Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Netzwerkzugriffsschutz 143
NAP-Agent
Der NAP-Agent sammelt Integritätsdaten, verarbeitet SoHs von SHAs und meldet den Integritätsstatus
an Erzwingungsclients. Er meldet die Zusammenfassung der Systemintegrität
mithilfe eines SSoH (System Statement of Health).
NAP-Erzwingungsclients
Um NAP nutzen zu können, muss auf den Clientcomputern ein NAP-Erzwingungsclient
(Enforcement Client, EC) laufen. Einzelne NAP-ECs sind den weiter oben vorgestellten
Erzwingungsmethoden zugeordnet, zum Beispiel IPsec und Terminaldienstegateway. Der
NAP-EC fordert Netzwerkzugriff an, kommuniziert mit dem NPS-Server und meldet den
Status des NAP-Clients an andere Komponenten in der NAP-Clientarchitektur.
Implementieren von NAP
NAP ist flexibel. Sie können es so konfigurieren, dass es den Anforderungen und Fähigkeiten
Ihrer Organisation entspricht. Daher unterscheiden sich die Implementierungen von
Netzwerk zu Netzwerk. Dieser Abschnitt demonstriert, wie NAP in einem Beispielnetzwerk
arbeitet: Hosts, die Zugriff auf Netzwerkressourcen anfordern, erhalten eingeschränkten
Zugriff, falls sie inkompatible NAP-Clients sind oder Clients, die sich nicht bei der NAP-
Infrastruktur authentifizieren können. Den Hosts wird vollständiger Zugriff gewährt, falls
sie NAP-Clients sind, die entsprechend der Integritätsrichtlinie konfiguriert sind. Dies wird
im Folgenden genauer beschrieben.
Wenn der NAP-Client versucht, auf Netzwerkressourcen zuzugreifen, sammelt der NAP-
Agent auf dem Client SoHs von allen SHAs und fasst sie zu einem SSoH zusammen. Dann
erstellt er eine RADIUS-Access-Request-Nachricht, die er an den NAP-EC sendet. Der
NAP-EC sendet die Access-Request-Nachricht an den NAP-ES, der sie wiederum an den
NPS-Dienst auf dem NAP-Integritätsrichtlinienserver sendet. Der NPS-Dienst weist alle
RADIUS-Nachrichten von Clients zurück, für deren Verwaltung er nicht konfiguriert ist.
Der NPS-Dienst prüft, ob die Access-Request-Nachricht seinem Satz von Verbindungsanforderungsrichtlinien
entspricht. Die Access-Request-Nachricht sollte einer Richtlinie entsprechen,
die erfordert, dass der NPS-Dienst Authentifizierung und Autorisierung lokal
durchführt.
Der NPS-Dienst wertet die Integritätsinformationen in der Access-Request-Nachricht aus,
die ein SSoH und ein oder mehrere SoHs umfasst. Die NAP-Administrationsserverkomponente
auf dem NAP-Integritätsrichtlinienserver leitet jedes SoH an die entsprechende SHV
weiter. Jede SHV stellt fest, ob das empfangene SoH die Anforderungen erfüllt. Der NAP-
Administrationsserver generiert aus den SHVs einen Satz von SoHRs. Der NPS-Dienst vergleicht
die Access-Request-Nachricht und die SoHRs mit den Netzwerkrichtlinien. Die
SoHRs werden mit den Integritätsrichtlinien in den Netzwerkrichtlinien verglichen. Der
NPS-Dienst wendet dann die Netzwerkrichtlinie an, die am besten zur Access-Request-
Nachricht passt. Dies ist entweder die erste Übereinstimmung mit einer bestimmten Quelle
(für Anforderungen, die ein Quell-Tag enthalten, das den Typ des RADIUS-Clients angibt)
oder das erste mit einer unspezifizierten Quelle.
Der NPS-Dienst generiert anhand der am besten passenden Netzwerkrichtlinie und der
NAP-Einstellungen innerhalb der Richtlinie ein SSoHR. Das SSoHR umfasst die SoHRs aus
den SHVs, und es gibt an, ob der Client eingeschränkten oder uneingeschränkten Zugriff
erhält. Falls der Zugriff eingeschränkt wird, gibt das SSoHR auch an, ob der Client versu-