Virtuelle Private Netzwerke mit Windows Server 2003

Transkript

1 Joseph Davies, Elliot Lewis Virtuelle Private Netzwerke mit Windows Server 2003 Microsoft Press

2 Danksagungen Einführung Aufbau dieses Buchs Die Begleit-CD Weitere Informationsquellen Konventionen Hinweisarten Typografische Konventionen Systemvoraussetzungen XIII XV XV XVIII XVIII XIX XIX XIX XX Teill VPN-Technologie 1 1 Vorteile von virtuellen privaten Netzwerken 3 Überblick über VPNs 4 Die Welt von gestern 4 Die Gegenwart 5 Die Welt der Zukunft 7 Sicherheit und Kontrolle 8 VPN-Technologie 8 Zusammenfassung 9 2 Überblick über VPNs 11 Definitionen zum Thema virtuelle private Netzwerke 12 Häufige Einsatzgebiete für VPNs 13 Grundlegende Voraussetzungen für VPN 16 Grundlagen des Tunnelns 17 Tunnelprotokolle 18 Point-to-Point Protocol (PPP) 19 Point-to-Point Tunneling Protocol (PPTP) 22 Layer Two Tunneling Protocol (L2TP) 22 Tunneltypen 27 VPN-Administration 29 Autorisieren von VPN-Verbindungen 29 Skalierbarkeit 30 RADIUS 30 Der Verbindungs-Manager und verwaltete VPN-Verbindungen 30 Kontoführung, Überwachung und Alarmauslösung 32 Zusammenfassung 33

3 3 VPN-Sicherheit 35 Grundlegende Elemente der Windows-VPN-Sicherheit 35 Authentifizierungssicherheit 36 Autorisierungssicherheit 39 Verschlüsselungssicherheit 39 Paketfilterungssicherheit 40 Erweiterte VPN-Sicherheitsfeatures 42 EAP-TLS und zertifikatbasierte Authentifizierung 42 Netzwerkzugriff-Quarantänensteuerung 43 RAS-Kontosperrung 44 RAS-Richtlinienprofil-Paketfilterung 45 Zusammenfassung 46 4 VPN-Interoperabilität 47 VPN-Technologien und Internetstandards 49 Voraussetzungen für RAS-VPN und IPSec-Implementierungen 50 Benutzerauthentifizierung 50 Adresszuweisung 52 PPTP: Eine Alternative zu IPSec-VPNs 52 Künftige Entwicklungen bei der Microsoft-VPN-Unterstützung 54 Worauf Kunden achten sollten 54 Empfehlungen für VPN-Hersteller 54 Zusammenfassung 55 Teil II Bereitstellen von VPNs 57 5 Komponenten und Entwurfsaspekte für RAS-VPNs 59 VPN-Clients 60 Konfigurieren mit dem Verbindungs-Manager 62 Einmaliges Anmelden 64 Installieren eines Zertifikats auf einem Clientcomputer 65 Entwurfsaspekt: Konfigurieren des VPN-Clients 66 Internet-Netzwerkinfrastruktur 66 Auflösbarkeit des VPN-Servernamens 67 Erreichbarkeit des VPN-Servers 67 Authentifizierungsprotokolle 68 Entwurfsaspekt: Welches Authentifizierungsprotokoll verwendet werden soll VPN-Tunnelprotokolle 70 Point-to-Point Tunneling Protocol 70 Layer Two Tunneling Protocol mit IPSec 70 Entwurfsaspekt: PPTP oder L2TP/IPSec? 71 VPN-Server 72 Entwurfsaspekt: Konfigurieren des VPN-Servers 74 Netzwerkinfrastruktur des Intranets 76 Namensauflösung 76 Routing 78 Quarantäneressourcen 82 VI

4 AAA-Infrastruktur RAS-Richtlinien Verhindern, dass Verkehr von VPN-Clients weitergeleitet wird Benutzerkonten und Gruppen von Windows-Domänen Entwurfsaspekt: AAA-Infrastruktur Zertifikatsinfrastruktur Computerzertifikate für L2TP/IPSec Zertifikatsinfrastruktur für Smartcards Zertifikatsinfrastruktur für Benutzerzertifikate Entwurfsaspekt: Zertifikatsinfrastruktur Zusammenfassung 6 Bereitstellen von RAS-VPNs 95 Bereitstellen von PPTP- oder L2TP/IPSec-RAS-VPNs 96 Bereitstellen einer Zertifikatsinfrastruktur 96 Installieren von Computerzertifikaten 97 Bereitstellen von Smartcards 100 Installieren von Benutzerzertifikaten 101 Bereitstellen einer Internetinfrastruktur 105 Aufstellen von VPN-Servern in einem Umkreisnetzwerk oder im Internet 105 Installieren von Windows Server 2003 auf dem VPN-Server und Konfigurieren der Internetschnittstellen 105 Hinzufügen von Adresseinträgen zu Internet-DNS-Servern 106 Bereitstellen einer AAA-Infrastruktur 106 Konfigurieren von Active Directory für Benutzerkonten und Gruppen 106 Konfigurieren des primären IAS-Servercomputers 107 Konfigurieren von IAS für RADIUS-Clients 109 Konfigurieren einer VPN-RAS-Richtlinie mit Windows Server 2003-IAS 110 Konfigurieren des sekundären IAS-Servercomputers 112 Bereitstellen der VPN-Server 113 Konfigurieren der Intranetverbindung des VPN-Servers 113 Ausführen des Setup-Assistenten für den Routing- und RAS-Server 113 Bereitstellen einer Intranetinfrastruktur 114 Konfigurieren des Routings auf dem VPN-Server 115 Überprüfen von Namensauflösung und Intranet-Erreichbarkeit für den VPN-Server 115 Konfigurieren des Routings für Clientadressbereiche 115 Konfigurieren der Quarantäneressourcen 116 Bereitstellen von VPN-Clients 116 Manuelles Konfigurieren der VPN-Clients 116 Konfigurieren von Verbindungs-Manager-Paketen mit dem Verbindungs-Manager- Verwaltungskit 117 Zusammenfassung Quarantänensteuerung und Zertifikatsbeschaffung mit dem Verbindungs- Manager 119 Bereitstellung und Quarantänensteuerung mit dem Verbindungs-Manager 120 Erstellen von L2TP/IPSec-Verbindungen mit dem Verbindungs-Manager 120 Bereitstellen der Netzwerkzugriff-Quarantänensteuerung mit dem Verbindungs-Manager VII

5 Konfigurieren des Testlabors 122 DC1 123 CA1 125 IIS1 127 VPN1 127 CLIENT1 130 Konfigurieren und Testen von Netzwerkzugriff-Quarantänensteuerung und Zertifikatsbeschaffung 130 DC1 131 CA1 139 IIS1 142 VPN1 143 Zusammenfassung Komponenten und Entwurfsaspekte für Router-zu-Router-VPNs 157 Bei Bedarf herzustellende Routingverbindungen in Windows Server Aktualisieren von bei Bedarf herzustellenden Routingverbindungen 159 Einführung in Router-zu-Router-VPN-Verbindungen 160 Komponenten von Windows Server 2003-Router-zu-Router-VPNs 164 VPN-Router 164 Internet-Netzwerkinfrastruktur 172 Authentifizierungsprotokolle 174 VPN-Protokolle 175 Standortnetzwerkinfrastruktur 177 AAA-Infrastruktur 180 Zertifikatsinfrastruktur 186 Zusammenfassung Bereitstellen von Router-zu-Router-VPNs 189 Bereitstellen einer Router-zu-Router-VPN-Verbindung 189 Bereitstellen einer Zertifikatsinfrastruktur 190 Bereitstellen der Internetinfrastruktur 197 Bereitstellen des antwortenden Routers 198 Bereitstellen des anrufenden Routers 202 Bereitstellen der AAA-Infrastruktur 204 Bereitstellen der Standortnetzwerkinfrastruktur 209 Bereitstellen der standortübergreifenden Netzwerkinfrastruktur 216 Zusammenfassung Ein Beispiel für eine VPN-Bereitstellung 223 Vorhang auf für Contoso, Ltd 224 Grundkonfiguration für den VPN-Server 224 Netzwerkkonfiguration 224 RAS-Richtlinienkonfiguration 228 Domänenkonfiguration 228 Sicherheitskonfiguration 228 VPN-RAS für Angestellte 228 Domänenkonfiguration 229 VIII

6 RAS-Richtlinienkonfiguration 229 PPTP-RAS-Clientkonfiguration 229 L2TP/IPSec-RAS-Clientkonfiguration 230 Bei Bedarf aufgebaute Verbindungen zu Zweigstellen 230 Weitere Konfiguration 231 Bei Bedarf aufgebaute PPTP-Verbindungen zu Zweigstellen 232 Bei Bedarf aufgebaute L2TP/IPSec-Verbindungen zu Zweigstellen 234 Permanente Verbindungen zu Zweigstellen 236 Weitere Konfiguration 237 Permanente PPTP-Verbindungen zu Zweigstellen 238 Permanente L2TP/IPSec-Verbindungen zu Zweigstellen 240 Extranet für Geschäftspartner 243 Weitere Konfiguration 244 PPTP-Extranet für Geschäftspartner 245 L2TP/IPSec-Extranet für Geschäftspartner 246 DFÜ und VPNs mit RADIUS-Authentifizierung 247 Domänenkonfiguration 247 RADIUS-Konfiguration 248 DFÜ-RAS-Clientkonfiguration 249 Zusammenfassung 249 Teil III Fehlerbehebung bei VPNs Fehlerbehebung bei RAS-VPN-Verbindungen 253 Fehlerbehebungswerkzeuge 254 TCP/IP-Fehlerbehebungswerkzeuge 254 Protokollierung für Authentifizierung und Kontoführung 254 Ereignisprotokollierung 255 IAS-Ereignisprotokollierung 255 PPP-Protokollierung 256 Ablaufverfolgung 256 Oakley-Protokollierung 257 Netzwerkmonitor 258 Fehlerbehebung in RAS-VPNs 258 Verbindung kann nicht hergestellt werden 259 Ziele hinter dem VPN-Server können nicht erreicht werden 266 Zusammenfassung Fehlerbehebung bei Router-zu-Router-VPN-Verbindungen 269 Fehlerbehebungswerkzeuge 269 Fehlerbehebung bei Router-zu-Router-VPN-Verbindungen 270 Verbindung kann nicht hergestellt werden 271 Ziele hinter den Routern können nicht erreicht werden 279 Die virtuellen Schnittstellen von VPN-Routern können nicht erreicht werden Die bei Bedarf aufgebaute Verbindung wird nicht automatisch hergestellt 281 Zusammenfassung 282 IX

7 Teil IV Anhänge 283 A Empfohlene Vorgehensweisen beim Bereitstellen von VPNs 285 Halten Sie sich an die Standards 285 Auswahl eines Tunnelprotokolls 285 Auswahl eines Authentifizierungsprotokolls 286 Skalierbarkeit 287 Verwenden von IAS/RADIUS 287 VPN-Rechte für Benutzer 288 Paketfilter 288 Split-Tunnelung 289 Quarantäne: Bleiben Sie realistisch 289 Zwei-Komponenten-Authentifizierung: Smartcards mit Tokens oder Biometrie Verbindungs-Manager und Telefonbuchverwaltung 290 Router-zu-Router-VPNs 291 Fehlerbehebung: Halten Sie sich an die Anleitung! 292 Zusammenfassung 293 B Konfigurieren von Firewalls für VPNs 295 VPN-Server vor dem Firewall 295 Paketfilter für PPTP 296 Paketfilter für L2TP/IPSec 297 VPN-Server hinter dem Firewall 298 Paketfilter für PPTP 299 Paketfilter für L2TP/IPSec 300 VPN-Server zwischen zwei Firewalls 302 C Bereitstellen einer Zertifikatsinfrastruktur 303 Zertifikatsperrung und EAP-TLS-Authentifizierung 304 EAP-TLS-Authentifizierung mit Zertifizierungsstellen von Fremdherstellern 307 Zertifikate auf den Authentifizierungsservern 307 Zertifikate auf VPN-Clientcomputern 307 Zusammenfassung 308 D Einrichten von RAS-VPN-Verbindungen in einem Testlabor 309 PPTP-RAS-VPN-Verbindungen 309 DC1 311 IAS1 314 IIS1 316 VPN1 317 CLIENT1 319 L2TP/IPSec-RAS-VPN Verbindungen 321 DC1 321 VPN1 323 CLIENT1 323 EAP-TLS-RAS-VPN-Verbindungen 324 DC1 324 IAS1 328 CLIENT1 329 Zusammenfassung 331

8 E Einrichten des Verbindungs-Managers in einem Testlabor 333 Konfigurieren des Testlabors 334 DC1 335 IAS1 337 IIS1 338 VPN1 339 CLIENT1 341 Konfigurieren und Testen eines DFÜ-Profils 341 DC1 341 IAS1 342 IIS1 342 VPN1 343 CLIENT1 349 Konfigurieren und Testen eines PPTP-Profils 351 DC1 351 IAS1 352 IIS1 353 VPN1 353 CLIENT1 356 Konfigurieren und Testen eines L2TP/IPSec-Profils 357 DC1 358 VPN1 360 IAS1 361 CLIENT1 362 Konfigurieren und Testen eines EAP-Profils 363 DC1 363 IAS1 364 VPN1 364 CLIENT1 367 Zusammenfassung 368 F Einrichten einer PPTP-Router-zu-Router-VPN-Verbindung in einem Testlabor Einrichten des Testlabors 369 Konfigurieren von CLIENT1 371 Konfigurieren von CLIENT2 371 Konfigurieren von antwortendem und anrufendem Router 372 Konfigurieren des Internetrouters 373 Konfigurieren einer PPTP-Router-zu-Router-VPN-Verbindung 374 Konfigurieren von VPN auf dem antwortenden Router 374 Konfigurieren der Schnittstelle für Wählen bei Bedarf auf dem antwortenden Router 375 Konfigurieren von VPN auf dem anrufenden Router 377 Konfigurieren der Schnittstelle für Wählen bei Bedarf auf dem anrufenden Router. 378 Herstellen der VPN-Verbindung 379 Testen der VPN-Verbindung 379 Zusammenfassung 380 XI

9 G Häufig gestellte Fragen 381 Definition des Begriffs»virtuelles privates Netzwerk«381 Microsoft-Support für VPNs 382 VPN-Standards und -Interoperabilität 384 Bereitstellen von VPNs 389 Stichwortverzeichnis 393 Die Autoren 409 XII