The Cable Guy - April 2004
Konfiguration von Routing- und RAS für eine RADIUS-Authentifizierung und -Kontoführung
Der Routing und RAS-Dienst (RRAS-Dienst) von Microsoft Windows Server 2003 unterstützt zwei unterschiedliche Authentifizierungsprovider: Windows-Authentifizierung und RADIUS-Authentifizierung. Auch zur Kontoführung kann der RRAS-Dienst zwei unterschiedliche Provider nutzen: Windows-Kontenführung und RADIUS-Kontenführung. In dieser Ausgabe seiner Kolumne konzentriert sich der Cable Guy ganz auf die jeweils zweite Option, den RADIUS-Provider. Kurz, knapp und zielgenau beschreibt er, wie Sie den RRAS-Dienst für eine RADIUS-basierte Authentifizierung und Kontoführung konfigurieren.
DownloadArtikel im Word-Format
Artikel im PDF-Format
|
Auf dieser Seite
Einleitung
Der Routing und RAS-Dienst von Microsoft® Windows® ServerT 2003 (im Folgenden nur noch RRAS-Dienst genannt) unterstützt zwei unterschiedliche Authentifizierungsprovider:
| • | Windows-Authentifizierung: Zur Authentifizierung von Benutzern verwendet der RRAS-Dienst hier die lokalen Konten von Windows Server 2003, die Konten einer Active Directory-Domäne oder eine Windows NT® 4.0-Domäne. Zur Autorisierung von Verbindungsversuchen verwendet der Dienst die Eigenschaften von Benutzerkonten und RAS-Richtlinien. |
| • | RADIUS-Authentifizierung: Bei dieser Authentifizierung verwendet der RRAS-Dienst einen RADIUS-Server (Remote Authentication Dial-In User Service), sowohl zur Authentifizierung von Benutzern als auch zur Autorisierung von Verbindungsversuchen. |
Auch zur Kontoführung kann der RRAS-Dienst zwei unterschiedliche Provider nutzen:
| • | Windows-Kontenführung: Der RRAS-Dienst protokolliert Kontoinformationen für Verbindungen in Protokolldateien, die über das Snap-In Routing- und RAS konfiguriert werden. |
| • | RADIUS-Kontenführung: Der RRAS-Dienst sendet die Kontoinformationen an einen RADIUS-Server. |
Die Authentifizierungs- und Kontoführungsprovider können Sie im Snap-In Routing- und RAS über die Registerkarte Sicherheit in den Eigenschaften des Servers auswählen.
Wie die Abbildung zeigt, können Sie den Authentifizierungs- und Kontoführungsanbieter getrennt konfigurieren. Sie können also zum Beispiel eine Windows-Authentifizierung und eine RADIUS-Kontoführung nutzen.
Nachdem Sie den RADIUS-Authentifizierungsprovider oder den RADIUS-Kontoführungsprovider ausgewählt haben, können Sie mit den beiden Schaltern Konfigurieren einen oder mehrere RADIUS-Server angeben.
Sie haben die Möglichkeit, unterschiedliche Server zur Authentifizierung und Kontoführung zu nutzen.
RADIUS-Server für die Authentifizierung und Autorisierung konfigurieren
Wenn Sie auf den Schalter Konfigurieren neben dem Feld Authentifizierungsanbieter klicken, dann wird das folgende Dialogfenster angezeigt (der Schalter ist nur dann aktiviert, wenn Sie die RADIUS-Authentifizierung ausgewählt haben).
Das Dialogfenster RADIUS-Authentifizierung zeigt die konfigurierten RADIUS-Authentifizierungsserver an. Wenn Sie auf den Schalter Hinzufügen klicken, dann sehen Sie das folgende Dialogfenster.
In diesem Dialogfenster können Sie die folgenden Einstellungen konfigurieren:
| • |
Servername
|
| • |
Schlüssel
|
| • |
Zeitlimit (Sekunden)
|
| • |
Ursprungswert
|
| • |
Port
|
| • |
Nachrichtenauthentifizierung immer verwenden
|
RADIUS-Server zur Kontoführung konfigurieren
Wenn Sie neben dem Feld Kontoführungsanbieter auf Konfigurieren klicken, dann sehen Sie das folgende Dialogfenster.
Die Liste enthält alle RADIUS-Server, die als Kontoführungsserver konfiguriert sind. Wenn Sie auf Hinzufügen klicken, dann wird das folgende Fenster angezeigt.
In diesem Dialogfenster können Sie die folgenden Einstellungen konfigurieren:
| • |
Servername, Schlüssel, Zeitlimit (Sekunden), Ursprungswert
|
| • |
Port
|
| • |
'Ein/Aus'-Nachrichten für RADIUS-Kontoführung senden
|
Einen RADIUS-Server über den Setup-Assistent für Routing- und RAS-Server konfigurieren
Der Setup-Assistent für Routing- und RAS-Server wird bei der ersten Konfiguration des RRAS-Dienstes ausgeführt. Wenn Sie in diesem Assistenten eine Option auswählen, für die das PPP-Protokoll (Point-to-Point Protocol) erforderlich ist (zum Beispiel DFÜ, VPN oder Bedarfswahlrouting), dann wird die Seite Mehrere RAS-Server verwalten angezeigt.
Wenn Sie Windows als Authentifizierungs- und als Kontoführungsanbieter verwenden wollen, dann wählen Sie die Option Nein, Routing- und RAS zum Authentifizieren von Verbindungsanforderungen verwenden. Wenn Sie für beides RADIUS nutzen möchten, dann wählen Sie die andere Option. Wenn Sie auf Weiter klicken, dann sehen Sie die Seite RADIUS-Serverauswahl.
Auf dieser Seite können Sie die IP-Adresse oder den Namen eines primären und eines alternativen RADIUS-Servers und einen Schlüssel für beide konfigurieren. Nach der Ausführung des Assistenten ist der RRAS-Dienst folgendermaßen konfiguriert:
| • | RADIUS-Authentifizierungsanbieter mit bis zu zwei RADIUS-Servern. Der primäre RADIUS-Server hat den Ursprungswert 30 und der sekundäre hat den Ursprungswert 29. |
| • | RADIUS-Kontoführungsanbieter mit bis zu zwei RADIUS-Servern. Der primäre RADIUS-Server hat den Ursprungswert 30 und der sekundäre hat den Ursprungswert 29. |
| • | Beide RADIUS-Server verwenden den gleichen Schlüssel. |
Wenn Sie für die Authentifizierung und die Kontoführung unterschiedliche RADIUS-Server oder unterschiedliche Schlüssel verwenden möchten, dann müssen Sie die Konfiguration über das Routing- und RAS-Snap-In manuell ändern.
IAS mit einem RADIUS-Client konfigurieren
Routing- und RAS ist ein RADIUS-Client, der dem entsprechenden IETF-Standard (Internet Engineering Task Force) entspricht. Er kann zusammen mit jedem IETF-kompatiblen RADIUS-Server verwendet werden. Windows Server 2003 stellt den IAS-Dienst (Internet Authentication Service) zur Verfügung - hierbei handelt es sich um einen IETF-kompatiblen RADIUS-Server und -Proxy. IAS wird als optionale Windows-Netzwerkkomponente über die Option Software in der Systemsteuerung installiert.
Nachdem IAS installiert ist, müssen Sie die RADIUS-Clients konfigurieren. Hierzu führen Sie die folgenden Anweisungen aus:
1. | Klicken Sie auf Start, Systemsteuerungund Verwaltung. Klicken Sie dann auf Internetauthentifizierungsdienst. |
2. |
Im Snap-In Internetauthentifizierungsdienst klicken Sie mit der rechten Maustaste auf RADIUS-Clients und dann auf Neuer RADIUS-Client. Das folgende Dialogfenster wird angezeigt. |
3. | Geben Sie unter Angezeigter Name den Namen des RRAS-Servers ein. Geben Sie im Feld Clientadresse (IP oder DNS) die IP-Adresse oder den DNS-Namen dieses Servers ein. Wenn Sie einen DNS-Namen verwenden, dann überprüfen Sie den Namen mit dem Schalter Verifizieren. |
4. |
Klicken Sie auf Weiter.Als Nächstes wird das folgende Dialogfenster angezeigt. |
5. | Geben Sie den Schlüssel an, den Sie auch auf dem RRAS-Server konfiguriert haben. Wenn Sie auf dem Server die Option Nachrichtenauthentifizierung immer verwenden konfiguriert haben, dann müssen Sie hier die Option Anforderung muss das Attribut 'Message Authenticator' enthalten aktivieren. |
6. | Um den RADIUS-Client hinzuzufügen, klicken Sie auf Fertigstellen. |
Dieses Verfahren gestattet es dem RRAS-Server, RADIUS-Anfragenachrichten an den IAS-Server zu senden. Damit der IAS-Server jedoch Verbindungen authentifizieren und autorisieren kann, muss möglicherweise auch die Konfiguration der entsprechenden Benutzerkonten geändert werden. Außerdem sind eventuell entsprechende RAS-Richtlinien erforderlich. Weitere Informationen finden Sie unter Einführung zu RAS-Richtlinien (englischsprachig).
Zusätzliche Informationen
| • | Windows Server 2003 - Netzwerk und Kommunikationsdienste (englischsprachig). |
| • | |
| • | |
| • | Windows VPN-Website unter http://www.microsoft.com/vpn (englischsprachig). |
| • | |
| • | Internet Authentication Service Website unter http://www.microsoft.com/windowsserver2003/technologies/ias/default.mspx (englischsprachig). |
| • | Alle verfügbaren Cable Guy-Kolumnen finden Sie unter http://www.microsoft.com/germany/technet/community/columns/cableguy/cgarch.mspx. |
 | The Cable Guy |