Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

132 Kapitel 5: Firewall und Netzwerkzugriffsschutz
Unterstützung für mehrere Standorte im Verbindungs-Manager-Verwaltungskit
Das Verbindungs-Manager-Verwaltungskit (Connection Manager Administration Kit,
CMAK) erlaubt es, Verbindungs-Manager-Profile auf einem Server mit beliebigen Lokalisierungseinstellungen
zu entwickeln, die dann auf Clients mit beliebigen Lokalisierungseinstellungen
bereitgestellt werden können. Das vereinfacht die Verwaltung mit dem Verbindungs-Manager-Verwaltungskit.
Unterstützung für dynamische DNS-Updates im Verbindungs-Manager
Verbindungs-Manager-Clients unterstützen jetzt die Registrierung von Clientnamen und
-adressen mit Dynamic DNS.
Unterstützung für das Netzwerkdiagnose-Framework
RRAS unterstützt jetzt das Netzwerkdiagnose-Framework für Clientverbindungen, was die
Verwaltung und Problembehandlung von RRAS einfacher macht.
Verbesserte WinLogin-Unterstützung
Zugriffsanbieter von Fremdherstellern können ihre Verbindungen so konfigurieren, dass sie
automatisch Remotezugriffsverbindungen aufbauen, wenn sich ein Benutzer anmeldet.
Zusätzliche kryptografische Algorithmen
L2TP/IPsec-Verbindungen unterstützen jetzt AES (Advanced Encryption Standard) mit 128-
und 256-Bit-Schlüsseln. Schwächere Algorithmen wie zum Beispiel 40- und 56-Bit-MPPE
(Microsoft Point-to-Point) für PPTP und DES mit MD5 (Message Digest 5) für L2TP/IPsec
sind standardmäßig deaktiviert. Sie können 40- und 56-Bit-MPPE für PPTP-Verbindungen
aktivieren, indem Sie den DWORD-Wert HKEY_LOCAL_MACHINE\System\Current-
ControlSet\Services\Rasman\Parameters\AllowPPTPWeakCrypto auf 1 setzen und den
Computer neu starten. DES mit MD5 für L2TP/IPsec-Verbindungen können Sie aktivieren,
indem Sie den DWORD-Wert HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Rasman\Parameters\AllowL2TPWeakCrypto auf 1 setzen und den Computer neu
starten. Natürlich sollten Sie erwägen, Ihre geistige Gesundheit untersuchen zu lassen, wenn
Sie einen Schalter aktivieren, der »WeakCrypto« (schwache Kryptografie) heißt.
Robuste Zertifikatsprüfung für VPN-Verbindungen
RRAS unterstützt eine sorgfältigere Zertifikatsprüfung, mit der Man-in-the-Middle-Angriffe
verhindert werden sollen. Der VPN-Client prüft zusätzlich, ob die Felder Antragsteller
oder Alternativer Antragstellername im Zertifikat des VPN-Servers dem Namen oder der
IP-Adresse des VPN-Servers entsprechen, die in der VPN-Verbindung benutzt werden. Sie
können diese zusätzliche Zertifikatprüfung auf dem VPN-Client folgendermaßen deaktivieren:
Öffnen Sie das Eigenschaftendialogfeld für die Verbindung, klicken Sie auf die Registerkarte
Netzwerk und dort auf die Schaltfläche IPSec-Einstellungen und deaktivieren Sie
das Kontrollkästchen Die Namen- und Verwendungsattribute des Serverzertifikats überprüfen
(Abbildung 5.10).