Konfigurowanie rutera oraz dostępu VPN za pomocą konsoli RRAS

Transkrypt

1 Konfigurowanie rutera oraz dostępu VPN za pomocą konsoli RRAS 1 Typ zadania: Konfigurowanie rutera Zadanie 1: Opisz funkcje i działanie rutera, jakie typy ruterów moŝna wyróŝnić i jakie są typy interfejsów rutowania. Określ jakie protokoły rutowania występują i w jakie są ich cechy. Opisz jakie są moŝliwe zastosowania RRAS (Routing and Remote Access Service). Ustaw hosty Sopot i Gdansk tak aby kaŝdy z nich miał po 2 karty sieciowe (jako local!) i co jest z tym związane po dwie sieci. Ustawienia adresów IP powinny wyglądać jak na diagramie poniŝej: z DHCP Gdansk lub Gdansk Sopot Spróbuj z serwera Sopot połączyć się z adresem IP Czy połączenie udało się? Ustaw, aby host Sopot miał Dafault Gateway jako IP Czy teraz połączenie się powiodło? Zainstaluj na serwerze Gdansk serwer rutowania i skonfiguruj serwer jako ruter LAN. Czy w tym momencie połączenie się powiodło? Dodaj statyczną trasę na ruterze jako: Interface: Local Area Connection 2 Destination: Network mask: Rysunki wykorzystane z MOC kursu 2277

2 Gateway: Przetestuj połączenie z hosta Sopot. Funkcje i działanie rutera ruter jest urządzeniem z wieloma portami komunikacyjnymi umoŝliwiającym przesyłanie pakietów w zaleŝności docelowego adresu sieci, zgodnie z przechowywanymi tablicami rutingowymi Typy ruterów sprzętowe i programowe Typy interfejsów rutowania LAN, demand-dial Protokoły rutowania RIP OSPF Zaprojektowany dla małych sieci Wykorzystuje tablice rutingowe Łatwy do konfigurowania i zarządzania Zaprojektowany dla duŝych sieci Wykorzystuje bazę stanów połączeń Wymaga kompleksowej konfiguracji Dobrze operuje w duŝych sieciach Słabo skalowalny Zastosowania RRAS Instalowanie i konfigurowanie rutera konsola Configure your server wizard / opcja Remote Access/VPN Server / Custom configuration / LAN Routing Sprawdzenie dodania interfejsów ruterai poprawności ustawień konsola Routing and Remote Access / Network interfaces (kaŝdy powinien mieć status enabled oraz connected); właściwości serwera / zakładka General / zaznaczenie opcji Local Area

3 Connection (LAN) routing only Dodanie statycznego wpisu odnoga IP Routing / operacja Static Routes / kliknięcie na New Static Route Typ zadania: Filtrowanie pakietów rutera Zadanie 2: Opisz funkcje i działanie mechanizmu filtrowania pakietów. Opisz jakie są moŝliwe zastosowania RRAS (Routing and Remote Access Service). Ustaw na ruterze Gdansk filtrowanie tak aby nie były przepuszczane pakiety związane z ping ICPM type 8. Przetestuj z hosta Sopot czy polecenie ping działa oraz czy moŝliwy jest dostęp do zasobów poprzez ścieŝkę UNC - \\Gdansk. Działanie mechanizmu filtrowania pakietów

4 Ustawianie filtrowania konsola RRAS / operacja properties na nazwie połączenia / / zakładka General / Inbound Filters / operacja New / ustawienie parametrów: nazwa protokołu, port, sposób filtrowania Typ zadania: Koncepcja dostępu zdalnego Zadanie 3: Opisz: Jakie są podstawowe komponenty infrastruktury sieciowej w przypadku dostępu zdalnego. Jakie są wymagania konfiguracyjne w stosunku do serwera dostępowego (ang. Network Acces Server). Jakie moŝna wyróŝnić typy klientów. Czy jest uwierzytelnianie a czym autoryzacja Jakie moŝna wyróŝnić protokoły uwierzytelniania Jak działa połączenie VPN Jakie są komponenty połączenia VPN Protokoły szyfrowania połączeń VPN Podstawowe komponenty infrastruktury sieciowej w przypadku dostępu zdalnego

5 Wymagania konfiguracyjne w stosunku do serwera dostępowego metody uwierzytelniania oraz dostawcy, wymagania w stosunku do klientów (tzw. Polisy dostępu), sposób przypisywania adresów, ustawienia protokołu PPP (tzw. Profil dostępu), logowanie dostępu. Typy klientów VPN (Virtual Private Network), dial-up, bezprzewodowi Uwierzytelnianie a autoryzacja Protokoły uwierzytelniania: Password Authentication Protocol (PAP) - przesyła dane uwierzytelniania jako zwykły, niezaszyfrowany tekst, Shiva Password Authentication Protocol (SPAP) - jest protokołem uwierzytelniania przy uŝyciu zaszyfrowanego hasła, obsługiwanego przez serwery dostępu zdalnego Shiva, Challenge-Handshake Authentication Protocol (CHAP) - jest powszechną metodą

6 uwierzytelniania, polegającą na przesyłaniu w trakcie procesu uwierzytelniania reprezentacji hasła uŝytkownika, tworzonej za pomocą algorytmu mieszania MD5, Microsoft Challenge-Handshake Authentication Protocol (MS-CHAP) - stosuje mechanizm wezwania-odpowiedzi, aby zapobiec wysyłaniu hasła podczas uwierzytelniania. Do wygenerowania wezwania i odpowiedzi jest uŝywany algorytm mieszania MD4 oraz algorytm szyfrowania DES; MS-CHAP version 2 (MS-CHAP v2) - zapewnia wzajemne uwierzytelnianie klienta i serwera, generowane są silniejsze klucze wstępnego szyfrowania MPPE (ang. Microsoft Point-to-Point Encryption) niŝ w przypadku MS-CHAP; Extensible Authentication Protocol - jest rozszerzeniem protokołu PPP (ang. Point-to-Point Protocol), pozwalającego na stosowanie dowolnej metody uwierzytelniania w drodze wymiany poświadczeń i informacji o dowolnej długości. Występują dwa typy protokołu EAP: EAP - Message Digest 5 (EAP-MD5) - zbliŝony w działaniu do protokołu CHAP, Extensible Authentication Protocol - Transport Level Security (EAP-TLS) - umoŝliwia uwierzytelnianie na podstawie certyfikatu uŝytkownika czy kart inteligentnych. Działanie połączena VPN Komponenty połączenia VPN

7 Protokoły połączeń VPN: PPTP - umoŝliwia tworzenie wirtualnych sieci prywatnych opartych na sieci telefonicznej, szyfruje wszystkie dane i umoŝliwia połączenia róŝnych protokołów występujących wyłącznie w złoŝonych sieciach IP: IP, IPX czy AppleTalk.Wykorzystywanym protokołem szyfrowania jest MPPE (ang. Microsoft Point to Point Encryption). Protokół L2TP - UmoŜliwia transport pakietów i ramek protokołów: IP, Frame Relay, ATM wymagając jedynie tunelu zapewniającego połączenie typu punkt-punkt.. Nie zawiera własnego protokołu szyfrującego, dlatego korzysta z protokołu Spiec. Typ zadania: Konfigurowanie sieci VPN Zadanie 4: Na hoscie Gdansk utwórz i udostępnij katalog o nazwie dane. Konfigurowanie uŝytkownika VPN Na hoscie Gdansk utwórz uŝytkownika o nazwie VPNTwojeInicjały, haśle P@ssw0rd i przypisz mu uprawnienia dostępu do sieci poprzez VPN. Konfigurowanie serwera VPN

8 Na serwerze Gdansk ustaw serwis Routing and Remote Access jako działający równieŝ w trybie VPN. Jako sposób przyznawania adresów wskaŝ DHCP, lub ręcznie określ pewną pulę adresów jeśli na Gdansku DHCP nie jest zainstalowane. Ustaw, aby serwer posiadał 30 portów dla połączeń PPTP oraz L2TP. Konfigurowanie klienta VPN Na hoscie Sopot zmień adres IP na i wyczyść informacje odnośnie domyślnej bramy. Spróbuj połączyć się z Gdanskiem. Czy połączenie działa? Czy dostęp do udostępnionego folderu jest moŝliwy - \\Gdansk\dane? Utwórz nowe połączenie sieciowe jako VPN dla połączenia z Gdanskiem. Połącz się za pomocą tego połączenia uŝywając utworzonego konta. Czy teraz połączenie z Gdanskiem jest moŝliwe i dostęp do katalogu dane? Konfigurowanie uŝytkownika VPN właściwości konta / zakładka Dial-in / zaznaczenie Allow access w obszarze Remote Access Permission Konfigurowanie serwera VPN konsola Routing and Remote Access: Operacja Configure and Enable Routing and Remote Access na nazwie serwera / zanaczenie Reamote Access (Dial-up or VPN) / zaznaczenie VPN na stronie Remote Accesss / na stronie VPN Connection zaznacznie nazwy połączenia / na stronie IP Address Assignment określenie sposobu przyznawania adresów Wyszukiwanie w drzewie Ports i wyświetlenie właściwości / kliknięcie na nazwę typu portu / klikniecie na Configure i ustawienie ilości portów Konfigurowanie klienta VPN okno Network Connections / operacja New Connection wizard / na stronie New Connection Page wybranie Connect to the network at my workplace / kliknięcie na Virtual Private Connection / Na stronie Company Name podanie WSZ / na stronie Host name or IP address podanie Połączenie za pomocą dwukrotnego kliknięcia nazwę połączenia VPN.

9 Typ zadania: Konfigurowanie dostępu do sieci VPN Zadanie 5: Opisz na czym polega polisa dostępu (ang. Remote Access Policy) do serwera VPN, z jakich składa się elementów i jaki jest sposób przetwarzania. Na serwerze Gdansk utwórz nową grupę uŝytkowników o nazwie UzytkownicyVPN. Dodaj do niej uŝytkownika o nazwie VPNTwojeInicjały. Następnie na serwerze RRAS utwórz nową polisę o nazwie Uzytkownicy VPN i ustaw warunek jako dostęp dla grupy UzytkownicyVPN i protokół uwierzytelnienia MS-Chapv2. Zrestartuj serwer i ustaw da uŝytkownika VPNTwojeInicjały dostęp kontrolowany poprzez polisy. Przetestuj połączenie za pomocą VPN z hosta Sopot. Przesuń polisę UzytkownicyVPN niŝej w strukturze, rozłącz się i spróbuj połączyć się ponownie. Polisa dostępu do serwera VPN jest zbiorem warunków określających, które połączenia są autoryzowane, a które odrzucane. Składa się z: Składnik Opis Warunek Jeden lub kilka atrybutów porównywanych z połączeniem, np.: czas, grupa uŝytkowników, adres IP Pozwolenie zdalnego Określenie dla warunku czy jego spełnienie powoduje pozwolenie dostępu na dostęp czy zabronienie. Profil Ustawienia, które są implementowane dla połączenia po spełnieniu warunku, np.: pozwalanie na połączenie do 30 minut, typ łącza, multilink, sposób szyfrowania. Nie spełnienie warunków profilu równieŝ powoduje odrzucenie połączenia. Polisa zdalnego dostępu = Polisa (warunek + pozwolenie zdalnego dostępu) + Profil

10 Tworzenie i konfigurowanie polisy serwera VPN konsola Routing and Remote Access / odnoga Remote Access Policies / operacja New Remote Access Policy / na stronie Access Method zaznaczenie VPN / na stronie User and Group Access kliknięcie na przycisk add i dodanie odpowiedniej grupy / określenie protokołu szyfrowania Konfigurowanie uŝytkownika VPN właściwości konta / zakładka Dial-in / zaznaczenie Allow access w obszarze Remote Access Permission Typ zadania: Centralizacja uwierzytelniania za pomocą serwera IAS Zadanie 6: Opisz na czym jest i na czym polega uwierzytelnianie za pomocą serwera RADIUS. Określ czym w stosunku do serwera RADIUS jest serwer IAS. Na hoscie Gdansk zainstaluj serwer IAS i zarejestruj go w Active Directory. Dodaj jako nowego klienta serwera RADIUS host Gdansk a jako standard ustaw client-vendor, a sekretne hasło jako P@ssw0rd. Na serwerze RRAS ustaw dostawcę uwierzytelniania jako Radius Authentication, sekretne hasło jako P@ssw0rd. Spróbuj się połączyć z hosta Sopot poprzez VPN jako VPNTwojeInicjały a następnie jako Administrator. Które z połączeń się udało. Na serwerze IAS ustaw odpowiednią polisę (analogicznie jak dla wersji bez serwera IAS). Czy teraz połączenie jest moŝliwe z konta

11 uŝytkownika VPNTwojeInicjały. Serwer RADIUS (Remote Authentication Dial-in User Service) jest centralnym serwerem zarządzania dostępem do sieci VPN, dial-up oraz klientów bezprzewodowych. Znacząco ułatwia zarządzanie dostępem zdalnym w przypadku wykorzystywania kilku serwerów RRAS. IAS (Internet Authentication Service) jest Microsoft-ową implementacją serwera RADIUS. Instalowanie serwera IAS Control Panel / Add/Remove Programs / Windows Components / Networking Services / kliknięcie na Details i wybranie Internet Authentication Service Rejestrowanie serwera IAS konsola Internet Authentication Service / kliknięcie na Register Server in Active Directory Dodanie klienta RADIUS - konsola Internet Authentication Service / kliknięcie na New RADIUS client i podanie nazwy hosta / ustawienie standardu uwierzytelniania i sekretnego hasła Ustawienie klienta RADIUS konsola RRAS / właściwości serwera / zakładka Security / zmiana dostawcy uwierzytelniania na RADIUS / kliknięcie na add i podanie adresu IP / kliknięcie na change i ustawienie sekretnego hasła Tworzenie i konfigurowanie polisy serwera IAS konsola IAS / odnoga Remote Access Policies / operacja New Remote Access Policy / na stronie Access Method zaznaczenie VPN / na stronie User and Group Access kliknięcie na przycisk add i dodanie odpowiedniej grupy / określenie protokołu szyfrowania