Fallstudie: Das drahtlose Netzwerk von Microsoft

9
181
183
185
186
194
Fallstudie: Das drahtlose
Netzwerk von Microsoft
Geschichte des drahtlosen Microsoft-LANs
Vorüberlegungen bei der Planung
Installation des drahtlosen Netzwerks
Aktuelle Ausbaustufe und Infrastruktur
Zusammenfassung
Dieses Kapitel beschreibt, wie Microsoft das eigene sichere Drahtlosnetzwerk mit 802.11b und
EAP-TLS-Authentifizierung (Extensible Authentication Protocol – Transport Layer Security)
implementiert hat. Als früher Anwender der Drahtlosnetzwerktechnik wurde Microsoft mit einigen Herausforderungen konfrontiert, als es an den Aufbau einer sicheren und zuverlässigen globalen Drahtlosnetzwerkinfrastruktur ging. Inzwischen hat Microsoft über 30.000 drahtlose Clients, und das Drahtlosnetzwerk ist ein Schlüsselelement der unternehmensweiten Infrastruktur.
Geschichte des drahtlosen Microsoft-LANs
Der Bedarf an einem drahtlosen Zugang zu Unternehmens-LANs steigt durch die wachsende
Zahl mobiler Computer wie Laptops und Persönliche Digitale Assistenten (PDAs) immer weiter,
ebenso durch den Wunsch der Benutzer, über stabile Verbindungen zum Netzwerk zu verfügen,
ohne mit Kabeln an Steckdosen gebunden zu sein, die einen Ortswechsel während der Arbeit
verhindern. Microsofts Bestreben, dem Endbenutzer überall und jederzeit eine Verbindung zu
ermöglichen, treibt die Entwicklung der eigenen Produkte für drahtlose Verbindungen ebenso
voran wie die Bemühungen, eine sichere und zuverlässige unternehmensweite Drahtlosnetzwerkinfrastruktur bereitzustellen.
Als erstes Großunternehmen wandte sich Microsoft der Drahtlos-LAN-Technologie (Wireless
LAN, WLAN) als Alternative zu verkabelten Laptops zu. Nach der Ratifizierung des IEEE
802.11 WLAN-Standards als internationalen Standard unterstützte Microsoft die IEEE 802.11bErweiterung des frisch veröffentlichten Standards (ratifiziert am 16. September 1999) und
begann im Dezember 1999 mit der praktischen Umsetzung von IEEE 802.11b auf dem eigenen
Firmengelände in Redmond. Seitdem war Microsoft in den IEEE 802.11-Standardgremien aktiv
und führend an der Weiterentwicklung und Verbesserung der Bereiche Datenschutz, Authentifizierung und Netzwerkzuverlässigkeit beteiligt.
181
Kurz nach der Ratifizierung von IEEE 802.11b begann die IEEE 802.1 MAC Bridging-Gruppe
mit der Arbeit an der IEEE 802.1X-Erweiterung des 802.1-Bridging-Standards, um einen authentifizierten Portzugriff auf herkömmliche Kabelnetzwerke zu ermöglichen, wie IEEE 802.3 (Ethernet), IEEE 802.5 (Token Ring), Fiber Distributed Data Interface (FDDI) und IEEE 802.11.
Anfangs bot Microsoft die Drahtlosverbindung als Ergänzung zu den allgegenwärtigen Kabelnetzwerken an. Obwohl er nicht als Hauptverbindung für den Endbenutzer konzipiert war, entwickelte sich der WLAN-Dienst schnell zu einer begehrten Verbindungsalternative für improvisierte Diskussionen, Software-Vorführungen und die Möglichkeit, die Arbeit in Besprechungen
mitzunehmen – und alles wirkte sich positiv auf die Produktivität aus.
Nach dem Abschluss der Installation verfügte Microsoft zwar über das größte unternehmensweite
WLAN-Netzwerk der Welt, hatte aber sofort die Probleme mit der Einrichtung, Integration und
Wartung zu lösen, die ein großes WLAN-Netzwerk mit sich bringt. Mit einer ersten Installation
von 2.800 Access Points (Zugriffspunkte) und 19.000 Drahtlosnetzwerkadaptern musste sich
Microsoft von Anfang an um Sicherheits- und Skalierbarkeitsprobleme kümmern. So kam Microsoft zum Beispiel zu der Überzeugung, dass die MAC-Adressenfilterung (Media Access Control)
und die frühen VPN-Lösungen (Virtual Private Network) keine gut skalierbaren Lösungen für
ein globales WLAN darstellen.
Bei der ersten Installation von 802.11b auf dem Firmengelände in Redmond wurden statische
128-Bit-Schlüssel zur WEP-Verschlüsselung verwendet, um die Vertraulichkeit der Daten zu
gewährleisten und eine IEEE 802.11 Shared Key-Authentifizierung zu ermöglichen. Berichte
über erfolgreiche Angriffe auf WEP und Shared Key-Authentifizierung veranlassten Microsoft,
sich noch intensiver um die Sicherheit der eigenen WLAN-Struktur zu kümmern. Das Ergebnis
dieser Haltung ist die aktuelle WLAN-Installation, die mit 802.1X, EAP-TLS-Authentifizierung
auf Zertifikatbasis und sitzungsbezogenen WEP-Schlüsseln arbeitet.
Microsoft leitet weiterhin die Entwicklungen in den Bereichen Authentifizierung und Datenschutz in der IEEE 802.11i-Sicherheitsgruppe. Microsoft ist sich zudem der Vorteile für andere
Funktionsbereiche bewusst und leistet Beiträge zur Unterstützung eines Weltmodus (world mode)
der Drahtlosnetzwerkadapter und eines Access Point-übergreifenden Protokolls, das mit Verbindungsblöcken arbeitet, in denen Informationen zur Zuordnung von Sitzungen erfasst werden.
HINWEIS Der »Weltmodus« (world mode) macht es möglich, einen Drahtlosnetzwerkadapter
in verschiedenen Ländern zu benutzen, von denen jedes die Verwendung des S-Band ISMFrequenzbereichs für die drahtlose 802.11b-Vernetzung anders definieren kann. Verschiedene
Länder teilen das S-Band ISM in unterschiedliche Kanäle auf und definieren unterschiedliche
Vorgaben für die Übertragungsleistung. Access Points und Drahtlosnetzwerkadapter unterstützen den Weltmodusbetrieb.
Die Microsoft-WLAN-Technologie
Das Microsoft-WLAN benutzt folgende Technologien:
b
IEEE 802.11b
b
IEEE 802.1X
b
EAP-TLS-Authentifizierung
b
RADIUS
b
Active Directory-Verzeichnisdienst
b
X.509-Zertifikate
182
Kapitel 9
Vorüberlegungen bei der Planung
Die drahtlose Verbindung dient bei Microsoft für den Zugriff auf das Intranet des Unternehmens
(im Folgenden kurz Corpnet genannt). Einmal im Microsoft-Corpnet, hindern keine Firewalls
die Angestellten oder andere autorisierte Benutzer am Zugriff auf Netzwerk- und Unternehmensressourcen.
Leistung
Weil das WLAN von Microsoft als Ergänzung, nicht als Ersatz der verkabelten Ethernet-LANInfrastruktur gedacht war, teilen sich durchschnittlich zwei bis vier Benutzer 11 MBit/s Bandbreite pro Access Point. Der tatsächliche Datendurchsatz schwankt zwischen 4 und 6, 5 MBit/s.
Unter voller Last (25 Benutzer pro Access Point) verhält sich die drahtlose Netzwerkverbindung
aus der Sicht eines Benutzers wie eine langsame DSL- oder Kabelmodemverbindung.
Eine spezielle Technik wurde zur Sicherung einer hohen Übertragungsleistung benutzt, wenn
viele Benutzer auf relativ engem Raum versammelt sind, wie zum Beispiel bei Mitarbeiterversammlungen und Schulungen. Durch die Verringerung der Sendeleistung der Access Points von
30 Milliwatt (mW) auf 15 oder 5 mW (oder sogar nur 1 mW) entstanden kleinere Sendebereiche.
Die Verringerung der Sendeleistung machte es möglich, auf derselben Fläche eine größere Anzahl
von Access Points aufzustellen. Zum Beispiel wurden in einem Raum für 200 Leute, in dem sich
normalerweise drei Access Points mit normaler Sendeleistung aufstellen lassen, ohne dass es zu
Problemen mit den sich überlappenden Sendebereichen kommt, zusätzliche Access Points mit
geringer Sendeleistung eingesetzt. Das Ergebnis war eine kleinere Anzahl drahtloser Clients pro
Access Point und eine höhere durchschnittlich verfügbare Bandbreite pro drahtlosen Client.
Skalierbarkeit
Microsofts WLAN-Design beruht auf einem Sendebereich mit 20 Metern Durchmesser, der eine
hinreichend redundante Abdeckung ergibt, um Ausfälle einzelner Access Points aufzufangen,
und es den Benutzern ermöglicht, sich im Gebäude frei zu bewegen. Microsofts Operations and
Technology Group (OTG) hat überprüft, ob die Installation der Access Points mit einer international entwickelten Checkliste übereinstimmt. Außerdem hat sie die Abdeckungen und die
Netzwerkverbindungen der einzelnen Access Points überprüft. Auf der technischen Seite hat
man sich bei Microsoft außerdem um einen kleineren Abdeckungsbereich bemüht, um eine
Überlappung der Abdeckungsbereiche mit entsprechender Kanalkonfiguration und um eine
Abschwächung der Bluetoothinterferenzen.
Ortsveränderung und Mobilität
In Microsofts WLAN-Installation liegen alle Access Points, die im selben Gebäude aufgestellt
werden, im selben IP-Subnetz, so dass sich bei Bewegungen eines Benutzers innerhalb des
Gebäudes lückenlose Übergänge ergeben. Wenn drahtlose Clients verschiedenen Access Points
zugeordnet sind, führt der DHCP-Erneuerungsprozess zu einer Bestätigung der vorhandenen
TCP/IP-Konfiguration. Bei Ortswechseln zwischen verschiedenen Gebäuden führt der DHCPErneuerungsprozess zu einer Änderung der IP-Adressenkonfiguration. Daraus können sich Probleme ergeben, wenn die Anwendungen nicht auf solche IP-Adressenänderungen oder andere
Fallstudie: Das drahtlose Netzwerk von Microsoft
183
Konfigurationsänderungen ausgelegt sind. In beiden Fällen wird der Benutzer nicht zur Authentifizierung beim WLAN aufgefordert, weil die Authentifizierung mit EAP-TLS und Zertifikaten
erfolgt.
Sicherheit
Bei der Konzeption der Sicherheitsvorkehrungen wurden auch folgende Punkte berücksichtigt
(sie werden in den folgenden Abschnitten ausführlicher beschrieben):
b
Authentifizierung
b
Lauschangriffe
b
Bösartige Access Points
Authentifizierung
Microsoft verwendet als Authentifizierungsmethode für drahtlose Verbindungen EAP-TLS mit
Benutzer- und Computerzertifikaten, die auf dem Computer gespeichert werden, und zwar aus
folgenden Gründen:
b
EAP-TLS führt nicht zur Abhängigkeit vom Kennwort des Benutzerkontos.
b
Die EAP-TLS-Authentifizierung erfolgt automatisch und erfordert normalerweise kein Eingreifen des Benutzers.
b
EAP-TLS verwendet Zertifikate, die einen relativ starken Authentifizierungsmechanismus
ergeben.
b
Der EAP-TLS-Datenaustausch wird durch eine Verschlüsselung mit öffentlichem Schlüssel
geschützt und ist nicht für Offline-Wörterbuchangriffe anfällig.
b
Der EAP-TLS-Authentifizierungsprozess liefert gegenseitig abgestimmtes Verschlüsselungsmaterial zur Datenverschlüsselung (den WEP-Unicastsitzungsschlüssel) und Signatur.
Lauschangriffe
Der Drahtlosnetzwerkdatenverkehr im Microsoft WLAN wird auf folgende Weise vor Lauschangriffen geschützt:
b
EAP-Nachrichten für IEEE 802.1X-Verhandlungen werden im Klartext versendet. Allerdings
verhindert die Anwendung von EAP-TLS und Verschlüsselung mit öffentlichem Schlüssel,
dass Angreifer die Informationen erhalten, die sie brauchen, um sich als drahtloser Client
oder als authentifizierender Server ausgeben zu können.
b
Nach dem Abschluss der EAP-TLS-Verhandlungen werden die Daten, die zwischen einem
authentifizierten Client und seinem zugeordneten Access Point ausgetauscht werden, entweder mit dem WEP-Multicast-/Global- oder mit dem Unicastsitzungsschlüssel verschlüsselt.
Durch das Auffangen der 802.1X-Nachrichten, der 802.11-Steuernachrichten und der übermittelten Daten könnte ein Angreifer, der den Drahtlosnetzwerkdatenverkehr belauscht, folgende
Informationen erhalten:
b
Namen der Computer- oder Benutzerkonten, die an den EAP-TLS-Verhandlungen beteiligt
sind
b
MAC-Adressen des drahtlosen Clients und des Access Points
b
MAC-Adressen der Knoten in den Subnetzen der Access Points
b
Zeitpunkte der Zuordnung und Trennung
184
Kapitel 9
Ein Angreifer könnte solche Informationen zur Erstellung von Nutzungsprofilen verwenden, aus
denen sich Erkenntnisse über Benutzer oder Geräte ableiten lassen könnten.
Als Schutz vor Lauschangriffen werden sensible Attribute in den RADIUS-Nachrichten, die
zwischen Access Points, RADIUS-Servern und Proxys ausgetauscht werden, mit dem geheimen
RADIUS-Schlüssel geschützt.
Bösartige Access Points
Das Microsoft-WLAN wird vor bösartigen Access Points durch die Verwendung von EAP-TLS
geschützt, das eine gegenseitige Authentifizierung des drahtlosen Clients und des authentifizierenden RADIUS-Servers verlangt. Um sich als Microsoft-Access-Point ausgeben zu können, wäre
ein bösartiger Zugangspunkt auf eine Sicherheitsbeziehung mit einem Microsoft OTG RADIUSServer angewiesen, die durch die Konfiguration des Access Points als RADIUS-Client des
RADIUS-Servers oder -Proxys und einen geheimen RADIUS-Schlüssel definiert und kontrolliert
wird. Verfügt ein Access Point nicht über diese Sicherheitsbeziehung und Konfiguration, kann er
keine RADIUS-Nachrichten mit dem RADIUS-Server austauschen und daher keine drahtlosen
802.1X-Clients authentifizieren. Allerdings könnte ein bösartiger Access Point als RADIUS-Client
eines bösartigen RADIUS-Servers konfiguriert werden. Microsoft-Drahtlosclients überprüfen
aber von Haus aus das Zertifikat des RADIUS-Servers. Wenn also der RADIUS-Server des Access
Points kein gültiges Zertifikat vorlegen kann und nicht beweisen kann, dass er den dazugehörigen
geheimen Schlüssel kennt, beendet der drahtlose Client die Verbindung.
Installation des drahtlosen Netzwerks
Microsoft hat das drahtlose Netzwerk in vier Phasen aufgebaut, die in den folgenden Abschnitten
genauer beschrieben werden.
b
Phase 1: Planung
b
Phase 2: Installation
b
Phase 3: Abnahme
b
Phase 4: Übergabe an Microsoft-Benutzer
Phase 1: Planung
Zu den Vorbereitungen gehörten folgende Schritte:
1. Entwicklung eines Aufstellungsplans für die Access Points, wobei die Richtlinien so ausgelegt
sind, dass 95 Prozent der Installationen keine spezielle Antenne erfordern.
2. Durchführung eines Feldversuchs, bei dem überprüft wird, ob sich bei den ermittelten Standorten der Access Points irgendwelche Besonderheiten ergeben.
3. Vorlage des endgültigen Standortplans zur Genehmigung bei einem Microsoft-OTG-Designer.
Er muss zustimmen, bevor die Installation beginnen kann.
Phase 2: Installation
Auch die Installation der Access Points umfasste mehrere Schritte:
1. Unterbringung der Access Points und Antennen in speziellen Gehäusen, die den Anforderungen an den Brandschutz genügen.
Fallstudie: Das drahtlose Netzwerk von Microsoft
185
2. Konfiguration einer zentralen Niederspannungs-Stromversorgung durch eine unterbrechungsfreie Stromquelle.
3. Aufbau der RADIUS-Infrastruktur.
Phase 3: Abnahme
Zur Abnahme gehörten folgende Schritte:
1. Stichproben der Access-Point-Installation nach einer vorbereiteten Checkliste.
2. Überprüfung der Bereichsabdeckung und der Netzwerkverbindung jedes Access Points.
3. Auslieferung der Dokumentation, in welcher der endgültige Standort jedes Access Points
verzeichnet ist.
Phase 4: Übergabe an Microsoft-Benutzer
Die Übergabe an Microsoft-Benutzer erfolgte in folgenden Schritten:
1. Erstellung eines CAPICOM-Skripts (Cryptographic API Component Object-Modell) zur
Installation der Zertifikate.
2. Erstellung einer Website für Anleitungen, aktualisierte Treiber und das CAPICOM-Skript.
3. Information der Benutzer der Website darüber, wie man drahtlosen Zugriff erhält.
Zur Beschaffung der Computer- und Benutzerzertifikate, die für die drahtlose Verbindung mit
dem firmeneigenen drahtlosen Microsoft-Netzwerk erforderlich sind, muss der Computer, im
Normalfall ein drahtloser Laptop, über einen Ethernet-Anschluss Verbindung mit dem Microsoft-Corpnet aufnehmen.
WEITERE INFORMATIONEN Weitere Informationen zu CAPICOM finden Sie auf der Webseite »Cryptography, CryptoAPI, and CAPICOM« unter http://msdn.microsoft.com.
Aktuelle Ausbaustufe und Infrastruktur
Weltweit gibt es derzeit mehr als 3.200 installierte Access Points im Microsoft-WLAN. Die Größenordnung dieser Installation zog für Microsoft große Herausforderungen in den Bereichen
Sicherheit und Authentifizierung nach sich. Microsoft OTG richtete für den Aufbau und die
Einrichtung der 802.11 WLAN-Lösung mehrere Abteilungen ein: End User Services (EUS), Corporate Security, Enterprise Network Engineering und Corporate Server-Supportgruppen waren
für die Integrationstests und den Aufbau eines sicheren Microsoft-WLANs zuständig.
Die aktuelle WLAN-Installation besteht aus folgenden Elementen:
b
Active Directory-Domänencontroller
b
Windows Server 2003-Zertifizierungsstellen (Certification Authorities, CAs)
b
Drahtlose Windows XP-Clients
b
Access Points der Serien Cisco Aironet 340 und 350
b
RADIUS-Server und -Proxys unter Windows Server 2003
186
Kapitel 9
Active Directory-Domänencontroller
Die Domänen im Microsoft-Corpnet arbeiten im einheitlichen Modus mit Domänencontrollern,
auf denen ein Mitglied der Windows Server 2003-Familie läuft. Während des Übergangs auf
Windows Server 2003 gab es Domänencontroller, auf denen Windows 2000 Server mit Service
Pack 2 (SP2) und den erforderlichen Patches für Active Directory lief, damit Einwähleigenschaften und die SChannel-Zertifikatzuordnung verfügbar waren (diese Patches sind nun Bestandteil
von Windows 2000 SP3). Im Microsoft-Corpnet gibt es folgende Active Directory-Gesamtstrukturen:
b
Corpnet.ms.com
b
NT.Dev
b
Win.SE
b
Win.Deploy
Die Gesamtstruktur corpnet.ms.com enthält die Domäne corpnet.ms.com und eine Reihe von
untergeordneten Domänen, mit denen die größeren geografischen Regionen der Microsoft Corporation nachgebildet werden. Abbildung 9.1 zeigt den Aufbau dieser Gesamtstruktur.
corpnet.ms.com
...
Nordamerika
Redmond
Europa
Südpazifik
Abbildung 9.1: Der Aufbau der
Gesamtstruktur corpnet.ms.com
Wie durch die Gesamtstruktur für Active Directory definiert, kann ein Mitgliedsserver aus einer
Domäne der Gesamtstruktur die Anmeldeinformationen von jedem Konto aus jeder Domäne der
Gesamtstruktur überprüfen. So kann zum Beispiel ein Mitgliedsserver der Domäne Redmond die
Benutzer- oder Computeranmeldeinformationen von Konten aus den untergeordneten Domänen
Nordamerika, Europa, Südpazifik und anderen überprüfen.
WEITERE INFORMATIONEN Weitere Informationen zur Active Directory-Infrastruktur von
Microsoft-Corpnet finden Sie in einer Veröffentlichung mit dem Titel »Windows 2000: Designing and Deploying Active Directory Service for the MS Internal Corpnet« unter
http://www.microsoft.com/technet.
Die RAS-Berechtigung auf der Registerkarte Einwählen der Benutzer- und Computerkonten
wurde auf Zugriff über RAS-Richtlinien steuern eingestellt. Da sich Microsoft dafür entschieden
hat, allen zugelassenen Domänencomputern und Benutzerkonten den Drahtloszugriff zu gestatten, werden die Einwähleigenschaften des Kontos bei der Bewertung der Autorisierung und der
Bestimmung der Beschränkungen für die Verbindung ignoriert. Es gibt keine globale oder universelle Gruppe für alle Konten, die Drahtloszugriff haben. (Weitere Informationen finden Sie in
diesem Kapitel unter »RADIUS-Server und -Proxys unter Windows Server 2003«.)
Fallstudie: Das drahtlose Netzwerk von Microsoft
187
Zertifizierungsstellen unter Windows Server 2003
Zur Ausgabe von Benutzer- und Computerzertifikaten und zur Veröffentlichung der Zertifikatsperrliste (CRL) wurde die vorhandene Microsoft-PKI benutzt. Entsprechend den PKI-Empfehlungen von Microsoft hat die Microsoft-PKI folgenden Aufbau:
b
Eine Stammzertifizierungsstelle, die offline betrieben wird
b
Eine Ebene mit Zwischenzertifizierungsstellen, die ebenfalls offline arbeiten
b
Eine Ebene mit ausstellenden Zertifizierungsstellen, die online erreichbar sind
Diese PKI-Hierarchie ist in Abbildung 9.2 zu sehen.
Stammzertifizierungsstelle (offline)
Zwischenzertifizierungsstelle 1
(offline)
Zwischenzertifizierungsstelle 2
(offline)
Ausstellende
Zertifizierungsstelle1 (online)
Ausstellende
Zertifizierungsstelle 2 (online)
Abbildung 9.2: Die Hierarchie der
Microsoft-PKI
Diese PKI ist flexibel und schützt die Stammzertifizierungsstelle vor den Versuchen böswilliger
Benutzer, ihren geheimen Schlüssel aufzudecken. Alle Zertifizierungsstellen in der MicrosoftPKI laufen auf einem Windows Server 2003-Mitgliedsserver.
WEITERE INFORMATIONEN Weitere Informationen zur PKI finden Sie auf der Website
»Windows 2000 Security Services« unter http://www.microsoft.com/windows2000/technologies/security/default.asp und der Website »Windows Server 2003 Security Services«
unter http://www.microsoft.com/windowsserver2003/technologies/security/default.mspx.
Zur Ausstellung von Computerzertifikaten wurde die automatische Registrierung – unter Verwendung der Einstellungen der automatischen Zertifikatanforderung in der Computerkonfigurations-Gruppenrichtlinie – in den entsprechenden Domänensystemcontainern aller Gesamtstrukturen konfiguriert. Alle Mitgliedscomputer fordern von der zuständigen ausstellenden
Zertifizierungsstelle ein Computerzertifikat an, wenn sie eine aktualisierte Computerkonfigurations-Gruppenrichtlinieneinstellung vorfinden.
Zur Ausstellung von Benutzerzertifikaten hat die Microsoft-OTG-Abteilung ein CAPICOMSkript entwickelt. Da die automatische Registrierung von Benutzerzertifikaten mit den Windows
188
Kapitel 9
2000-Unternehmenszertifizierungsstellen, die anfangs nur zur Verfügung standen, nicht möglich
war, standen als Alternativen die Verwendung von CAPICOM-Skripts oder die Webregistrierung
mit dem Zertifikate-Snap-In zur Verfügung, um ein Zertifikat anzufordern oder zu importieren.
Die Wahl fiel auf CAPICOM-Skripts, weil sie keine weiteren Aktionen seitens des Benutzers
erfordern.
Damit sich die Microsoft-Benutzer informieren können und es einen Ort gibt, an dem sich das
CAPICOM-Skript starten lässt, hat die Microsoft-OTG-Abteilung eine interne Website eingerichtet. Das CAPICOM-Skript überprüft, ob bereits ein Benutzer- oder Computerzertifikat installiert
ist. Wenn das nicht der Fall ist, veranlasst das Skript den Computer, von der zuständigen ausstellenden Zertifizierungsstelle ein Benutzer- oder Computerzertifikat anzufordern.
Das Computerzertifikat (mit automatischer Registrierung installiert) und das Benutzerzertifikat
(mit dem CAPICOM-Skript installiert) werden beschafft, während der Computer über eine
Ethernet-Verbindung mit dem Microsoft-Corpnet verbunden ist.
Drahtlose Clients mit Windows XP
Im Hause Microsoft ist Microsoft Windows XP die Betriebssystemplattform für drahtlose Clients.
Es unterstützt 802.11 und 802.1X. Der Benutzer eines Drahtlosclients stellt die Verbindung mit
dem drahtlosen Microsoft-Firmennetzwerk mit Hilfe des konfigurationsfreien Dienstes für drahtlose Verbindungen (WZC) von Windows XP her. Die standardmäßigen Einstellungen aktivieren
die WEP-Verschlüsselung, die Verwendung der 802.1X-Authentifizierung und die EAP-TLSAuthentifizierungsmethode mit Benutzer- und Computerzertifikaten. Alle Drahtlosnetzwerkadapter, die bei Microsoft benutzt werden, unterstützen den WZC-Dienst.
Wenn Microsoft-Benutzer auch zu Hause über ein drahtloses Netzwerk verfügen, macht es der
konfigurationsfreie Dienst für drahtlose Verbindungen möglich, beide drahtlosen Netzwerke in
die Liste der bevorzugten drahtlosen Netzwerke aufzunehmen, also das drahtlose MicrosoftFirmennetzwerk und das private drahtlose Netzwerk. Bei der Arbeit nimmt der drahtlose Laptop
dann Verbindung mit dem Microsoft-Firmennetzwerk auf, während er zu Hause eine Verbindung
zum privaten drahtlosen Netzwerk herstellt. Jedes drahtlose Netzwerk kann seine eigene Konfiguration haben, wie zum Beispiel die Netzwerkart (Infrastruktur oder Ad-hoc) und die Einstellungen für Authentifizierung und Verschlüsselung.
Access Points aus der Produktreihe Cisco Aironet 340 und 350
Das Microsoft-WLAN benutzt Access Points der Produktreihe Cisco Aironet 340 und 350, auf
denen das Wireless IOS Release 11.21 oder höher läuft. Anfangs werden die Access Points mit
einer Minimalkonfiguration installiert, die den TCP/IP-Zugriff und das Simple Network Management-Protokoll (SNMP) bietet. Ein von Microsoft entwickeltes SNMP-Skript auf PERL-Basis
wird gestartet und konfiguriert die Standardeinstellungen für den Access Point und individuelle
Einstellungen, wie die Kanalnummer oder die Sendeleistung, die aus einer relationalen Datenbank
ausgelesen werden. Die Access Point- und Sende-Firmware wird installiert, indem in jedem Gebäude ein Access Point aktualisiert wird und dann die »Distribute Image«-Fähigkeit der Access
Points genutzt wird, um diese Firmware auf alle Access Points im Gebäude zu übertragen.
Alle Access Points werden als RADIUS-Clients von zwei RADIUS-Servern konfiguriert, die
beide zu einer untergeordneten Domäne der Gesamtstruktur corpnet.ms.com gehören. Es gibt
Fallstudie: Das drahtlose Netzwerk von Microsoft
189
keine Access Points, welche die RADIUS-Server in den Gesamtstrukturen NT.Dev, Win.SE oder
Win.Deploy benutzen. Diese Konfiguration wird von Abbildung 9.3 dargestellt.
Gesamtstruktur
NT.Dev
Gesamtstruktur corpnet.ms.com
corpnet.ms.com
Gesamtstruktur
Win.SE
Nordamerika
Redmond
Europa
Südpazifik
RADIUSServer
Gesamtstruktur
Win.Deploy
RADIUSClients
Abbildung 9.3: Konfiguration der Access Points als RADIUS-Clients
Die Access Points werden zwar mit einem primären und einem sekundären RADIUS-Server konfiguriert, benutzen aber normalerweise nur den primären RADIUS-Server, es sei denn, er ist nicht
erreichbar. Dann wechseln sie auf den sekundären RADIUS-Server und benutzen ausschließlich
diesen. Lässt sich der sekundäre RADIUS-Server nicht erreichen, wechseln die Access Points
wieder auf den primären RADIUS-Server und benutzen ausschließlich diesen. Zur besseren Verteilung der Authentifizierungsanforderungen von allen Access Points einer Domäne wird ungefähr die Hälfte der Access Points mit bestimmten primären und sekundären RADIUS-Servern
konfiguriert (der primäre ist zum Beispiel RAD1 und der sekundäre RAD2). Die andere Hälfte
der Access Points wird mit der umgekehrten Anordnung der primären und sekundären RADIUSServer konfiguriert (der primäre wäre dann zum Beispiel RAD2 und der sekundäre RAD1). Diese
manuelle Konfiguration der Access Points sorgt dafür, dass die RADIUS-Authentifizierungslast
mehr oder weniger gleichmäßig unter den beiden RADIUS-Servern der Domäne aufgeteilt wird
(sofern beide RADIUS-Server verfügbar sind).
RADIUS-Server und -Proxys mit Windows Server 2003
Die RADIUS-Infrastruktur des Microsoft-WLANs besteht aus Paaren von Domänenmitgliedsservern, auf denen jeweils Windows Server 2003 und der Internetauthentifizierungsdienst (IAS)
laufen. Die IAS-Server dienen als RADIUS-Server, RADIUS-Proxys oder beides. Die Computer
werden paarweise eingesetzt, damit der verbleibende Computer die gesamte Arbeit übernehmen
kann, falls einer der beiden Computer ausfällt.
Die RADIUS-Infrastruktur ist in Abbildung 9.4 zu sehen.
190
Kapitel 9
Gesamtstruktur
NT.Dev
Gesamtstruktur corpnet.ms.com
corpnet.ms.com
SQL Server
RADIUSServer
Nordamerika
RADIUSServer
Gesamtstruktur
Win.SE
Andere
RADIUSServer/
Proxys
RADIUSServer
RADIUSProxys
Gesamtstruktur
Win.Deploy
RADIUSServer
Abbildung 9.4: Die RADIUS-Infrastruktur für das Microsoft-WLAN
Die untergeordnete Domäne Nordamerika
Die Domäne Nordamerika enthält die meisten Access Points und Konten, die authentifiziert
werden müssen. Um die sich dadurch ergebende starke Belastung bewältigen zu können, werden
die IAS-Server als RADIUS-Proxys eingesetzt, die sich um den RADIUS-Datenverkehr kümmern.
Die RADIUS-Proxys verteilen den RADIUS-Datenverkehr auf die RADIUS-Server und ermöglichen eine Skalierung der Authentifizierungsinfrastruktur, bei der keine Neukonfigurierung aller
Access Points erforderlich ist.
Ein IAS-Serverpaar, das als RADIUS-Proxy dient, leitet Nachrichten in folgender Weise weiter:
b
Für Konten aus der Gesamtstruktur corpnet.ms.com leiten die IAS-Server Nachrichten von
den Access Points aus Nordamerika an die Nordamerika-RADIUS-Server weiter.
b
Für Konten aus den Gesamtstrukturen NT.Dev, Win.SE oder Win.Deploy leiten die IASServer Nachrichten von den Access Points aus Nordamerika an die RADIUS-Server der
entsprechenden Gesamtstruktur weiter.
Fallstudie: Das drahtlose Netzwerk von Microsoft
191
Dieses Routen wird durch die Konfiguration der folgenden Verbindungsanforderungsrichtlinien
in der folgenden Reihenfolge erreicht:
1. Authentifizierungsanforderungen, in denen das Attribut User-Name auf corpnet.ms.com
endet, werden an die Remote-RADIUS-Servergruppe NorthAmerica weitergeleitet (sie besteht
aus den beiden RADIUS-Servern in der Domäne Nordamerika).
2. Authentifizierungsanforderungen, in denen das Attribut User-Name auf NT.Dev.ms.com
endet, werden an die Remote-RADIUS-Servergruppe NT.Dev weitergeleitet (sie besteht aus
den beiden RADIUS-Servern in der Gesamtstruktur NT.Dev.ms.com).
3. Authentifizierungsanforderungen, in denen das Attribut User-Name auf Win.SE.ms.com
endet, werden an die Remote-RADIUS-Servergruppe Win.SE weitergeleitet (sie besteht aus
den beiden RADIUS-Servern in der Gesamtstruktur Win.SE.ms.com).
4. Authentifizierungsanforderungen, in denen das Attribut User-Name auf Win.Deploy.ms.com
endet, werden an die Remote-RADIUS-Servergruppe Win.Deploy weitergeleitet (sie besteht
aus den beiden RADIUS-Servern in der Gesamtstruktur Win.Deploy.ms.com).
5. Für Windows XP (vor SP1) werden die Computerkontennamen, die während der Computerauthentifizierung übermittelt werden, im Format Domäne/Computerkonto angegeben. Im
Gegensatz dazu haben die Benutzerkontennamen, die während der Benutzerauthentifizierung
übermittelt werden, das Format Benutzerkonto@Domäne.Gesamtstruktur.
Wegen des unterschiedlichen Formats der Computerkontennamen wurden für jede Domäne
zusätzliche Verbindungsanforderungsrichtlinien erstellt, die den Computerkontennamen
anpassen und den RADIUS-Datenverkehr an die entsprechende Remote-RADIUS-Servergruppe weiterleiten. So wurde zum Beispiel eine Verbindungsanforderungsrichtlinie für die
Computerkonten in der Domäne Nordamerika folgendermaßen konfiguriert: Authentifizierungsanforderungen, bei denen das User-Name-Attribut mit NorthAmerica/ beginnt, werden
an die Remote-RADIUS-Servergruppe NorthAmerica weitergeleitet. Und für die Computerkonten in der Domäne NT.Dev wurde zum Beispiel eine Verbindungsanforderungsrichtlinie
folgendermaßen konfiguriert: Authentifizierungsanforderungen, bei denen das User-NameAttribut mit NT.Dev/ beginnt, werden an die Remote-RADIUS-Servergruppe NT.Dev weitergeleitet.
Unter Windows XP (SP1 und höher), Windows Server 2003 und Windows 2000 werden
Computerkontennamen bei der Computerauthentifizierung im Format Computerkonto@
Domäne.Gesamtstruktur gesendet. Zusätzliche Verbindungsanforderungsrichtlinien für
Computerkonten sind nicht erforderlich.
In der Nordamerika-Domäne wird eine Schicht RADIUS-Proxys eingesetzt, damit die Authentifizierungsanforderungen für Access Points aus der gesamten Region Nordamerika (also nicht nur
vom Firmengelände in Redmond) gleichmäßig auf die IAS-Server in der Remote-RADIUS-Servergruppe NorthAmerica verteilt werden. Für die IAS-Server, die in der Domäne Nordamerika als
RADIUS-Server dienen, reicht eine einzelne Verbindungsanforderungsrichtlinie aus. Sie sorgt
dafür, dass alle Authentifizierungsanforderungen auf dem IAS-Server bearbeitet werden, in denen
das Attribut User-Name auf corpnet.ms.com endet.
WEITERE INFORMATIONEN Weitere Informationen zum Einsatz von Windows Server
2003-IAS als RADIUS-Proxy und zur Konfiguration von Verbindungsanforderungsrichtlinien
finden Sie in Kapitel 4, »RADIUS, IAS und Active Directory«.
192
Kapitel 9
Andere untergeordnete Domänen
Ein IAS-Serverpaar, das in den anderen untergeordneten Domänen der Gesamtstruktur corpnet.ms.com als RADIUS-Server/-Proxys eingesetzt wird, arbeitet folgendermaßen:
b
Für Konten aus der Gesamtstruktur corpnet.ms.com führt der IAS-Server eine Authentifizierung durch.
b
Für Konten aus den Gesamtstrukturen NT.Dev, Win.SE oder Win.Deploy werden die Nachrichten an die RADIUS-Server der entsprechenden Gesamtstruktur weitergeleitet.
Die Weiterleitung von Authentifizierungsanforderungen an RADIUS-Server in anderen Gesamtstrukturen wird durch die Konfiguration der folgenden Verbindungsanforderungsrichtlinien in
folgender Reihenfolge erreicht:
1. Authentifizierungsanforderungen, in denen das Attribut User-Name auf corpnet.ms.com
endet, werden auf diesem Server authentifiziert.
2. Authentifizierungsanforderungen, in denen das Attribut User-Name auf NT.Dev.ms.com
endet, werden an die Remote-RADIUS-Servergruppe NT.Dev weitergeleitet.
3. Authentifizierungsanforderungen, in denen das Attribut User-Name auf Win.SE.ms.com
endet, werden an die Remote-RADIUS-Servergruppe Win.SE weitergeleitet.
4. Authentifizierungsanforderungen, in denen das Attribut User-Name auf Win.Deploy.ms.com
endet, werden an die Remote-RADIUS-Servergruppe Win.Deploy weitergeleitet.
Zur Anpassung des abweichenden Formats der Computerkontennamen wurden für jede Domäne
zusätzliche Verbindungsanforderungsrichtlinien erstellt, die für eine Anpassung des Computerkontennamens sorgen und den RADIUS-Datenverkehr an die entsprechende Remote-RADIUSServergruppe weiterleiten.
Die Gesamtstrukturen NT.Dev, Win.SE und Win.Deploy
In den Gesamtstrukturen NT.Dev, Win.SE und Win.Deploy führt ein IAS-Serverpaar, das als
RADIUS-Server dient, folgende Arbeit durch:
b
Für Konten aus der Gesamtstruktur führt der IAS-Server eine Authentifizierung durch.
Diese Authentifizierung wird durch die Konfiguration der folgenden Verbindungsanforderungsrichtlinie erreicht:
b
Für Authentifizierungsanforderungen, in denen das Attribut User-Name mit dem Gesamtstrukturnamen endet, wird auf diesem Server eine Authentifizierung durchgeführt.
Drahtlos-RAS-Richtlinieneinstellungen
Für jeden IAS-Server, der als RADIUS-Server Authentifizierungen und Autorisierungen durchführt, wurde eine Drahtlos-RAS-Richtlinie mit folgenden Einstellungen konfiguriert:
b
Bedingungen: NAS-Porttyp=Drahtlos-IEEE 802.11.
b
Berechtigungen: RAS-Berechtigung erteilen.
b
Profil, Registerkarte Einwählbeschränkungen: Verbindung trennen bei einer Leerlaufzeit
von wurde auf 120 eingestellt. Diese Einstellung erzwingt eine erneute Authentifizierung für
eine drahtlose Verbindung, bei der es zwei Stunden lang keine Aktivität gab.
b
Profil, Registerkarte Authentifizierung: Das EAP (Extensible Authentication Protocol) und
der EAP-Typ Smartcard oder anderes Zertifikat wurden gewählt. Löschen Sie alle anderen
Kontrollkästchen.
Fallstudie: Das drahtlose Netzwerk von Microsoft
193
b
Profil, Registerkarte Verschlüsselung: Löschen Sie alle Kontrollkästchen mit Ausnahme des
Kästchens für die stärkste Verschlüsselung. Diese Einstellung führt dazu, dass alle drahtlosen
Verbindungen mit 128-Bit-Verschlüsselung arbeiten.
b
Profil, Registerkarte Erweitert: Das Attribut Ignore-User-Dialin-Properties wurde auf True
gesetzt.
Zur Vereinfachung der Bewertung von Authentifizierungen und Verbindungsbeschränkungen
und damit sichergestellt ist, dass sich drahtlose Verbindungen herstellen lassen, wurden die
Drahtlos-RAS-Richtlinien für alle IAS-Server, die als RADIUS-Server dienen, so konfiguriert,
dass die Einstellungen auf der Registerkarte Einwählen der Computer- und Benutzerkonten
ignoriert werden.
Zentrale Protokollierung auf einem SQL Server
Da es in Windows Server 2003-IAS möglich ist, Daten in SQL Server zu protokollieren, werden
alle Verbindungsinformationen zur Analyse auf einem zentralen SQL Server erfasst (siehe Abbildung 9.4).
Zusammenfassung
Das Microsoft-WLAN ist ein sicheres drahtloses Netzwerk, das eine Kombination von IEEE
802.11b, IEEE 802.1X, EAP-TLS-Authentifizierung mit Zertifikaten, RADIUS, sowie Zertifikaten
und Active Directory einsetzt. Auf den drahtlosen Clients läuft Windows XP und auf den Servern
der Zertifizierungs- und Authentifizierungsinfrastruktur läuft Windows Server 2003. Computerzertifikate werden mit automatischer Registrierung auf den drahtlosen Clients installiert. Benutzerzertifikate und Informationen zur Konfiguration der drahtlosen Clients sind auf einer internen
Website zugänglich, auf der es auch das entsprechende CAPICOM-Skript gibt. Die RADIUSInfrastruktur benutzt zur besseren Verteilung der Last und zum Routen des RADIUS-Datenverkehrs an die verschiedenen Active Directory-Gesamtstrukturen eine Kombination von RADIUSServern und Proxys.
194
Kapitel 9