- •Для кого предназначен этот документ
- •Определение
- •Трудности
- •Функциональные преимущества
- •Выбор оптимального решения для обеспечения безопасности беспроводной сети
- •Отказ от развертывания беспроводной сети
- •Использование стандарта wpa с протоколом eap-tls
- •Использование технологии vpn
- •Использование стандарта wpa с протоколом peap-ms-chap v2
- •Использование стандарта wpa с протоколом peap-ms-chap v2 и службами сертификации
- •Использование протокола iPsec
- •Использование протокола wep
- •Разработка защищенного беспроводного сетевого решения
- •Алгоритм Microsoft для выбора подхода к защите беспроводной сети
- •Сертификаты
- •Создание заявления об использовании сертификатов
- •Иерархия центров сертификации
- •Проверка подлинности в Интернете
- •Имеющиеся radius-серверы
- •Перемещение при сбое radius-сервера и балансировка нагрузки
- •Централизованные или распределенные серверы службы проверки подлинности в Интернете
- •Оценка нагрузки на серверы и требований к аппаратным средствам
- •Проверка подлинности по стандарту wpa 802.11
- •Требования к клиентским системам
- •Чтобы установить службы iis, выполните следующие действия.
- •Подготовка службы Active Directory к использованию инфраструктуры открытого ключа
- •Предоставьте группе Enterprise pki Admins разрешения на создание и удаление групп в подразделении служб сертификации и его дочерних контейнерах.
- •Предоставление разрешений на восстановление группе Enterprise pki Admins
- •Чтобы предоставить разрешения на восстановление файлов и каталогов группе Enterprise pki Admins, выполните следующие действия.
- •Конфигурирование сервера корневого центра сертификации
- •Файл caPolicy.Inf
- •Чтобы создать файл caPolicy.Inf, выполните следующие действия.
- •Чтобы опубликовать сертификат и список отзыва сертификатов корневого центра сертификации в службе Active Directory, выполните следующие действия.
- •Публикация сертификата и списка отзыва сертификатов корневого центра сертификации на веб-сервере
- •Чтобы опубликовать сертификат и список отзыва сертификатов корневого центра сертификации на веб-сервере, выполните следующие действия.
- •Установка сертификата в выдающем центре сертификации
- •Чтобы автоматизировать публикацию списков отзыва сертификатов, выполните следующие действия.
- •Создание серверов службы проверки подлинности в Интернете
- •Настройка параметров защиты сервера
- •Установка и конфигурирование службы проверки подлинности в Интернете
- •Создание групп Active Directory, необходимых для доступа к беспроводной сети
- •Добавление пользователей и компьютеров в группы автоматической подачи заявок на сертификаты
- •Конфигурирование инфраструктуры доступа к беспроводной сети
- •Распространение конфигурации на несколько серверов службы проверки подлинности в Интернете
- •Развертывание сертификатов проверки подлинности в беспроводной сети
- •Чтобы включить автоматическую подачу заявок на сертификаты для всех пользователей и компьютеров в домене, выполните следующие действия.
- •Добавление компьютеров в группы безопасности для групповой политики беспроводной сети
- •Требования к клиентским системам wpa2
- •Аннотация
Создание серверов службы проверки подлинности в Интернете
Рассматриваемое решение включает два центральных сервера службы проверки подлинности в Интернете, сконфигурированных как RADIUS-серверы для управления доступом к беспроводной сети. С учетом этого, прежде чем двигаться дальше, необходимо выполнить следующие задачи.
Выделить и настроить серверное оборудование.
Установить серверную ОС и настроить ее в соответствии с принятыми в организации процедурами.
Убедиться в наличии и нормальной работе службы Active Directory.
Проверить, заданы ли в организации процедуры укрепления защиты серверов, и установлены ли дополнительные приложения, требуемые утвержденными политиками.
Установка сценариев конфигурации
К данному решению прилагаются многочисленные вспомогательные сценарии, упрощающие его реализацию. Прежде чем продолжить, эти сценарии нужно установить на каждый сервер. Удалять их не следует даже после выполнения всех действий, описанных в данном руководстве.
Чтобы установить конфигурационные сценарии, выполните следующие действия.
Создайте папку C:\MSSScripts.
Скопируйте сценарии в созданную папку.
Дополнительные требования к программному обеспечению сервер
Кроме серверной операционной системы и всех приложений, использовать которые требуется в соответствии с утвержденной политикой создания серверов, на систему нужно установить исполняемый файл CAPICOM 2.1 и вспомогательные DLL-библиотеки для обеспечения поддержки сценариев, прилагаемых к данному руководству.
Сведения о библиотеке CAPICOM и инструкции по ее загрузке можно найти по адресу www.microsoft.com/downloads/details.aspx?FamilyID=860ee43a-a843-462f-abb5-ff88ea5896f6&DisplayLang=en (эта ссылка может указывать на содержимое полностью или частично на английском языке).
Настройка групп администрирования службы проверки подлинности в Интернете
Следующая команда создает группы безопасности IAS Admins и IAS Security Auditors:
Копировать код
Cscript //job:CreateIASGroups C:\MSSScripts\IAS_Tools.wsf
В средах с несколькими доменами эти группы следует создать в том же домене, в котором будут находиться серверы службы проверки подлинности в Интернете.
После создания необходимых групп их нужно настроить так, чтобы он могли выполнять задачи конфигурирования службы проверки подлинности в Интернете. Это делается следующим образом.
Добавьте глобальную группу домена IAS Admins в локальную группу администраторов на каждом сервере службы проверки подлинности в Интернете.
Если серверы службы проверки подлинности в Интернете установлены на контроллерах домена, группу IAS Admins нужно добавить в группу администраторов домена.
Группы IAS Admins и IAS Security Auditors нужно заполнить соответствующими учетными записями пользователей.
Настройка параметров защиты сервера
Как уже было сказано, в данном руководстве предполагается, что в большинстве компаний среднего размера уже утверждены и реализованы процедуры и политики укрепления защиты серверов. Таким образом, подробные инструкции по защите серверов, входящих в данное решение, здесь не приводятся. Если процедуры и политики укрепления защиты серверов не реализованы или необходима дополнительная информация о защите серверов службы проверки подлинности в Интернете, обратитесь к документу «Руководство по обеспечению безопасности Windows 2003», который находится по адресу http://go.microsoft.com/fwlink/?LinkId=14846 (эта ссылка может указывать на содержимое полностью или частично на английском языке).