Microsoft Windows Server 2003 – Quarantänesteuerung

Links zu verwandten Themen • Engl. Originalversion dieses Artikels Download Artikel im Word-Format quarantine.doc Microsoft Word-Datei Viewer für Office-Dateien downloaden Artikel im PDF-Format quarantine.pdf PDF-Datei Adobe Acrobat Reader downloaden

Auf dieser Seite

	Einleitung
	Wie die RAS-Quarantäne arbeitet
	Wie die RAS-Quarantänesteuerung bereitgestellt wird
	Alternative Konfigurationen
	Anhang A - Beispiel-Quarantäne-Script
	Anhang B - Anforderungen für die Quarantänesteuerung
	Zusammenfassung
	Weitere Links zum Thema

Einleitung

Typische RAS-Verbindungen prüfen nur die Berechtigung des RAS-Benutzers. Daher kann der Computer, der mit dem privaten Netzwerk verbunden ist, oftmals auch dann auf Netzwerkressourcen zugreifen, wenn er nicht der Netzwerkrichtlinie der Organisation entspricht. Ein RAS-Benutzer könnte sich zum Beispiel über einen Computer verbinden, der die folgenden Mängel aufweist:

Trotz aller Erfolge bei der Durchsetzung der Netzwerkrichtlinie für die internen Computer kann es sein, dass die Computer bei den Benutzern zu Hause weiterhin ein Risiko darstellen.

Das Quarantänesteuerungs-Feature von Microsoft® Windows Server 2003 verzögert den normalen Netzwerkzugriff auf ein privates Netzwerk, bis die Konfiguration des RAS-Computers durch ein administratives Script überprüft wurde. Wenn ein RAS-Computer eine Verbindung zum RAS-Server initiiert, wird der Benutzer authentifiziert und dem RAS-Computer wird eine IP-Adresse zugewiesen. Die Verbindung wird auf einen Quarantänemodus gesetzt. In diesem ist der Netzwerkzugriff eingeschränkt. Ein administratives Script wird auf dem RAS-Computer ausgeführt. Wenn das Script dem RAS-Server mitteilt, dass es erfolgreich ausgeführt wurde und der RAS-Client den aktuellen Netzwerkrichtlinien entspricht, wird der Quarantänemodus aufgehoben und der RAS-Computer erhält einen normalen Remotezugriff.

Die folgenden Quarantänebeschränkungen werden für die RAS-Verbindungen angewandt:

Sie können entweder nur eine dieser Einschränkungen nutzen oder beide zusammen.

Die Quarantänesteuerung ist keine Sicherheitslösung. Sie wurde entwickelt, um zu vermeiden, dass Computer mit unsicheren Konfigurationen sich mit einem privaten Netzwerk verbinden - nicht, um ein privates Netzwerk vor böswilligen Benutzern mit gültigen Berechtigungen zu schützen.

Um zu verstehen, wie die Quarantänesteuerung arbeitet, werfen wir erst einen Blick auf die normale RAS-Konfiguration und schauen uns dann die Quarantänenkonfiguration an.

Windows RAS-Komponenten

Abbildung 1 zeigt die RAS-Komponenten von Windows bei einer Verwendung der RADIUS-Authentifizierung.

Abbildung 1: Windows RAS-Komponenten

Die gezeigte Konfiguration setzt sich aus den folgenden Komponenten zusammen:

Komponenten der Quarantänesteuerung

Abbildung 2 zeigt die Komponenten von Windows-RAS mit Quarantänesteuerung bei einer Verwendung der RADIUS-Authentifizierung.

Abbildung 2: Komponenten von Windows RAS mit Quarantänesteuerung

Die gezeigte Konfiguration setzt sich aus den folgenden Komponenten zusammen:

RAS-Clients, die mit der Quarantänesteuerung kompatibel sind

Der RAS-Client muss eins der folgenden Betriebssysteme verwenden:

Diese Windows-Versionen unterstützen Verbindungs-Manager-Profile (VM-Profile) die mit dem Verbindungs-Manager-Verwaltungskit (VMVK) von Windows Server 2003 erstellt worden sind. Ein VM-Profil enthält folgende Informationen:

Mit der Quarantänesteuerung kompatibler RAS-Server

Die folgenden Anforderungen gelten für einen mit der Quarantänesteuerung kompatiblen RAS-Server:

Wenn Sie Rqc.exe und Rqs.exe verwenden, enthält die von Rqc.exe gesendete Nachricht eine Zeichenkette mit der Version des ausgeführten Scripts. Diese Zeichenkette wird für Rqc.exe als Parameter angegeben. Rqs.exe vergleicht sie mit den in der Registrierung des RAS-Servers gespeicherten Zeichenketten. Wenn diese übereinstimmen, wird die Quarantäne aufgehoben. Ein Beispiel hierzu finden Sie im Abschnitt Wie die RAS-Quarantänesteuerung bereitgestellt wird diese Whitepapers.

Routing und RAS kann für eine Windows- oder RADIUS-Authentifizierung konfiguriert werden. Die in Abbildung 2 gezeigte Konfiguration verwendet eine RADIUS-Authentifizierung.

Mit der Quarantänesteuerung kompatibler RADIUS-Server (optional)

Wenn Sie die RADIUS-Authentifizierung verwenden, benötigen Sie einen RADIUS-Server unter Windows Server 2003, der mit der Quarantänesteuerung kompatibel ist. Außerdem ist ein IAS-Server notwendig, der die RADIUS-Attribute MS-Quarantine-IPFilter und MS-Quarantine-Session-Timeout unterstützt.

Quarantäne-Ressourcen

Quarantäne-Ressourcen sind die Server, auf die ein RAS-Client im Quarantänemodus für eine Namensauflösung zugreifen kann (zum Beispiel DNS-Server), über die der Client das aktuelle VM-Profil beziehen kann (Dateiserver, die einen anonymen Zugriff gestatten) und über die der Client Anweisungen und Komponenten zur Konfiguration nach der Netzwerkrichtlinie erlangt (Webserver, die einen anonymen Zugriff gestatten).

Kontendatenbanken

In Windows Server 2003 oder Windows 2000 basierten Netzwerken wird Active Directory als Kontendatenbank verwendet. Es können allerdings auch Windows NT 4.0 Domänen verwendet werden.

Quarantäne-RAS-Richtlinie

Sie müssen eine Quarantäne-RAS-Richtlinie mit den für RAS-Verbindungen erforderlichen Bedingungen und Profileinstellungen und den MS-Quarantine-IPFilter- und MS-Quarantine-Session-Timeout-Attributen definieren (über die Registerkarte Erweitert des Profils).

Sie können das MS-Quarantine-IPFilter-Attribut für die Erstellung von Eingangs- und Ausgangs-Paketfiltern verwenden. Diese sollten nur den folgenden Verkehr erlauben:

Sie können das MS-Quarantine-Session-Timeout-Attribut verwenden, um festzulegen, wie lange der RAS-Server auf die Benachrichtigung durch das Script wartet, bevor er die Verbindung trennt.

Wenn die Quarantäne-RAS-Richtlinie die einzige Richtlinie für RAS-Verbindungen ist, wird die Prüfung für alle RAS-Clients durchgeführt. Alle Clients, die der Netzwerkrichtlinie nicht entsprechen, sind nicht in der Lage, einen normalen Netzwerkzugriff zu erlangen. Sie werden stattdessen im Quarantänemodus gehalten. Wenn eine Zeitgrenze für Quarantäne-Verbindungen definiert wurde, wird die Verbindung nach diesem Zeitraum getrennt.

Wenn Sie eine Mischung aus Quarantäne- und Nicht-Quarantäne-Clients unterstützten möchten, können Sie eine Gruppe für die Nicht-Quarantäne-Clients erstellen. Danach erstellen Sie eine gruppenbasierte RAS-Richtlinie ohne Quarantäneeinschränkungen für diese Gruppe. Weitere Informationen hierzu finden Sie im Abschnitt EineAusnahme-RAS-Richtlinie verwenden dieses Whitepapers.

Zum Seitenanfang

Wie die RAS-Quarantäne arbeitet

Der folgende Prozess zeigt, wie die Quarantänesteuerung in dem in Abbildung 2 gezeigten Beispiel arbeitet:

Zum Seitenanfang

Wie die RAS-Quarantänesteuerung bereitgestellt wird

Bei den hier gegebenen Anweisungen wird folgendes vorausgesetzt:

Wenn Sie eine andere Benachrichtigungskomponente, Listener-Komponente oder ein anderes Einwahlprogramm verwenden, ersetzten Sie wenn notwendig deren Konfiguration und Bereitstellungsverfahren.

Die grundlegenden Schritte in der Bereitstellung eine Quarantänesteuerung sind:

Quarantäne-Ressourcen erstellen

Um den RAS-Clients im Quarantänemodus einen Zugriff auf die entsprechenden Ressourcen zu ermöglichen, müssen Sie entsprechende Server einrichten und konfigurieren. Im Einzelnen sind das:

Sie können die Quarantänen-Ressourcen auf eine der folgenden Arten bereitstellen:

Ein Script oder Programm zur Prüfung der Clientkonfiguration erstellen

Das Script kann zum Beispiel eine ausführbare Datei (*.exe) oder einfach nur eine Batch-Datei (*.cmd oder *.bat) sein. Es führt einen Reihe von Tests durch, um sicherzustellen, dass der RAS-Client den Netzwerkrichtlinien entspricht. Wenn alle Tests erfolgreich durchgeführt wurden, muss das Script Rqc.exe mit den folgenden Parametern starten:

rqc VerbName TunnelVerbName TCPPort Domaene Benutzername ScriptVersion

Die Parameter haben die folgenden Bedeutungen:

Ein Beispiel zur Verwendung von Rqc.exe in einem Script finden Sie in Anhang A.

Wenn der RAS-Client den Richtlinien nicht entspricht, kann das Script den Benutzer auf eine Webseite mit weiteren Anweisungen umleiten. Wenn eine ungültige Script-Version verwendet wird, kann das Script den Benutzer zu einem aktuelleren VM-Profil auf eine Freigabe oder Webseite umleiten.

Rqs.exe auf dem RAS-Server installieren

Der Remote Access Quarantine Agent Service (Rqs.exe) muss auf allen Windows Server 2003 RAS-Servern installiert sein. Dies können Sie über die Datei Rqs_setup.bat aus dem Ordner Programme\Windows Server 2003 Resource Kit durchführen. Rqs_setup.bat kopiert die entsprechenden Dateien und passt die Registrierungseinstellungen an. Danach wird Rqs.exe automatisch als Dienst gestartet.

Ein Teil in der Einrichtung von Rqs.exe ist die Angabe der Script-Versionen. Diese müssen mit den Script-Versionen, die als Parameter für Rqc.exe über das Quarantäne-Script angegeben werden, übereinstimmen. Hierzu können Sie entweder die Registrierung manuell anpassen oder die Datei Rqs_setup.bat vor deren Ausführung so bearbeiten, dass diese gleich die passenden Registrierungseinstellungen vornimmt. Bei allen weiteren Änderungen der Script-Versionen müssen Sie die Registrierung aber auf jeden Fall manuell bearbeiten.

Das folgende Verfahren geht davon aus, dass Sie die Datei Rqs_setup.bat vor deren Ausführung mit den passenden Script-Versionen angepasst haben. Um Rqs.exe auf einem Windows Server 2003 RAS-Server zu installieren und zu konfigurieren führen Sie die folgenden Aktionen durch:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\rqs\AllowedSet

Standardmäßig wartet Rqs.exe auf Benachrichtigungen auf TCP-Port 7250. Um den Standardport zu ändern, tragen Sie diesen unter dem folgenden Schlüssel ein:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\rqs\Port

Stellen Sie aber sicher, dass Rqc.exe seine Benachrichtigungen auch an diesen Port sendet.

Ein neues Quarantäne-VM-Profil mit dem Windows Server 2003 VMVK erstellen

Ein Quarantäne-VM-Profil ist ein einfaches RAS-VM-Profil für einen DFÜ- oder VPN-Zugriff mit den folgenden Erweiterungen:

Weitere Informationen zur Verwendung des VMVK finden Sie in im Hilfe und Supportcenter von Windows Server 2003.

Die folgenden Anweisungen geben Ihnen ein Beispiel für diese beiden Vorgänge. Es handelt sich jedoch nicht um eine Schritt-für-Schritt-Anweisung zur Erstellung eines kompletten Profils. Informationen zum Erstellen eines Profils finden Sie ebenfalls im Windows Server 2003 Hilfe und Supportcenter.

Um die Quarantäne-Einstellungen des VM-Profils zu konfigurieren, gehen Sie wie folgt vor:

Das Profil auf den RAS-Clients installieren

Nachdem das VM-Profil erstellt wurde, muss es auf die Clients verteilt und dort installiert werden. Das Profil selbst ist eine ausführbare Datei, die auf dem Client ausgeführt werden muss. Zu Verteilung gibt es mehrere Verfahren:

Außerdem sollten Sie das Profil in einer Freigabe oder Webseite Ihrer Quarantäne-Ressourcen zur Verfügung stellen. So können sich die Client mit alten Profilen das aktuelle Profil herunterladen.

Eine Quarantänen-RAS-Richtlinie konfigurieren

Wenn Routing und RAS für eine Windows-Authentifizierung konfiguriert ist, erstellen Sie die Quarantänen-RAS-Richtlinie mit dem Routing und RAS-Snap-In auf dem RAS-Server. Wenn Sie die RADIUS-Authentifizierung verwenden, konfigurieren Sie die Richtlinie mit dem Internet Authentication Service Snap-In auf dem IAS-Server.

Um eine Richtlinie zu konfigurieren, erstellen Sie als erstes eine RAS-Richtlinie für einen normalen Zugriff. Passen Sie diese Richtlinie dann an. Fügen Sie danach über die Registerkarte Erweitert der Profileigenschaften die Attribute MS-Quarantine-Session-Timeout und MS-Quarantine-IPFilter hinzu.

Beim folgenden Beispiel handelt es sich um eine RAS-Richtlinie für einen VPN-Zugriff ohne angepasste oder herstellerspezifische Attribute. Alle Dateien für die Installation auf dem Client stehen über eine Webseite zur Verfügung:

Wenn Sie RADIUS verwenden, kopieren Sie anschließend die Richtlinie auf die anderen IAS-Server oder erstellen auf diesen weitere Richtlinien. Weitere Informationen finden Sie unter dem Suchbegriff Die IAS-Konfiguration auf einen anderen Server kopieren im Hilfe und Supportcenter von Windows Server 2003.

Zum Seitenanfang

Alternative Konfigurationen

Dieser Abschnitt bespricht die folgenden alternativen Quarantänesteuerungs-Konfigurationen:

Eine Ausnahme-RAS-Richtlinie verwenden

Wie bereits beschrieben, müssen nach der Erstellung einer Quarantäne-Richtlinie alle RAS-Clients ein VM-Profil verwenden und das Quarantäne-Script ausführen. Wenn ein Client diesen Anforderungen nicht entspricht, bleibt seine Verbindung im Quarantänemodus und wird möglicherweise nach einem bestimmten Zeitraum getrennt.

Auch wenn es ideal wäre, wenn alle Benutzer ein Quarantäne-Script verwenden, kann es doch sein, dass dies nicht möglich ist. In diesem Fall können Sie für solche Benutzer eine separate Richtlinie erstellen. Bevor Sie so eine Ausnahmerichtlinie erstellen, müssen Sie eine Ausnahmegruppe erstellen und die entsprechenden Benutzer und Gruppen in diese Gruppe aufnehmen.

Danach erstellen Sie eine RAS-Richtlinie, die diese Gruppe verwendet, und konfigurieren diese mit denselben Einstellungen wie die Quarantäne-Richtlinie. Lassen Sie jedoch die Attribute MS-Quarantine-IPFilter und MS-Quarantine-Session-Timeout weg. Verschieben Sie die neue Richtlinie so, dass sie vor der Quarantäne-Richtlinie geprüft wird.

Anwendungsverzögerung im Quarantänemodus verringern

Wie bereits erwähnt, vergrößert ein Quarantäne-Script die Zeit zwischen dem erfolgreichen Verbindungsaufbau und dem vollständigen Netzwerkzugriff. Diese Verzögerung hängt davon ab, wie lange es dauert, das Script auszuführen, die Benachrichtigung zu senden und die Quarantänebeschränkungen aufzuheben. Es könnte sein, dass Anwendungen sofort nach dem Verbindungsaufbau versuchen, über diese Verbindung zu arbeiten. Wenn die Quarantäne-Filter den Verkehr durch diese Anwendungen nicht enthalten, dann kann es zu Problemen mit diesen Anwendungen kommen.

Ein Workaround ist das Erstellen von Eingangsfiltern für diese Anwendungen. Der Nachteil dieser Methode ist jedoch der möglicherweise recht hohe Aufwand bei der Suche nach solchen Anwendungen und der Umsetzung der Filter. Außerdem empfiehlt Microsoft, die Zahl der Filter möglichst gering zu halten.

Alternativ stehen Ihnen die folgenden Möglichkeiten zu Verfügung, die Verzögerung ohne weitere Filter zu verringern:

Ausschließliche Verwendung der Sitzungs-Zeitbeschränkung

Bei dieser Konfiguration wird das MS-Quarantine-Session-Timeout-Attribut verwendet, das MS-Quarantine-IPFilter-Attribut jedoch nicht. Der Client hat sofort normalen Zugriff auf das Netzwerk. Er wird nicht durch Filter eingeschränkt, muss jedoch noch immer eine Benachrichtigung über die Einhaltung der Netzwerkrichtlinien senden. Wenn er dies nicht einhält, wird die Verbindung nach wie vor getrennt.

Die Vorteile einer solchen Konfiguration bestehen darin, dass Sie keinen Paketfilter konfigurieren müssen und dass es zu keiner Verzögerung für Anwendungen kommt. Der RAS-Zugriff findet statt, als ob es keine Quarantäne gäbe. Dies ist auch gleichzeitig der Nachteil. Der Client hat uneingeschränkten Zugriff auf das Netzwerk - auch wenn er den Netzwerkrichtlinien nicht entspricht. Er könnte dem Netzwerk so Schaden zufügen.

Sofortige Benachrichtigung

Bei dieser Konfiguration führt das Quarantäne-Script Rqc.exe aus, bevor die Tests durchgeführt wurden. Die Beschränkungen werden entfernt und der Client hat sofort einen uneingeschränkten Zugriff. Wenn das Script dann im Nachhinein Probleme mit der Konfiguration des Clients feststellt, kann es den Benutzer benachrichtigen und die Verbindung nach einem bestimmten Zeitraum trennen.

Vorteil dieser Konfiguration ist die fehlende Anwendungsverzögerung. Nachteil einer solchen Konfiguration ist der normale Zugriff des Clients auf das Netzwerk, den dieser auch erlangt, wenn er den Netzwerk-Richtlinien nicht entspricht.

Globale Verteilung von Quarantäne-Ressourcen

In einem großen Unternehmen kann es nützlich sein, Quarantäne-Ressourcen abhängig von regionalen, geographischen oder Bandbreiten-Überlegungen mehrfach bereitzustellen. Wenn Ihre Quarantäne-Ressourcen zum Beispiel nur in New York verfügbar sind, müssen die Benutzer aus Australien über das WAN des Unternehmens auf diese Ressourcen zugreifen. Wenn Sie mehrere regionale Ressourcen einrichten, müssen Sie das Quarantäne-Script so anpassen, dass es auf die entsprechenden lokalen Ressourcen in der Nähe des RAS-Servers zugreift.

Um festzustellen, welche Quarantäne-Ressourcen verwendet werden sollten, können Sie verschiedene Verbindungs-Manager-Variablen im Quarantäne-Script verwenden (zum Beispiel %ConnectionType%, %PopName% oder %TunnelServerAddress%). Weitere Informationen zu den verwendbaren Variablen finden Sie mit dem Suchbegriff angepasste Aktionen im Windows Server 2003 Hilfe und Supportcenter.

Zum Seitenanfang

Anhang A - Beispiel-Quarantäne-Script

Dieses Beispiel soll Ihnen einen Rahmen für ein Test-Script bieten. Es wird über den folgenden Kommandozeilenbefehl gestartet:

script.bat %DialRasEntry% %TunnelRasEntry% %Domain% %UserName%

Auf den Wert von %DialRasEntry% können Sie in der Batchdatei über die Variable %1 zugreifen. %TunnelRasEntry% ist Variable %2, %Domain% ist Variable %3 und %UserName% ist Variable %4.

@echo off
echo    RAS Connection = %1
echo Tunnel Connection = %2
echo            Domain = %3
echo         User Name = %4
set MYSTATUS=
REM 
REM  Network policy compliance tests
REM
REM
REM  Check if Internet Connection Firewall is enabled.
REM  Set ICFCHECK to 1 if it is (pass).
REM  Set ICFCHECK to 2 if it is not (fail).
REM
REM
REM  Check if Virus checker is running and has correct signature file installed.
REM  Set VIRCHECK to 1 if it is (pass).
REM  Set VIRCHECK to 2 if it is not (fail).
REM
REM
REM  Based on the test results, run Rqc.exe.
REM
if '%ICFCHECK%' == '2' goto :TESTFAIL
if '%VIRCHECK%' == '2' goto :TESTFAIL
rqc.exe %1 %2 7250 %3 %4 Version1
REM %1 = %DialRasEntry%
REM %2 = %TunnelRasEntry% 
REM 7250 is the TCP port on which Rqs.exe is listening
REM %3 = %Domain% 
REM %4 = %UserName%
REM Version1 is the script version string
REM
REM  Print out the status
REM
if '%ERRORLEVEL%' == '0' (
      set MYERRMSG=Success!
) else if '%ERRORLEVEL%' == '1' (
      set MYERRMSG=Unable to contact remote access gateway. Quarantine support may be disabled.
) else if '%ERRORLEVEL%' == '2' (
      set MYERRMSG=Access denied. Please install the Connection Manager profile from 
http://www.corpnet.example.com/remote_access_tshoot.asp and reconnect.
) else (
      set MYERRMSG=Unknown failure. The client will remain in quarantine mode.
)
echo %MYERRMSG%
goto :EOF
:TESTFAIL
echo 
echo Your computer has failed network compliance tests. Either 
echo Internet Connection Firewall is not enabled or you do not 
echo have the correct virus-checking program with the current 
echo signature file loaded. For information about how to configure 
echo or install these components, see
echo http://www.corpnet.example.com/remote_access_tshoot.asp.
echo
:EOF

Zum Seitenanfang

Anhang B - Anforderungen für die Quarantänesteuerung

Die Quarantänesteuerung stellt die folgenden Anforderungen:

Zum Seitenanfang

Zusammenfassung

Die Quarantänesteuerung ist ein erweitertes Feature von Windows Server 2003, das Ihnen die Möglichkeit bietet, den vollständigen Zugriff auf das Netzwerk zu verzögern, bis der RAS-Client auf die Einhaltung aller Netzwerkrichtlinien geprüft wurde. Die Quarantänesteuerung verwendet ein VM-Profil mit einem eingebetteten Script und einer Benachrichtigungskomponente, eine Listener-Komponenten die auf einem Windows Server 2003 RAS-Server ausgeführt wird und eine Quarantänen-RAS-Richtlinien. Sie müssen Quarantäne-Ressourcen, ein Quarantäne-Script, die Listener-Komponente auf dem RAS-Server, das VM-Quarantänenprofil und eine Quarantänen-RAS-Richtlinie erstellen und installieren.

Zum Seitenanfang

Weitere Links zum Thema

Aktuelle Informationen zu Windows Server 2003 finden Sie auf der Windows Server 2003 Webseite unter http://www.microsoft.com/germany/windowsserver2003/.

Zum Seitenanfang