Kada korisnici pokušaju da se konektuju u vašu mrežu kroz Network Access servere koji se takođe nazivaju i RADIUS klijenti - kao što su Wireless Access Points, 802.1x autentifikacioni switc-evi, Dial-up serveri i VPN serveri, NPS autentifikuje i autorizuje zahteve za konekcijama pre dozvoljavanje ili zabranjivanja pristupa.
Iz razloga što autentifikacija predstavlja proces provere identiteta korisnika ili kompjutera koji pokušava da se konektuje na mrežu, NPS mora da primi dokaz o identitetu od korisnika ili kompjutera u formi Credentials (podaci o identitetu).
Svaki autentifikacioni metod poseduje određene prednosti i mane koje se odnose na sigurnost, iskorišćenost, obim podrške. Ipak, password-based autentifikacioni metodi ne nude jaku sigurnost i Microsoft ne preporučuje njihovo korišćenje. Preporučuje se korišćenje Certificate-based autentifikacionog metoda za sve metode mrežnog pristupa koji podržavaju korišćenje digitalnih sertifikata. Ovo se posebno odnosi na wireless konekcije, za koje Microsoft preporučuje korišćenje PEAP-MS-CHAPv2 ili PEAP-TLS.
Autentifikacioni metodi: Autentifikacija udaljenih klijenata veoma je važna za sigurnost. Autentifikacioni metodi tipično koriste autentifikacioni protokol koji pregovara u toku procesa uspostavljanja konekcije. Windows Server 2003 familija podržava sledeće autentifikacione metode:
Autentifikacioni metod |
Opis |
Challenge Handshake Authentication Protocol (CHAP) |
|
Password Autentication Protocol (PAP) |
|
Shiva Password Authentication Protocol (SPAP) |
|
Microsoft Challenge Handshake Authentication Protocol (MS-CHAP) |
|
Microsoft Challenge Handshake Authentication Protocol Version 2 (MS-CHAP v2) |
|
Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) |
|
Protected Extensible Authentication Protocol (PEAP) |
|
MD-5 Challenge |
|
Tabela 30.01
EAP autentifikacija: Extensible Authentication Protocol EAP nudi okvir koji dozvoljava prilagođavanje autentifikacije na Remote Access serverima. Da bi se utvrdio specifični autentifikacioni metod pregovori se odrađuju između Remote Access klijenta i Remote Access servera. Oba, i Remote Access klijent i onaj ko treba da autentifikuje klijenta, moraju da imaju instaliran isti EAP autentifikacioni modul.
Nezavisni proizvođači mogu da koriste EAP API (Application Programing Interface) da bi kreirali nove EAP tipove koji uključuju tehnologije kao što su Token Cards ili Biometrics.
Sertifikati su digitalni dokumenti koje Certification Authorities (CAs) izdaje, kao što je Active Directory Certificate Services (AD CS) na Verisign javnom CA. Možemo da koristimo sertifikate u mnoge svrhe, kao što je potpisivanje koda (Code signing) i zaštita E-mail komunikacije. Ipak, sa NPS-om, administratori koriste sertifikate za Network Access autentifikaciju iz razloga što sertifikati nude sigurnost za autentifikovane korisnike i kompjutere, i eliminišu potrebu za manje sigurnim, password-based autentifikacionim metodima.
Tipovi sertifikata:
Sertifikati mogu da se dobiju od javnog CA provajdera ili možemo da hostujemo naš Active Directory Certificate servis.
Da bi odredili Certificate-based autentifikaciju u mrežnoj polisi (Network Policy), potrebno je konfigurišemo autentifikacione metode na Constraints kartici.
Sledeća tabela prikazuje sertifikate koji su potrebni da bi uspešno izgradili svaki izlistani Certificate-based autentifikacioni metod:
Sertifikat |
Zahtevan za EAP-TLS i PEAP-TLS? |
Zahtevan za PEAP-MS-CHAPv2? |
CA certificate u Trusted Root Certification Authorities certificate store-u za lokalni kompjuter ili trenutnog korisnika |
da |
da |
Client Computer Certificate u certificate Store-u klijenta |
da |
ne |
Server Certificate u Certificate Store-u na NPS serveru |
da |
da |
User Certificate na smart kartici |
ne |
ne |
Tabela 30.02
Svi sertifikati koje koristimo za autentifikaciju prilikom pokušaja mrežnog pristupa sa EAP-TLS i PEAP mora da ispunjavaju zahteve za X-509 sertifikate i da rade za konekciju koja koristi Secure Socket Layer-Transport Level Security (SSL-TLS). Nakon što smo ispunili ove minimalne zahteve, oba i klijentski i serverski sertifikati imaju dodatne zahteve.
Dodatna literatura:
|