Sichern von WLANs mit PEAP und Kennwörtern

Alle Themen der Sicherheitsanleitung anzeigen

Auf dieser Seite

	Übersicht
	Voraussetzungen für das Kapitel
	Vorbereiten auf die Implementierung
	Prüfen der Bereitschaft zur Installation
	Installieren von IAS
	Registrieren von IAS in Active Directory
	Konfigurieren des primären IAS-Servers
	Bereitstellen von Einstellungen für mehrere IAS-Server
	Konfigurieren von WAPs
	Zusammenfassung
	Quellen

Übersicht

Dieses Kapitel gibt Anleitungen zur Installation und Konfiguration von IAS (Internet Authentication Service, Internetauthentifizierungsdienst), um einem WLAN (Wireless Local Area Network) RADIUS-Dienste (Remote Access Dial-In User Service) zur Verfügung zu stellen, und zur Konfiguration von Wireless Access Points (WAPs), damit die IAS-RADIUS-Dienste verwendet werden können.

Die Hauptthemen in diesem Kapitel sind folgende:

Die Verfahren in diesem Kapitel sind weniger automatisiert als die Verfahren in früheren Kapiteln. Obwohl IAS per Programmierung konfigurierbar ist, können viele Einstellungen nicht mit Windows® Scripting Host oder verfügbaren Befehlszeilenprogrammen konfiguriert werden. Der kompilierte Anwendungscode ist für Nicht-Entwickler in der Regel schwerer zugänglich als Skripte. Bei einem Vorgang, der nicht skriptfähig ist, werden daher entsprechend manuelle Schritte verwendet. Wenn Sie die Konfiguration von IAS mit der Schnittstelle für Serverdatenobjekte automatisieren möchten, erhalten Sie weitere Informationen bei MSDN® unter http://msdn.microsoft.com. Den genauen Ort für die Informationen zum Thema finden Sie in den Quellangaben am Ende dieses Kapitels.

Die Konfigurationsschritte in diesem Kapitel müssen zwar weitgehend manuell ausgeführt werden, doch hat dies auch einige positive Aspekte. Erstens ist die IAS-Administrationsschnittstelle benutzerfreundlich und wird häufig durch Konfigurationsassistenten gesteuert. Zweitens führen Sie die Konfigurationsschritte normalerweise nur auf einem Server aus und replizieren die Einstellungen anschließend mit einfachen Befehlen auf die anderen IAS-Server. Drittens lernen Sie durch manuelles Ausführen dieser Schritte mehr über die Installation und Konfiguration von IAS. Der letzte Punkt ist hier wichtiger als für die anderen Komponenten der Lösung. IAS ist der Hub, d. h. das Kernstück, um das sich der Rest der Lösung dreht. Daher sind einige Erfahrungen in der Administration und Konfiguration von IAS wünschenswert.

Zum Seitenanfang

Voraussetzungen für das Kapitel

Bevor Sie die in diesem Kapitel gegebenen Anweisungen ausführen, sollten Sie die Schritte in Kapitel 3, Vorbereiten der Umgebung, und Kapitel 4, Erstellen der Netzwerkzertifizierungsstelle, gelesen und ausgeführt haben. Außerdem sollten Sie Kapitel 2, Planen einer WLAN-Sicherheitsimplementierung, gelesen haben und das Prinzip der Architektur und des Entwurfs dieser Lösung verstanden haben.

Darüber hinaus sind Kenntnisse auf folgenden Gebieten hilfreich:

Zum Seitenanfang

Vorbereiten auf die Implementierung

Erforderliche Berechtigungen

Um die in diesem Kapitel beschriebenen Schritte auszuführen, müssen Sie sich mit einem Konto anmelden, das Mitglied der Administratorengruppe für die Domäne ist, in der Sie die IAS-Server installieren.

Hinweis: Wenn Sie IAS nicht auf Domänencontrollern installieren, müssen Sie nur ein Mitglied der lokalen Administratorengruppe auf jedem IAS-Server sein, um IAS installieren und konfigurieren zu können. Sie brauchen außerdem die Berechtigung zum Ändern der Mitgliedschaft der Gruppe RAS- und IAS-Server für die Domäne, in der Sie den IAS-Server installieren.

Erforderliche Tools

Die folgenden Tools sind zum Ausführen der in diesem Kapitel beschriebenen Schritte erforderlich.

Tabelle 5.1: Erforderliche Tools

IAS-Parameter

In der folgenden Tabelle sind die wichtigsten Parameter aufgeführt, die bei der Installation und Konfiguration des IAS-Servers verwendet werden.

Tabelle 5.2: IAS-Serverkonfigurationsparameter

Wichtig: Diese Einstellungen wurden beim internen Testen der Lösung verwendet und funktionieren wie dokumentiert. Einige Einstellungen lassen sich zwar auf andere Werte festlegen, dies sollten Sie aber nur tun, wenn Sie sicher sind, den Zweck einer bestimmten Einstellung und die Auswirkungen einer Änderung vollständig verstanden zu haben.

Zum Seitenanfang

Prüfen der Bereitschaft zur Installation

IAS ist auf eine korrekte Konfiguration und Anbindung des Netzwerks und von Active Directory angewiesen. Zur erfolgreichen Installation und Wartung von IAS sind mehrere Tools erforderlich.

Überprüfen der IAS-Umgebung

Vor dem Installieren von IAS auf dem Server müssen Sie eine Reihe von Prüfungen durchführen, um sicherzustellen, dass ein Domänencontroller kontaktierbar ist, und alle erforderlichen Tools den in Kapitel 3, Vorbereiten der Umgebung, entsprechenden Schritten installiert wurden. Im folgenden Verfahren werden diese Prüfungen mit einem Skript automatisch vorgenommen.

So prüfen Sie die IAS-Umgebung

Überprüfen der DHCP-Einstellungen

Mit DHCP (Dynamic Host Configuration Protocol) werden den WLAN-Clients automatisch IP-Adressen zugewiesen. Stellen Sie sicher, dass die jedem Standort zugewiesenen DHCP-Bereiche genügend IP-Adressen besitzen, um die maximale Anzahl von WLAN-Clients abzudecken, die an dem jeweiligen Standort aktiv sein kann. Wird der Bereich gemeinsam mit drahtgebundenen Clients verwendet, muss er groß genug für beide Gruppen von Clients sein.

Unternehmen mit einer großen Anzahl von WLAN-Clients oder mit WLAN-Clients, die regelmäßig von Standort zu Standort wandern, sollten separate Bereiche für WLAN-Clients konfigurieren. Separate Bereiche ermöglichen eine sehr kurze Leasedauer für diese Clients (z. B. acht Stunden oder weniger) und helfen somit zu verhindern, dass vorübergehende WLAN-Clients die verfügbaren IP-Adressen rasch aufbrauchen. Um separate Bereiche zu konfigurieren, platzieren Sie die WLAN-Clients in ein vom übrigen Netzwerk des Standorts getrenntes Subnetz, und konfigurieren Sie einen Router oder einen Schicht-3-Switch, um die Subnetze zu verbinden.

In kleineren oder relativ statischen Umgebungen ist die gemeinsame Verwendung eines IP-Subnetzes und eines einzigen DHCP-Bereichs durch drahtgebundene Clients und WLAN-Clients durchaus akzeptabel.

Weitere Informationen finden Sie im Abschnitt "Deploying a Wireless LAN" des Windows Server 2003 Deployment Kit (auf Englisch). Die Quellangabe dazu finden Sie am Ende dieses Kapitels.

Zum Seitenanfang

Installieren von IAS

In diesem Abschnitt wird beschrieben, wie Sie IAS auf Ihrem Server installieren.

Installieren der IAS-Softwarekomponenten

Die IAS-Softwarekomponenten können Sie mit Hilfe eines Skripts, das mit dieser Anleitung mitgeliefert wird, installieren. Das Skript verwendet zum Installieren von IAS den Manager zur Installation von optionalen Windows-Komponenten und legt alle erforderlichen Konfigurationsdateien an.

So installieren Sie IAS

Überprüfen der Installation

Um die Installation zu überprüfen, klicken Sie auf Start, zeigen Sie dann auf Alle Programme und auf Verwaltung, und klicken Sie anschließend auf Internetauthentifizierungsdienst. IAS sollte nun als installiert und auf dem Server laufend angezeigt werden.

Zum Seitenanfang

Registrieren von IAS in Active Directory

Jeder IAS-Server muss in Active Directory registriert werden. Registrieren bedeutet, dass das Computerkonto des IAS-Servers zur Sicherheitsgruppe RAS- und IAS-Server hinzugefügt wird. So wird gewährleistet, dass die IAS-Server die Berechtigung haben, die RAS-Eigenschaften der Benutzer- und Computerkonten in Active Directory zu lesen.

Zum Registrieren der Server stehen folgende Möglichkeiten zur Verfügung:

In dieser Anleitung wird die letzte Methode (Verwenden des Befehls Netsh) erläutert, da die Skripterstellung einfach ist, und die Server in anderen Domänen registriert werden können.

So registrieren Sie IAS in der Standarddomäne

Wenn Sie mehrere Domänen besitzen, führen Sie die folgenden Schritte für jede Domäne aus, die über Benutzer oder Computer verfügt, welche von diesem IAS-Server authentifiziert werden. Wenn Ihre IAS-Server beispielsweise in Domäne A installiert sind und Sie über WLAN-Benutzer in Domäne B verfügen, müssen Sie die IAS-Server sowohl in Domäne B als auch in Domäne A registrieren. Dazu brauchen Sie die Berechtigung, die Mitgliedschaft für die Gruppe RAS- und IAS-Server in der Zieldomäne zu ändern.

So registrieren Sie IAS in anderen Domänen als der Standarddomäne

Zum Seitenanfang

Konfigurieren des primären IAS-Servers

In diesem Abschnitt wird eine Anleitung zur Konfiguration des ersten IAS-Servers gegeben. Weitere IAS-Server werden durch Replizieren der Einstellungen dieses Servers konfiguriert. Das entsprechende Verfahren wird weiter unten in diesem Kapitel erklärt.

Automatisches Registrieren eines IAS-Serverzertifikats

In Kapitel 4, Erstellen der Netzwerkzertifizierungsstelle, wurden die Schritte zum Installieren eines Gruppenrichtlinienobjekts beschrieben, damit Mitglieder der Gruppe RAS- und IAS-Server Computerzertifikate automatisch registrieren können. Durch die Registrierung des IAS-Servers in Active Directory wird das Serverkonto dieser Gruppe hinzugefügt. Der Server muss allerdings neu gestartet werden, damit diese Gruppenmitgliedschaft zum Anmeldetoken des Computers hinzugefügt und ein Zertifikat erfolgreich registriert werden kann.

Hinweis: Ähnlich wie Benutzer erhalten auch Computer eine geänderte Gruppenmitgliedschaft im Zugriffstoken ihrer Anmeldesitzung erst dann, wenn sie sich wieder bei der Domäne anmelden. Bei Computern geschieht dies beim Start.

Starten Sie den Server neu, bevor Sie mit dem nächsten Schritt fortfahren.

Warnhinweis: Vergewissern Sie sich vor dem Neustart des Servers, dass keine Tasks auf diesem Server ausgeführt werden. Ist der Server ein Domänencontroller, stellen Sie sicher, dass den Benutzern ein anderer Domänencontroller zur Verfügung steht, bevor Sie diesen Controller neu starten. Vermeiden Sie einen Neustart auch während eines kritischen Systemtasks wie einer Serversicherung.

Überprüfen der Bereitstellung der IAS-Serverzertifikate

Vergewissern Sie sich nach dem Neustart des Servers, dass die IAS-Serverzertifikate erfolgreich registriert wurden.

So überprüfen Sie die IAS-Serverauthentifizierungszertifikate

Konfigurieren des ersten IAS-Servers

In dieser Lösung ist die Konfiguration aller IAS-Server weitgehend identisch (die Gruppe von WAPs, die auf jedem Server installiert wird, ist für jeden Server in der Regel allerdings unterschiedlich). Damit die Konfiguration auf allen Servern synchronisiert ist, und um den Aufwand der Verwaltung mehrerer Server zu minimieren, wird die Mehrzahl der Konfigurationstasks auf dem ersten installierten IAS-Server ausgeführt, und die Einstellungen dieses Servers werden anschließend auf andere IAS-Server des Unternehmens repliziert.

Mit den in diesem Abschnitt beschriebenen Schritten konfigurieren Sie folgende Einstellungstypen auf dem ersten IAS-Server:

Diese Einstellungen werden später auf die anderen IAS-Server repliziert. Außerdem müssen Sie IAS einen RADIUS-Client-Eintrag für jeden WAP hinzufügen, der von diesem IAS-Server bedient wird (dieses Thema wird weiter unten in diesem Kapitel im Abschnitt "Konfigurieren von Wireless Access Points" erörtert).

Konfigurieren der Protokollierung in Windows-Ereignisprotokollen

IAS protokolliert signifikante Ereignisse auf Systemebene wie Starten und Beenden eines Dienstes sowie Probleme (z. B. Konfigurationsfehler und Dienstausfälle) im Windows-Systemprotokoll. Wahlweise können auch erfolgreiche und fehlgeschlagene Authentifizierungsversuche protokolliert werden.

So aktivieren Sie die IAS-Protokollierung von Authentifizierungsanforderungen

Konfigurieren der Protokollierung von Authentifizierungs- und Kontoführungsanforderungen in RADIUS-Protokollen

IAS kann außerdem Authentifizierungs- und Kontoführungsinformationen in RADIUS-Protokollen aufnehmen. IAS erstellt standardmäßig keine RADIUS-Protokolle, und die RADIUS-Protokollierung ist in dieser Lösung nicht aktiviert, um den Verwaltungsaufwand so gering wie möglich zu halten.

Wenn Sie die RADIUS-Protokollierung für Sicherheitsüberwachungs- oder Kontoführungszwecke benötigen, können Sie entweder nur einen Anforderungstyp oder beide Anforderungstypen aktivieren. IAS kann diese Protokolle in Textdateien oder eine SQL-Datenbank schreiben. Diese Protokolle sind als Input für Sicherheitsüberwachungssysteme verwendbar, um potenzielle Sicherheitsverletzungen zu verfolgen. In einigen Fällen verwenden Unternehmen die Kontoführungsprotokolle für die Rechnungsstellung. Dies ist in der Regel allerdings auf kommerzielle Internet- und andere Netzwerkanbieter beschränkt. Wenn Sie die RADIUS-Protokollierung implementieren oder mehr dazu erfahren möchten, erhalten Sie weitere Informationen in den Quellangaben am Ende dieses Kapitels.

Hinweis: Aktivieren Sie die RADIUS-Authentifizierungs- und Kontoführungsprotokollierung nur, wenn ein besonderer Bedarf dafür besteht. Die Protokollierung kann die Serverleistung herabsetzen, und die Protokolldateien müssen zudem regelmäßig verwaltet werden, um sicherzustellen, dass sie nicht die Laufwerke des Servers belegen.

Erstellen einer IAS-RAS-Richtlinie für WLAN

Führen Sie die folgenden Schritte aus, um eine RAS-Richtlinie auf dem IAS-Server zu erstellen.

So erstellen Sie eine RAS-Richtlinie in IAS

Ändern der Profileinstellungen der WLAN-Zugriffsrichtlinie

Der Assistent für Neue RAS-Richtlinien (wie im zuvor beschriebenen Verfahren verwendet) erstellt zwar eine gültige RAS-Zugriffsrichtlinie, doch müssen zwei Einstellungen manuell konfiguriert werden. Mit der ersten Einstellung wird das RADIUS-Attribut Ignore-User-Dialin-Properties hinzugefügt. Dieses Attribut weist IAS an, die RAS-Berechtigungseinstellungen zu ignorieren, die auf der Registerkarte Einwählen des Active Directory-Benutzerobjekts festgelegt sind. Außerdem verhindert das Attribut, dass IAS diese Informationen in den RADIUS-Antworten an die WAPs sendet, da dies mitunter zu Kompatibilitätsproblemen führen kann.

Die zweite Einstellungskategorie ermöglicht dem IAS-Server, die Clientverbindung nach einer festgelegten Zeitüberschreitung zu beenden und ein erneutes Authentifizieren des Clients zu erzwingen. Diese Einstellungen sind besonders wichtig, wenn zum Schutz der Daten dynamisches WEP (Wired Equivalent Privacy) verwendet wird (die Standardeinstellung für diese Lösung). Die Sitzungszeitüberschreitung steuert die Häufigkeit, mit der neue Verschlüsselungsschlüssel für Netzwerkdaten generiert werden.

Hinweis: WAP (Wi-Fi Protected Access) verfügt über einen eigenen Mechanismus zum Generieren neuer Schlüssel für jedes übertragene Paket. Die folgenden Ausführungen gelten nicht für WPA-WLANs.

Der Wert für die Sitzungszeitüberschreitung ist ein Kompromiss zwischen Sicherheit und Zuverlässigkeit. Eine Zeitüberschreitung von 60 Minuten verleiht unter den meisten Umständen die nötige Sicherheit und ist für 11 MBit/s 802.11b-Netzwerke bestimmt ausreichend. In der Regel übertragen Drahtlosclients innerhalb von 60 Minuten nicht so viele Daten, dass ein dynamischer WEP-Schlüssel von einem Angreifer entschlüsselt werden könnte. Schnellere WLANs mit 54 MBit/s, die den Standard 802.11a oder 802.11g verwenden, übertragen in einer vorgegebenen Zeit mehr Daten. Daher sollten Sie für schnellere WLANs ggf. eine Zeitüberschreitung von 15 Minuten erwägen. Ein kürzerer Zeitwert kann jedoch die WLAN-Zuverlässigkeit herabsetzen und die Last der IAS-Server erhöhen.

Eine ausführlichere Beschreibung zum Festlegen der Zeitüberschreitung für Clientsitzungen finden Sie im Abschnitt "Sicherheitsoptionen für dynamische WEP" in Kapitel 2, Planen einer WLAN-Sicherheitsimplementierung.

Sie müssen den Wert für die Zeitüberschreitung der Clientsitzung festlegen und das RADIUS-Attribut Termination-Action auf den erforderlichen Wert setzen, sodass der IAS-Server den Client zwingen kann, sich nach dem entsprechenden Zeitintervall erneut zu authentifizieren. Weitere Informationen über RAS-Richtlinieneinstellungen finden Sie im Abschnitt "RADIUS-Richtlinien" im Kapitel 2, Planen einer WLAN-Sicherheitsimplementierung.

So ändern Sie die Profileinstellungen der WLAN-Zugriffsrichtlinie

Überprüfen der Verbindungsanforderungsrichtlinie für WLAN

Die Standardrichtlinie für Verbindungsanforderungen in IAS ist so konfiguriert, dass IAS Benutzer und Computer direkt in Active Directory authentifiziert. Führen Sie die folgenden Schritte aus, um die Konfiguration der Standardrichtlinie für Verbindungsanforderungen zu überprüfen.

So überprüfen Sie die Konfiguration der Standardrichtlinie für Verbindungsanforderungen

Zum Seitenanfang

Bereitstellen von Einstellungen für mehrere IAS-Server

Nachdem Sie den primären IAS-Server konfiguriert haben, können Sie diese Konfiguration auf die anderen IAS-Server replizieren.

Führen Sie die bereits in diesem Kapitel unter "Installieren von IAS" und "Registrieren von IAS in Active Directory" beschriebenen Schritte für jeden weiteren Server aus. Führen Sie außerdem die unter "Überprüfen der Bereitstellung der IAS-Serverzertifikate" genannten Schritte aus, um sicherzustellen, dass von jedem neuen Server ein Zertifikat registriert wurde. Wenn Sie diese Schritte ausgeführt haben, können Sie die IAS-Einstellungen vom ersten Server exportieren und sie auf die anderen Server, wie im folgenden Abschnitt beschrieben, importieren.

Wichtig: Einstellungen können Sie nur auf andere Windows Server 2003 IAS-Server replizieren. Sie können mit diesem Verfahren keine Einstellungen von Windows Server 2003 auf Windows 2000-Versionen von IAS replizieren.

Replizieren von Einstellungen vom ersten IAS-Server

Verwenden Sie den Befehl Netsh, um Teile der IAS-Konfiguration in Textdateien zu exportieren. Die in den folgenden Schritten verwendeten Skripts exportieren Einstellungen vom IAS-Server und importieren sie auf IAS-Server mit der ausführbaren Datei Netsh.exe.

Die folgenden IAS-Einstellungskategorien können separat vom IAS-Server exportiert und in IAS-Server importiert werden:

Exportierte Einstellungen werden in Textdateien gespeichert, wobei die Daten allerdings verschlüsselt werden. Anhand dieser Textdateien können allgemeine Konfigurationseinstellungen auf mehrere IAS-Server übertragen werden, um eine konsistente Konfiguration und schnelle Bereitstellung zu gewährleisten.

Die Mehrzahl der Konfigurationskategorien haben IAS-Server mit ähnlichen Rollen gemeinsam (ausgenommen normalerweise die Kategorie der RADIUS-Clients). In dieser Lösung authentifizieren die IAS-Server lediglich WLAN-Clients. Wenn Sie mindestens einen IAS-Server auf andere Weise verwenden möchten (z. B. um RAS-Clients zu authentifizieren), müssen Sie die Einstellungen auf den entsprechenden Servern unabhängig konfigurieren und replizieren oder die Konfiguration manuell ausführen. Anderenfalls besteht die Gefahr, Richtlinien- und andere Konfigurationseinstellungen zu überschreiben oder zu löschen.

Folgende Elemente sollten Sie nur auf dem ersten IAS-Server konfigurieren (wie bereits im Abschnitt "Konfigurieren von IAS" beschrieben).

Durch die in diesem Abschnitt beschriebenen Schritte werden diese Einstellungen exportiert und auf andere IAS-Server repliziert.

Tipp: Um die Änderungen an der IAS-Konfiguration besser verfolgen zu können, fügen Sie in den Namen der RAS-Richtlinie eine Versionsnummer ein. Wenn Sie Änderungen an den IAS-Einstellungen vornehmen, aktualisieren Sie den Namen jedes Mal mit einer neuen Versionsnummer. So können Sie Änderungen auf den IAS-Servern leichter verfolgen und sehen, dass alle die gleichen Einstellungen verwenden.

Legen Sie den ersten IAS-Server als IAS-Master-Server fest. Replizieren Sie anschließend die Einstellungen von diesem Server mithilfe der folgenden Schritte auf die anderen IAS-Server des Unternehmens. Das Replizieren der RADIUS-Client-Einstellungen wird weiter unten in diesem Kapitel im Abschnitt "Replizieren der RADIUS-Clientkonfiguration auf andere IAS-Server" ausführlich beschrieben.

Hinweis: Die Bezeichnung "Master" hat keine besondere Bedeutung für IAS. Diese Bezeichnung gibt lediglich an, auf welchem Server Sie die ersten Konfigurationsänderungen vornehmen, bevor diese auf die anderen IAS-Server repliziert werden.

Exportieren der Einstellungen vom IAS-Master-Server

Mit diesem Verfahren werden die aktuellen IAS-Servereinstellungen auf Datenträgerdateien gespeichert.

So exportieren Sie die IAS-Konfiguration auf Datenträgerdateien

Importieren von Einstellungen auf andere IAS-Server

Bei der folgenden Vorgehensweise werden die in den vorhergehenden Schritten exportierten Einstellungsdateien verwendet, um andere IAS-Server mit identischen Einstellungen zu konfigurieren. Dabei werden keine RADIUS-Clients importiert. Die entsprechende Vorgehensweise wird in einem späteren Abschnitt erläutert.

Warnhinweis: Durch den Import der IAS-Einstellungen auf einen IAS-Server werden alle vorhandenen IAS-Einstellungen dieses Servers überschrieben (mit Ausnahme der RADIUS-Client-Daten). Wenn Sie auf einem Server andere Einstellungen vorgenommen haben (z. B. andere RAS-Richtlinien zur Unterstützung von VPN-Clients), verwenden Sie diese Vorgehensweise nicht, um die IAS-WLAN-Einstellungen auf den Server zu importieren. Konfigurieren Sie die Einstellungen stattdessen manuell anhand der im Abschnitt "Konfigurieren des primären IAS-Servers" beschriebenen Schritte.

So importieren Sie die IAS-Konfiguration von Datenträgerdateien

Vergewissern Sie sich, dass die Einstellungen ordnungsgemäß importiert wurden, indem Sie die MMC Internetauthentifizierungsdienst öffnen und die Einstellungen der RAS- und Verbindungsanforderungsrichtlinie überprüfen.

Zum Seitenanfang

Konfigurieren von WAPs

In diesem Abschnitt wird beschrieben, wie WAPs als RADIUS-Clients der IAS-Server hinzugefügt werden.

Hinzufügen der Zugriffspunkte zu IAS als RADIUS-Clients

WAPs müssen zu IAS als RADIUS-Clients hinzugefügt werden, bevor sie RADIUS-Authentifizierungs- und Kontoführungsdienste verwenden dürfen. Weitere Informationen zum Zuweisen von WAPs zu verschiedenen IAS-Servern finden Sie in Kapitel 2, Planen einer WLAN-Sicherheitsimplementierung.

Die WAPs an einem vorgegebenen Standort werden in der Regel so konfiguriert, dass sie einen IAS-Server am gleichen Standort als primären RADIUS-Server und einen anderen IAS-Server am gleichen oder an einem anderen Standort als sekundären RADIUS-Server verwenden. Die Begriffe "primär" und "sekundär" drücken in diesem Fall keine hierarchische Beziehung der IAS-Server untereinander oder einen Unterschied in der Konfiguration aus. Die Begriffe sind nur für WAPs relevant, wobei jeder Punkt über einen festgelegten primären und sekundären (oder Sicherungs-) RADIUS-Server verfügt. Vor dem Konfigurieren der WAPs müssen Sie für jeden einzelnen WAP entscheiden, welcher IAS-Server der primäre und welcher der sekundäre RADIUS-Server sein soll.

Die folgenden Schritte beschreiben, wie RADIUS-Clients zu zwei IAS-Servern hinzugefügt werden. Beim ersten Verfahren wird ein geheimer RADIUS-Schlüssel für den WAPs generiert. Dieser Schlüssel wird von IAS und dem Zugriffspunkt zur gegenseitigen Authentifizierung verwendet. Die Details über diesen Client und den entsprechenden geheimen Schlüssel werden in einer Datei protokolliert. Diese Datei wird im zweiten Verfahren zum Importieren des Clients in den zweiten IAS verwendet.

Wichtig: Verwenden Sie das erste Verfahren nicht dazu, denselben Client zwei IAS-Servern hinzuzufügen. Wenn Sie so vorgehen, konfigurieren die Clienteinträge auf jedem Server unterschiedliche geheime RADIUS-Schlüssel, und die WAPs können sich nicht bei beiden Servern authentifizieren.

Hinzufügen von Zugriffspunkten zum ersten IAS-Server

In diesem Abschnitt wird beschrieben, wie die WAPs dem ersten IAS-Server hinzugefügt werden. Es wird ein Skript zur Verfügung gestellt, um das Generieren eines sicheren, nach dem Zufallsprinzip gewählten geheimen RADIUS-Schlüssels (Kennwort) zu automatisieren und den Client dem IAS hinzuzufügen. Das Skript erstellt außerdem eine Datei (standardmäßig Clients.txt), die die Details der einzelnen hinzugefügten WAPs protokolliert. Diese Datei erfasst den Namen, die IP-Adresse und den geheimen RADIUS-Schlüssel für jeden einzelnen WAP. Die Daten sind für die Konfiguration des zweiten IAS-Servers und der WAPs erforderlich.

Wenn Sie es vorziehen, die Clients manuell hinzuzufügen, führen Sie die weiter unten in diesem Kapitel unter "Generieren der Clienteinträge für Wireless Access Points" beschriebenen Schritte aus, um geheime Schlüssel für die WAPs zu generieren.

Wichtig: Die RADIUS-Clients werden dem IAS als "RADIUS-Standard"-Clients hinzugefügt. Dies ist zwar für die meisten WAPs angemessen, einige Zugriffspunkte erfordern jedoch die Konfiguration herstellerspezifischer Attribute auf dem IAS-Server. Zum Konfigurieren der herstellerspezifischen Attribute wählen Sie entweder ein bestimmtes Herstellergerät aus den Eigenschaften der RADIUS-Clients in der MMC Internetauthentifizierungsdienst aus oder, falls das Gerät nicht aufgeführt wird, geben die herstellerspezifischen Attribute in der IAS-RAS-Richtlinie an. Weitere Informationen zum Konfigurieren herstellerspezifischer Attribute in IAS finden Sie in den Quellangaben am Ende dieses Kapitels.

Darüber hinaus finden Sie weitere Informationen über die Anforderungen herstellerspezifischer Attribute für RADIUS-Server in der Dokumentation der WAPs.

So fügen Sie dem ersten IAS-Server einen RADIUS-Client hinzu

Später können Sie die Ausgabedatei als Referenz verwenden, wenn Sie die geheimen RADIUS-Schlüssel auf den WAPs festlegen. Weitere Informationen finden Sie im Abschnitt "Konfigurieren der Wireless Access Points" weiter unten in diesem Kapitel.

Wichtig: Lassen Sie die RADIUS-Clients-Ausgabedatei nicht auf dem Server gespeichert. Sie enthält die geheimen Schlüssel des RADIUS-Clients in unverschlüsselter Form. Nach dem Hinzufügen der WAPs sollten Sie die Datei auf eine Diskette oder ein anderes beschreibbares Wechselmedium speichern und sie an einem sicheren Ort verwahren.

Bei den Schritten im obigen Abschnitt "Hinzufügen eines RADIUS-Clients zum ersten IAS-Server" wurde ein mit dieser Lösung mitgeliefertes Tool-Beispiel (AddRADIUSClient.exe) verwendet. Bei diesem Tool handelt es sich um eine einfache Visual Basic.NET-Anwendung, die einen IAS-Server über die Serverdatenobjekt-Schnittstelle konfiguriert. Mit dieser Anwendung können Sie Ihr eigenes Skript zum Hinzufügen von Clients zum IAS-Server schreiben.

Das Tool wird von Microsoft nicht unterstützt und ist nicht gründlich getestet worden. Der Quellcode dieser Anwendung wurde jedoch mitgeliefert, falls Sie ihn prüfen oder ändern möchten, bevor Sie die Anwendung verwenden.

Hinweis: Im Gegensatz zu den meisten anderen Skripts, die im Setupverfahren verwendet werden, schreibt dieses Skript keine Fortschrittsdetails in die Protokolldatei MSSWLAN-setup.log. So wird verhindert, dass die geheimen RADIUS-Client-Schlüssel in dieser Datei gespeichert werden und somit ein Sicherheitsrisiko darstellen. Die Fortschrittsdetails werden jedoch auf dem Bildschirm protokolliert.

Skripterstellung für das Hinzufügen von Zugriffspunkten zu IAS-Servern (alternative Methode)

Wenn Sie die WAPs zum IAS-Server nicht interaktiv mit der zuvor beschriebenen Methode hinzufügen möchten, können Sie die Ausgabedatei für die RADIUS-Clienteinträge für jeden WAP erstellen, ohne sie dem IAS hinzufügen. Verwenden Sie anschließend das weiter unten in diesem Abschnitt beschriebene Verfahren "So importieren Sie die RADIUS-Clients auf den zweiten IAS-Server", um die RADIUS-Clienteinträge sowohl auf den ersten IAS-Server als auch auf den zweiten IAS-Server zu importieren. Da Sie den gesamten Vorgang im Skript aufzeichnen können, ist diese Methode möglicherweise vorzuziehen, wenn Sie WAPs in großer Zahl hinzufügen müssen.

Wichtig: Dieses Verfahren stellt eine alternative Methode für das Hinzufügen von RADIUS-Clients durch Skripterstellung statt interaktives Vorgehen dar. Wenn Sie die im Abschnitt "Hinzufügen eines RADIUS-Clients zum ersten IAS-Server" beschriebenen Schritte befolgt haben, brauchen Sie dieses Verfahren nicht anzuwenden.

Verwenden Sie das folgende Verfahren, um sichere geheime RADIUS-Schlüssel zu generieren. Das Skript verwendet ebenso wie das vorherige Verfahren eine CryptoAPI-Funktion, um einen wirklich per Zufallsprinzip generierten Wert für jeden geheimen RADIUS-Schlüssel zu erzeugen. So wird sichergestellt, dass die Werte sicher genug sind, um Angriffe in Form von Erraten von Kennwörtern oder Wörterbuchangriffe abzuwehren.

So generieren Sie die Clienteintragsdatei für WAPs

Importieren der Zugriffspunkte auf den zweiten IAS-Server

Nachdem Sie die WAPs dem ersten IAS-Server hinzugefügt haben, müssen Sie sie einem zweiten Server hinzufügen, bevor Sie die WAPs für RADIUS konfigurieren können.

So importieren Sie die RADIUS-Clients auf den zweiten IAS-Server

Konfigurieren der WAPs

Nachdem Sie die RADIUS-Clients-Einträge für die WAPs dem IAS hinzugefügt haben, müssen Sie nun die WAPs selbst konfigurieren. Fügen Sie die IP-Adressen der IAS-Server und die geheimen RADIUS-Client-Schlüssel hinzu, die jeder Zugriffspunkt für die sichere Kommunikation mit den IAS-Servern verwendet. Jeder WAP wird mit einem primären und einem sekundären (oder Sicherungs-) IAS-Server konfiguriert. Führen Sie die in diesem Abschnitt beschriebenen Schritte für die WAPs an jedem Standort Ihres Unternehmens aus. Weitere Informationen darüber, wie Sie WAPs zu den IAS-Servern zuweisen, finden Sie in Kapitel 2, Planen einer WLAN-Sicherheitsimplementierung.

Das Verfahren zum Konfigurieren von WAPs hängt von der Beschaffenheit und dem Modell des entsprechenden Gerätes ab. Die Hersteller von WAPs stellen jedoch in der Regel ausführliche Anweisungen zum Konfigurieren ihrer Geräte zur Verfügung. Je nach Hersteller sind diese Anweisungen u. U. auch online verfügbar.

Bevor Sie die Sicherheitseinstellungen für die WAPs konfigurieren, ist eine Konfiguration der grundlegenden Netzwerkeinstellungen erforderlich. Dazu gehören u. a.:

Diese Liste umfasst eine Reihe anderer Parameter, die sich auf die Bereitstellung von mehreren WAPs auswirken: Einstellungen, die den richtigen Funkbereich an Ihrem Standort regeln, z. B. 802.11 Funkkanal, Übertragungsrate und Übertragungsleistung usw. Eine Beschreibung dieser Parameter würde allerdings den Rahmen dieser Anleitung sprengen. Ziehen Sie für die Konfiguration dieser Einstellungen die Dokumentation des Herstellers zu Rate oder wenden Sie sich an einen Netzwerkdiensteanbieter. Weitere Informationen zur Bereitstellung von WAPs finden Sie in den Quellangaben am Ende dieses Kapitels.

Bei der Anleitung in diesem Kapitel wird davon ausgegangen, dass Sie diese Einstellungen korrekt vorgenommen haben und sich mit dem WAP von einem WLAN-Client aus über eine nicht authentifizierte Verbindung verbinden können. Prüfen Sie dies nach, bevor Sie die in den folgenden Abschnitten aufgeführten Authentifizierungs- und Sicherheitsparameter konfigurieren.

Aktivieren der sicheren WLAN-Authentifizierung an Zugriffspunkten

Konfigurieren Sie jeden WAP mit einem primären und einem sekundären RADIUS-Server. Der WAP verwendet den primären Server in der Regel für alle Authentifizierungsanforderungen und wechselt auf den sekundären Server, wenn der primäre Server nicht verfügbar ist. Wie in Kapitel 2, Planen einer WLAN-Sicherheitsimplementierung, erläutert, ist es wichtig, die Zuweisung der WAPs zu planen und sorgfältig abzuwägen, welcher Server als primär und welcher als sekundär festgelegt wird. Zusammenfassung:

In der folgenden Tabelle sind die Einstellungen aufgeführt, die Sie auf den WAPs konfigurieren müssen. Die Namen und Beschreibungen dieser Einstellungen sind zwar je nach Hersteller unterschiedlich, Sie sollten jedoch anhand der Dokumentation der WAPs ermitteln können, welche Einstellungen den in der Tabelle genannten entsprechen.

Tabelle 5.3: Konfiguration der WAPs

Wichtig: Der Wert für die Zeitüberschreitung bei der Aktualisierung von Schlüsseln wird bei der dynamischen WEP-Verschlüsselung auf 60 Minuten festgelegt. Der Wert für die Sitzungszeitüberschreitung, der in der IAS-RAS-Richtlinie festgelegt ist, ist gleich oder kürzer. Weitere Informationen dazu finden Sie im bereits beschriebenen Abschnitt "Ändern der Profileinstellungen der WLAN-Zugriffsrichtlinie". Die entsprechend niedrigere Einstellung hat Vorrang, sodass Sie die Einstellung nur in IAS ändern müssen. Bei Verwendung von WPA sollten Sie diese Einstellung im Zugriffspunkt auf acht Stunden erhöhen. Weitere Informationen dazu finden Sie in der Dokumentation des Herstellers.

Verwenden Sie die geheimen RADIUS-Schlüssel, die im Abschnitt "Hinzufügen eines RADIUS-Clients zum ersten IAS-Server" generiert wurden, um WAPs dem IAS hinzuzufügen. Auch wenn Sie noch keinen sekundären IAS-Server als Sicherungsserver für den primären Server konfiguriert haben, können Sie jetzt noch die IP-Adresse des Servers dem WAP hinzufügen. (So müssen Sie ihn später nicht neu konfigurieren.) Die Konfiguration zusätzlicher IAS-Server wird in einem der folgenden Abschnitte dieses Kapitels beschrieben.

Je nach Hardwaremodell des WAPs liegen möglicherweise keine separaten konfigurierbaren Einträge für RADIUS-Authentifizierungs- und Kontoführungsserver vor. Sind separate konfigurierbare Einträge vorhanden, legen Sie beide auf denselben Server fest, es sei denn, aus einem bestimmten Grund ist eine andere Vorgehensweise erforderlich.

Die Werte für die Anzahl der RADIUS-Wiederholungsversuche und die Zeitüberschreitung in der Tabelle sind allgemeine Standardwerte, die jedoch nicht obligatorisch sind.

Hinweis: Wenn Sie zurzeit nur WAPs ohne aktivierte Sicherheit oder nur mit statischer WEP-Verschlüsselung verwenden, müssen Sie auf ein 802.1X-basiertes WLAN migrieren. Weitere Informationen zur Migration von einem vorhandenen Drahtlosnetzwerk finden Sie im Abschnitt "Migration von einem bereits vorhandenen WLAN" in Kapitel 2, Planen einer WLAN-Sicherheitsimplementierung.

Zusätzliche Einstellungen zur Sicherung der WAPs

Über die Aktivierung von 802.1X-Paramater hinaus sollten Sie die WAPs für höchste Sicherheit konfigurieren. Netzwerkhardware wird meistens mit unsicheren, aktivierten Verwaltungsprotokollen und auf bekannte Standardeinstellungen gesetzten Administratorkennwörtern ausgeliefert, die ein Sicherheitsrisiko darstellen. Konfigurieren Sie die in der folgenden Tabelle aufgeführten Einstellungen, wobei die Liste keineswegs vollständig ist. Ziehen Sie die Dokumentation des Herstellers zu Rate, um eine autorisierte Anleitung zu diesem Thema zu erhalten. Wählen Sie für Kennwörter und Communitynamen für SNMP (Simple Network Management Protocol) komplexe Werte mit Groß- und Kleinbuchstaben, Zahlen und Interpunktionszeichen. Wählen Sie keinen Wert, der leicht durch Informationen wie Ihren Domänennamen, den Namen des Unternehmens oder die Firmenadresse erraten werden kann.

Tabelle 5.4: Sicherheitskonfiguration der WAPs

Der SSID-Broadcast (WLAN-Netzwerkname) sollte nicht deaktiviert werden, da sich dies negativ auf die Fähigkeit von Windows XP auswirkt, eine Verbindung zum richtigen Netzwerk herzustellen. Auch wenn das Deaktivieren von SSID-Broadcast häufig als Sicherheitsmaßnahme empfohlen wird, ist der praktische Sicherheitsnutzen gering, wenn eine sichere 802.1X-Authentifizierungsmethode verwendet wird. Sogar mit deaktiviertem SSID-Broadcast vom Zugriffspunkt ist es für einen Angreifer relativ leicht, die SSID zu ermitteln, indem er Clientverbindungspakete abfängt. Wenn Sie die Existenz Ihres WLAN nicht mit einem Broadcast preisgeben möchten, verwenden Sie einen allgemeinen Namen für die SSID, der nicht mit Ihrem Unternehmen in Verbindung gebracht werden kann.

Replizieren der RADIUS-Clientkonfiguration auf andere IAS-Server

In der Regel werden die WAPs eines bestimmten Standorts vom IAS-Server dieses Standorts bedient. Der IAS-Server an Standort A bedient beispielsweise die WAPs an Standort A, während der Server an Standort B die WAPs an Standort B bedient usw. Viele IAS-Server haben jedoch andere Servereinstellungen wie die RAS-Richtlinien gemeinsam. Aus diesem Grund wird der Export und Import von RADIUS-Clientdaten bei den in diesem Abschnitt beschriebenen Verfahren separat behandelt.

Obwohl es relativ wenig Szenarien gibt, in denen das Replizieren von RADIUS-Clientdaten relevant ist, ist es unter bestimmten Bedingungen dennoch nützlich. (Wenn sich beispielsweise zwei IAS-Server am gleichen Standort befinden, die als primärer und sekundärer RADIUS-Server für alle WAPs an diesem Standort fungieren.)

So exportieren Sie die RADIUS-Clienteinstellungen in eine Datei

So importieren Sie RADIUS-Clienteinstellungen aus einer Datei

Eine wesentlich flexiblere Methode zum Importieren der RADIUS-Clients stellt das Tool AddRADIUSClient.exe dar, das im Lieferumfang dieser Lösung enthalten ist. Mit diesem Tool können Sie das selektive Hinzufügen von RADIUS-Clients zu unterschiedlichen Servern in einem Skript aufzeichnen.

Zum Seitenanfang

Zusammenfassung

Dieses Kapitel gibt Anleitungen zu folgenden Themen:

Sie sind nun bereit, die WLAN-Clients zu konfigurieren. Informationen dazu finden Sie in Kapitel 6, Konfigurieren der WLAN-Clients.

Außerdem sollten Sie das Kapitel 8, Verwalten der sicheren WLAN-Lösung, lesen. Dieses Kapitel enthält wesentliche Informationen darüber, wie Sie die RADIUS-Infrastruktur sicher und zuverlässig verwalten.

Zum Seitenanfang

Quellen

Dieser Abschnitt enthält Quellangaben für wichtige ergänzende Informationen oder anderes Hintergrundmaterial, das für den Inhalt dieses Kapitels relevant ist.

Zum Seitenanfang

7 von 10