Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Internet Protocol Security 137
Verbesserte Unterstützung für Lastausgleich und Clusterserver
Ältere Versionen von IPsec brauchen üblicherweise 3 bis 6 Sekunden, um nach einer Administrationsänderung
die Kommunikation wieder aufzunehmen. Wenn ein Clusterknoten ausfiel,
konnte es sogar bis zu 2 Minuten dauern. In Windows Server 2008 und Windows Vista
ist die Zeitüberschreitungsschwelle viel kürzer. Normalerweise ist sie so schnell, dass die
Anwendung weiterlaufen kann. Statt darauf zu warten, dass ein ausgefallener Clusterknoten
aufgrund der Zeitüberschreibung entdeckt wird, überwacht IPsec TCP-Verbindungen aktiv
nach eingerichteten Sicherheitszuordnungen (Security Association, SA). Falls die SA beginnt,
Pakete erneut zu senden, handelt IPsec neue SAs aus, um zu versuchen, die Verbindung
zu einem anderen Knoten im Cluster wiederherzustellen.
IPsec-Schutz zwischen Client und Domänencontroller
Windows Server 2008 unterstützt IPsec zwischen Domänencontrollern und Mitgliedscomputern
in zwei Modi. Erstens können Sie eine Richtlinie konfigurieren, die IPsec anfordert,
aber nicht verpflichtend macht; Domänencontroller schützen dann den meisten Verkehr mit
Domänenmitgliedern, erlauben aber auch Klartextkommunikation für Domänenbeitritte und
andere Verkehrstypen. Zweitens können Sie eine Richtlinie konfigurieren, die IPsec vorschreibt
und NTLMv2-Authentifizierung erlaubt; in diesem Fall wird die gesamte Kommunikation
mit Domänencontrollern geschützt. Diese restriktivere Konfiguration funktioniert,
weil NTLMv2-Benutzeranmeldeinformationen für die Authentifizierung verwendet werden
können. Wenn ein Computer, der unter Windows Server 2008 oder Windows Vista läuft, versucht,
der Domäne beizutreten, wird der Benutzer aufgefordert, Benutzernamen und Kennwort
eines Domänenkontos einzugeben, das Computerkonten hinzufügen darf. Dieses neue
Verhalten steht nur auf Clientcomputern zur Verfügung, die unter Windows Vista oder Windows
Server 2008 laufen, und auf Domänencontrollern, die unter Windows Server 2008
laufen.
Integrierte IPv4- und IPv6-Unterstützung
Die Unterstützung für IPsec mit IPv6 ist identisch mit der Unterstützung für IPsec mit IPv4,
was vor Windows Vista und Windows Server 2008 noch nicht der Fall war. IPsec-Richtlinienregeln
für IPv6 und IPv4 werden auf dieselbe Weise mit denselben Tools konfiguriert,
zum Beispiel in der Konsole Windows-Firewall mit erweiterter Sicherheit.
Integration mit Netzwerkzugriffsschutz
Sie können NAP verwenden, um zu erzwingen, dass Hosts eine zweite Authentifizierung mit
einem Integritätszertifikat durchführen. So wird sichergestellt, dass jeder Host die Integritätsanforderungen
Ihrer Organisation erfüllt. Weitere Informationen finden Sie im Abschnitt
»Netzwerkzugriffsschutz« weiter unten in diesem Kapitel.
Weitere Konfigurationsoptionen für geschützte Kommunikation
Verbindungssicherheitsregeln unterstützen folgende neue Einstellungen:
Bereiche von IP-Adressen Sie können jetzt numerische Bereiche angeben, zum Beispiel
192.168.10.15 bis 192.168.10.68.
Für alle Drahtlosadapter Drahtlosadapter sind ein weiterer Schnittstellentyp, den Sie
für eine Regel angeben können.