Rigbert Hamisch IBH Prof. Dr. Horn GmbH Gostritzer Strasse Dresden

Transkript

1 Optimale Gestaltung von Internetzugängen unter den Randbedingungen des Einsatzes von TCP/IP als Intranet-Technologie und des Einsatzes von Windows 2000 Rigbert Hamisch IBH Prof. Dr. Horn GmbH Gostritzer Strasse Dresden

2 Windows 2000 Aspekte Übersicht Was unterscheidet Win 2000 Domänen wesentlich von NT 4.0 Domänen TCP/IP als Standardprotokoll Verzeichnisdienste Active Directory Windows 2000 basiert auf DNS DNS Integrierung in die Zugangslösung

3 Windows 2000 Aspekte 1 TCP/IP Transmission Control Protocol/Internet Protocol ist ein dem Industriestandard entsprechender Protokollstapel. Es wurde für die Kommunikation großer Netzwerke entworfen. Mit TCP/IP kommt bei Windows 2000 basierenden Computern als Standard ein voll routingfähiges Protokoll zum Einsatz.

4 Windows 2000 Aspekte 2 Active Directory Active Directory ist der Verzeichnisdienst für Windows Es speichert alle Objekte, aus denen ein Windows 2000-Netzwerk besteht. So z.b.: Benutzerobjekte Gruppenobjekte Computerobjekte Active Directory stellt die Dienste zur Verfügung, die Benutzern das Suchen von Objekten im Netzwerk ermöglichen und bietet Administratoren die Tools, die zum Verwalten erforderlich sind.

5 Windows 2000 Aspekte 3 Lightweight Directory Access Protocol Objekte im AD müssen einen Namen haben. Der Name ist einfach ein Pfad im Verzeichnis, mit dessen Hilfe das Objekt sicher gefunden werden kann. LDAP-Namen LDAP ist das Standard-Protokoll für den Verzeichniszugriff. Eine Möglichkeit, ein Objekt im AD zu adressieren ist die Verwendung einer LDAP-URL: LDAP://ldapsvr/CN=SCHOENHERR,OU=SALES,DC=ibh,DC=de Die Bezeichner/Wert-Paare haben folgende Bedeutung:

6 Windows 2000 Aspekte 4 LDAP-Konvention Attribut OU CN DC O C Bedeutung Organisatorische Einheit. Dieses Attribut wird verwendet, um einen Namespace basierend auf der organisatorischen Struktur und nicht auf dem physischen Speicherort logisch zu unterteilen. Eine OU entspricht normalerweise einem Active Directory-Container/Ordner. Gemeinsamer Name. Dieses Attribut bezeichnet das Objekt selbst innerhalb des Verzeichnisdiensts. Domänenkomponente. Domänenkomponenten entsprechen den durch Punkte getrennten Teilen eines Internet-Domänennamens. Ein DN, der DC-Attribute verwendet, enthält eine DC für jede Domänenebene unter dem Namensstamm. Der DNS-Name ibh.de würde z.b. zu dem LDAP-Namen DC=ibh, DC=de werden. Organisation. Diese Attribut identifiziert eine bestimmte Organisation, z.b. IBH Prof. Dr. Horn Gmbh Land.

7 Windows 2000 Aspekte 5

8 Auf DNS basierend Windows 2000 Aspekte 6 Microsoft hat sich dazu entschieden, Active Directory auf Internet-Standards basierend aufzubauen. DNS ist der Internet-Standard zum Auffinden von Ressourcen, bisher jedoch vornehmlich für IP-Adressen und Hostnamen. Die Benennung der Win 2000 Domänen folgt (im Gegensatz zu NT) dem DNS. Damit können Win 2000-Domänennamen genau auf Internet-Domänennamen abgebildet werden, d.h. sie heissen einfach genau so. DNS ist ein hierarchisch aufgebauter Namensraum, also ein Gültigkeitsbereich für Namen. Innerhalb eines solchen Bereichs (Zone genannt) werden FQDNs (Fully Qualified Domain Names) z.b. in IP-Adressen aufgelöst. Das folgende Bild zeigt ein Beispiel für die DNS-Hierachie:

9 Windows 2000 Aspekte 7 DNS Beispiel 'host-a' hat den FQDN 'host-a.example.microsoft.com'. Das DNS ordnet diesem FQDN eine IP zu, über die der Rechner im Internet gefunden wird. (Bildquelle: Microsoft)

10 Windows 2000 Aspekte 8 Active Directory nur mit DNS Zur Ausführung des AD muss DNS installiert sein. Unter Windows 2000 werden mittels DNS aber nicht nur Rechner-IP-Adressen ermittelt. Vielmehr wurde das DNS um sogenannte "Service-Einträge Service Location Resource Records (SRV) erweitert. SRV-Resourceneinträge werden zum Suchen nach Servern verwendet, die einen bestimmten, vom Client benötigten Dienst anbieten. Zu nennen wäre da z.b. der Domänen Controller (ist für die Anmeldung notwendig) oder der sogenannte "Global Catalog Server" (sowohl für die Anmeldung als auch zum Suchen im AD).

11 Was ist DDNS? Windows 2000 Aspekte 9 Bleibt die Frage, wie denn die Einträge ins DNS hineingelangen. Die Lösung nennt sich: DDNS (RFC 2136 eingebracht von Microsoft) das Dynamic DNS Dynamisch bedeutet in diesem Zusammenhang, dass sich die Systeme automatisch mit Ihre Diensten beim DNS-Server registrieren. DDNS kann realisiert werden mit Windows 2000 DNS-Server BIND 8 ab Version BIND 9

12 Windows 2000 Aspekte 10 DNS Integrierung in die Zugangslösung Verwaltung der offiziellen DNS-Domäne auf dem eigenen Internetserver (DNS-Server) Verwendung einer anderslautenden DNS-Domäne für das Active Directory um Transparenz nach außen zu vermeiden auf dem Active Directory Domänencontroller auf dem Internetserver als zweite Zone auf beiden (als primäre bzw. sekundäre Zone)

13 Verbindungsoptionen / Übersicht Verbindungsoptionen Herstellen einer Verbindung mit dem Internet mit Hilfe eines Routers Schützen von Internetverbindungen mit Hilfe einer Firewall Herstellen einer Verbindung mit dem Internet mit Hilfe von NAT Herstellen einer Verbindung mit dem Internet bei gemeinsamer Nutzung der Internetverbindung (nur Microsoft) Herstellen einer Verbindung mit dem Internet mit Hilfe eines Proxyservers

14 Verbindungsoptionen 1 Herstellen einer Internetverbindung mit Hilfe eines Routers: Alle Benutzer Ihres Netzwerkes können eine einzige Verbindung mit dem Internet gemeinsam nutzen Die einfachste Methode für das Verbinden des Netzwerkes mit dem Internet Bietet keinen Schutz vor unerlaubtem Zugriff aus dem Internet Jeder Host im Netz muss über eine offizielle IP-Adresse verfügen

15 Verbindungsoptionen 2 Schützen von Internetverbindungen mit Hilfe einer Firewall: Kombination aus Hard - und Software Verhindert unerlaubten Zugriff auf das Netzwerk Gibt Ihnen die Möglichkeit die Art des zugelassenen Verkehrs in das und aus dem Netzwerk anzugeben (Definition von Regeln)

16 Verbindungsoptionen 3 Herstellen einer Verbindung mit dem Internet mit Hilfe von NAT: Der Client sendet das Paket an den Computer mit NAT Der Computer mit NAT ändert den Paketheader und sendet das Paket über das Internet an den Webserver Der Webserver sendet eine Antwort an den Computer mit NAT Der Computer mit NAT ermittelt das Ziel, ändert den Paketheader und sendet das Paket an den Client

17 Verbindungsoptionen 3

18 Verbindungsoptionen 4 Herstellen einer Verbindung mit dem Internet bei gemeinsamer Nutzung der Internetverbindung (nur Microsoft Windows 2000 Server) : Vereinfacht den Prozess der NAT-Konfiguration Ermöglicht Netzwerken kleinerer Unternehmen oder zu Hause die gemeinsame Nutzung einer Verbindung mit dem Internet Vorkonfiguriertes NAT ( mini-dhcp mit feststehendem Adressbereich)

19 Verbindungsoptionen 5 Herstellen einer Verbindung mit dem Internet mit Hilfe eines Proxyservers: Bietet Sicherheit, indem der Proxyserver als Gateway zwischen Ihrem Netzwerk und dem Internet dient Typische Beschränkungsmöglichkeiten beziehen sich auf Zeiträume, Domänennamen, IP-Adressen, Protokolle Speichert Informationen zwischen, um den Datenverkehr zwischen Intranet und Internet zu verringern

20 Vergleich Übersicht Vergleich der Verbindungsoptionen NAT im Gegensatz zum Routing NAT im Gegensatz zu Proxyserver Gemeinsame Nutzung der Internetverbindung im Gegensatz zu Nat (betrifft nur Microsoft)

21 Vergleich 1 NAT im Gegensatz zum Routing: NAT ermöglicht das Netzwerk flexibler zu gestalten, da Sie intern Adressen aus dem privaten Bereich verwenden können NAT bietet Netzwerksicherheit, die ein Router nicht bietet, andernseits ist es prozessorintensiver und unterstützt je nach Realisierung nicht alle Protokolle IPSec basierende Verbindungen können von NAT nicht übersetzt werden

22 Vergleich 2 NAT im Gegensatz zu Proxyservern: Sowohl NAT als auch Proxyserver ermöglichen Verbindungen mit dem Internet bei gleichzeitiger Einschränkung des Zugriffs auf das interne Netzwerk und beide Optionen ermöglichen Adressübersetzung, damit Clients im Intranet private IP-Adressen verwenden können Eine Proxyserverlösung ist in der Lage die ins Internet versendeten und von dort empfangenen Pakete - entsprechend zu definierender Regeln einer Sicherheitsüberprüfung zu unterziehen Typische Beschränkungsmöglichkeiten beziehen sich auf Zeiträume, Domänennamen, IP-Adressen, Protokolle NAT nimmt keine derartige Analyse vor, sondern ändert nur IP-Adressen und Anschlussnummern in den IP- und TCP/UPD-Header

23 Vergleich 3 Gemeinsame Nutzung der Internetverbindung im Gegensatz zu NAT (betrifft nur Microsoft): Gemeinsame Nutzung der Internetverbindung und NAT stellen identische Funktionen bereit, unterscheiden sich jedoch in der Verwendung Ist aus folgenden Gründen nur für kleinere Netzwerke geeignet: Sie erfordert einen festen IP-Bereich für interne Hosts ( /24) Sie ist auf eine einzige öffentliche Adresse für die Kommunikation mit den externen Netzwerken begrenzt. Sie unterstützt nur eine einzige interne Netzwerkschnittstelle

24 Bewertung Übersicht Welches Betriebssystem als Grundlage? Windows 2000 Server oder Linux Entscheidungskriterien Realisierbarkeit Systemstabilität Support / Sicherheit Kostenmäßige Gesichtspunkte

25 Realisierbarkeit: Bewertung 1 Es ist auf der Grundlage der zwei genannten Betriebssysteme möglich die Einbindung eines Windows basierten LANs ins Internet vorzunehmen. Sämtliche Bestandteile um die vorangehenden Verbindungsoptionen zu Implementieren, sind in den Betriebssystemen integriert. Zusatzsoftware ist bei Windows 2000 zu Realisierung der Proxyserveroption notwendig (z.b. MS Proxyserver 2). Sind Firewallfunktionalitäten notwendig die über Paketfiltering hinausgehen, ist in beiden Fällen auf kommerzielle Software zurückzugreifen (z.b Firewall one von Ceckpoint)

26 Systemstabilität: Bewertung 2 Global ist einzuschätzen, dass bei ordnungsgemäßer Installation bzw. Anpassung der Betriebssysteme keine wesentlichen Unterschiede festzustellen sind. Da Windows in jedem Falle mit graphischer Oberfläche laufen muss, besteht ein potentieller Gefährdungspunkt beim Einsatz von unsauber programmierter Software Im allgemeinen wird eingeschätzt, dass der Linuxkernel und die eingesetzten Softwarepakete effizienter mit den Systemressourcen umgehen

27 Bewertung 3 Support / Sicherheit: Statistisch gesehen treten Sicherheitsprobleme in größerem Umfang mit Windows basierten Systemen auf und das, obwohl diese Systeme anteilmäßig im geringerem Maße offen im Internet stehen. Gerade hinsichtlich der Bereitstellung von Sicherheitspatches ist die Verfahrensweise bei Open Source Software effizienter. Dies ist offensichtlich in den frei zugänglichen und damit für jedermann überprüfbaren Softwarequellen begründet.

28 Bewertung 4 Kostenmäßige Gesichtspunkte: Die Anschaffung von Windows 2000 und erforderlicher Clientlizenzen unterscheidet sich in Größenordnungen von dem Erwerb der CD s einer Linuxdistribution. Für die Realisierung der Verbindungsoption mit Proxyserver fallen bei einer Microsoft-Lösung zusätzliche Kosten an (MS-Proxyserver 2). Bei sämtlichen Linuxdistributionen sind alle relevanten Programmbestandteile enthalten. Weitergehender Systemsupport bei Microsoft ist kostenpflichtig, das Internet und die Open Sourcegemeinde stellen dagegen ein schier unermessliches Informations- und Hilfepotential dar. Ein bei Linuxsystemen offensichtlich höherer administrativer Aufwand bei der Ersteinrichtung des Systems sollte man nicht überbewerten. Automatismen verleiten dazu sich nicht tiefgründiger mit Sachlagen zu beschäftigen und werden zur Fehlerursache.

29 Entscheidung Die Entscheidung: Folgerichtig basiert eine durch die Firma IBH Prof. Dr. Horn GmbH realisierte Internetanbindung unter Beachtung der derzeitigen Gegebenheiten auf: Debian Linux 2.2 Proxyserversoftware Squid Nameserversoftware BIND Bei Erfordernis Sendmail als Mailserversoftware Apache als Webserversoftware