Einrichtungshandbuch - Sichern von Wireless LANs mit Zertifikatsdiensten

Auf dieser Seite

	Einführung
	Planungstabelle RADIUS-Infrastruktur
	Einrichten Ihres Servers
	Installieren und Konfigurieren von IAS
	Konfigurieren des primären IAS-Servers
	Bereitstellen der Konfiguration auf mehreren IAS-Servern
	Zusammenfassung

Einführung

Dieses Kapitel bietet eine detaillierte Anleitung zum Aufbau einer RADIUS-Infrastruktur (Remote Authentication Dial-In User Service) für die WLAN-Absicherung (Wireless Local Area Network, drahtloses Netzwerk) auf der Grundlage des Microsoft® Windows Server 2003-IAS (Internetauthentifizierungsdienst). Dabei wird die Installation und Konfiguration der RADIUS-Server, die Vorbereitung des Verzeichnisdienstes Active Directory® und die Konfiguration der IAS-Server-Einstellungen beschrieben. Mithilfe der RADIUS-Infrastruktur soll im nächsten Kapitel eine komplette WLAN-Lösung aufgebaut werden.

Dieses Kapitel soll eine Implementierungsanleitung für den RADIUS-Entwurf bereitstellen, der in Kapitel 5, "Entwerfen der RADIUS-Infrastruktur für die WLAN-Absicherung", beschrieben ist. Das Kapitel versucht nicht, eines der allgemeinen RADIUS-Konzepte oder die Besonderheiten der Implementierung des RADIUS-Protokolls durch IAS zu erläutern.

Es ist vielmehr als Begleitmaterial zu den entsprechenden Kapiteln des RADIUS- und WLAN-Planungshandbuchs sowie des Betriebshandbuchs zu verstehen. In den Kapiteln des Planungshandbuchs werden die Gründe für die Implementierungsentscheidungen dieses Kapitels erläutert. Im Kapitel des Betriebshandbuchs werden die Aufgaben und Prozesse beschrieben, die für eine erfolgreiche Verwaltung der RADIUS-Infrastruktur erforderlich sind. Bevor Sie mit dem vorliegenden Kapitel fortfahren, sollten Sie unbedingt die Kapitel zum Thema Planung lesen, falls Sie dies noch nicht getan haben. Zudem sollten Sie nachlesen, wie sich die unterstützungsbezogenen Anforderungen im Betriebshandbuch-Kapitel auswirken, bevor Sie Ihre RADIUS-Infrastruktur anhand der Anleitung in diesem Kapitel implementieren.

Voraussetzungen für das Kapitel

Dieser Abschnitt enthält Prüflisten, mit denen Sie ermitteln können, wie gut Ihre Organisation auf die Implementierung der RADIUS-Infrastruktur vorbereitet ist. ("Vorbereitet" ist hier im logistischen und nicht im geschäftlichen Sinn gemeint. Die geschäftliche Motivation zur Implementierung dieser Lösung wird in den ersten Kapiteln des Planungshandbuchs behandelt.)

Vorausgesetzte Kenntnisse

Sie sollten insbesondere mit dem RADIUS- und dem IAS-Konzept vertraut sein. Vertrautheit mit Windows 2000 Server oder Windows Server 2003 wird in den folgenden Bereichen ebenfalls vorausgesetzt:

Bevor Sie das vorliegende Kapitel lesen, sollten Sie auch Kapitel 5, "Entwerfen der RADIUS-Infrastruktur für die WLAN-Absicherung", lesen und die Architektur und das Konzept der Lösung genau verstehen.

Organisationsvoraussetzungen

Sprechen Sie sich mit anderen Mitgliedern Ihrer Organisation ab, die in die Umsetzung dieser Lösung einbezogen werden sollten, z. B.:

Grundvoraussetzungen der IT-Infrastruktur

In diesem Kapitel wird von folgenden Gegebenheiten hinsichtlich der vorhandenen IT-Infrastruktur ausgegangen:

Kapitelüberblick

Die folgende Abbildung veranschaulicht den Aufbau der in diesem Kapitel behandelten RADIUS-Infrastruktur.

Abbildung 8.1: Diagramm zur Erstellung der RADIUS-Infrastruktur

Diese Schritte spiegeln sich im Aufbau des Kapitels wieder und werden in der folgenden Liste beschrieben. Jeder Schritt besteht aus Installations- oder Konfigurationsaufgaben und einem oder mehreren Prüfverfahren. Damit können Sie feststellen, was Sie gerade erledigt haben, bevor Sie mit dem nächsten Schritt fortfahren.

Zum Seitenanfang

Planungstabelle RADIUS-Infrastruktur

Die folgenden Tabellen enthalten die Konfigurationsparameter, die in der Lösung Verwendung finden. Verwenden Sie diese als Checklisten für Ihre Planungsentscheidungen.

Viele der Parameter in diesen Tabellen werden als Teil der in diesem Kapitel beschriebenen Verfahren manuell gesetzt. Andere werden entweder durch ein Skript gesetzt, das im Rahmen eines der Verfahren ausgeführt wird, oder von einem Skript referenziert, um andere Konfigurations- oder Betriebsschritte zu vervollständigen.

Hinweis: Die im Einrichtungshandbuch verwendeten Skripts werden ausführlicher in der Datei Toolsreadme.txt beschrieben, die den Skripts beiliegt.

Benutzerdefinierte Konfigurationseinstellungen

Die folgende Tabelle bietet eine Übersicht über organisationsspezifische Parameter der fiktiven Woodgrove Bank. Stellen Sie hierbei sicher, dass Sie in Ihrer Organisation bei sämtlichen Optionen gleichwertige Einstellungen gesammelt oder festgelegt haben, bevor Sie mit der Einrichtung beginnen. Die hier angegebenen, fiktiven Daten werden in den Beispielbefehlen im gesamten Kapitel verwendet. Sie müssen sie durch Werte ersetzen, die für Ihr eigenes Unternehmen zutreffen. Die Stellen, die durch Ihre eigenen Werte zu ersetzen sind, sind kursiv dargestellt.

Tabelle 8.1: Benutzerdefinierte Konfigurationseinstellungen

Durch die Lösung vorgegebene Konfigurationseinstellungen

Die Einstellungen in der folgenden Tabelle müssen nicht für eine bestimmte Installation geändert werden, es sei denn, Sie müssen aus einem bestimmten Grund eine Einstellung verwenden, die von der Lösung abweicht. Änderungen an den hier vorgegebenen Entwurfsparametern sind akzeptabel, sofern Sie sich bewusst sind, dass Sie damit von der Anleitung der getesteten Lösung abweichen. Wenn Sie eine Einstellung ändern möchten, müssen Sie sich über die Auswirkungen im Klaren sein, die dies auf mögliche Abhängigkeiten haben kann, bevor Sie die Werte in den Konfigurationsverfahren oder in den angegebenen Skripts ändern.

Tabelle 8.2: Durch die Lösung vorgegebene Konfigurationseinstellungen

Vorbereitung für IAS

Die Lösung enthält zwei zentral platzierte IAS-Server, die als RADIUS-Server für die WLAN-Zugriffskontrolle konfiguriert sind. Außerdem enthält die Lösung für Umgebungen, die eine verteilte Infrastruktur erfordern, einen optionalen IAS-Server für eine Zweigstelle, der ebenfalls als RADIUS-Server konfiguriert ist. Weitere Informationen zur Aufstellung von IAS-Servern entnehmen Sie Kapitel 5, "Entwerfen der RADIUS-Infrastruktur für die WLAN-Absicherung".

Sie müssen verschiedene vorbereitende Schritte abschließen, bevor Sie IAS installieren können. Dazu gehören:

Zum Seitenanfang

Einrichten Ihres Servers

Die nächsten Abschnitte erläutern die für die Einrichtung Ihrer Server erforderlichen Schritte. Obwohl Sie die Server unabhängig voneinander einrichten können, ist es wichtig, dass auf jedem Server sämtliche Schritte abgeschlossen werden.

Festlegen der Serverhardware

Die Hardware für die IAS-Server sollte aus der Windows Server 2003 Hardwarekompatibilitätsliste (HCL) ausgewählt werden. Dies hilft Ihnen, Probleme im Zusammenhang mit Ausfallsicherheit und Kompatibilität zu vermeiden, die bei ungeprüfter Hardware oder fehlerhaften Gerätetreibern auftreten können. Weitere Informationen zur Windows Server 2003 HCL finden Sie im Abschnitt "Weitere Informationen" am Ende dieses Kapitels.

Getestete Serverhardwarespezifikationen

Die folgende Hardware wurde beim Testen der Lösung in einer Testumgebung verwendet. Diese Hardwarespezifikationen dienen nur als Referenz und sind nicht obligatorisch. Eine weiter gehende Behandlung der IAS-Server-Hardwareanforderungen finden Sie im Kapitel 5, "Entwerfen der RADIUS-Infrastruktur für die WLAN-Absicherung".

Tabelle 8.3: Getestete Serverhardwarespezifikationen

Vorbereiten der Hardware

Führen Sie alle von Ihrem Hardwarelieferanten empfohlenen Hardwarekonfigurationsschritte durch. Möglicherweise müssen Sie für diese Konfigurationen die neuesten BIOS- und Firmware-Updates einspielen.

Erstellen Sie mithilfe der zu Ihrer Hardware gehörenden Plattenverwaltungssoftware die RAID 1-Laufwerke, wie in der vorausgehenden Tabelle beschrieben.

Installieren von Windows Server 2003

Dieser Abschnitt beschreibt die Installation von Windows Server 2003 auf den IAS-Servern. Viele Unternehmen setzen mittlerweile automatisierte Serverinstallationsverfahren ein. Diese können zur Servereinrichtung eingesetzt werden, wenn sichergestellt ist, dass die im Folgenden aufgeführten Parameter eingefügt werden können. Sehen Sie in Kapitel 5, "Entwerfen der RADIUS-Infrastruktur für die WLAN-Absicherung", nach, ob Sie eher die Windows Server 2003 Standard Edition oder Windows Server 2003 Enterprise Edition einsetzen sollten.

Führen Sie folgende Schritte durch, um Windows Server 2003 auf einem der IAS-Server zu installieren.

So installieren Sie Windows Server 2003

Netzwerkeinstellungen

Die IAS-Server verfügen über eine einzelne Netzwerkkarte (obwohl Server bei dieser Konfiguration aus Gründen der höheren Ausfallsicherheit auch mit zwei Karten ausgestattet werden können). Die Netzwerkkarte sollte mit einer statischen IP-Adresse und anderen IP-Einstellungen (z.  B. Standard-Gateway und DNS-Einstellungen) passend zu Ihrem Netzwerk konfiguriert sein.

Überprüfen der Installation

Sie sollten sicherstellen, dass die Betriebssysteminstallation erfolgreich beendet wurde und die konfigurierten Parameter Ihren Erwartungen entsprechen.

So überprüfen Sie die aktuelle Systemkonfiguration

Installieren von Konfigurationsskripts auf Servern

Um Teile der Konfiguration und des Betriebs zu vereinfachen, sind der Lösung verschiedene Unterstützungsskripts und Konfigurationsdateien beigefügt. Sie müssen diese Dateien auf jedem Server installieren. Einige Skripts werden von Verfahren benötigt, die in Kapitel 12, "Verwalten der RADIUS-Infrastruktur für die WLAN-Absicherung", beschrieben sind. Deshalb sollten Sie sie nach Beendigung der RADIUS-Server-Installation nicht löschen.

So installieren Sie die Setup-Skripts auf jedem Server

Überprüfen von Service Packs und Sicherheitsupdates

Sie sollten jetzt die Liste der bereits installierten Service Packs und Sicherheitsupdates überprüfen. Verwenden Sie ein Tool wie den Microsoft Baseline Security Analyzer (MBSA), um die Überprüfung durchzuführen und die ggf. benötigten Updates abzurufen. Installieren Sie sie nach geeigneten Tests auf den jeweiligen Servern.

Weitere Informationen zu MBSA finden Sie am Ende dieses Kapitels im Abschnitt "Weitere Informationen".

Installieren zusätzlicher Software

Dieser Abschnitt beschreibt die Installation weiterer Software, die auf den IAS-Servern erforderlich ist.

CAPICOM

CAPICOM 2.0 ist auf den RADIUS-Servern für einige Einrichtungs- und Verwaltungsskripts erforderlich, die zu dieser Lösung gehören. Wo Sie die neueste Version von CAPICOM herunterladen können, erfahren Sie am Ende dieses Kapitels im Abschnitt "Weitere Informationen".

Bevor Sie mit dieser Anleitung fortfahren, folgen Sie den Anweisungen in der selbst extrahierenden Datei, um die Capicom-DLL zu installieren und zu registrieren.

Überprüfen der Netzwerk- und Active Directory-Verbindungen

IAS ist hochgradig von einer ordnungsgemäßen Netzwerkkonfiguration und Verbindung zu Active Directory abhängig. Deshalb sollten Sie die Ausführung von Netzwerkdiagnosetools auf den Servern in Erwägung ziehen, bevor Sie IAS bereitstellen.

Sie können die Netzwerkdiagnose mit dem Dienstprogramm Netdiag.exe aus den Windows Server 2003 Support Tools durchführen, die Sie auf der Windows Server 2003 CD finden. Netdiag.exe kann mit folgendem Befehl extrahiert werden:

expand r:\support\tools\support.cab f:netdiag.exe c:\mssscripts

Geben Sie anschließend den folgenden Befehl ein, um das Dienstprogramm auszuführen:

C:\mssscripts\netdiag.exe

Überprüfen Sie alle angezeigten Fehler oder Warnungen.

Überprüfen der Domänenfunktionsebene

Das bevorzugte Modell zur Kontrolle von Netzwerkzugriffen ist die Verwendung der Einstellung Zugriff über RAS-Richtlinien steuern für Benutzerkonten in Active Directory. Die Einstellung Zugriff über RAS-Richtlinien steuern ist jedoch nur dann verfügbar, wenn Active Directory im einheitlichen Windows 2000-Modus oder höher ausgeführt wird. Aus diesem Grund sollten Sie die Domänenfunktionsebene überprüfen, bevor Sie RAS-Richtlinien über IAS bereitstellen.

Dazu überprüfen Sie die Eigenschaften der Domäne im Tool Active Directory-Domänen und Vertrauensstellungen. Wenn sich die für IAS vorgesehene Domäne im gemischten Windows 2000-Modus befindet, setzen Sie sich mit den entsprechenden Active Directory-Administratoren in Verbindung, um eine Migration in den einheitlichen Modus zu planen.

Weitere Informationen zu diesem Thema finden Sie am Ende dieses Kapitels im Abschnitt "Weitere Informationen".

Konfigurieren von Active Directory-Sicherheitsgruppen

IAS ist Teil Ihrer Netzwerksicherheitsinfrastruktur. Deshalb sollte der Zugriff auf die IAS-Konfiguration und -Protokolldateien streng kontrolliert werden. Eine Kombination aus globalen Active Directory-Gruppen und lokalen Windows Server 2003-Gruppen soll diesem Anspruch gerecht werden.

Erstellen von Gruppen zur IAS-Verwaltung

Führen Sie als Domänenadministrator das folgende Skript aus, um Sicherheitsgruppen für die IAS-Verwaltung zu erstellen:

Cscript //job:CreateIASGroups C:\MSSScripts\IAS_Tools.wsf

Das Skript generiert die folgenden Sicherheitsgruppen als globale Gruppen der Domäne:

In einer Mehrfachdomänengesamtstruktur sollten diese Gruppen in derselben Domäne wie die IAS-Server erstellt werden.

Hinweis: Organisationen, bei denen sich die Administratoren in verschiedenen Domänen befinden, sollten anstelle der hier erstellten globalen Gruppen universelle Gruppen in Betracht ziehen. Das Skript, das die Sicherheitsgruppen erstellt, lässt sich leicht abändern, nämlich mithilfe der Syntax, mit der im nächsten Kapitel die Gruppe "Remote Access Policy – Wireless Access" erstellt wird (siehe "Erstellen von Active Directory-Gruppen, die für den Zugriff auf das WLAN notwendig sind" in Kapitel 9).

Konfigurieren der Gruppe "IAS Administrators"

IAS ist eine Kernkomponente des Betriebssystems Windows Server 2003. Zum Ausführen von IAS-Konfigurationsaufgaben ist eine Mitgliedschaft in der Sicherheitsgruppe lokaler Administratoren erforderlich.

Sie müssen auf jedem IAS-Server die globale IAS Admins-Domänengruppe der lokalen Administratorgruppe hinzufügen. Wenn IAS auf einem Domänencontroller installiert ist, müssen Sie die IAS Admins der Administratorgruppe für die Domäne hinzufügen, die das Active Directory-Benutzer- und -Computer-Snap-In der Microsoft Management Console (MMC) verwendet.

Warnung: Das Hinzufügen von Gruppen zur integrierten Administrator-Domänengruppe hat schwerwiegende Konsequenzen für die Sicherheit. Weitere Informationen zur Positionierung von IAS auf Domänencontrollern finden Sie in Kapitel 5, "Entwerfen der RADIUS-Infrastruktur für die WLAN-Absicherung".

Bei der IAS-Administrator- und der IAS-Sicherheitsprüfer-Gruppe müssen Sie die Kontendaten der entsprechenden Administratoren eingeben. Eine umfassende Gegenüberstellung dieser Gruppen und der administrativen Rollen von IAS finden Sie in dem Abschnitt zur Planung administrativer Berechtigungen in Kapitel 5, "Entwerfen der RADIUS-Infrastruktur für die WLAN-Absicherung".

Bei den Einrichtungsverfahren im weiteren Verlauf dieses Dokuments müssen Konten verwendet werden, die Mitglieder der IAS-Administratorgruppe sind.

Absichern von Windows Server 2003 für IAS

Ergreifen Sie alle etwaigen sonstigen notwendigen Maßnahmen zum Schutz der IAS-Server vor einem Zugriff durch Unbefugte. Die IAS-Server sind ein Hauptbestandteil Ihrer Sicherheitsinfrastruktur und sollten deshalb mit den gleichen Überlegungen betrachtet werden wie Firewalls und andere sicherheitsrelevante Bestandteile der Infrastruktur.

Physische Absicherung

Die IAS-Server sollten an einem Ort untergebracht werden, an dem sich der physische Zugriff auf sie genau kontrollieren lässt. Diese Server müssen durchgängig online sein und sollten deshalb in Räumlichkeiten untergebracht sein, die den typischen Vorgaben für Serverräume, wie Temperaturregelung, Luftfilterung und Feuerlöschmöglichkeiten, gerecht werden.

Die Räumlichkeiten für den Server sollten so gewählt werden, dass sie so frei wie möglich von externen Risiken sind, die die Server beschädigen könnten z. B. Feuer oder Überschwemmung.

Genau so wichtig ist die Kontrolle über den physischen Zugriff auf Sicherungen, Dokumentationen und Konfigurationsdaten. Diese Informationen sollten an anderer Stelle aufbewahrt werden als die Server.

Anwenden von Systemsicherheitseinstellungen auf die Server

Die IAS-Server werden mit der IAS-Serverrolle abgesichert, die im Windows Server 2003-Sicherheitshandbuch definiert ist. Weitere Informationen zu diesem Handbuch und dem Speicherort für das Herunterladen der Sicherheitsvorlagen finden Sie im Abschnitt "Weitere Informationen" am Ende dieses Kapitels.

Da die IAS-Server Domänenmitglieder sind, werden die Einstellungen der Sicherheitsrichtlinien durch domänenbasierte Gruppenrichtlinien zugewiesen. Sie müssen für Ihr Unternehmen eine passende OU-Struktur (Organizational Unit, Organisationseinheit), die die IAS-Servercomputerobjekte enthält, und ein GPO (Group Policy object, Gruppenrichtlinienobjekt) erstellen, um die Sicherheitseinstellungen anzuwenden. Sie benötigen zwei GPOs für IAS-Server, die auf dedizierten Servern laufen (also nicht auf Domänencontrollern installiert sind):

Nachdem Sie Kapitel 5, "Entwerfen der RADIUS-Infrastruktur für die WLAN-Absicherung", gelesen haben, beschließen Sie möglicherweise, einige oder alle Ihrer IAS-Dienste auf Domänencontrollern auszuführen. Aufgrund der Komplexität in Zusammenhang mit der verstärkten Absicherung von Domänencontrollern enthält dieses Dokument keine Anweisungen für die Verwendung von Domänencontroller-Sicherheitsvorlagen. Das Windows Server 2003-Sicherheitshandbuch enthält eine Vorlage für Domänencontroller, die eine Sperrung durchführt, ähnlich wie in der Mitgliedsserver-Baselinerichtlinie. Sie sollten die Domänencontroller-Sicherheitsvorlage erst dann auf bestehende Domänencontroller anwenden, wenn Sie das Windows Server  2003-Sicherheitshandbuch aufmerksam gelesen und alle potenziellen Auswirkungen auf Ihre Domänenclients und Anwendungen genau überprüft haben.

Wenn Sie die Sicherheitsvorlage "Unternehmensclient Domänencontroller" auf Ihren kombinierten IAS- und Domänencontrollerservern verwenden, müssen Sie auch die Sicherheitsvorlage "Unternehmensclient IAS-Server" auf diese Rechner anwenden. Diese Vorlage wendet zusätzliche Einstellungen an, die den IAS-Dienst aktivieren. (Der IAS-Dienst ist in der Vorlage "Unternehmensclient Domänencontroller" deaktiviert.) Zum Anwenden der Vorlage erstellen Sie ein weiteres GPO, das in einer neuen Unter-OU unterhalb der Domänencontroller-OU angewendet werden soll:

Mit dem folgenden Verfahren können Sie die IAS-Servervorlage "Unternehmensclient" in dieses GPO importieren. In diesem Verfahren wird die Erstellung der OUs und GPOs erläutert. Die GPO- und OU-Namen dienen nur als Beispiel; Sie müssen das Verfahren an Ihre eigenen Domänenstandards für OUs und GPOs anpassen.

So erstellen Sie die OUs und GPOs für die IAS-Server

Nachdem Sie die GPOs erstellt und die Vorlagen importiert haben, müssen Sie die Einstellungen in den GPOs anpassen und den IAS-Server-Computern zuweisen.

So passen Sie das GPO "Unternehmensclient Internetauthentifizierungsdienst" an und wenden es an

So passen Sie das GPO "Unternehmensclient IAS" auf Domänencontrollern an und wenden es an

Überprüfen der Sicherheitseinstellungen

Mit dem folgenden Verfahren können Sie überprüfen, ob die Sicherheitseinstellungen richtig zugewiesen wurden:

So überprüfen Sie die Sicherheitseinstellungen der IAS-Server

Konfigurieren der Absicherung von Terminaldiensten

Sie sollten Terminaldienste für geplante Änderungen der Kennwörter (geheime RADIUS-Schlüssel) für RADIUS-Clients verwenden. Die Verschlüsselung der Terminaldienste-Datenübermittlung schützt die geheimen RADIUS-Schlüssel während der Übertragung über das Netzwerk.

Wichtig: Wenn eine andere Methode zur Festlegung oder Änderung der geheimen Schlüssel von RADIUS-Clients per Netzwerk verwendet wird (z.  B. mithilfe von telnet oder eines anderen einfachen Remoteausführungstools), müssen Sie sicherstellen, dass die Daten bei der Übertragung mit Internet Protocol Security (IPsec) oder einer anderen geeigneten Technologie geschützt werden.

Die folgenden "Terminaldienste"-Einstellungen sollten in den GPOs des Unternehmensclient-IAS auf Domänencontrollern und Unternehmensclient-IAS konfiguriert werden, die für die IAS-Server gelten.

Tabelle 8.5: Zu konfigurierende Einstellungen in Computerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Terminaldienste

Jedes Domänenkonto oder jede Sicherheitsgruppe, die Zugriff auf die IAS-Server mit den Terminaldiensten benötigt, muss der lokalen Gruppe "Remotedesktopbenutzer" hinzugefügt werden (mit Ausnahme der Mitglieder der lokalen Administratorengruppe).

Weitere Windows-Konfigurationsaufgaben

Die Notwendigkeit für weitere Konfigurationsaufgaben hängt von der Infrastruktur und den Standards in Ihrem Unternehmen ab. Beispiel:

Nach der Installation sollten Sie auch diese Komponenten überprüfen.

Zum Seitenanfang

Installieren und Konfigurieren von IAS

Diese Lösung stellt zwei zentral platzierte IAS-Server bereit. Diese sind als RADIUS-Server konfiguriert, um Benutzer zu authentifizieren und Netzwerkzugriffe zu autorisieren. Weiterhin steht optional ein IAS-Server für eine Zweigstelle bereit, um Umgebungen mit verteilter Authentifizierung und Autorisierung des Netzwerkzugriffs zu unterstützen. Weitere Informationen zur Aufstellung von IAS-Servern entnehmen Sie Kapitel 5, "Entwerfen der RADIUS-Infrastruktur für die WLAN-Absicherung".

Der nächste Abschnitt erläutert die Schritte für die Installation von IAS auf Ihren Servern. Es ist wichtig, dass Sie alle Installations- und Konfigurationsschritte auf allen IAS-Servern ausführen.

Installieren der IAS Software-Komponenten

IAS wird mit dem Manager für optionale Windows-Komponenten (Zugriff über Software und Komponenten hinzufügen/entfernen in der Systemsteuerung) installiert. In der folgenden Tabelle sind die zu installierenden Komponenten aufgeführt. Die Einrückung entspricht der hierarchischen Beziehung zwischen den Komponenten, wie sie im Assistenten zum Verwalten optionaler Komponenten dargestellt wird. Komponenten, die nicht ausgewählt werden, sind in der Tabelle nicht aufgeführt.

Tabelle 8.6: Zu installierende IAS-Komponenten

Hinweis: Sie benötigen das Windows Server 2003-Installationsmedium, um die Installation abzuschließen.

So installieren Sie IAS-Komponenten

Registrieren von IAS in Active Directory

IAS-Server müssen in jeder Domäne registriert werden. Das Computerkonto des IAS-Servers muss also in jeder Domäne, in der es zu einer Authentifizierung aufgefordert wird, in die RAS- und IAS-Server-Sicherheitsgruppe einbezogen werden. Durch diese Gruppenmitgliedschaft wird gewährleistet, dass die IAS-Server berechtigt sind, die RAS-Eigenschaften von Benutzer- und Computerkonten in der Domäne zu lesen.

Mit dem MMC-Snap-In "Active Directory-Benutzer und -Computer" oder dem Netshell-Befehl (netsh) können Computerkontenobjekte der IAS-Server in dieser Gruppe untergebracht werden.

So registrieren Sie IAS auf Servern in der Standard-Domäne mithilfe des netsh-Befehls

So registrieren Sie IAS auf anderen Domänen als der Standarddomäne mithilfe des netsh-Befehls

Erstellen und Absichern von IAS-Datenverzeichnissen

Sie müssen Datenverzeichnisse auf den Datenlaufwerken der IAS-Server anlegen, um IAS-Konfigurations- und Protokolldaten zu speichern. Führen Sie die folgenden Schritte an einer Eingabeaufforderung auf jedem der IAS-Server aus, um damit die IAS-Datenverzeichnisse anzulegen und abzusichern. Alternativ können Sie das entsprechende Batchskript verwenden, um diese Aufgabe zu automatisieren.

So erstellen Sie IAS-Datenverzeichnisse und sichern sie ab

Sie sollten auch das Verzeichnis D:\IASLogs für IAS Security Auditors freigeben, damit diese remote auf die Protokolldaten der RADIUS-Anforderungen zugreifen können.

So geben Sie das IAS-Protokollverzeichnis abgesichert frei

Es wurde eine optionale Batchdatei erstellt, die die oben stehenden Befehle enthält. Diese Datei muss jedoch noch bearbeitet werden, damit sie den korrekten NETBIOS-Namen Ihrer Domain enthält.

So editieren Sie die Batchdatei und führen sie aus, um die IAS-Datenverzeichnisse zu erstellen, abzusichern und freizugeben

Zum Seitenanfang

Konfigurieren des primären IAS-Servers

Sie sollten einen der IAS-Server Ihres Unternehmens als primären Server festlegen. Sie konfigurieren diesen Server vor den anderen IAS-Servern, so dass er als Vorlage für die Einstellungen auf den nachfolgenden IAS-Servern herangezogen werden kann.

Konfigurieren der Authentifizierungs- und Kontoführungsanforderungs-Protokollierung

IAS protokolliert standardmäßig keine RADIUS-Authentifizierung und keine Kontoführungsanforderungen. Wenn möglich sollten beide Anforderungsprotokolle aktiviert werden, um zu gewährleisten, dass Sicherheitsereignisse protokolliert und später untersucht werden können. Möglicherweise verwendet Ihr Unternehmen die Konteninformationen auch zur Rechnungsstellung.

Hinweis: Die Protokollierung von RADIUS-Anforderungen wirkt sich auf die Serverleistung aus und macht Verfahren erforderlich, mit denen sichergestellt werden kann, dass die Datenträger nicht mit den Protokollen voll geschrieben werden. Weitere Informationen zur Kapazitätsplanung finden Sie Kapitel 5, "Entwerfen der RADIUS-Infrastruktur für die WLAN-Absicherung". Informationen zum Archivieren und Löschen von Protokolldateien finden Sie in Kapitel 12, "Verwalten der RADIUS-Infrastruktur für die WLAN-Absicherung".

So konfigurieren Sie die Protokollierung von Authentifizierung und Kontoführung auf IAS-Servern

Das Format Datenbankkompatibel bietet die Möglichkeit, die Anforderungsprotokolle direkt in Datenbanken wie Microsoft Access und Microsoft SQL Server 2000 zu importieren, was das Abfragen von Daten und das Erstellen entsprechender Berichte erleichtert.

Konfigurieren von IAS für den WLAN-Zugriff und für andere Netzwerkanwendungen

Sie haben nun die Grundeinstellungen für IAS festgelegt. Im verbleibenden Teil des Kapitels wird beschrieben, wie sich die Einstellungen vom ersten IAS-Server auf die nachfolgenden Server übertragen (replizieren) lassen. Bevor Sie die Einstellungen replizieren, müssen Sie zunächst die RAS-Richtlinien und andere spezifische Einstellungen für Ihre Anwendung festlegen. In Kapitel 9, "Implementieren der WLAN-Absicherung", finden Sie eine Anleitung zum Konfigurieren von IAS für WLANs. Nachdem Sie den ersten Server konfiguriert haben, können Sie zu diesem Kapitel zurückkehren und den Anweisungen zum Replizieren der IAS-Einstellungen auf anderen Servern folgen.

Zum Seitenanfang

Bereitstellen der Konfiguration auf mehreren IAS-Servern

Sie können mithilfe des netsh-Befehls Teile der IAS-Konfiguration in Textdateien exportieren. Die folgenden Konfigurationsbereiche lassen sich unabhängig voneinander exportieren:

Diese Textdateien können zur Übertragung von gemeinsamen Konfigurationen über mehrere IAS-Server verwendet werden. Dies ermöglicht Ihnen eine konsistente Konfiguration und schnelle Bereitstellung. Server mit ähnlichen Rollen haben folgende Konfigurationsabschnitte gemeinsam:

Konfigurieren Sie die genannten Objekte ausschließlich auf dem primären IAS-Server. Benutzen Sie dann den Befehl netsh, um diese Objekte in Textdateien zu exportieren. Die Textdateien können dann auf weiteren IAS-Servern mit ähnlichen Rollen importiert werden. Durch dieses Verfahren stellen Sie sicher, dass Konfigurationstextdateien mit gemeinsamen Konfigurationseinstellungen auf allen Servern synchronisiert werden.

Jeder IAS-Server enthält die Konfiguration von RADIUS-Clients mit gemeinsamen Schlüsseln, die normalerweise für jeden Server eindeutig ist. Diese Informationen müssen auf jedem Server unabhängig konfiguriert und gesichert werden.

Warnung: Die Verwendung von netsh zur Erstellung eines vollständigen Abbilds erzeugt eine Konfigurationstextdatei, die möglicherweise sicherheitskritische, gemeinsame und geheime RADIUS-Informationen beinhaltet. Diese Anleitung befähigt zum Bereitstellen von Einstellungen und zum Durchführen von Sicherungen ohne ein vollständiges Abbild der IAS-Einstellungen. Wenn Sie sich dazu entscheiden, mit vollständigen Abbildern der Konfigurationstextdateien zu arbeiten, müssen Sie sie mit äußerster Vorsicht behandeln. Mit den Informationen aus diesen Dateien ist Ihr Netzwerk für jedermann zugänglich.

In den folgenden Abschnitten wird erläutert, wie die Konfiguration vom primären IAS-Server auf die zusätzlichen IAS-Server, die einer ähnlichen Rolle angehören, übertragen werden kann. Sie können die Einstellungen zwar schon zum jetzigen Zeitpunkt replizieren, bisher wurden jedoch nur minimale Konfigurationsänderungen an den IAS-Servern vorgenommen. Sie sollten die Replikation deshalb erneut durchführen, nachdem im Rahmen des nächsten Kapitels beispielsweise eine Netzwerkzugriffsrichtlinie erstellt, weitere RADIUS-Clients hinzugefügt und sonstige, umfangreichere Änderungen an der IAS-Konfiguration vorgenommen wurden.

Exportieren der Konfiguration des primären IAS-Servers

Um Einstellungen auf zusätzliche IAS-Server zu übertragen, muss die Konfiguration des primären IAS-Servers exportiert werden.

Batchdateien können verwendet werden, um den Export von gemeinsamen IAS-Konfigurationsbereichen für Sicherungen zu automatisieren und bei der Bereitstellung von IAS-Einstellungen über mehrere IAS-Server mit derselben Rolle zu helfen. Stellen Sie bei der Erstellung von Batchdateien zur Bereitstellung von Einstellungen sicher, dass nur die folgenden Einstellungen enthalten sind, die auf IAS-Server portiert werden können:

So exportieren Sie die gemeinsame Konfiguration auf dem primären IAS-Server

Diese Batchdatei enthält eine Reihe von netsh-Befehlen, mit denen die gemeinsamen Konfigurationsinformationen in Konfigurationstextdateien im Verzeichnis D:\IASConfig exportiert werden.

Laden der Konfigurationssicherung vom primären Server

IAS verwendet den netsh-Befehl, um Konfigurationsinformationen von einem Server auf einen anderen zu übertragen. Dieses Verfahren beschleunigt die Bereitstellung und verringert die Gefahr von Fehlern bei Bereitstellungen auf mehreren Servern. Die oben erstellten Textdateien mit Konfigurationsinformationen vom primären IAS-Server können nun dazu verwendet werden, die Konfiguration sowohl auf den sekundären IAS-Server als auch auf die Zweigstellen-IAS-Server zu laden.

Laden Sie die exportierten Konfigurationstextdateien vom primären IAS-Server auf den/die anderen IAS-Server, indem Sie die folgenden Schritte ausführen.

So laden Sie die gemeinsame Konfiguration vom primären IAS-Server auf die anderen IAS-Server

Zum Seitenanfang

Zusammenfassung

Wenn Sie alle in diesem Kapitel beschriebenen Verfahren durchgearbeitet haben, müssten Sie nun die folgenden Aufgaben erledigt haben:

Sie sind nun in der Lage, WLAN-spezifische Einstellungen vorzunehmen, wie in Kapitel 9, "Implementieren der WLAN-Absicherung", beschrieben. Abschließend müssen Sie ggf. noch einmal zum Ende des vorliegenden Kapitels zurückkehren, um die im Rahmen des nächsten Kapitels vorgenommenen IAS-Einstellungen zu replizieren.

Sie sollten auch die in Frage kommenden Teile von Kapitel 12, "Verwalten der RADIUS-Infrastruktur für die WLAN-Absicherung", lesen. Dort finden Sie wichtige Informationen darüber, wie Sie Ihre RADIUS-Infrastruktur sicher und verlässlich in Betrieb halten.

Weitere Informationen

Zum Seitenanfang

3 von 4