Eingeschränkter Zugriff für Server

Transkript

1 Eingeschränkter Zugriff für Server Firewallrichtlinien In diesem Kapitel: Designfragen für Infrastrukturserver 292 Zeitsynchronisation 292 Windows Update 298 Windows-Produktaktivierung 300 Zusammenfassung

2 Eingeschränkter Zugriff für Server Die folgenden vier Kapitel zeigen, wie Sie ein vernünftiges und auf die Anforderungen von Fabrikam Inc. abgestimmtes Firewallregelwerk erstellen. Je feiner die Regeln sind, desto besser kann das Unternehmensnetzwerk abgesichert werden. Sie sollten grundsätzlich nur den internen Rechnern einen Zugriff auf das Internet ermöglichen, bei denen es unbedingt notwendig ist. TIPP Erlauben Sie nur den Verkehr, der unbedingt notwendig ist! Designfragen für Infrastrukturserver Wie in der Einleitung zu diesem Kapitel bereits erwähnt, sollten Sie nur den Servern und Clientcomputern den Zugriff auf das Internet erlauben, die ihn auch unbedingt benötigen. Selbst dann sollten zusätzlich noch die erlaubten Protokolle eingeschränkt werden. So macht es wenig Sinn, dem internen Mail Server den Zugang zum Internet über das HTTP-Protokoll zu erlauben. Welchen Grund sollte es dafür geben? Ein Server, auf dem nur Microsoft Exchange Server in der Standardkonfiguration ausgeführt wird, benötigt lediglich eine ein- und ausgehende SMTP-Verbindung, um s empfangen und versenden zu können. Mehr zur Konfiguration von ISA Server 2006 für die Exchange-Anbindung erfahren Sie in Kapitel 14. Zusätzlich muss eine korrekte DNS-Auflösung gewährleistet sein, was in Kapitel 6 bereits ausführlich erklärt wurde. Weitere Gründe, um Servern in Einzelfällen Internetzugriff zu gestatten, sind: Zeitsynchronisation, Windows Update und abhängig vom Lizenzierungstyp die Windows-Produktaktivierung. Das Sicherheitskonzept von Fabrikam Inc. sieht vor, dass mit einem administrativen Konto kein Webbrowser verwendet werden darf. Nutzen Sie daher die Möglichkeiten, den Webzugriff entweder über Benutzerauthentifizierung, durch Computersätze oder eine Kombination davon einzuschränken. Vermeiden Sie es, als Quellnetzwerk bei Firewallrichtlinien Intern anzugeben. Zeitsynchronisation Das Datum und die Uhrzeit spielen in einem Netzwerk eine sehr große Rolle. Jede ein- oder ausgehende weist eine Zeitangabe auf und jede Datei besitzt ein Erstellungs- und Änderungsdatum. ISA Server 2006 verwendet Zeitangaben, um zum Beispiel anhand von Zeitplänen eine Firewallrichtlinie einzuschränken. Grundlagen Die korrekte Uhrzeit ist in einem Netzwerk für viele Zwecke unerlässlich. Jegliche Replikation oder Synchronisation von Dateien, Active Directory-Objekten, Berechtigungen und Protokollierungsdateien sind davon abhängig. Auch ist die korrekte Uhrzeit für Kalendereinträge und Besprechungsanfragen in Outlook wichtig. Aus Sicherheitsgründen ist auch für die Kommunikation und Authentifizierung innerhalb von Active Directory eine übereinstimmende Uhrzeit erforderlich. Sofern die Zeitgeber richtig konfiguriert sind, gleichen sich die Domänenmitglieder automatisch ab. Damit aber eine Referenzzeit vorhanden ist, müssen Sie einen Ihrer Server so konfigurieren, dass dieser seine Zeit von einer externen Zeitquelle bezieht. Dazu gibt es zwei Möglichkeiten: Abgleich über einen Funksignalempfänger als Hardwarelösung (mit Kosten verbunden) 292

3 Zeitsynchronisation Abgleich über das Internet mit öffentlich verfügbaren Zeitservern (kostenfrei) Fabrikam Inc. hat sich entschieden, die kostengünstige Variante zu wählen. Der Domänencontroller in München, DC-MUC, soll für den Zeitabgleich konfiguriert werden. Als externer Zeitserver soll ntp2.fau.de der Universität Erlangen verwendet werden. Eine Liste verfügbarer SNTP-Zeitserver finden Sie zum Beispiel unter in der Microsoft Knowledge Base. Das zum Zeitabgleich verwendete Protokoll ist NTP (Network Time Protokoll). Was ist das NTP-Protokoll? Eine gute Beschreibung des NTP-Protokolls ist in der deutschen Wikipedia zu finden: NTP ist eines der ältesten noch immer verwendeten TCP/IP-Protokolle. Es wurde von David Mills an der Universität von Delaware entwickelt und 1985 als RFC 958 veröffentlicht. Unter seiner Leitung werden Protokoll und UNIX-Implementierung ständig weiterentwickelt. Gegenwärtig ist die Protokollversion 4 aktuell. Es benutzt den UDP Port 123. Die Zeitstempel im NTP sind 64 Bits lang. 32 Bits kodieren die Sekunden seit dem 1. Januar :00:00 GMT, weitere 32 Bits den Sekundenbruchteil. Auf diese Weise lässt sich ein Zeitraum von 2 32 Sekunden (etwa 136 Jahre) mit einer Auflösung von 2-32 Sekunden (etwa 0,25 Nanosekunden) darstellen. Obwohl diese Skala also alle 2 32 Sekunden umspringt, sind NTP-Implementierungen in der Lage, die tatsächliche Zeit festzustellen, indem sie eine ungefähre Zeit aus anderen Quellen heranziehen. Da dies nur eine Genauigkeit von ein paar Jahrzehnten erfordert, sollte dies im Alltag kein Problem sein. NTP nutzt ein hierarchisches System verschiedener Strata, wobei Systeme mit dem Stratum 1 direkt mit einer sehr genauen externen Uhr (z. B. eine GPS- oder andere Funkuhr) verbunden sind. Systeme mit dem Stratum 2 beziehen ihre Zeit von einem oder mehreren Systemen mit Stratum 1 usw. (Achtung: Der Begriff Stratum hat hier eine andere Bedeutung als sonst in der Telekommunikationstechnik üblich). NTPv4 kann die lokale Zeit eines Systems über das öffentliche Internet mit einer Genauigkeit von 10 Millisekunden halten, in lokalen Netzwerken sind unter idealen Bedingungen sogar Genauigkeiten von 200 Mikrosekunden und besser möglich. Firewallrichtlinien Erstellen einer Zugriffsregel für die Zeitsynchronisation Um die neue Zugriffsregel für die Zeitsynchronisation zu erstellen, öffnen Sie die ISA Server Verwaltungskonsole und navigieren zum Knoten Firewallrichtlinie. Klicken Sie im Aufgabenbereich auf den Eintrag Zugriffsregel erstellen. Es öffnet sich der Assistent für neue Zugriffsregel. TIPP An dieser Stelle im Buch wird eine neue Zugriffsregel sehr ausführlich erklärt werden. Im weiteren Verlauf wird dies nicht mehr jedes Mal der Fall sein. Sollten Sie zu einem späteren Zeitpunkt Schwierigkeiten beim Erstellen einer Regel haben, blättern Sie ruhig an diese Stelle hier zurück. 293

4 Eingeschränkter Zugriff für Server Vergeben Sie wie in Abbildung 11.1 gezeigt als Namen für diese Regel Zeitsynchronisation DC-MUC. Abbildg Vergeben Sie einen Namen für die Zugriffsregel Geben Sie auf der nächsten Seite beim Punkt Aktion, die beim Zutreffen der Regelbedingungen ausgeführt wird an, dass die Regel Verkehr zulassen soll. Die nächste Seite des Assistenten möchte von Ihnen wissen, welches Protokoll für diese Regel verwendet werden soll (Abbildung 11.2). Wählen Sie hier über die Schaltfläche Hinzufügen das Protokoll NTP (UDP) aus dem Behälter Infrastruktur aus. Abbildg Wählen Sie für diese Regel das Protokoll NTP (UDP) aus 294

5 Zeitsynchronisation Klicken Sie auf die Schaltfläche Weiter, um zur Konfigurationsseite Zugriffsregelquellen zu kommen. An dieser Stelle müssen Sie festlegen, von welcher Quelle diese Zugriffsregel verwendet werden darf. Dies kann ein ganzes Netzwerk sein, ein einzelner Computer oder ein Computersatz. Hier stehen Ihnen alle Netzwerkidentitäten zur Verfügung, die in Kapitel 8 beschrieben wurden. Da die Regel nur für den Zeitabgleich des DC-MUC verwendet werden soll, müssen Sie an dieser Stelle ein neues Computerelement erstellen. Klicken Sie auf der Assistentenseite Zugriffsregelquellen auf die Schaltfläche Hinzufügen. Es öffnet sich das zusätzliche Fenster Netzwerkidentitäten hinzufügen. Wählen Sie darin den Menübefehl Neu/Computer aus und geben Sie Namen und IP-Adresse von DC-MUC ein. Fügen Sie das neu erstellte Element hinzu, wie es in Abbildung 11.3 dargestellt ist. Abbildg Diese Regel gilt nur für den DC-MUC Firewallrichtlinien Klicken Sie auf die Schaltfläche Weiter, um zur Seite Zugriffsregelziele zu kommen. Hier müssen Sie das Ziel der Regel festlegen. Sie möchten als Zeitserver ntp2.fau.de verwenden. Also müssen Sie dafür wieder wie gerade eben ein neues Computerelement mit dem Ziel ntp2.fau.de erstellen und dieses als Ziel festlegen (Abbildung 11.4). 295

6 Eingeschränkter Zugriff für Server Abbildg Konfiguration des Ziels Auf der nächsten Seite des Assistenten Benutzersätze übernehmen Sie den vordefinierten Benutzersatz Alle Benutzer. Sie können an dieser Stelle die Regel nicht weiter auf einen bestimmten Benutzer einschränken. Sie müssten auf dem DC-MUC den Firewallclient installieren, was aber wegen der noch zu erstellenden Veröffentlichungen für und Outlook Web Access nicht unterstützt wird. Die letzte Seite des Assistenten zeigt eine kurze Zusammenfassung an (Abbildung 11.5). Sie können den Text zum Beispiel herauskopieren und für Ihre Netzwerkdokumentation verwenden. Stellen Sie den Assistenten fertig und übernehmen Sie die Konfigurationsänderungen. Danach können Sie den Domänencontroller für den externen Zeitserver konfigurieren. 296

7 Zeitsynchronisation Abbildg Zusammenfassung des Assistenten für diese Zugriffsregel Konfiguration von Windows Server für den Zeitabgleich Da sich die Domänenmitglieder die aktuelle Uhrzeit von einem Domänencontroller holen, reicht es aus, einen dieser Domänencontroller so zu konfigurieren, dass er die aktuelle Zeit per NTP von einem externen Zeitserver holt. Damit sich die Domänencontroller bei Fabrikam Inc. nicht»streiten«, wer denn nun die richtige Zeit hat, müssen Sie einen Server als autoritativen Zeitserver konfigurieren. Verwenden Sie dazu den Server, der die Betriebsmasterrolle PDC-Master hält. Bei Fabrikam Inc. ist das der DC-MUC. Um diesen Server als autoritativen Zeitserver einzurichten, müssen zwei Registrierungswerte gesetzt beziehungsweise überprüft werden. Öffnen Sie dazu am Domänencontroller DC-MUC den Registrierungs-Editor regedit.exe und navigieren Sie zum Knoten HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters. Erstellen Sie dort die beiden DWORD-Schlüssel LocalNTP und ReliableTimeSource und weisen Sie diesen jeweils den Wert 1 zu (siehe Abbildung 11.6). Firewallrichtlinien Abbildg Konfiguration der Registrierungswerte für den Zeitabgleich 297

8 Eingeschränkter Zugriff für Server Öffnen Sie anschließend auf dem Server DC-MUC eine Eingabeaufforderung und konfigurieren Sie den Windows-Zeitgeber: C:\net time /setsntp:ntp2.fau.de Der Befehl wurde erfolgreich ausgeführt. C:\net stop w32time Windows-Zeitgeber wird beendet. Windows-Zeitgeber wurde erfolgreich beendet. C:\>net start w32time Windows-Zeitgeber wird gestartet. Windows-Zeitgeber wurde erfolgreich gestartet. Durch den Befehl C:\net time /setsntp:ntp2.fau.de wird in der Registrierung der Schlüssel NtpServer unter dem oben angegebenen Knoten verändert. Sie können auch den Zeitserver direkt in der Registrierung verändern, müssen danach jedoch auch wieder den Zeitgeber neu starten. Beobachten Sie anschließend das System-Ereignisprotokoll, ob Fehler von der Quelle W32time auftreten. Windows Update Genauso wie die internen Arbeitsstationen müssen auch die Server von Fabrikam Inc. in einem kontinuierlichen Prozess mit Updates für das Betriebssystem sowie die installierten Anwendungen versorgt werden. Dazu gibt es grundsätzlich zwei Lösungsansätze. Sie können die internen Server und Arbeitsstationen über die WSUS (Windows Server Update Services) automatisiert aktualisieren. Oder Sie aktualisieren jeden Client manuell über Windows Update im Menü Extras des Internet Explorers. Verwenden Sie WSUS (früher bekannt unter SUS/WUS), lädt sich ein einzelner Server alle verfügbaren Updates vom Microsoft-Server herunter. Anschließend werden die Updates an die internen Server und Arbeitsstationen weiterverteilt. Dieses Verfahren hat folgende Vorteile: Nur ein Server benötigt eine Internetverbindung Die Updates werden nur einmal übertragen, was Bandbreite und gegebenenfalls Kosten spart Sie können zentral festlegen, welche Updates auf welchem Rechner installiert werden Sie können den Prozess so automatisieren, dass Sie nur einen minimalen Aufwand haben Ihnen steht ein detailliertes Berichtswesen zur Verfügung, damit Sie sehen können, welcher Client welche Updates bekommen hat WSUS ist ein kostenfreier Zusatz zum Windows Server-System und kann von der Website heruntergeladen werden. Auf dieser Seite finden Sie auch Handbücher und Dokumentationen, die Ihnen bei der Installation und Wartung helfen. Die beste Vorgehensweise ist es, WSUS als Webproxyclient zu konfigurieren (siehe Abbildung 11.7) und eine eigene Firewallrichtlinie (siehe Abbildung 11.8) dafür anzulegen. Aus Sicherheitsgründen dürfen Sie dem Server, auf dem WSUS ausgeführt wird, keinen grundsätzlichen Internetzugriff gewähren. Geben Sie daher in der Firewallrichtlinie an, dass nur ein bestimmter Benutzer die Regel nutzen kann. Durch die Angabe eines Benutzerkontos in den WSUS-Proxyeinstellungen wird nur für WSUS-Updates der Zugriff ermöglicht. 298

9 Windows Update Abbildg WSUS-Proxyeinstellungen mit Benutzerauthentifizierung Firewallrichtlinien Als Ziel für die Firewallrichtlinie erstellen Sie einen neuen URL-Satz, der die folgenden Adressen enthält: *.download.microsoft.com *.windowsupdate.com *.windowsupdate.microsoft.com *.update.microsoft.com Abbildg Firewallrichtlinie für WSUS-Updates 299

10 Eingeschränkter Zugriff für Server Windows-Produktaktivierung Wie bereits bei den Designfragen erwähnt, kann es erforderlich sein, neu installierte Server zu aktivieren. Eine Produktaktivierung ist nur dann notwendig, wenn die Server- oder Clientbetriebssysteme nicht im Rahmen eines Volumenlizenzvertrags beschafft wurden. Sie können die Server entweder telefonisch oder über das Internet aktivieren. Der Vorgang per Telefon dauert erfahrungsgemäß rund sieben bis zehn Minuten und ist kostenfrei und anonym. Dafür müssen Sie allerdings einige Zahlenkolonnen über die Telefontastatur eingeben. Bequemer geht es über das Internet. Da jedoch die Server von Fabrikam Inc. keinen Internetzugang haben, müssen Sie eine neue Firewallrichtlinie erstellen. Der technische Ablauf der Windows-Produktaktivierung ist Folgender: Zuerst findet ein Verbindungsaufbau über HTTP zu wpa.one.microsoft.com statt, um den HTTP-Rückmeldungscode abzufragen. Ist dieser unter 500, bedeutet das, dass der Produktaktivierungsserver von Microsoft verfügbar ist und angesprochen werden kann. In diesem Fall wird anschließend eine Verbindung über HTTPS zum selben Ziel aufgebaut und die Produktaktivierung durchgeführt. Deshalb müssen Sie eine Zugriffsregel erstellen, die HTTP und HTTPS für die Server und Clients zu wpa.one.microsoft.com zulässt. Legen Sie dazu einen URL-Satz an, der die Adressen wpa.one.microsoft.com und beinhaltet. Die fertige Firewallrichtlinie ist in Abbildung 11.9 dargestellt. Abbildg Firewallrichtlinie für die Windows-Produktaktivierung Diese Firewallrichtlinie können Sie im täglichen Betrieb deaktiviert lassen und nur bei Bedarf kurz aktivieren. Zusammenfassung In diesem Kapitel haben Sie die Grundlagen kennen gelernt, wie Sie Ihren internen Servern einen sicheren Internetzugriff ermöglichen können. Dabei sollten Sie immer wie öfters erwähnt berücksichtigen, dass ein Server so wenig Zugriffsmöglichkeiten wie möglich erhält. 300