【高级篇 / ZTNA】(7.0) ❀ 05. 域用户自动安装 FortiClient (上) ❀ FortiGate 防火墙

　　【简介】中大型企业通常会使用Windows Server对电脑进行管理，我们可以利用Windows Server的自动安装功能，将所有电脑安装FortiClient客户端。

---

  创建组织单位和用户

　　通常我们用域服务器中的组织单位来模拟现实中的分公司或部门。

　　① 登录Windows Server服务器，点击左下角视窗图标，弹出菜单选择【服务器管理器】。

　　② 在服务器管理器窗口，可以看到已经安装了ADDS域服务。选择菜单【工具】-【Active Direcotry 用户和计算机】。

　　③ 在Active Directory 用户与计算机窗口，鼠标右键点击域名称，弹出菜单选择【新建】-【组织单位】。

　　④ 输入组织单位名称，可以是分公司名称，也可以是部门名称，这里我们创建一个IT部门。

 　　⑤ 在新建立的IT组织单位上点击鼠标右键，弹出菜单选择【新建】-【用户】。

　　⑥ 在新建用户窗口，姓和名可以输入中文，但是用户登录名一定是英文。

 　　⑦ 输入两次密码，密码要求有字母、数字和符号，符号Windows Server的密码规范要求。钩选【密码永不过期】。默认【用户下次登录时须更改密码】是钩选的，为了省去麻烦，这里去掉了钩选。

　　⑧ 这样就在IT部门创建了一个叫张三的用户了。

　　⑨ 用同样的方法，我们最终在IT部门创建了三个用户。

   创建用户组

　　Windows Server通过给用户组赋予不同的权限，来对用户进行批量管理。

　　① 虽然服务器默认有很多用户组，权限也各不相同，但是我们还是需要创建自己的用户组。例如需要创建一个允许通过SSL VPN登录的用户组。鼠标右键点击Users，弹出菜单选择【新建】-【组】。

　　② 输入组名，这里我们创建一个给SSL VPN使用的用户组。

　　③ SSL VPN用户组创建后，我们需要加入用户，双击SSL VPN用户组。

　　④ 选择【成员】字菜单，点击【添加】。

　　⑤ 输入登录名，点击【检查名称】。

　　⑥ 会找到符名输入的用户名称，点击【确定】。

　　⑦ 这样一个用户就加入了SSL VPN组了。

　　⑧ 将其它用户也加入SSL VPN组。这样就OK了。

   创建组策略对象

　　要想每台电脑登录域服务器后能够自动安装客户端，就需要用到组策略功能。

　　① 回到服务器管理器界面，选择【工具】-【组策略管理】。

　　② 将左边目录展开，可以看到服务器默认有两个组策略对象。

　　③ 鼠标右键点击域名，弹出菜单选择【在这个域中创建GPO并在此处链接】。

　　④ 输入新的组策略名称，点击【确定】。

　　⑤ 点击新建的组策略，在右边安全筛选窗口上点击【添加】。

　　⑥ 这次我们要加入的是SSL VPN组，输入ssl，点击【检查名称】。

　　⑦ 查找到符合的对象，点击【确定】。

　　⑧ 组策略对象关于用户组这段就配置好了。

  配置组策略对象

　　在配置组策略对象之前，我们来看看部署FortiClient有什么要求。

　　① 浏览器打开网址docs.fortinet.com，找到EMS管理手册，通过菜单，我们可以找到关于FortiClient部署的要求。

　　② 回到组策略管理界面，鼠标右键点击新建的组策略对象，弹出子菜单选择【编辑】。

　　③ 左边树状菜单选择【计算机配置】-【策略】-【Windows设置】-【安全设置】-【系统服务】。

　　④ 我们再来复习一下部署FortiClient的要求。

　　⑤ 找到【Task Scheduler】服务，双击进入编辑窗口。

　　⑥ 钩选【定义此策略设置】，服务启动模式选择【自动】，点击【确定】。

　　⑦ 找到【Windows Install】服务，双击进入编辑窗口。

　　⑧ 钩选【定义此策略设置】，服务启动模式选择【手动】，点击【确定】。之所以选择手动，而不是自动，是不希望每次电脑登录域都自动安装程序。

　　⑨ 找到【Remote Registry】服务，双击进入编辑窗口。

　　⑩ 钩选【定义此策略设置】，服务启动模式选择【自动】，点击【确定】。这样三个服务都修改完成了。

 　　⑾ 再来看看部署FortiClient的另一个条件。

　　⑿ 选择【安全设置】-【高级安全Windows Defender防火墙】-【高级安全Windows Defender防火墙】-【入站规则】，鼠标右键点击，弹出菜单选择【新建规则】。

　　⒀ 规则类型选择【预定义】，弹出下拉窗口选择【文件和打印机共享】。

　　⒁ 只保留【文件和打印机共享(SMB-In)】钩选，其它去掉钩选，点击【下一步】。

　　⒂ 操作保持默认，点击【完成】。

　　⒃ 这样一条入站规则就创建好了。再次新建规则。

　　⒄ 规则类型选择【预定义】，弹出下拉窗口选择【远程计划任务管理】，选择【下一步】。

　　⒅ 只保留【远程计划任务管理(RPC)】钩选，其它去掉钩选，点击【下一步】。

　　⒆ 操作保持默认，点击【完成】。

　　⒇ 这样两条入站规则都创建好了。双击【远程计划任务管理(RPC)】。

　　(21) 子菜单选择【高级】，配置文件默认三项都有钩选，这里只保留域是钩选，专用和公用取消钩选，点击【确定】。

　　(22) 返回后可以看到远程计划任务管理(RPC)的配置文件为域，而不是所有。双击【文件和打印机共享(SMB-In)】。

　　(23) 子菜单选择【高级】，配置文件默认三项都有钩选，这里只保留域是钩选，专用和公用取消钩选，点击【确定】。这样新建的组策略对象就配置完成了。

　　(24) 选择菜单【计算机配置】-【策略】-【管理模板】-【网络】-【网络连接】-【Windows Defender 防火墙】-【域配置文件】，双击编辑【Windows Defender 防火墙：允许入站文件和打印机共享例外】。

　　(25) 弹出窗口选择【已启用】，输入域服务器IP，点击【确定】。这个设置是为了防止客户端防火墙阻拦FortiClient EMS的安装部署。

　　(26) 同样选择【Windows Defender 防火墙：允许入站远程管理例处】。

　　(27) 弹出窗口选择【已启用】，输入域服务器IP，点击【确定】。

　　(28) 最后选择【Windows Defender 防火墙：允许ICMP例外】。

　　(29) 弹出窗口选择【已启用】，只钩选【允许传入回显请求】，点击【确定】。组策略对象就全部配置完了。

   启用组策略对象

　　新的组策略对象创建好后，就要配置启动了。

　　① 回到组策略管理窗口，选择新建的组策略对象，右边窗口选择子菜单【设置】，可以看到所有配置的内容。

　　② 点击左边窗口域名，右边窗口选择【链接的组策略对象】，可以看到有两个组策略对象，一个是默认的，一个是新建的，由于匹配顺序是从上到下，我们要象优先执行新建的组策略对象，就必须将新建的组策略对象移到最上面。选择默认组策略对象，点击下移箭头。

　　③ 这样新建的FortiClient安装组策略对象就在最上层，也就会优先执行了。

　　④ 通常新修改的内容会在一段时间后才起作用，着急的话，也可以在DOS命令窗口输入gpupdate /force命令强制更新。

   客户端验证

　　有没有效果，可以用客户端登录域来验证一下。

　　① 这里是一台已经登录域的Windows 10电脑。

　　② 由于域服务器的组策略进行了更改，客户端可以退出，再重新登录，也可以在DOS窗口用命令gpresult /H gpresult.html进行更新。

　　③ 在查询栏输入service，自动找到服务应用程序，点击【打开】。

　　④ 在服务窗口，找到【Task Scheduler】，可以看到启动类型为【自动】。

　　⑤ 在服务窗口，找到【Windows Installer】，可以看到启动类型为【手动】。

　　⑥ 在服务窗口找到【Remote Registry】，可以看到启动类型为【自动】。

　　⑦ 在查询栏输入firewall，选择【Windows Defender 防火墙】，点击【打开】。

　　⑧ 选择【允许应用或功能通过Windows Defender 防火墙】。

　　⑨ 找到【文件和打印机共享】，可以看到是通过组策略配置的。

　　⑩ 找到【远程计划任务管理】，可以看到是通过组策略配置的。这样所有的组策略配置都在终端上实现了。

---