Einrichtung einer Testumgebung zur Demonstration zertifikatsbasierter Anwendungen Knowlegde Guide Wien, Februar 2004
INHALT Für den Test von zertifikatsbasierten Anwendungen in einer Windowsumgebung benötigt man in seiner Testumgebung lediglich (und am besten) einen Server 2003 als Domänencontroller mit installierten Zertifikatsdiensten. Weitere Dienste, wie der IIS für Webenrollment, sind im Grunde optional, aber sinnvoll. Für den Test von VPN sind 2 Netzwerkarten notwendig und eine Installation von RRAS und IAS-Server wichtig. INHALT... 2 Einrichten einer Testdomäne... 3 Installation des IIS... 5 Installation der Zertifikatsdienste... 5 Konfiguration Certification Authority... 7 Ausstellen eines Smartcard Zertifikates... 10 Installation RRAS Server... 12 Installation IAS (Internet Authentication Service)... 14 Radius Client für WLAN einrichten.... 15 Konfigurieren der Remote Access Policy für VPN... 16 Konfigurieren der Remote Access Policy für WLAN... 20 2
Einrichten einer Testdomäne Nach dem Aufsetzen des 2003 Servers (Standard Version) muss der Server als Domain Controller einer neuen Domäne ernannt werden. 3
Nach der Vergabe des vollen DNS-Namens und des NETBIOS Names für die Domäne, sowie der Pfade für das Active Directory und System Volume, sollte die Berechtigungsstruktur auf nur mit Windows 2000/Server 2003 kompatible Berechtigungen 1 gesetzt werden. 1 Betrifft die Sondergruppe Jeder die bei NT4 z.t. auch anonyme Benutzer ohne Anmeldung umfasste. 4
Installation des IIS Um die einfachste Möglichkeit für das Ausrollen von Benutzerzertifikaten, das Webenrollment, nutzen zu können, ist die Installation des IIS notwendig, was man am besten noch vor der Installation der Zertifikatsdienste erledigt. Installation der Zertifikatsdienste Danach kann mit der Installation der Zertifikatsdienste (Software/Windowskomponenten) die Windows CA aufgesetzt werden. Nachdem eine CA aufgesetzt ist, ist eine Änderung von Rechnernamen und Domänenzugehörigkeit nicht mehr möglich dies würde alle ausgestellten Zertifikate invalidieren. 5
Stellen Sie sicher, dass auch das der Web Enrollment Support installiert wird, was standardmäßig der Fall sein sollte und erstellen Sie eine Enterprise Root CA (Organisationszertifizierungsstelle) 6
Vergeben Sie danach den Namen (Common Name) der CA, wie z.b. unsere CA namens erdberg in unserer Testdomäne vienna.local. Damit wird das Root Certificate erstellt. Danach wird für die installation des Web Enrollments der IIS kurz gestoppt und die Active Server Pages im IIS aktiviert. Konfiguration Certification Authority Unter den Administrative Tools (Verwaltung) finden Sie die Certification Authority (Zertifikatsdienste) 7
Noch kann die CA keine SmartCard Zertifikate ausstellen. Dazu muss ein neues Template (Vorlage) hinzugefügt werden. Unter Certificate Templates / New / Certificate Template to Issue kommt man zur entsprechenden Auswahl. Markieren Sie Smartcard User und drücken Sie auf OK. 8
Unter Certificate Templates / Manage kommt man zur Verwaltung der Templates, die Eigenschaften des Smartcard User Templates müssen noch angepasst werden. Damit (mit passwort) authentifizierte User sich ein Smartcard Zertifikat über Webenrollment ausstellen können muss Ihnen das Recht Enroll gewährt werden. 9
Ausstellen eines Smartcard Zertifikates Damit ein Smart Card Zertifikat ausgestellt werden kann installieren sie zuerst den CSP für diese Smartcard. Für GemSAFE Karten z.b. die GemSAFE Libraries, für STARCOS Karten z.b. AET. Safesign. User der Domäne können sich über Webenrollment (http://servername/certsrv/) ein SmartCard Zertifikat ausstellen lassen was über ein ActiveX Control funktioniert. (für die Installation sind Administratorenrechte notwendig) Mit Request a certificate, Advanced certificate request und Create and Submit a Request to the CA kommt man zum Advanced certificate request Dialog, wo man als erstes das Template (Zertifikatsvorlage) auswählt, auf dessen Basis das Zertiifkat ausgestellt werden soll, in unserem Fall Smartcard User, und welcher CSP verwendet werden soll. Wählen Sie hier ihren installierten CSP, z.b. GemSAFE Card CSP im Falle einer GemSAFE GPK Karte. 10
Bei Submit wird ein Zertifikat durch die CA erstellt, und auf der Folgeseite zum installieren angeboten was mit einem Klick auf das Symbol geschieht. Jetzt ist das Zertiifkat auf der Karte und kann sofort verwendet werden, und z.b. das Windows Logon genutzt werden. 11
Installation RRAS Server Für einen VPN Zugang oder WLAN Absicherung mit Smartcard ist der RRAS Server notwendig. Über Managing Server Add a role kann der Routing und Remote Access Server installiert werden, und wählen Sie im ersten Dialog Remote Access aus., was für eine Testumgebung ausreichen sollte, und anschließend VPN. 12
Wählen Sie anschließend die Netzwerkkarte, auf welcher die VPN-Clients ankommen. Enable Security bedeuted, dass nur noch VPN-Verkehr angenommen wird. Spezifizieren Sie anschließend, wie die IP-Adressen für die Clients vergeben werden sollen und definieren Sie, dass dieser Server die Radius Verbindungsanfragen authentifizieren soll. 13
Installation IAS (Internet Authentication Service) Über Add/Remove Software, Windows Components ist unter den Networking Services das Internet Authentication Service zu installieren. 14
Radius Client für WLAN einrichten. Unter dern Administration Tools ist nun das Internet Authentication Service zu finden. Richten Sie hier einen neuen Radius Client ein. Vergeben Sie für den Radius Client einen sprechenden Namen und geben Sie die IP-Adresse an. Bei WLANs ist der WLAN-Router der Radius Client. 15
Konfigurieren der Remote Access Policy für VPN Unter dern Administration Tools ist nun das Routing and Remote Access zu finden. Richten Sie hier eine neue Remote Access Policy ein. 16
Vergeben Sie einen entsprechenden Namen und wählen Sie VPN als Verbindungstyp aus. 17
Wählen Sie die Benutzergruppe für VPN aus. Und wählen Sie Smartcard or other certificate aus. Unter Configure ist noch auszuwählen, mit welchem Zertifikat sich der Server gegenüber den Clients authentifiziert. 18
Stellen Sie auf Verschlüsselung auf die höchste Stufe. (MPPE = Microsoft Point to Point Encryption = RC4) 19
Konfigurieren der Remote Access Policy für WLAN Erstellen Sie eine zweite Remote Access Policy für WLAN-User, analog zur VPN Policy Als EAP Typ wieder Smartcard or other certificate auswählen. 20
In den Eigenschaften der WLAN-Policy, Edit Profile sollte noch weiter die Verschlüsselung auf starke Verschlüsselung eingeschränkt werden und zu Testzwecken mit PEAP auch Passwörter zulassen. 21
CRYPTAS it-security & Media Gmbh Modecenterstrasse 22/B2 A-1030 Wien, Austria T +43 (1) 798 96 96 0 F +43 (1) 798 96 96 99 info@cryptas.com www.cryptas.com www.cryptasmedia.com 22