70-642 Konfigurieren einer Netzwerkinfrastruktur Windows ... - Gattner

NAP-Erzwingungstypen sind Netzwerkkomponenten, die NAP erzwingen, indem
sie den Netzwerkzugriff entweder erlauben oder verbieten:
• IPSec-Verbindungssicherheit
IPSec-Erzwingung zwingt Clients eine NAP-Integritätsprüfung zu bestehen,
bevor sie ein Integritätszertifikat erhalten.
IPSec-Erzwingung benötigt Integritätszertifikate, die für die IPSec-
Verbindungssicherheit notwendig sind, ohne die ein Client keine IPSecgeschützte-Verbindung
zu einem Host herstellen kann.
IPSec-Erzwingung erlaubt es, individuell für einzelne IP-Adressen oder
TCP/UDP-Portnummern, dass die Systemintegritätsanforderungen
eingehalten werden.
IPSec-Erzwingung benötigt eine Zertifizierungsstelle (Certification Authority,
CA), auf der Windows Server 2008-Zertifikatdienste laufen. NAP muss
Integritätszertifikate unterstützen.
Produktivumgebungen sollten aus Redundanzgründen mindestens zwei
Zertifizierungsstellen bereitstellen. PKIs (Public Key Infrastrukture) kann nicht
verwendet werden.
IPSec-Erzwingung bietet sehr hohe Sicherheit, schützt aber nur Computer die
IPSec unterstützen.
• 802.1X-Zugriffspunkte
802.1X-Authentifizierung verwendet Ethernetswitches oder
Drahtloszugriffspunkte.
802.1X-Authentifizierung gewährt kompatiblen Computern vollständigen
Netzwerkzugriff, inkompatible Computer werden in ein Wartungsnetz
verbunden oder abgelehnt.
802.1X-Netzwerkzugriffsgeräte können auch nach anfänglich gewährtem
Zugriff reagieren, wenn Systemintegritätsanforderungen nicht mehr erfüllt
sind.
802.1X-Erzwingung kann zwei Methoden einsetzen, um zu steuern, welche
Zugriffsebene kompatibel, inkompatibel und nicht authentifizierte Computer
enthalten:
o Zugriffssteuerungsliste (Access Control List, ACL) sind IPv4- und
IPv6-Paketfilter, die auf 802.1X-Zugriffsgeräten konfiguriert werden.
ACL werden normal auf inkompatible Computer angewendet,
kompatible Computer erhalten vollen Netzwerkzugriff ohne ACL.
ACL erlaubt sogar den Netzwerkverkehr von inkompatiblen Computern
untereinander einzuschränken.
802.1X-Zugriffsgeräte wenden ACL auf Verbindungen an und
verwerfen alle Pakete, die von der ACL nicht erlaubt sind.
o VLAN (Virtual Local Area Networks) sind Gruppen von Ports die auf
Switches zusammengefasst werden und ein separates Netzwerk
bilden.
VLANs können nur kommuniziere, wenn sie über einen Router
verbunden werden.
VLANs werden anhand einer VLAN-ID identifiziert, die auf den
Switches selbst konfiguriert werden.
NAP kann festlegen in welches VLAN kompatible, inkompatible oder
nicht authentifizierte Computer verschoben werden.
VLAN Nachteile sind zum Beispiel:
• Netzwerkkonfiguration muss geändert werden, wenn ein NAP-
Client auf einen kompatiblen NAP-Client hochgestuft wird.