70-685 Windows 7 Support in Unternehmen.pdf - Gattner

Hinweis Authentifizierung und Autorisierung beim Remotezugriff
Lektion 1: Grundlagen von VPN-Clientverbindungen 231
Authentifizierung ist der Vorgang, bei dem der Benutzer überprüft wird. Dabei werden ein
Kennwort oder andere Anmeldeinformationen wie ein Zertifikat oder eine Smartcard überprüft.
So wird sichergestellt, dass der Benutzer wirklich ist, wer er zu sein vorgibt.
Während bei der Authentifizierung Benutzeranmeldeinformationen überprüft werden, ist die
Autorisierung der Vorgang, mit dem einem Benutzer der Zugriff auf Ressourcen erlaubt wird.
Sobald die Remotezugriffsauthentifizierung abgeschlossen ist, wird die Remotezugriffsverbindung
nur autorisiert, wenn sowohl auf der Registerkarte Einwählen im Eigenschaftendialogfeld
des Benutzerkontos (mehr dazu im Abschnitt »Domänencontroller« weiter unten
in dieser Lektion) als auch in der Netzwerkrichtlinie, die für die Verbindung gilt, passende
Berechtigungen konfiguriert sind.
Für die Authentifizierung kann RRAS so konfiguriert werden, dass es die Authentifizierungsanforderung
an einen RADIUS-Server (bei Verwendung des Netzwerkrichtlinienservers)
weiterleitet oder auf die Windows-Authentifizierung zurückgreift. Wenn die Windows-
Authentifizierung verwendet wird und der lokale VPN-Server kein Mitglied einer Domäne
ist, authentifiziert RRAS die Benutzer, indem es die empfangenen Anmeldeinformationen
mit denen vergleicht, die in seiner lokalen SAM-Datenbank (Security Account Manager)
gespeichert sind. Wenn dagegen Windows-Authentifizierung verwendet wird und der lokale
VPN-Server Mitglied einer Domäne ist, übergibt RRAS die Benutzeranmeldeinformationen
an einen verfügbaren Domänencontroller.
Hinweis Die Remotezugriffsauthentifizierung verläuft getrennt von der Authentifizierung
für die Domänenanmeldung
Die Remotezugriffsauthentifizierung kommt vor der Authentifizierung für die Domänenanmeldung.
Versucht ein VPN-Benutzer, sich im Remotezugriff an einer Domäne anzumelden,
muss die VPN-Verbindung authentifiziert, autorisiert und aufgebaut sein, bevor die
normale Domänenanmeldung durchgeführt wird.
Sind die Anmeldeinformationen, die in der Remotezugriffsverbindung übergeben wurden,
erfolgreich authentifiziert, muss die Verbindung autorisiert werden. Die Remotezugriffsautorisierung
umfasst zwei Schritte: Erst werden die Einwähleigenschaften des Benutzerkontos
überprüft, das in der VPN-Verbindung angegeben ist. Dann wird die erste passende
Netzwerkrichtliniendefinition auf dem VPN-Server angewendet (oder auf dem Netzwerkrichtlinienserver,
wenn RRAS so konfiguriert ist, dass es RADIUS-Authentifizierung verwendet).
Hinweis Was sind Netzwerkrichtlinien?
Netzwerkrichtlinien definieren verschiedene Verbindungstypen anhand ausgewählter Bedingungen,
etwa abhängig davon, in welchen Windows-Gruppen der Benutzer Mitglied ist, ob
Integritätsrichtlinien erfüllt sind oder welches Betriebssystem der Client ausführt. Dann werden
Anforderungen, die diesen Bedingungen entsprechen, entweder erlaubt oder verweigert.
Netzwerkrichtlinien können in RRAS oder in NPS definiert sein. Abbildung 6.8 zeigt, wie
Netzwerkrichtlinien konfiguriert werden.