【高级篇 / ZTNA】(7.0) ❀ 05. 域用户自动安装 FortiClient (上) ❀ FortiGate 防火墙
【简介】中大型企业通常会使用Windows Server对电脑进行管理，我们可以利用Windows Server的自动安装功能，将所有电脑安装FortiClient客户端。
创建组织单位和用户
通常我们用域服务器中的组织单位来模拟现实中的分公司或部门。
① 登录Windows Server服务器，点击左下角视窗图标，弹出菜单选择【服务器管理器】。
② 在服务器管理器窗口，可以看到已经安装了ADDS域服务。选择菜单【工具】-【Active Direcotry 用户和计算机】。
③ 在Active Directory 用户与计算机窗口，鼠标右键点击域名称，弹出菜单选择【新建】-【组织单位】。
④ 输入组织单位名称，可以是分公司名称，也可以是部门名称，这里我们创建一个IT部门。
⑤ 在新建立的IT组织单位上点击鼠标右键，弹出菜单选择【新建】-【用户】。
⑥ 在新建用户窗口，姓和名可以输入中文，但是用户登录名一定是英文。
⑦ 输入两次密码，密码要求有字母、数字和符号，符号Windows Server的密码规范要求。钩选【密码永不过期】。默认【用户下次登录时须更改密码】是钩选的，为了省去麻烦，这里去掉了钩选。
⑧ 这样就在IT部门创建了一个叫张三的用户了。
⑨ 用同样的方法，我们最终在IT部门创建了三个用户。
创建用户组
Windows Server通过给用户组赋予不同的权限，来对用户进行批量管理。
① 虽然服务器默认有很多用户组，权限也各不相同，但是我们还是需要创建自己的用户组。例如需要创建一个允许通过SSL VPN登录的用户组。鼠标右键点击Users，弹出菜单选择【新建】-【组】。
② 输入组名，这里我们创建一个给SSL VPN使用的用户组。
③ SSL VPN用户组创建后，我们需要加入用户，双击SSL VPN用户组。
④ 选择【成员】字菜单，点击【添加】。
⑤ 输入登录名，点击【检查名称】。
⑥ 会找到符名输入的用户名称，点击【确定】。
⑦ 这样一个用户就加入了SSL VPN组了。
⑧ 将其它用户也加入SSL VPN组。这样就OK了。
创建组策略对象
要想每台电脑登录域服务器后能够自动安装客户端，就需要用到组策略功能。
① 回到服务器管理器界面，选择【工具】-【组策略管理】。
② 将左边目录展开，可以看到服务器默认有两个组策略对象。
③ 鼠标右键点击域名，弹出菜单选择【在这个域中创建GPO并在此处链接】。
④ 输入新的组策略名称，点击【确定】。
⑤ 点击新建的组策略，在右边安全筛选窗口上点击【添加】。
⑥ 这次我们要加入的是SSL VPN组，输入ssl，点击【检查名称】。
⑦ 查找到符合的对象，点击【确定】。
⑧ 组策略对象关于用户组这段就配置好了。
配置组策略对象
在配置组策略对象之前，我们来看看部署FortiClient有什么要求。
① 浏览器打开网址docs.fortinet.com，找到EMS管理手册，通过菜单，我们可以找到关于FortiClient部署的要求。
② 回到组策略管理界面，鼠标右键点击新建的组策略对象，弹出子菜单选择【编辑】。
③ 左边树状菜单选择【计算机配置】-【策略】-【Windows设置】-【安全设置】-【系统服务】。
④ 我们再来复习一下部署FortiClient的要求。
⑤ 找到【Task Scheduler】服务，双击进入编辑窗口。
⑥ 钩选【定义此策略设置】，服务启动模式选择【自动】，点击【确定】。
⑦ 找到【Windows Install】服务，双击进入编辑窗口。
⑧ 钩选【定义此策略设置】，服务启动模式选择【手动】，点击【确定】。之所以选择手动，而不是自动，是不希望每次电脑登录域都自动安装程序。
⑨ 找到【Remote Registry】服务，双击进入编辑窗口。
⑩ 钩选【定义此策略设置】，服务启动模式选择【自动】，点击【确定】。这样三个服务都修改完成了。
⑾ 再来看看部署FortiClient的另一个条件。
⑿ 选择【安全设置】-【高级安全Windows Defender防火墙】-【高级安全Windows Defender防火墙】-【入站规则】，鼠标右键点击，弹出菜单选择【新建规则】。
⒀ 规则类型选择【预定义】，弹出下拉窗口选择【文件和打印机共享】。
⒁ 只保留【文件和打印机共享(SMB-In)】钩选，其它去掉钩选，点击【下一步】。
⒂ 操作保持默认，点击【完成】。
⒃ 这样一条入站规则就创建好了。再次新建规则。
⒄ 规则类型选择【预定义】，弹出下拉窗口选择【远程计划任务管理】，选择【下一步】。
⒅ 只保留【远程计划任务管理(RPC)】钩选，其它去掉钩选，点击【下一步】。
⒆ 操作保持默认，点击【完成】。
⒇ 这样两条入站规则都创建好了。双击【远程计划任务管理(RPC)】。
(21) 子菜单选择【高级】，配置文件默认三项都有钩选，这里只保留域是钩选，专用和公用取消钩选，点击【确定】。
(22) 返回后可以看到远程计划任务管理(RPC)的配置文件为域，而不是所有。双击【文件和打印机共享(SMB-In)】。
(23) 子菜单选择【高级】，配置文件默认三项都有钩选，这里只保留域是钩选，专用和公用取消钩选，点击【确定】。这样新建的组策略对象就配置完成了。
(24) 选择菜单【计算机配置】-【策略】-【管理模板】-【网络】-【网络连接】-【Windows Defender 防火墙】-【域配置文件】，双击编辑【Windows Defender 防火墙：允许入站文件和打印机共享例外】。
(25) 弹出窗口选择【已启用】，输入域服务器IP，点击【确定】。这个设置是为了防止客户端防火墙阻拦FortiClient EMS的安装部署。
(26) 同样选择【Windows Defender 防火墙：允许入站远程管理例处】。
(27) 弹出窗口选择【已启用】，输入域服务器IP，点击【确定】。
(28) 最后选择【Windows Defender 防火墙：允许ICMP例外】。
(29) 弹出窗口选择【已启用】，只钩选【允许传入回显请求】，点击【确定】。组策略对象就全部配置完了。
启用组策略对象
新的组策略对象创建好后，就要配置启动了。
① 回到组策略管理窗口，选择新建的组策略对象，右边窗口选择子菜单【设置】，可以看到所有配置的内容。
② 点击左边窗口域名，右边窗口选择【链接的组策略对象】，可以看到有两个组策略对象，一个是默认的，一个是新建的，由于匹配顺序是从上到下，我们要象优先执行新建的组策略对象，就必须将新建的组策略对象移到最上面。选择默认组策略对象，点击下移箭头。
③ 这样新建的FortiClient安装组策略对象就在最上层，也就会优先执行了。
④ 通常新修改的内容会在一段时间后才起作用，着急的话，也可以在DOS命令窗口输入gpupdate /force命令强制更新。
客户端验证
有没有效果，可以用客户端登录域来验证一下。
① 这里是一台已经登录域的Windows 10电脑。
② 由于域服务器的组策略进行了更改，客户端可以退出，再重新登录，也可以在DOS窗口用命令gpresult /H gpresult.html进行更新。
③ 在查询栏输入service，自动找到服务应用程序，点击【打开】。
④ 在服务窗口，找到【Task Scheduler】，可以看到启动类型为【自动】。
⑤ 在服务窗口，找到【Windows Installer】，可以看到启动类型为【手动】。
⑥ 在服务窗口找到【Remote Registry】，可以看到启动类型为【自动】。
⑦ 在查询栏输入firewall，选择【Windows Defender 防火墙】，点击【打开】。
⑧ 选择【允许应用或功能通过Windows Defender 防火墙】。
⑨ 找到【文件和打印机共享】，可以看到是通过组策略配置的。
⑩ 找到【远程计划任务管理】，可以看到是通过组策略配置的。这样所有的组策略配置都在终端上实现了。
