naam op voor de Certification Authority of behoud de automatisch gegenereerde waarde.

Voorbeeld:

ZY-Root-CA

Opmerking: De standaard cryptografische instellingen worden aanbevolen voor de meeste implementaties. De CA-naam identificeert de Certification Authority en zal verschijnen in alle certificaten die door deze CA worden uitgegeven.

Stap 3 - Controleer de Certification Authority

Controleer na het voltooien van de AD CS-configuratie of de Certification Authority succesvol is geïnstalleerd en operationeel is.

1. Open Serverbeheer.
2. Klik op Hulpmiddelen.
3. Selecteer Certification Authority.
4. Controleer of de Certification Authority wordt weergegeven en dat de status zonder fouten wordt getoond.

Opmerking: Een groen statuspictogram naast de Certification Authority geeft aan dat de service correct draait en klaar is om certificaten uit te geven.

Controleer het Domain Controller-certificaat 

1. Open Uitvoeren, typ certlm.msc en druk op Enter.
2. Navigeer naar Certificaten (Lokale computer) → Persoonlijk → Certificaten.
3. Controleer of het Domain Controller-certificaat aanwezig is en de Server Authenticatie uitgebreide sleutelgebruik bevat.

Opmerking: De Domain Controller moet een geldig Server Authenticatie-certificaat hebben om LDAPS-verbindingen via TCP-poort 636 te accepteren.

Controleer LDAPS-connectiviteit

Controleer of de Domain Controller beveiligde LDAP-verbindingen accepteert op TCP-poort 636.

Voer het volgende commando uit in PowerShell:

Test-NetConnection localhost -Port 636

Controleer of TcpTestSucceeded True is.

Opmerking: Als de test mislukt, controleer dan of de Domain Controller een geldig Server Authentication-certificaat heeft en of de Active Directory Domain Services-service is herstart nadat het certificaat is uitgegeven.

Stap 4 - Exporteer het Root CA-certificaat

1. Open Certification Authority.
2. Klik met de rechtermuisknop op de Certification Authority en selecteer Eigenschappen.
3. Klik op het tabblad Algemeen op Certificaat weergeven.
4. Ga naar het tabblad Details en klik op Kopiëren naar bestand....

Opmerking: Exporteer alleen het Root CA-certificaat. Exporteer niet de privésleutel.

1. Selecteer Base-64 gecodeerd X.509 (.CER) en klik op Volgende.
2. Geef een bestandsnaam op en klik op Voltooien.

Stap 5 - Importeer het Root CA-certificaat in de Firewall

• Log in op de webinterface van de USG FLEX H. 
• Navigeer naar Systeem → Certificaat → Vertrouwde certificaten. 
• Klik op Importeren. Voer een Naam in (bijvoorbeeld ZY-Root-CA). 
• Selecteer het geëxporteerde ZY-Root-CA.cer bestand. 
• Klik op OK om het certificaat te importeren.

Opmerking: Het geïmporteerde CA-certificaat wordt gebruikt om de identiteit van de LDAPS-server te verifiëren tijdens de TLS-handshake.

Stap 6 – Installeer de rol Network Policy Server

Installeer de rol Network Policy Server (NPS) op uw Windows Server.

1. Open Serverbeheer.
2. Klik op Beheren > Rollen en functies toevoegen.
3. Selecteer Rol-gebaseerde of functie-gebaseerde installatie.
4. Selecteer de doelsserver.
5. Vouw onder Serverrollen Network Policy and Access Services uit en selecteer Network Policy Server.
6. Klik op Volgende en vervolgens op Installeren.
7. Wacht tot de installatie is voltooid en klik dan op Sluiten.

Na voltooiing van de installatie is de beheersconsole van de Network Policy Server beschikbaar onder Hulpmiddelen in Serverbeheer.

Stap 7 – Registreer de NPS-server in Active Directory

Voordat RADIUS-clients en netwerkbeleid worden geconfigureerd, registreer de NPS-server in Active Directory. Dit maakt het mogelijk dat de NPS-server gebruikersaccountinformatie kan lezen en Active Directory-gebruikers kan authenticeren.

1. Open Serverbeheer.
2. Klik op Hulpmiddelen > Network Policy Server.
3. Klik met de rechtermuisknop op NPS (Lokaal) in het linkerpaneel.
4. Selecteer Server registreren in Active Directory.
5. Klik op OK om de server te autoriseren.

Na succesvolle registratie is de NPS-server klaar om Active Directory-gebruikers te authenticeren.

Handige opdrachten voor de NPS-server

Registreer de NPS-server

netsh nps add registeredserver

Verwijder de registratie

Remove-ADGroupMember "RAS and IAS Servers" -Members "$env:COMPUTERNAME`$" -Confirm:$false

Controleer de registratie

Get-ADGroupMember "RAS and IAS Servers"

Stap 9 – Voeg de Zyxel Firewall toe als RADIUS-client

Om de Zyxel Firewall RADIUS-authenticatieverzoeken te laten versturen, voegt u deze toe als RADIUS-client op de Microsoft NPS-server.

Open Network Policy Server en navigeer naar RADIUS Clients and Servers → RADIUS Clients. Klik met de rechtermuisknop op RADIUS Clients en selecteer Nieuw.

Configureer de RADIUS-client met de volgende instellingen en klik op OK.

Instelling	Waarde
Vriendelijke naam	USG FLEX H
Adres (IP of DNS)	192.168.162.1
Vendornaam	RADIUS Standard
Gedeeld geheim	Hetzelfde gedeelde geheim als geconfigureerd op de Zyxel Firewall
Bevestig gedeeld geheim	Voer het gedeelde geheim opnieuw in

Opmerking: Het gedeelde geheim moet exact overeenkomen met de sleutel die is geconfigureerd in het RADIUS-serverprofiel van de Zyxel Firewall. Anders zal de NPS-server authenticatieverzoeken weigeren.

Stap 10 – Configureer het netwerkbeleid

1. Open Network Policy Server.
2. Ga naar Beleid → Netwerkbeleid.
3. Klik met de rechtermuisknop op Netwerkbeleid en selecteer Nieuw.
4. Klik op Toevoegen, selecteer Windows-groepen en klik op Toevoegen.

Voeg de Active Directory-groep toe die geautoriseerd wordt om te authenticeren (bijvoorbeeld VPN Users), 

Klik vervolgens op Volgende.

Stap 11 – Configureer authenticatiemethoden

Configureer de volgende authenticatiemethoden:

EAP-typen

• Microsoft: Protected EAP (PEAP)
• Microsoft: Beveiligd wachtwoord (EAP-MSCHAP v2)

Minder veilige authenticatiemethoden

Schakel in:

• Microsoft Encrypted Authentication versie 2 (MS-CHAP-v2)
• Ongecodeerde authenticatie (PAP, SPAP)

Klik op Volgende om door te gaan.

Opmerking: PAP is vereist voor SSL VPN-authenticatie met Microsoft NPS. Het uitschakelen van PAP zal SSL VPN-authenticatie doen falen.

Stap 12 – Configureer VPN-authenticatie

Controleer VPN-authenticatie

Controleer de authenticatie met beide ondersteunde VPN-clients.

SecuExtender IKEv2	SecuExtender SSL VPN

Belangrijk:
Na het aanbrengen van wijzigingen in de VPN-configuratie op de firewall, download het bijgewerkte VPN-configuratiebestand opnieuw en importeer het opnieuw in SecuExtender of OpenVPN Connect voordat u test. Het gebruik van een verouderde clientconfiguratie kan leiden tot verbindingsproblemen of onverwacht gedrag.

Probleemoplossing

• Controleer RADIUS-configuratie

show config aaa

Controleer het IP-adres van de RADIUS-server, de authenticatiepoort (1812), het gedeelde geheim en het NAS IP-adres.

• Controleer IPSec Remote Access VPN

show config vrf main ike

Controleer de authenticatieserver en toegestane gebruikers.

• Controleer SSL VPN

show config vrf main sslvpn-server

Controleer de authenticatieserver en toegestane gebruikers.

• Controleer gebruikersobjecten

show config object user-object

Controleer het gebruikers type, de authenticatieserver en de groepsidentificatie.

• Controleer connectiviteit

ping <NPS_Server_IP>

• Controleer authenticatiegebeurtenissen

Controleer Logboekviewer → Network Policy and Access Services voor authenticatieresultaten en andere belangrijke gebeurtenissen.

• Leg RADIUS-verkeer vast

Leg het verkeer op de NPS-server vast met Wireshark.

De volgende capture toont een SSL VPN-authenticatieverzoek. De aanwezigheid van het User-Password attribuut in het Access-Request pakket geeft aan dat PAP wordt gebruikt voor RADIUS-authenticatie.

De Microsoft NPS gebeurtenislog bevestigt de gebruikte authenticatiemethode (Authentication Type: PAP).