Sichern von WLANs mit PEAP und Kennwörtern
Kapitel 4: Erstellen der Netzwerkzertifizierungsstelle
Alle Themen der Sicherheitsanleitung anzeigen Auf dieser SeiteÜbersichtIn diesem Kapitel werden die Installation und Konfiguration der Microsoft® Windows Server™ 2003 Zertifikatdienste beschrieben. Die Zertifikatdienste sind eine optionale Komponente von Windows Server 2003 und werden nicht standardmäßig installiert. Eine Installation der Zertifikatdienste wird als Zertifizierungsstelle bezeichnet. Für die Lösung Sichern von WLANs mit PEAP und Kennwörtern ist nur eine Zertifizierungsstelle erforderlich. Diese Zertifizierungsstelle wird verwendet, um Zertifikate für die IAS-Server (Internetauthentifizierungsdienst) auszustellen (diese werden in nachfolgenden Kapiteln dieser Lösung beschrieben). Das Ziel dieses Kapitels ist die Konfiguration einer sehr einfachen und speziellen Zertifizierungsstelle für Ihre Umgebung. Anders als die meisten Zertifizierungsstellen gibt diese Zertifizierungsstelle nur einen Zertifikattyp aus – Serverzertifikate für die in der Lösung verwendeten IAS-Server. Aus diesem Grund wurde eine Zertifizierungsstelle entworfen, die besonders leicht zu installieren, konfigurieren und verwalten ist. Wenn Ihre Organisation für die Zukunft die Verwendung von Zertifikaten für andere Zwecke plant, z. B. IPSec oder VPN, empfiehlt Microsoft die Verwendung einer stabileren Infrastruktur öffentlicher Schlüssel (PKI = Public Key Infrastructure). Weitere Informationen können Sie den in Kapitel 2, Planen einer WLAN-Sicherheitsimplementierung, genannten Planungsmaterialien entnehmen. Die Informationen in diesem Kapitel beschränken sich auf die Implementierungsanweisungen für die Zertifizierungsstelle. Allgemeine PKI-Konzepte und für die Installation nicht benötigte Implementierungsdetails zu den Microsoft Zertifikatdiensten werden in diesem Kapitel nicht behandelt. Die Verwendung dieser Zertifizierungsstelle zum Ausstellen anderer Zertifikattypen als den hier verwendeten Serverauthentifizierungszertifikaten für IAS wird ebenfalls nicht beschrieben. Dieses Kapitel setzt voraus, dass Sie in Ihrer Organisation derzeit keine Infrastruktur öffentlicher Schlüssel (PKI) eingerichtet haben. Wenn dies doch der Fall sein sollte, können Sie Zertifikate für die IAS-Server möglicherweise über die PKI ausstellen, anstatt die in diesem Kapitel beschriebene Zertifizierungsstelle zu installieren. Anweisungen hierzu oder zur Installation der Zertifizierungsstelle in einer vorhandenen Infrastruktur öffentlicher Schlüssel gehen jedoch über den Rahmen dieser Lösung hinaus. Anstatt eine eigene Zertifizierungsstelle zu installieren, können Sie auch Zertifikate von einer kommerziellen Zertifizierungsstelle wie VeriSign oder Thawte verwenden. Eine Beschreibung der Vorteile der Installation einer eigenen Zertifizierungsstelle im Vergleich zum Erwerb von Zertifikaten eines externen Anbieters finden Sie im Abschnitt "Erlangen von Zertifikaten für IAS-Server" in Kapitel 2, Planen einer WLAN-Sicherheitsimplementierung. Dieses Kapitel enthält keine Anleitung zum Erwerben und Verwenden von Zertifikaten von einer kommerziellen Zertifizierungsstelle. Am Ende des Kapitels finden Sie jedoch einen Verweis auf ein Microsoft-Dokument, in dem diese Vorgänge beschrieben werden. Voraussetzungen für dieses KapitelNeben den in Kapitel 3, Vorbereiten der Umgebung, genannten Voraussetzungen sollten Sie sich mit den Zertifikatdiensten und den PKI-Konzepten vertraut machen (umfassende Kenntnisse sind jedoch nicht erforderlich). Vor der Implementierung der Anweisungen in diesem Kapitel müssen Sie die Anleitung in Kapitel 3, Vorbereiten der Umgebung, lesen und implementieren. Zudem sollten Sie die Informationen zum Entwurf und zur Planung in Kapitel 2, Planen einer WLAN-Sicherheitsimplementierung, gelesen haben und die Architektur und den Entwurf der Lösung kennen. Vorbereiten für die ImplementierungErforderliche BerechtigungenZum Durchführen der Verfahren in diesem Kapitel müssen Sie sich mit einem Konto anmelden, das ein Mitglied der folgenden Gruppen ist:
Das integrierte Administratorkonto der Gesamtstrukturdomäne (die erste in der Struktur erstellte Domäne) ist standardmäßig ein Mitglied dieser Gruppen, Sie können jedoch jedes andere Konto mit denselben Gruppenmitgliedschaften verwenden. Hinweis: Wenn Sie die Zertifizierungsstelle nicht in der Gesamtstrukturdomäne installieren und es sich um eine Windows 2000 Active Directory-Gesamtstruktur (oder eine von Windows 2000 Active Directory aktualisierte Gesamtstruktur) handelt, muss das für die Installation verwendete Konto auch ein Mitglied der Gesamtstrukturdomäne sein. Erforderliche ProgrammeDie folgenden Programme sind zum Durchführen der Verfahren in diesem Kapitel erforderlich. Tabelle 4.1: Zum Erstellen und Installieren einer Zertifizierungsstelle erforderliche Programme
ZertifizierungsstellenparameterDie folgende Tabelle zeigt die zum Installieren und Konfigurieren der Zertifizierungsstelle in dieser Lösung verwendeten Parameter. Diese Parameter werden in der Skriptdatei PKIparams.vbs eingestellt und können bei Bedarf in dieser Datei geändert werden. Tabelle 4.2: In der Lösung verwendete Einstellungen für die Zertifizierungsstelle
Hinweis: Die Gültigkeitsdauer der Zertifizierungsstelle ist auf einen hohen Wert eingestellt, um den Verwaltungsoverhead durch die regelmäßige Erneuerung des Zertifizierungsstellenzertifikats zu vermeiden. Anders als die für Computer und Benutzer ausgestellten Zertifikate können Zertifizierungsstellenzertifikate nicht automatisch erneuert werden. Wenn das Zertifizierungsstellenzertifikat nicht vor seinem Ablauf erneuert wird, schlagen alle von der Zertifizierungsstelle ausgestellten Zertifikate fehl. Wichtig: Die Einstellungen in der obigen Tabelle wurden bei internen Tests dieser Lösung verwendet und funktionieren nachweislich wie beschrieben. Viele dieser Werte können geändert werden. Überprüfen Sie jedoch vor jeder Änderung den Zweck einer bestimmten Einstellung und die Auswirkungen einer Änderung. Überprüfen der Voraussetzungen für die InstallationVor der Installation der Zertifikatdienste auf Ihrem Server müssen Sie sicherstellen, dass die Domäne erreichbar ist und die erforderlichen Programme installiert wurden. So überprüfen Sie den Server vor der Installation der Zertifizierungsstelle
Das Skript überprüft Folgendes:
Wenn ein Problem erkannt wird, werden Sie durch einen im Skriptkonsolenfenster protokollierten Fehler benachrichtigt. Überprüfen und beheben Sie diesen Fehler, bevor Sie fortfahren. Installieren der ZertifikatdiensteIn diesem Abschnitt wird beschrieben, wie die Zertifikatdienste zum Erstellen einer Zertifizierungsstelle installiert werden. Die Zertifizierungsstelle wird als Stammzertifizierungsstelle des Unternehmens installiert. Installieren der Softwarekomponenten für die ZertifikatdiensteDie Softwarekomponenten für die Zertifizierungsstelle müssen mit dem mitgelieferten Skript installiert werden. Dieses Skript verwendet zum Erstellen der Zertifizierungsstelle den Manager für die Installation optionaler Windows-Komponenten, der während seiner Ausführung alle erforderlichen Konfigurationsdateien erstellt. Verwenden Sie zum Durchführen der Installation die Windows Server 2003-Installations-CD (oder den Netzwerkpfad zu einer Windows-Installationsquelle). Vorsicht: Wenn zuvor eine Zertifizierungsstelle installiert war, oder wenn Sie die Zertifizierungsstelle neu installieren möchten, müssen Sie zuerst die vorhandene Installation entfernen. Stellen Sie vor dem Entfernen der Zertifizierungsstelle sicher, dass sie nicht von anderen Anwendungen verwendet wird. Verwenden Sie Windows-Komponenten hinzufügen/Entfernen des Applets Software in der Systemsteuerung, um die Zertifikatdienste zu entfernen. So installieren Sie die Zertifikatdienste
Überprüfen der Installation der ZertifizierungsstelleSie können den erfolgreichen Abschluss der Installation der Zertifikatdienste anhand des folgenden Verfahrens überprüfen. So überprüfen Sie die korrekte Installation der Zertifizierungsstelle
Sollte einer der obigen Werte nicht wie erwartet sein, wiederholen Sie die Installation der Zertifikatdienste. Hinweis: Wenn Sie die Installation der Zertifizierungsstelle erneut ausführen müssen, müssen Sie zunächst die installierten Zertifikatdienste wie zuvor beschrieben entfernen. Konfigurieren der ZertifizierungsstelleNach der Installation der Zertifizierungsstelle müssen Sie einige zusätzliche Skripte ausführen, um verbleibende Zertifizierungsstellenparameter zu konfigurieren. Konfigurieren der Eigenschaften der ZertifizierungsstelleDurch dieses Verfahren werden mehrere Parameter zur Steuerung des Verhaltens der Zertifizierungsstelle festgelegt. Einige dieser Parameter werden während der Installation der Zertifizierungsstelle definiert, andere müssen danach festgelegt werden. Die Werte dieser Parameter finden Sie im Abschnitt "Zertifizierungsstellenparameter" in diesem Kapitel. Das in diesem Verfahren verwendete Skript konfiguriert die Eigenschaften der Zertifizierungsstelle wie in der folgenden Tabelle dargestellt. Tabelle 4.4: Konfigurationseigenschaften der Zertifizierungsstelle
Hinweis: Viele dieser Parameter betreffen die Konfiguration der Zertifikatsperrliste der Zertifizierungsstelle. Eine Zertifikatsperrliste ist eine Liste von Zertifikaten, die von der Zertifizierungsstelle ausgestellt, anschließend jedoch vom Administrator gesperrt wurden. Obwohl Sie bei der Verwaltung dieser Lösung wahrscheinlich nie Zertifikate sperren müssen, benötigen viele Anwendungen eine aktuelle Zertifikatsperrliste, aus der sie den Sperrstatus eines Zertifikats entnehmen können (auch wenn die Liste leer ist). Wenn die Anwendung keine Zertifikatsperrliste finden kann, lehnt sie das Zertifikat möglicherweise ab. So konfigurieren Sie die Eigenschaften der Zertifizierungsstelle
Wenn das Skript einen Fehler meldet, überprüfen Sie die Fehlerursache in der Protokolldatei (%systemroot%\debug\MSSWLAN-Setup.log), und führen Sie das Konfigurationsskript nach der Behebung des Problems erneut aus. Hinweis: Sie können dieses Konfigurationsskript beliebig oft ausführen. Importieren des Gruppenrichtlinienobjekts für die automatische ZertifikatanforderungDurch dieses Verfahren wird das Gruppenrichtlinienobjekt für die IAS-Richtlinie zur automatischen Zertifikatregistrierung importiert. Dieses Richtlinienobjekt ist vorkonfiguriert und ermöglicht die automatische Ausstellung von Zertifikaten für IAS-Server in der Domäne. Es verwendet ein als automatische Zertifikatanforderung (ACRS = Automatic Certificate Request Service) bezeichnetes Feature. ACRS ist nicht zu verwechseln mit dem automatischen Registrierungsfeature in Windows Server 2003 Enterprise Edition, obwohl es ähnlich funktioniert. ACRS bietet beschränktere Funktionen als die automatische Registrierung und wurde erstmals in Windows 2000 eingesetzt. Dieser Dienst ermöglicht nur die Registrierung von Computerzertifikaten (keine Benutzerzertifikate) und arbeitet nur mit Zertifikatvorlagen der Version 1. ACRS eignet sich jedoch für die beschränkte Zertifikatverwendung in dieser Lösung und ermöglicht die Installation der Zertifizierungsstelle auf der (kostengünstigeren) Standard Edition von Windows Server 2003. Wichtig: Wenn Ihre Active Directory-Gesamtstruktur mehrere Domänen enthält, müssen Sie dieses Verfahren für jede Domäne ausführen, in der Sie einen IAS-Server installieren. Das im folgenden Verfahren verwendete Skript importiert ein vorkonfiguriertes Gruppenrichtlinienobjekt zur automatischen Registrierung von Zertifikaten. Das Gruppenrichtlinienobjekt legt das vordefinierte Computerzertifikat als zu registrierenden Zertifikattyp fest. Anschließend wendet das Skript Sicherheitsberechtigungen auf das Gruppenrichtlinienobjekt an, so dass nur Mitglieder der Gruppe RAS- und IAS-Server betroffen sind (standardmäßig werden Gruppenrichtlinienobjekte auf alle authentifizierten Benutzer und Computer angewendet). So installieren Sie das Gruppenrichtlinienobjekt für die automatische Zertifikatanforderung in der Domäne
Als Nächstes verknüpfen Sie dieses Gruppenrichtlinienobjekt mit der Domäne, so dass die Gruppenrichtlinienobjekteinstellungen auf die IAS-Server angewendet werden. Dieser Schritt wird manuell ausgeführt, damit Sie die Verknüpfung des Gruppenrichtlinienobjekts steuern können. Bei einer automatisierten Ausführung dieses Schrittes besteht das Risiko, dass die vorhandenen Verknüpfungseinstellungen für Gruppenrichtlinienobjekte in der Domäne überschrieben werden. So wenden Sie das Gruppenrichtlinienobjekt für die automatische Zertifikatanforderung an
Überprüfen der Konfiguration der ZertifizierungsstelleMit dem folgenden Verfahren können Sie überprüfen, ob Sie die Zertifizierungsstelle korrekt konfiguriert haben. Das Skript überprüft Folgendes:
Diese Werte werden mit den in der Datei PKIParams.vbs gespeicherten Einstellungen verglichen. Das Skript überprüft keine absoluten Werte, sondern nur, ob die Einstellungen in der Zertifizierungsstelle korrekt konfiguriert wurden. So überprüfen Sie die Konfiguration der Zertifizierungsstelle
Wenn die Skriptausgabe Fehler enthält, sollten Sie die Schritte in diesem Kapitel zurückverfolgen und die angegebenen Probleme beheben. ZusammenfassungIn diesem Kapitel wurden Sie durch den Installationsprozess für eine spezielle Zertifizierungsstelle zur Ausstellung von Serverzertifikaten für IAS-Server geführt. Die verwendete Zertifizierungsstellenkonfiguration ist für einen extrem niedrigen Verwaltungsaufwand konzipiert und erfordert somit zukünftig nur minimale Aufmerksamkeit. Informationen zu den u. U. erforderlichen Betriebs- und Unterstützungsaufgaben finden Sie in Kapitel 8, Verwalten der sicheren WLAN-Lösung. Sie können jetzt die IAS-Server installieren. Dieser Schritt wird in Kapitel 5, Erstellen der WLAN-Sicherheitsinfrastruktur, behandelt. QuellenIn diesem Abschnitt finden Sie Verweise auf wichtige ergänzende Informationen oder Hintergrundmaterial zum Inhalt dieses Kapitels.
|
In diesem Beitrag
|
