Inhaltsverzeichnis. Danksagungen Einführung. Teil I: Adressierungs- und Datenpaketflussinfrastruktur 1

Transkript

1 Inhaltsverzeichnis Danksagungen Einführung Dokumentkonventionen Begleit-CD Systemvoraussetzungen Support für dieses Buch XVII XIX XIX XX XXI XXI Teil I: Adressierungs- und Datenpaketflussinfrastruktur 1 Kapitel 1: IPv4 3 Konzepte 3 Netzwerkschichten 3 IPv4-Adressierung 4 Private IPv4-Adressen 7 Automatische private IP-Adressierung (APIPA) 7 Multicastadressen 8 Netzwerkadressenübersetzung (NAT) 9 Schicht-2- und Schicht-3-Adressierung 11 Schicht-4-Protokolle: UDP und TCP 12 Planungs- und Entwurfsaspekte 12 Entwerfen der Internetverbindung 12 Erstellen eines IPv4-Adressierungsschemas 14 Planen der Hostadressen 15 Verwenden von VPNs 15 Planen der Redundanz 17 Verwenden von mehrfach vernetzten Computern 18 Bereitstellungsschritte 19 Manuelles Konfigurieren von IPv4-Clients 19 Konfigurieren eines Clients für den Fall, dass kein DHCP-Server verfügbar ist 20 Hinzufügen von Routen zur Routingtabelle 20 Wartung 21 Problembehandlung 21 ARP 21 Ipconfig 21 Netstat 22 PathPing 24 Systemmonitor 24 Ping 25 Task-Manager 26 Windows-Netzwerkdiagnose 26 Zusammenfassung des Kapitels 27 Weitere Informationen 27 Bibliografische Informationen digitalisiert durch

2 VI Inhaltsverzeichnis Kapitel 2: IPv6 29 Konzepte 29 Änderungen in IPv6 gegenüber IPv4 30 IPv6-Adressierung 31 IPv6-Autokonfiguration 36 DHCPv6 38 Nachbarschaftserkennung (Neighbor Discovery) 38 IPv6-Sicherheit 38 IPv6-Übergangstechnologien 39 Planungs- und Entwurfsaspekte 45 Migration auf IPv6 45 Beschaffen von IPv6-Adressen 46 Planen der Aktualisierung der Netzwerkinfrastruktur 47 Planungen für IPv6-Übergangstechnologien 47 Bereitstellungsschritte 48 So deaktivieren Sie IPv6 48 So konfigurieren Sie IPv6 manuell 49 So konfigurieren Sie IPv6 mit einem Skript 50 So aktivieren Sie ISATAP 50 So aktivieren Sie 6to4 51 So aktivieren Sie Teredo 52 So konfigurieren Sie einen Computer als IPv6-Router 53 Wartung 56 Problembehandlung 56 Netsh 56 Ipconfig 57 Nslookup 58 Beheben von Teredo-Problemen 58 Zusammenfassung des Kapitels 59 Weitere Informationen 59 Kapitel 3: Dynamic Host Configuration Protocol 61 Konzepte 61 Der DHCP-Adressenzuweisungsprozess 62 DHCP-Lebenszyklus 63 Planungs- und Entwurfsaspekte 63 DHCP-Server 64 DHCP-Relay-Agenten 64 DHCP-Leasezeiten 65 Festlegen von Adressenbereichen 66 Servercluster für DHCP 66 Dynamisches DNS 67 Bereitstellungsschritte 67 DHCP-Server 68 DHCP-Relay-Agenten 75 DHCP-Clientkonfiguration 77

3 Inhaltsverzeichnis VII Wartung 77 Überwachen von DHCP-Servern 77 Manuelles Sichern und Wiederherstellen eines DHCP-Servers 79 Problembehandlung 80 Beheben von Problemen auf DHCP-Clients 80 Beheben von Problemen auf DHCP-Servern 80 Verwenden des Überwachungsprotokolls zur Analyse des DHCP-Servers 81 Zusammenfassung des Kapitels 81 Weitere Informationen 82 Kapitel 4: Windows-Firewall mit erweiterter Sicherheit 83 Konzepte 83 Filtern des Datenverkehrs mit Windows-Firewall 84 Schützen des Datenverkehrs mit IPsec 84 Planungs- und Entwurfsaspekte 89 Planen der Windows-Firewall-Richtlinien 89 Schutz der Kommunikation mit IPsec 91 Bereitstellungsschritte 97 Firewalleinstellungen mit Gruppenrichtlinien 98 IPsec-Verbindungssicherheitsregeln 104 Wartung 108 Problembehandlung 108 Windows-Firewall-Protokollierung 110 Überwachen von IPsec-Sicherheitsassoziationen 112 Verwenden des Network Monitors 112 Zusammenfassung des Kapitels 113 Weitere Informationen 113 Kapitel 5: QoS auf Richtlinienbasis 115 Konzepte 115 Die Ursachen von Netzwerkleistungsproblemen 115 So kann QoS Abhilfe schaffen 117 QoS für ausgehende Datenübertragungen 118 QoS für eingehenden Datenverkehr 120 QoS-Implementierung 120 Planungs- und Entwurfsaspekte 121 Festlegen der QoS-Ziele 121 Planen von DSCP-Werten 121 Planen der Drosselung des Datenverkehrs 123 Hardware- und Softwarevoraussetzungen 123 Planen von QoS-Gruppenrichtlinien und Gruppenrichtlinienobjekten 124 QoS-Richtlinien für Windows Vista-Mobilcomputer 126 Bereitstellungsschritte 126 So konfigurieren Sie QoS in den Gruppenrichtlinien 126 So konfigurieren Sie systemweit gültige QoS-Einstellungen 130

4 VIII Inhaltsverzeichnis Wartung 132 Löschen von QoS-Richtlinien 132 Bearbeiten von QoS-Richtlinien 132 Überwachen von QoS 132 Problembehandlung 134 Überprüfen der QoS-Richtlinien 135 Überprüfen der DSCP-Strapazierfähigkeit 136 Isolieren von Netzwerkleistungsproblemen 137 Zusammenfassung des Kapitels 138 Weitere Informationen 139 Kapitel 6: Skalierbare Netzwerke 141 Konzepte 141 TCP-Chimney-Abladung 142 Empfangsseitige Skalierung 143 NetDMA 146 IPsec-Abladung 146 Planungs- und Entwurfsaspekte 147 Bewerten der Skalierungstechnologien für Netzwerke 147 Belastungstest von Servern 148 Überwachen der Serverleistung 149 Bereitstellungsschritte 151 Konfigurieren der TCP-Chimney-Abladung 151 Konfigurieren der empfangsseitigen Skalierung 152 Konfigurieren von NetDMA 152 Konfigurieren der IPsec-Abladung 152 Wartung 153 Problembehandlung 153 Problembehandlung bei der TCP-Chimney-Abladung 153 Problembehandlung bei der IPsec-Abladung 154 Zusammenfassung des Kapitels 155 Weitere Informationen 156 Teil II: Namensauflösungsinfrastruktur 157 Kapitel 7: Domain Name System 159 Konzepte 159 DNS-Hierarchie 159 DNS-Zonen 160 DNS-Einträge 160 Dynamische DNS-Updates 161 DNS-Namensauflösung 161 Planungs- und Entwurfsaspekte 163 DNS-Zonen 163 Anordnung der DNS-Server 164 DNS-Zonenreplikation 166 DNS-Sicherheit 168 Die Zone GlobalNames 168

5 Inhaltsverzeichnis IX Bereitstellungsschritte 169 DNS-Serverkonfiguration 170 DHCP-Serverkonfiguration 179 DNS-Clientkonfiguration 181 Konfigurieren redundanter DNS-Server 182 Wartung 182 Hinzufügen von Ressourceneinträgen 182 Warten von Zonen 183 Automatisches Testen 183 Heraufstufen einer sekundären Zone zu einer primären Zone 185 Problembehandlung 186 Ereignisprotokolle 187 Verwenden von Nslookup 187 Debugprotokollierung auf dem Server 190 Verwenden von DNSLint 191 Verwenden von DCDiag 192 Verwenden des Network Monitors 194 Zusammenfassung des Kapitels 194 Weitere Informationen 194 Kapitel 8: Windows Internet Name Service 195 Konzepte 195 Die Geschichte von NetBIOS 195 NetBIOS-Namen 197 WINS-Namensauflösung 197 WINS-Clientregistrierungen 198 Planungs- und Entwurfsaspekte 198 Anordnung der WINS-Server 199 WINS-Replikation 199 Bereitstellungsschritte 201 Konfigurieren eines WINS-Servers 201 Konfigurieren der WINS-Replikation 201 WINS-Clientkonfiguration 202 Wartung 204 Sichern der WINS-Serverdatenbank 204 Komprimieren der WINS-Datenbank 205 Durchführen einer Datenbanküberprüfung 205 Überwachen eines WINS-Servers 206 Hinzufügen eines statischen WINS-Datensatzes 207 Löschen eines WINS-Eintrags 208 Problembehandlung 209 Beheben von WINS-Serverproblemen 209 Beheben von WINS-Clientproblemen 211 Zusammenfassung des Kapitels 214 Weitere Informationen 215

6 X Inhaltsverzeichnis Teil III: Netzwerkzugriffsinfrastruktur 217 Kapitel 9: Authentifizierungsinfrastruktur 219 Konzepte 219 Active Directory-Domänendienste 219 Public-Key-Infrastruktur 223 Gruppenrichtlinien 228 RADIUS 231 Planungs- und Entwurfsaspekte 236 Active Directory 236 PKI 237 Gruppenrichtlinien 239 RADIUS 240 Bereitstellungsschritte 247 Bereitstellen von Active Directory 247 Bereitstellen der Public-Key-Infrastruktur 248 Gruppenrichtlinien 256 RADIUS-Server 256 Verwenden von RADIUS-Proxys für eine gesamtstrukturübergreifende Authentifizierung 263 Verwenden von RADIUS-Proxys zur Skalierung von Authentifizierungen 270 Wartung 274 Active Directory 274 PKI 275 Gruppenrichtlinien 275 RADIUS 275 Problembehandlungstools 276 Active Directory 277 PKI 277 Gruppenrichtlinien 277 RADIUS 277 Zusammenfassung des Kapitels 279 Weitere Informationen 279 Kapitel 10: Drahtlose Netzwerke nach IEEE Konzepte 281 Unterstützung der IEEE Standards 282 Drahtlossicherheit 284 Komponenten von Drahtlosnetzwerken 288 Planungs- und Entwurfsaspekte 288 Drahtlossicherheitstechnologien 289 Authentifizierungsmodi im drahtlosen Netzwerk 291 Intranetinfrastruktur 292 Anordnung der drahtlosen Zugriffspunkte 294 Authentifizierungsinfrastruktur 298 Drahtlosclients 299 PKI X-Erzwingung mit NAP 313

7 Inhaltsverzeichnis XI Bereitstellen von geschütztem Drahtloszugriff 314 Bereitstellen von Zertifikaten 314 Konfigurieren von Active Directory für Konten und Gruppen 316 Konfigurieren der NPS-Server 316 Bereitstellen drahtloser Zugriffspunkte 317 Konfigurieren von Drahtlosclients 320 Wartung 326 Verwalten der Benutzer- und Computerkonten 326 Verwalten der drahtlosen Zugriffspunkte 327 Aktualisieren von XML-Drahtlosprofilen 327 Problembehandlung 327 Problembehandlungstools von Windows für Drahtlosnetzwerke 328 Beheben von Problemen mit Drahtlosclients 335 Beheben von Problemen mit drahtlosen Zugriffspunkten 336 Beheben von Problemen mit der Authentifizierungsinfrastruktur 341 Zusammenfassung des Kapitels 347 Weitere Informationen 347 Kapitel 11: Verkabelte Netzwerke mit IEEE 802.1X-Authentifizierung 349 Konzepte 349 Komponenten von Kabelnetzwerken mit 802. IX-Authentifizierung 350 Planungs- und Entwurfsaspekte 351 Authentifizierungsmethoden im Kabelnetzwerk 351 Authentifizierungsmodi im Kabelnetzwerk 353 Authentifizierungsinfrastruktur 355 Kabelclients 356 PKI X-Erzwingung mit NAP 364 Bereitstellen des Kabelnetzwerkzugriffs mit 802. IX-Authentifizierung 365 Bereitstellen von Zertifikaten 365 Konfigurieren von Active Directory für Konten und Gruppen 367 Konfigurieren der NPS-Server 367 Konfigurieren von 802.1X-fähigen Switches 369 Konfigurieren verkabelter Clients 370 Wartung 374 Verwalten von Benutzer- und Computerkonten 374 Verwalten 802.1X-fähiger Switches 374 Aktualisieren von XML-Kabelprofilen 375 Problembehandlung 375 Problembehandlungstools von Windows für Kabelnetzwerke 375 Beheben von Problemen mit Kabelclients 380 Beheben von Problemen mit 802.1X-fähigen Switches 381 Beheben von Problemen mit der Authentifizierungsinfrastruktur 385 Zusammenfassung des Kapitels 391 Weitere Informationen 391

8 XII Inhaltsverzeichnis Kapitel 12: Remotezugriff-VPN-Verbindungen 393 Konzepte 393 Komponenten von Windows-Remotezugriff-VPNs 395 Planungs- und Entwurfsaspekte 397 VPN-Protokolle 397 Authentifizierungsmethoden 401 VPN-Server 403 Internetinfrastruktur 406 Intranetinfrastruktur 408 Gleichzeitiger Intranet-und Internetzugriff für VPN-Clients 411 Authentifizierungsinfrastruktur 413 VPN-Clients 414 PKI 418 VPN-Erzwingung mit NAP 421 Zusätzliche Sicherheitsaspekte 422 Starke Verschlüsselung der Verbindung 422 Paketfilterung für VPN-Verkehr auf dem VPN-Server 423 Firewallpaketfilterung für VPN-Verkehr 423 VPN-Server mit mehreren Aufgaben 431 Verhindern, dass Verkehr von VPN-Clients weitergeleitet wird 432 Gleichzeitiger Zugriff 433 Unbenutzte VPN-Protokolle 434 Bereitstellen von VPN-Remotezugriff 434 Bereitstellen von Zertifikaten 434 Konfigurieren der Internetinfrastruktur 438 Konfigurieren der Active Directory-Benutzerkonten und -Gruppen 439 Konfigurieren von RADIUS-Servern 439 Bereitstellen von VPN-Servern 441 Konfigurieren der Netzwerkinfrastruktur des Intranets 445 Bereitstellen von VPN-Clients 447 Wartung 452 Verwalten von Benutzerkonten 453 Verwalten von VPN-Servern 453 Aktualisieren von Verbindungs-Manager-Profilen 455 Problembehandlung 455 Tools für die Problembehandlung 455 Durchführen einer Problembehandlung für Remotezugriff-VPNs 459 Zusammenfassung des Kapitels 465 Weitere Informationen 465 Kapitel 13: Standort-zu-Standort-VPN-Verbindungen 467 Konzepte 467 Grundlagen von bei Bedarf herzustellenden Routingverbindungen 468 Komponenten von Windows-Standort-zu-Standort-VPNs 473 Planungs- und Entwurfsaspekte 474 VPN-Protokolle 474 Authentifizierungsmethoden 478

9 Inhaltsverzeichnis XIII VPN-Router 479 Internetinfrastruktur 483 Standortnetzwerkinfrastruktur 485 Authentifizierungsinfrastruktur 487 PKI 489 Bereitstellen von Standort-zu-Standort-VPN-Verbindungen 492 Bereitstellen von Zertifikaten 492 Konfigurieren der Internetinfrastruktur 496 Konfigurieren der Active Directory-Benutzerkonten und -Gruppen 497 Konfigurieren von RADIUS-Servern 497 Bereitstellen von antwortenden Routern 499 Bereitstellen von anrufenden Routern 505 Konfigurieren der Standortnetzwerkinfrastruktur 510 Konfigurieren der Infrastruktur für die Standortverbindungen 512 Wartung 514 Verwalten von Benutzerkonten 514 Verwalten von VPN-Routern 515 Problembehandlung 516 Tools für die Problembehandlung 517 Durchführen einer Problembehandlung für Standort-zu-Standort-VPN-Verbindungen Zusammenfassung des Kapitels 526 Weitere Informationen 526 Teil IV: Netzwerkzugriffsschutz-Infrastruktur 529 Kapitel 14: Grundlagen des Netzwerkzugriffsschutzes 531 Warum ist Netzwerkzugriffsschutz nötig? 531 Malware und ihre Auswirkungen auf Unternehmensnetzwerke 531 Verhindern von Malware in Unternehmensnetzwerken 533 Die Rolle von NAP 537 Kommerzielle Vorteile von NAP 539 Komponenten von NAP 540 Systemintegritätsagenten und Systemintegritätsprüfung 542 Erzwingungsclients und -Server 543 NPS 544 Erzwingungsmethoden 544 IPsec-Erzwingung X-Erzwingung 545 VPN-Erzwingung 545 DHCP-Erzwingung 546 So funktioniert NAP 546 So funktioniert IPsec-Erzwingung 547 So funktioniert 802.1X-Erzwingung 548 So funktioniert VPN-Erzwingung 549 So funktioniert DHCP-Erzwingung 550 Zusammenfassung des Kapitels 551 Weitere Informationen 552

10 XIV Inhaltsverzeichnis Kapitel 15: Vorbereiten des Netzwerkzugriffsschutzes 553 Auswerten der aktuellen Netzwerkinfrastruktur 553 Intranetcomputer 553 Netzwerkunterstützungsinfrastruktur 556 NAP-Integritätsrichtlinienserver 557 Planungs- und Entwurfsaspekte 557 Bereitstellungsschritte 559 Wartung 560 Konfigurieren der Integritätsanforderungsrichtlinien 561 Komponenten einer Integritätsanforderungsrichtlinie 561 So funktioniert die NAP-Integritätsprüfung 569 Planungs- und Entwurfsaspekte für Integritätsanforderungsrichtlinien 572 Wartungsserver 574 Wartungsserver und NAP-Erzwingungsmethoden 575 Planungs- und Entwurfsaspekte für Wartungsserver 576 Zusammenfassung des Kapitels 577 Weitere Informationen 577 Kapitel 16: IPsec-Erzwingung 579 Grundlagen der IPsec-Erzwingung 579 Logische Netzwerke bei der IPsec-Erzwingung 580 Ablauf der Kommunikationseinleitung bei IPsec-Erzwingung 582 Verbindungssicherheitsregeln für IPsec-Erzwingung 585 Planungs- und Entwurfsaspekte 586 Active Directory 587 PKI 588 HRAs 593 IPsec-Richtlinien 599 NAP-Clients 600 Bereitstellen der IPsec-Erzwingung 601 Konfigurieren von Active Directory 601 Konfigurieren der PKI 602 Konfigurieren von HRAs 605 Konfigurieren vonnap-integritätsrichtlinienservern 611 Konfigurieren von Wartungsservern im Grenznetzwerk 614 Konfigurieren von NAP-Clients 615 Bereitstellung des Berichterstellungsmodus für IPsec-Erzwingung abgeschlossen 618 Konfigurieren und Anwenden von IPsec-Richtlinien 618 Wartung 624 Hinzufügen eines NAP-Clients 624 Hinzufügen von neuen SHAs und SHVs 625 Verwalten der NAP-Zertifizierungsstellen 625 Verwalten von HRAs 626 Problembehandlung 628 Tools für die Problembehandlung 628 Problembehandlung für die IPsec-Erzwingung 631 Zusammenfassung des Kapitels 636 Weitere Informationen 636

11 Inhaltsverzeichnis XV Kapitel 17:802.1X-Erzwingung 639 Grundlagen der 802.1X-Erzwingung 639 Verwenden einer ACL 642 Verwenden eines VLANs 643 Planungs- und Entwurfsaspekte 644 Sicherheitsgruppe für NAP-Ausnahmen IX-Authentifizierungsmethoden 644 Typ der 802.1X-Erzwingung X-Zugriffspunkte 645 NAP-Clients 646 Bereitstellen der 802.1X-Erzwingung 647 Konfigurieren von Active Directory 648 Konfigurieren einer PEAP-Authentifizierungsmethode 648 Konfigurieren von 802.1X-Zugriffspunkten 649 Konfigurieren von Wartungsservern im eingeschränkten Netzwerk 650 Konfigurieren von NAP-Integritätsrichtlinienservern 650 Konfigurieren von NAP-Clients 658 Bereitstellung des Berichterstellungsmodus für 802.1X-Erzwingung abgeschlossen Testen des eingeschränkten Zugriffs 661 Konfigurieren der Netzwerkrichtlinie für inkompatible NAP-Clients bei zurückgestellter Erzwingung 662 Konfigurieren der Netzwerkrichtlinie für den Erzwingungsmodus 663 Wartung 664 Hinzufügen eines NAP-Clients 664 Hinzufügen von neuen SHAs und SHVs 665 Verwalten der 802.1X-Zugriffspunkte 665 Problembehandlung 665 Tools für die Problembehandlung 665 Problembehandlung für die 802.1X-Erzwingung 667 Zusammenfassung des Kapitels 670 Weitere Informationen 670 Kapitel 18: VPN-Erzwingung 673 Grundlagen der VPN-Erzwingung 673 Planungs- und Entwurfsaspekte 676 Verwenden der Netzwerkzugriff-Quarantänensteuerung 676 Sicherheitsgruppe für NAP-Ausnahmen 677 Typen der Paketfilterung 677 VPN-Authentifizierungsmethoden 678 VPN-Server 679 NAP-Clients 679 Bereitstellen der VPN-Erzwingung 681 Konfigurieren von Active Directory 682 Konfigurieren von VPN-Servern 682 Konfigurieren einer PEAP-Authentifizierungsmethode 682 Konfigurieren von Wartungsservern 682 Konfigurieren von NAP-Integritätsrichtlinienservern 683 Konfigurieren von NAP-Clients 689

12 XVI Inhaltsverzeichnis Bereitstellung des Berichterstellungsmodus für VPN-Erzwingung abgeschlossen 691 Testen des eingeschränkten Zugriffs 691 Konfigurieren der zurückgestellten Erzwingung 693 Konfigurieren der Netzwerkrichtlinie für den Erzwingungsmodus 693 Wartung 695 Hinzufügen eines NAP-Clients 695 Hinzufügen von neuen SHAs und SHVs 695 Problembehandlung 695 Tools für die Problembehandlung 696 Problembehandlung für die VPN-Erzwingung 698 Zusammenfassung des Kapitels 700 Weitere Informationen 701 Kapitel 19: DHCP-Erzwingung 703 Grundlagen der DHCP-Erzwingung 703 Planungs- und Entwurfsaspekte 705 Sicherheitsgruppe für NAP-Ausnahmen 706 DHCP-Server 706 NAP-Integritätsrichtlinienserver 707 Integritätsanforderungsrichtlinien für bestimmte DHCP-Bereiche 707 DHCP-Optionen für NAP-Clients 707 DHCP-Erzwingungsverhalten, wenn der NAP-Integritätsrichtlinienserver nicht erreichbar ist 708 NAP-Clients 708 Bereitstellen der DHCP-Erzwingung 709 Konfigurieren von Wartungsservern 710 Konfigurieren von NAP-Integritätsrichtlinienservern 710 Konfigurieren von NAP-Clients 714 Konfigurieren von DHCP-Servern 716 Bereitstellung des Berichterstellungsmodus für DHCP-Erzwingung abgeschlossen Testen des eingeschränkten Zugriffs 720 Konfigurieren der zurückgestellten Erzwingung 721 Konfigurieren der Netzwerkrichtlinie für den Erzwingungsmodus 722 Wartung 723 Hinzufügen eines NAP-Clients 723 Hinzufügen von neuen SHAs und SHVs 723 Problembehandlung 724 Tools für die Problembehandlung 724 Problembehandlung für die DHCP-Erzwingung 726 Zusammenfassung des Kapitels 729 Weitere Informationen 729 Glossar 731 Stichwortverzeichnis 743 Die Autoren 769