Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Netzwerkzugriffsschutz 141
NAP-Administrationsserver
Der NAP-Administrationsserver erledigt die Kommunikation zwischen den SHVs und dem
NPS-Server. Der Administrationsserver empfängt über den NPS-Dienst das SSoH vom NAP-
Erzwingungsserver (Enforcement Server, ES), verteilt die SoHs im SSoH an die SHVs und
sammelt die SoHRs von den SHVs ein, die dann vom NPS-Dienst ausgewertet werden.
Integritätsregistrierungsstelle
Die Integritätsregistrierungsstelle (Health Registration Authority, HRA) empfängt SSoHRs
für NAP-Clients, wenn sie bewiesen haben, dass sie die Anforderungen erfüllen. Das SSoHR
wird benutzt, um NAP-Clients zu authentifizieren, wenn sie über IPsec die Verbindung zu
anderen NAP-Clients herstellen.
Host Credential Authorization-Protokoll
HCAP (Host Credential Authorization Protocol) wird bereitgestellt, um die Interoperabilität
mit der Network Access Control-Technologie von Cisco zu gewährleisten. NPS stellt für die
Cisco-Integration die Attribute Extended State und Policy Expiration in der Netzwerkrichtlinie
bereit.
Wartungsserver
Wartungsserver (engl. remediation server) werden verwendet, um Clients so zu aktualisieren,
dass sie die Anforderungen erfüllen können, falls sie nicht beweisen konnten, dass ihr
Integritätsstatus die Richtlinien der Organisation erfüllt. Wartungsserver können die neuesten
Antimalwaresignaturen, Updates und Service Packs für Windows, Konfigurationsskripts
und andere Ressourcen hosten, die ein Client nutzen kann, um die Anforderungen zu erfüllen.
Erzwingungskomponenten
Ein NAP-ES steuert den Netzwerkzugriff des NAP-Clients, leitet das SoH des Clients zur
Auswertung an den NPS weiter und stellt dann abhängig von der Antwort des NPS-Servers
entweder eingeschränkten oder vollständigen Zugriff zur Verfügung. Windows Server 2008
hat vier integrierte Erzwingungsserver: IPsec, VPN, Terminalservergateway und DHCP.
Erzwingungsmethoden
Es stehen folgende Möglichkeiten zur Wahl, um Netzwerkeinschränkungen für inkompatible
Hosts zu erzwingen:
IPsec Dies ist die bevorzugte Methode, weil jeder verwaltete Host sich selbst vor Hosts
schützt, die nicht die Integritätsanforderungen Ihrer Organisation erfüllen. Unabhängig
davon, wie und wo der potenziell gefährliche Computer verbunden ist, ignorieren alle
verwalteten Computer seine Kommunikation, bis er bewiesen hat, dass er die Richtlinien
erfüllt.
IEEE 802.1x Diese Technik steuert den Zugriff mithilfe von Einschränkungen, die
von Netzwerk-Switches und Drahtloszugriffspunkten erzwungen werden. Bis der Host
bewiesen hat, dass sein Integritätsstatus die Anforderungen erfüllt, kann er mit der ID
eines virtuellen LANs oder einem Satz von IP-Paketfiltern eingeschränkt werden.
VPN VPN ist eine gute Methode, um Richtlinien auf Remoteclients zu erzwingen. Wenn
der Benutzer seine Identität bewiesen hat, wird sein Zugriff so lange eingeschränkt, bis