V poslední části série jsme se podívali na to, jak můžete spravovat a používat počítače se systémem Windows odkudkoli, pokud jste ve stejné síti. Ale co když nejste?
Nezapomeňte se podívat na předchozí články v této sérii Geek School pro Windows 7:
- Představujeme How-To Geek School
- Upgrady a migrace
- Konfigurace zařízení
- Správa disků
- Správa aplikací
- Správa aplikace Internet Explorer
- Základy adresování IP
- Síťování
- Bezdrátové sítě
- Brána firewall systému Windows
- Vzdálená správa
A zůstaňte naladěni na zbytek série celý tento týden.
Ochrana přístupu k síti
Network Access Protection je pokus společnosti Microsoft řídit přístup k síťovým prostředkům na základě stavu klienta, který se k nim pokouší připojit. Například v situaci, kdy jste uživatelem notebooku, může být mnoho měsíců, kdy jste na cestách a nepřipojujete notebook k podnikové síti. Během této doby neexistuje žádná záruka, že váš notebook nebude infikován virem nebo malwarem nebo že dokonce obdržíte aktualizace antivirových definic.
V této situaci, když se vrátíte zpět do kanceláře a připojíte zařízení k síti, NAP automaticky určí stav počítačů podle zásad, které jste nastavili na jednom ze svých serverů NAP. Pokud zařízení, které se připojilo k síti, selže při kontrole stavu, automaticky se přesune do super omezené části vaší sítě zvané nápravná zóna. Pokud se nacházíte v nápravné zóně, nápravné servery se automaticky pokusí vyřešit problém s vaším zařízením. Některé příklady mohou být:
- Pokud je váš firewall zakázán a vaše zásady vyžadují jeho povolení, opravné servery by váš firewall povolily za vás.
- Pokud vaše zásady ochrany zdraví uvádějí, že potřebujete nejnovější aktualizace systému Windows a nemáte, můžete mít ve své nápravné zóně server WSUS, který nainstaluje nejnovější aktualizace na vašeho klienta.
Vaše zařízení bude přesunuto zpět do podnikové sítě, pouze pokud to vaše servery NAP považují za zdravé. Existují čtyři různé způsoby, jak můžete vynutit NAP, z nichž každý má své vlastní výhody:
- VPN - Použití metody prosazování VPN je užitečné ve společnosti, kde máte pracovníky na dálku pracující z domova pomocí vlastních počítačů. Nikdy si nemůžete být jisti, jaký malware může někdo nainstalovat do počítače, nad kterým nemáte žádnou kontrolu. Když použijete tuto metodu, bude při každém připojení VPN zkontrolováno zdraví klienta.
- DHCP - Když použijete metodu vynucení DHCP, nebude klientovi ze serveru DHCP dána platná síťová adresa, dokud nebude považována vaší infrastrukturou NAP za zdravou.
- IPsec - IPsec je metoda šifrování síťového provozu pomocí certifikátů. I když to není příliš běžné, můžete k vynucení NAP použít i IPsec.
- 802.1x - 802.1x se také někdy nazývá ověřování na základě portu a je to metoda ověřování klientů na úrovni přepínače. Používání standardu 802.1x k prosazování zásad NAP je v dnešním světě běžnou praxí.
Telefonické připojení
Z nějakého důvodu v dnešní době Microsoft stále chce, abyste věděli o těchto primitivních telefonických připojeních. Telefonické připojení používá k doručování informací z jednoho počítače do druhého analogovou telefonní síť, známou také jako POTS (Plain Old Telephone Service). Dělají to pomocí modemu, což je kombinace slov modulovat a demodulovat. Modem se připojí k vašemu počítači, obvykle pomocí kabelu RJ11, a moduluje digitální informační toky z vašeho počítače do analogového signálu, který lze přenést přes telefonní linky. Když signál dosáhne svého cíle, je demodulován jiným modemem a přeměněn zpět na digitální signál, kterému počítač rozumí. Chcete-li vytvořit telefonické připojení, klepněte pravým tlačítkem na ikonu stavu sítě a otevřete Centrum sítí a sdílení.
Poté klikněte na hypertextový odkaz Nastavit nové připojení nebo síť.
Nyní zvolte Nastavit telefonické připojení a klikněte na další.
Odtud můžete vyplnit všechny požadované informace.
Poznámka: Pokud dostanete otázku, která vyžaduje, abyste při zkoušce nastavili telefonické připojení, uvedou příslušné podrobnosti.
Virtuální privátní sítě
Virtuální privátní sítě jsou soukromé tunely, které můžete vytvořit prostřednictvím veřejné sítě, například internetu, abyste se mohli bezpečně připojit k jiné síti.
Můžete například navázat připojení VPN z počítače v domácí síti do podnikové sítě. Takto by to vypadalo, jako by byl počítač ve vaší domácí síti skutečně součástí vaší podnikové sítě. Ve skutečnosti se můžete dokonce připojit k síťovým sdíleným položkám, jako kdybyste si vzali počítač a fyzicky ho zapojili do pracovní sítě pomocí kabelu Ethernet. Jediným rozdílem je samozřejmě rychlost: místo toho, abyste získali rychlosti Gigabit Ethernet, které byste měli, kdybyste byli fyzicky v kanceláři, budete omezeni rychlostí vašeho širokopásmového připojení.
Pravděpodobně vás zajímá, jak bezpečné jsou tyto „soukromé tunely“, protože „tunely“ přes internet. Vidí vaše data každý? Ne, nemohou, a to proto, že šifrujeme data odeslaná prostřednictvím připojení VPN, proto název virtuální „soukromá“ síť. Protokol používaný k zapouzdření a šifrování dat odeslaných po síti je ponechán na vás a Windows 7 podporuje následující:
Poznámka: Bohužel tyto definice budete muset pro zkoušku znát nazpaměť.
-
Protokol tunelování z bodu do bodu (PPTP)
- Protokol tunelování mezi dvěma body umožňuje zapouzdřit síťový provoz do záhlaví IP a odeslat jej přes síť IP, jako je internet.
- Zapouzdření : PPP rámce jsou zapouzdřeny v IP datagramu pomocí upravené verze GRE.
- Šifrování : PPP rámce jsou šifrovány pomocí Microsoft Point-to-Point Encryption (MPPE). Šifrovací klíče se generují během ověřování, kde se používají protokoly Microsoft Challenge Handshake Authentication Protocol verze 2 (MS-CHAP v2) nebo protokoly Extensible Authentication Protocol-Transport Layer Security (EAP-TLS).
-
Protokol tunelového propojení vrstvy 2 (L2TP)
- L2TP je zabezpečený tunelovací protokol používaný k přenosu rámců PPP pomocí internetového protokolu, je částečně založen na PPTP. Na rozdíl od PPTP nepoužívá implementace L2TP společností Microsoft k šifrování rámců PPP MPPE. Místo toho L2TP používá v šifrovacích službách protokol IPsec v transportním režimu. Kombinace L2TP a IPsec je známá jako L2TP / IPsec.
- Zapouzdření : PPP rámce jsou nejprve zabaleny do záhlaví L2TP a poté do záhlaví UDP. Výsledek je poté zapouzdřen pomocí protokolu IPSec.
- Šifrování : Zprávy L2TP jsou šifrovány šifrováním AES nebo 3DES pomocí klíčů generovaných z procesu vyjednávání IKE.
-
Secure Socket Tunneling Protocol (SSTP)
- SSTP je tunelovací protokol, který používá HTTPS. Vzhledem k tomu, že port TCP 443 je otevřený na většině podnikových bran firewall, je to skvělá volba pro země, které tradiční připojení VPN nepovolují. Je také velmi bezpečný, protože k šifrování používá certifikáty SSL.
- Zapouzdření : PPP rámce jsou zapouzdřeny v IP datagramech.
- Šifrování : Zprávy SSTP jsou šifrovány pomocí SSL.
-
Internetová výměna klíčů (IKEv2)
- IKEv2 je tunelovací protokol, který využívá protokol tunelového režimu IPsec přes port UDP 500.
- Zapouzdření : IKEv2 zapouzdřuje datagramy pomocí záhlaví IPSec ESP nebo AH.
- Šifrování : Zprávy jsou šifrovány šifrováním AES nebo 3DES pomocí klíčů generovaných z procesu vyjednávání IKEv2.
Požadavky na server
Poznámka: Samozřejmě můžete mít jiné operační systémy nastavené jako servery VPN. Toto jsou však požadavky na spuštění Windows VPN serveru.
Abyste lidem umožnili vytvořit připojení VPN k vaší síti, musíte mít server se systémem Windows Server a nainstalované následující role:
- Směrování a vzdálený přístup (RRAS)
- Server zásad sítě (NPS)
Budete také muset buď nastavit DHCP, nebo přidělit statický fond IP, který mohou používat stroje připojující se přes VPN.
Vytváření připojení VPN
Chcete-li se připojit k serveru VPN, klikněte pravým tlačítkem na ikonu stavu sítě a otevřete Centrum sítí a sdílení.
Poté klikněte na hypertextový odkaz Nastavit nové připojení nebo síť.
Nyní zvolte připojení k pracovišti a klikněte na další.
Poté se rozhodněte použít stávající širokopásmové připojení.
P
Nyní budete muset zadat IP nebo DNS název serveru VPN v síti, ke které se chcete připojit. Poté klikněte na další.
Poté zadejte své uživatelské jméno a heslo a klikněte na připojit.
Jakmile se připojíte, kliknutím na ikonu stavu sítě uvidíte, zda jste připojeni k síti VPN.
Domácí práce
- Číst následující článek na TechNet, který vás provede plánováním zabezpečení pro VPN.
Poznámka: Dnešní domácí úkoly jsou pro zkoušku 70–680 trochu mimo rozsah, ale po připojení k síti VPN ze systému Windows 7 vám důkladně porozumí, co se děje v pozadí.
Máte-li jakékoli dotazy, můžete mi napsat tweet @taybgibb , nebo jen zanechat komentář.
