Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

208 Kapitel 7: Gruppenrichtlinien
linie auf den Computer angewendet wird, werden alle definierten Profile auf dem Computer
gespeichert. Falls sich die Netzwerkbedingungen ändern, wird das entsprechende Profil
aktiv. So kann der Computer während der Gruppenrichtlinienverarbeitung Firewallanweisungen
erhalten und braucht keinen Kontakt mit einem Domänencontroller herzustellen,
während er von einem Netzwerk ins andere verlegt wird. Wenn sich der Netzwerkzustand
ändert, wird ermittelt, ob es sich um ein Domänen-, privates oder öffentliches Netzwerk
handelt, und das passende Profil wird aktiviert.
Hinweis Der Gruppenrichtlinien-Editor in Windows Vista und Windows Server 2008 enthält weiterhin im
Abschnitt Administrative Vorlagen der Gruppenrichtlinien den Knoten Windows-Firewall. Diese »alten«
Richtlinien werden auf Windows XP und Windows Server 2003 angewendet. Falls Sie diese alten Richtlinien
auf Windows Vista- oder Windows Server 2008-Systeme anwenden, sind die Ergebnisse nicht vorhersagbar,
weil es keine 1:1-Zuordnung zwischen alten und neuen Windows-Firewallfeatures gibt.
IPsec-Konfiguration
Im Abschnitt Verbindungssicherheitsregeln des Richtlinienknotens Windows-Firewall mit
erweiterter Sicherheit können Sie IPsec-Richtlinien definieren. Im Unterschied zur alten
Methode beim Definieren dieser Richtlinien stellt die neue Benutzeroberfläche einen intuitiven
Assistenten zur Verfügung, der Sie durch die Entscheidungen leitet, die Sie treffen
müssen, um eine IPsec-Beziehung zwischen Computern zu definieren. Wenn Sie eine IPsec-
Beziehung zwischen Computer A und Computer B definieren, sollten beide Computerkonten
in Active Directory vorhanden sein, damit das GPO verarbeitet werden kann, das die IPsec-
Anweisungen ausliefert; schließlich verwenden wir ja Gruppenrichtlinien, um diese Richtlinien
zu konfigurieren und auszuliefern. Wie Windows-Firewallregeln werden IPsec-Regeln
auf Basis der drei Profile angewendet. Sie können festlegen, dass eine IPsec-Regel nur dann
wirksam wird, wenn der Computer mit einem bestimmten Netzwerktyp verbunden ist.
Richtlinien für verkabelte und Drahtlosnetzwerke
Windows Vista und Windows Server 2008 bringen Verbesserungen und neue Fähigkeiten
mit, die Ihnen die Verwaltung des Schutzes von Drahtlos- und Kabelnetzwerken über Gruppenrichtlinien
erleichtern. Im Gruppenrichtlinien-Editor finden Sie einen neuen Richtlinienknoten
unter Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Richtlinien
für verkabelte Netzwerke (IEEE 802.3) und einen aktualisierten Satz von Richtlinien
für Drahtlosnetzwerke unter Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Drahtlosnetzwerkrichtlinien
(IEEE 802.11).
Richtlinien für verkabelte Netzwerke
Mit Richtlinien für verkabelte Netzwerke können Sie 802.1x-Authentifizierung für Ihre
Computer erzwingen, die über Ethernet-Netzwerke kommunizieren. Sie können die Verwendung
von 802.1x erzwingen und festlegen, welche Netzwerkauthentifizierungsmethode
eingesetzt werden muss (Abbildung 7.14).
Falls Sie sicherstellen wollen, dass ganze Gruppen von Computern im Netzwerk über 802.1x
kommunizieren, müssen Sie wie bei der IPsec-Richtlinie sicherstellen, dass die Gruppenrichtlinien,
in denen diese Einstellungen enthalten sind, von allen Computern verarbeitet
werden, die an dieser Authentifizierungsrichtlinie beteiligt sind.