网路存取及安全性管理.pptVIP

網路存取的安全性管理 羅英嘉 2007年5月 企業網路存取方式 企業網路環境為了支援各種不同類型的用戶端，故大多需支援多種網路存取方式 區域網路存取 (LAN Access) 遠端存取 (Remote Access) 無線存取 (Wireless Access) 不同的網路存取方式面對不同的風險威脅與安全管理需求 企業區域網路存取安全性管理 身份驗證(Authentication) 密碼驗證協定 LANMAN、NTLM、NTLMv2、Kerberos 雙因子驗證：智慧卡 傳輸私密性、完整性 (Confidentiality、Integrity) IPSec 可用性 (Availability) 提供容錯能力、叢集技術、效能調整 存取控制 (Access Control) 設定判別存取控制清單 (DACL) 區域網路安全性管理架構 遠端存取服務　 使用者經由公眾網路連接存取企業內部資源 虛擬私人網路(VPN) 撥號(Dial-Up) 遠端存取的用戶端來源大多來自公用網路，所以風險性遠較傳統的區域網存取為高 遠端存取環境需要更嚴謹的存取控制 遠端存取常見的威脅與因應 Windows遠端存取安全性管理機制 遠端存取身份驗證方法比較 Point to Point Tunneling Protocol 由 3Com 、微軟、Ascend等廠商所發展的第二層通道協定 利用GRE協定將IP、IPX或NetBEUI第三層通訊協定封裝在IP封包中，並使用TCP方式來交換加密通道的維護訊息 使用MPPE加密協定 L2TP/IPSec IETF將 PPTP 和 Cisco 所發展的 Layer 2 Forwarding (L2F)合併的一種通道協定，提供 multi-point tunneling 的功能 PPTP與L2TP均為第二層的穿隧技術 L2TP支援非Internet Based的VPN (eg. Frame Relay、ATM)。 使用UDP 1701封裝L2TP封包。 經常採用IPSec執行加密服務，安全性較高。 L2TP/IPSec vs. PPTP 加密方法 RRAS使用者需採用EAP、MS-CHAP、MS-CHAPv2 驗證協定後，接下來的資料傳送才會被加密 加密方式： 撥號與PPTP MPPE RC 40、56、128位元 L2TP IPSec 56 位元DES與3DES RRAS透過遠端存取原則(RAP)加以設定 遠端存取的封包過濾 控制遠端使用者允許存取的服務流量 利用網路介面為單位或遠端存取原則執行封包過濾功能 可針對輸入或輸出流量二種方向進行過濾 可採用預設丟棄的正面表列或預設接收的負面表列 RADIUS 通訊協定 一種遠端存取的集中驗證(Central Authentication)及記錄帳戶資訊(Accounting)的協定。 工業界標準的AAA協定。 使用者密碼集中儲存管理，所以讓網路存取的擴充更容易且安全性高。 使用UDP 連接埠 1812 處理 RADIUS 驗證訊息， UDP 連接埠 1813 用於 RADIUS 帳戶處理訊息。 當企業提供多種網路存取機器與類型時，為了集中驗證及記錄以及方便管理帳戶資料庫，可以採用RADIUS協定 利用微軟的網際網驗證服務可以架設RADIUS伺服器 RADIUS 協定 使用Windows 網際網路驗證服務 安裝IAS服務 註冊IAS伺服器 設定RADIUS用戶端 設定RADIUS用戶端使用RADIUS驗證方法 啟用Accounting功能 測試 安裝與註冊網際網路驗證服務 新增與設定RADIUS用戶端 設定RADIUS用戶端採用RADIUS驗證方法 啟用IAS服務的Accounting功能 VPN網路存取隔離 (Quarantine) 目的： 確保遠端用戶端在符合存取政策的情況下才能存取內部資源 避免遠端存取用戶端的安全性問題危害到企業的安全性問題 VPN用戶端隔離功能，讓VPN用戶端連接至VPN 伺服器成功後，先被歸屬到「隔離VPN用戶端」等到用戶端通過安全原則檢查後 (例如是否安裝最新的Service Pack)，才會被改歸屬為「VPN用戶端」允許存取網硌資源與服務 VPN用戶端隔離功能可以幫助您檢查VPN用戶端 是否安裝SP或修補檔 是否安裝並啟用防毒程式 個人防火牆是否安裝並啟用 啟用並設定伺服器隔離功能 安裝「遠端存取隔離服務」和「連線管理員系統管理組件」 設定網路存取隔離政策 建立連線管理設定檔 安裝隔離功能必要的軟體原件 設定網路存取隔離政策 啟動『RRAS』主控台 選取 RAP 內容內的『編輯設定檔』，再選取『進階』標籤。 新增 MS-Quarantine-Session-Timeout：90 MS-Quarantine-IPFilter Inp