Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

136 Kapitel 5: Firewall und Netzwerkzugriffsschutz
liche Regeln erstellt werden. Diese Arten von Konfigurationsfehlern können schwierig aufzuspüren
sein. Die neuen grafischen und Befehlszeilenverwaltungstools fassen die Konfiguration
von Firewall und IPsec zusammen. Das vereinfacht die Verwaltung und verringert die
Gefahr einer Fehlkonfiguration. In der Vergangenheit unterstützten Firewall und IPsec unterschiedliche
Merkmale für die Elemente in Regeln. Zum Beispiel konnten Sie eine Firewallausnahme
anhand des Anwendungsnamens erstellen, aber IPsec bot diese Möglichkeit
nicht.
Vereinfachte IPsec-Richtlinienkonfiguration
Vor Windows Vista und Windows Server 2008 mussten Sie einen Satz Regeln konfigurieren,
um Verkehr zu schützen, und einen Satz Regeln, um Ausnahmen für geschützten Verkehr zu
definieren, die für Infrastrukturserver wie DHCP, DNS und Domänencontroller benötigt
wurden. Während der Startphase konnte der Clientcomputer nicht auf diese Dienste zugreifen,
falls der Server IPsec erforderte. Die neue Version von IPsec kann dieses Problem beseitigen,
indem sie gleichzeitig IPsec-geschützte und Klartextverbindungen aufbaut. Falls
der andere Host nicht auf die IPsec-Anforderung antwortet, setzt der Host die Kommunikation
im Klartext fort. Falls er eine Antwort auf die IPsec-Anforderung empfängt, setzt er die
Kommunikation im Klartext nur so lange fort, bis die Aushandlung abgeschlossen ist, danach
ist der gesamte weitere Verkehr geschützt. Das passiert offensichtlich nur, falls IPsec
angefordert, aber nicht verpflichtend gemacht wird. Dieses Verhalten ist zwar optional, wird
aber empfohlen, weil es die IPsec-Richtlinien in einem Unternehmen gewaltig vereinfacht.
Dieses neue Verhalten ermöglicht auch schnellere Netzwerkverbindungen, weil Windows
XP- und Windows Server 2003-Hosts, die IPsec anfordern, aber auch Klartextkommunikation
erlauben, bis zu 3 Sekunden warten, ob die IPsec-Kommunikation fehlschlägt, bevor sie
auf ungeschützte Kommunikation umschalten.
Verbesserte IPsec-Authentifizierung
Neben der Authentifizierung mit Kerberos, digitalen Zertifikaten und vorinstallierten Schlüsseln
können Windows Server 2008-Systeme auch eine Authentifizierung mit Integritätszertifikaten
durchführen. Integritätszertifikate werden an Clients von einer Integritätsregistrierungsstelle
(Health Registration Authority, HRA) vergeben, wenn der Client bewiesen hat,
dass sein Integritätsstatus die Anforderungen der aktuellen Richtlinie erfüllt. Dies ist eine
Komponente von NAP, das im Abschnitt »Netzwerkzugriffsschutz« weiter unten in diesem
Kapitel beschrieben wird. Für IPsec stehen unter anderem folgende Authentifizierungsmethoden
zur Verfügung:
Computerintegritätszertifikat
Benutzerzertifikat
NTLMv2-Anmeldeinformationen des Computers
NTLMv2-Anmeldeinformationen des angemeldeten Benutzers
Kerberos-Anmeldeinformationen des angemeldeten Benutzers
Das bedeutet, dass Sie für die anfängliche Computerauthentifizierung Kerberos-Anmeldeinformationen
und danach ein Integritätszertifikat fordern können. Die zweite Authentifizierung
kann auch ohne die erste genutzt werden.