RSA SecurID是一项在允许用户登陆到微软Windows环境之前就能证明其身份的认证解决方案。有了基于微软Windows软件的RSA SecurID解决方案，无论用户是上网访问公司的网络，还是在离线状态下登陆桌面系统，作为微软系统的使用者，他们的身份都能鉴别。这项方案比静态密码的安全性更强，为用户登陆Windows环境提供简单而一致的方法，全部的登陆认证过程都可以核查。

通过 RSA SecurID 身份验证配置 VPN

在“ISA Server 管理”中配置 VPN 客户端

将 ISA Server 计算机配置为 RSA ACE/Agent

配置 EAP (RSA SecurID) 身份验证

通过 RSA SecurID 身份验证配置 VPN

针对 RSA SecurID 身份验证配置 VPN 由以下步骤组成：

· 在 ISA Server 中配置 VPN 客户端访问。要想允许远程 VPN 客户端使用 ISA Server 访问内部网络，必须启用 VPN 客户端访问。启用 VPN 客户端访问时，ISA Server 将启用一个名为“允许 VPN 客户端到防火墙”的系统策略规则，以允许初始访问。还需要指定客户端用于连接 VPN 到 ISA Server 计算机而应当使用的隧道协议，和允许的远程 VPN 客户端连接的最大数量。用户需创建一个包含想要允许其访问 VPN 的远程客户端的 VPN 客户端组，并指定将如何分配这些客户端的 IP 地址。

· 安装 RSA ACE/Server 。RSA ACE/Server 一种可管理用户身份验证过程的身份验证服务器。更多信息，请参见RSA Security 站点。

· 将 ISA Server 配置为 RSA ACE/Agent 。RSA ACE/Agent 可保护用户的内部资源。在想要使用 RSA ACE/Server 身份验证保护的每个资源上安装该代理。

· 启用系统策略规则以允许从 ISA Server 计算机到 RSA ACE/Server 计算机的访问。RSA SecurID 系统策略规则默认允许从本地主机网络（ISA Server 计算机）到内部网络的访问。默认情况下禁用该规则。用户需要启用该规则并指示一台特定的 RSA ACE/Server 计算机而非整个内部网络。

· 配置 EAP (RSA SecurID) 身份验证。用户可在“ISA Server 管理”中配置各种 VPN 身份验证方法，包括带有智能卡或其他证书的可扩展身份验证协议 (EAP)。不能使用该接口启用带有 RSA SecurID 的 EAP 身份验证。而应使用“路由和远程访问”控制台来启用带有 RSA SecurID 的 EAP 身份验证。

在“ISA Server 管理”中配置 VPN 客户端

要想配置 VPN 客户端访问，请执行以下步骤。

1.单击“ISA Server 管理”的“虚拟专用网络 (VPN)”节点。

2.在详细信息窗格中，单击“VPN 客户端”选项卡。

3.在“任务”选项卡上，单击“配置 VPN 客户端访问”。

4.在“VPN 客户端属性”对话框的“常规”选项卡上，单击“启用 VPN 客户端访问”。在“允许的 VPN 客户端最大数量”中，键入同时存在的 VPN 客户端连接的最大数量。

5.在“协议”选项卡上，选择用于连接 VPN 客户端将使用的隧道协议。选择“启用 L2TP/IPSec”。

6.如果正使用基于 Active Directory 目录服务域的身份验证，则在“组”选项卡上，单击“添加”，然后添加“VPN 客户端”域组。

注意 针对 Active Directory 身份验证在域控制器上创建一个包含 VPN 客户端的域组。

7.在“任务”选项卡上，单击“定义地址分配”。

8.在“地址分配”选项卡上，选择将用于将 IP 地址分配到远程 VPN 客户端的方法。可选择从 DHCP 服务器动态分配地址到客户端，或从静态地址池分配地址到客户端。

9.在 ISA Server 详细信息窗格中，单击“应用”以应用更改。

注意

· 启用 VPN 客户端访问时将启用一个名为“允许 VPN 客户端流量到 ISA Server”的系统策略规则。

· 有关配置 VPN 客户端访问的详细信息，请参见VPN 漫游客户端和隔离控制.

重要 可能需要在更改 VPN 配置后重新启动 ISA Server 计算机。要想查看是否需要重新启动 ISA Server 计算机，在“ISA Server 管理”中展开 ISA Server 计算机节点，单击“监视”。在详细信息窗格的“警报”选项卡上，查找显示为“需要重新启动 ISA Server 计算机”的警报。该警报的警报信息将显示为“更改 VPN 配置需要重新启动计算机”。如果看到该警报，将需要重新启动 ISA Server 计算机。

安装和配置 RSA ACE/Server

按照 RSA ACE/Server 文档中描述的方法安装 RSA ACE/Server。

将 ISA Server 计算机配置为 RSA ACE/Agent

要想将 ISA Server 计算机配置为 RSA ACE/Agent，请执行以下步骤。

· 将位于 RSA ACE/Server 计算机上 ACE\\Data 文件夹中的 Sdconf.rec 文件复制到 ISA Server 计算机上的 %windir%\\system32 文件夹中。

如果使用早于 RSA ACE/Server 5.0 的 RSA ACE/Server 版本，请执行以下步骤。

1.在 RSA ACE/Server 计算机上，单击“开始”，单击“程序”，单击“RSA/”ACE Server，然后单击“数据库管理 - 主机模式”。

2.在“代理主机”菜单上，单击“添加代理主机”。

3.在“名称”中，键入 ISA Server 计算机的名称。

4.在“网络地址”中，键入 ISA Server 计算机的 IP 地址（如果没显示）。

5.在“代理主机”中，单击“生成配置文件”，单击“一个代理主机”，单击“确定”，双击 ISA Server 计算机的名称，将 Sdconf.rec 文件保存在该计算机上的一个文件夹中。

6.将 Sdconf.rec 文件复制到 ISA Server 计算机上的 %windir%\\system32 文件夹中。

要想验证 ISA Server 可对 RSA ACE/Server 计算机进行身份验证，请执行以下步骤。

1.将安装光盘“Tools”文件夹中的 sdtest.exe 复制到 ISA Server 安装文件夹中。接着从命令提示符处键入“ISA_installation_folder\\sdtest.exe”。

2.在“RSA SecurID 身份验证信息”中，单击“直接测试 RSA ACE/Server”。

3.在“RSA SecurID 身份验证”中，在“输入用户名”和“输入密码”中分别键入用户名和密码。

4.当出现“身份验证成功”消息时单击“确定”。

启用系统策略规则以允许 ISA Server 计算机访问 RSA SecurID 服务器

RSA SecurID 系统策略规则默认允许从本地主机网络（ISA Server 计算机）到内部网络的访问。默认情况下禁用该规则。要想启用该规则并指定一台特定的 RSA ACE/Server 计算机而非内部网络，请执行以下步骤。

1.在 Microsoft ISA Server 管理控制台树中，右键单击“防火墙策略”节点，然后单击“编辑系统策略”。

2.在“配置组”列表中，单击“身份验证服务”部分的“RSA SecurID”。

3.在“常规”选项上，单击“启用”。

4.在“到”选项卡上，单击“添加”打开“添加网络实体”对话框。

5.要想将 RSA SecurID 服务器定义为一个网络实体，请执行以下操作：

1.单击“新建”菜单，然后单击“计算机”。

2.在“新建计算机规则元素”对话框的“名称”中，键入一个名称来标识 SecurID 服务器。

3.在“计算机 IP 地址”中，键入该服务器的 IP 地址。

4.还可在“描述”对话框中添加描述，然后单击“确定”。

6.在“添加网络实体”对话框的“计算机”中选择 RSA SecurID 服务器名称。单击“添加”，然后单击“关闭”。

7.在“到”选项卡上，选择“内部”，然后单击“删除”。然后单击“确定”。

8.在 ISA Server 详细信息窗格中，单击“应用”以应用新的访问规则。

配置 EAP (RSA SecurID) 身份验证

要想中止 ISA Server 控制服务，请执行以下步骤。

1.单击“开始”，单击“运行”，然后在“运行”对话框中，键入“cmd”。

2.在命令提示符窗口中，键入“net stop isactrl”。注意还将中止 ISA Server 防火墙服务 (FWSRV) 和其他依赖 isactrl 服务的 ISA Server 服务。

要想在 ISA Server 计算机上配置“路由和远程访问”，请执行以下步骤。

1.单击“开始”，指向“所有程序”，选择“管理工具”，然后单击“路由和远程访问”。

2.在“路由和远程访问”节点中，右键单击 ISA Server 计算机的名称，然后单击“属性”。

3.在“安全”选项卡上，单击“身份验证方法”。

4.在“身份验证方法”对话框中，确保启用了“可扩展身份验证协议 (EAP)”。然后单击“确定”。

5.在“路由和远程访问”节点上，单击“远程访问策略”。

6.在详细信息窗格中，双击“ISA Server 默认策略”。

7.在“设置”选项卡上，单击“编辑配置文件”。

8.在“身份验证”选项卡上，单击“EAP 方式”。

9.在“选择 EAP 提供程序”对话框中，单击“添加”。

10.在“添加 EAP”对话框中，选择“RSA SecurID”，然后关闭这些对话框。

要想重新启动 ISA Server 服务，请执行以下步骤。

1.单击“开始”，单击“运行”，然后在“运行”对话框中，键入“cmd”。

2.在命令提示符窗口中，键入以下命令：

· 键入“net start isactrl”重新启动 ISA Server 控制服务。键入“net start fwsrv”重新启动 ISA Server 防火墙服务。键入“net start isasched”重新启动 ISA Server 作业调度程序服务。无需启动路由和远程访问服务。防火墙服务重新启动时自动启动路由和远程访问服务。

现在检验尝试连接带有 RSA SecurID 身份验证的 VPN 客户端。

注意 当启用运行 Microsoft Windows Server 2003 的计算机上的 SecurID 身份验证时，网络服务帐户必须拥有以下注册表项的读取/写入权限：HKLM\\Software\\SDTI\\ACECLIENT。此外，网络服务帐户必须拥有位于 %SystemRoot%\\system32\\ 的 Sdconf.rec 文件的读取权限。