I den sidste del af serien kiggede vi på, hvordan du kan administrere og bruge dine Windows-computere hvor som helst, så længe du er på det samme netværk. Men hvad hvis du ikke er det?
Sørg for at tjekke de tidligere artikler i denne Geek School-serie på Windows 7:
- Introduktion til How-To Geek School
- Opgraderinger og migrationer
- Konfiguration af enheder
- Håndtering af diske
- Administration af applikationer
- Administration af Internet Explorer
- Grundlæggende IP-adressering
- Netværk
- Trådløst netværk
- Windows Firewall
- Fjernadministration
Og hold øje med resten af serien hele denne uge.
Netværksadgangsbeskyttelse
Netværksadgangsbeskyttelse er Microsofts forsøg på at kontrollere adgangen til netværksressourcer baseret på klientens helbred, der prøver at oprette forbindelse til dem. For eksempel i den situation, hvor du er en bærbar bruger, kan der være mange måneder, hvor du er på farten og ikke forbinder din bærbare computer til dit virksomheds netværk. I løbet af denne tid er der ingen garanti for, at din bærbare computer ikke bliver inficeret med en virus eller malware, eller at du endda modtager anti-virus definition opdateringer.
I denne situation, når du kommer tilbage til kontoret og forbinder maskinen til netværket, vil NAP automatisk bestemme maskinens helbred i forhold til en politik, du har oprettet på en af dine NAP-servere. Hvis den enhed, der er tilsluttet til netværket, mislykkes sundhedsinspektionen, flyttes den automatisk til et superbegrænset afsnit af dit netværk kaldet saneringszonen. Når det er i afhjælpningszonen, prøver afhjælpningsserverne automatisk at rette problemet med din maskine. Nogle eksempler kan være:
- Hvis din firewall er deaktiveret, og din politik kræver, at den er aktiveret, vil afhjælpningsserverne aktivere din firewall for dig.
- Hvis din sundhedspolitik siger, at du skal have de nyeste Windows-opdateringer, og du ikke har det, kan du have en WSUS-server i din afhjælpningszone, der installerer de nyeste opdateringer på din klient.
Din maskine flyttes kun tilbage til virksomhedsnetværket, hvis det anses for sundt af dine NAP-servere. Der er fire forskellige måder, du kan håndhæve NAP på, som hver har sine egne fordele:
- VPN - Brug af VPN-håndhævelsesmetoden er nyttig i en virksomhed, hvor du har telecommutere, der arbejder fjernt fra hjemmet ved hjælp af deres egne computere. Du kan aldrig være sikker på, hvilken malware nogen kan installere på en pc, som du ikke har kontrol over. Når du bruger denne metode, kontrolleres en klients sundhed hver gang de starter en VPN-forbindelse.
- DHCP - Når du bruger DHCP-håndhævelsesmetoden, får en klient ikke gyldige netværksadresser fra din DHCP-server, før de er blevet anset for at være sunde af din NAP-infrastruktur.
- IPsec - IPsec er en metode til kryptering af netværkstrafik ved hjælp af certifikater. Selvom det ikke er meget almindeligt, kan du også bruge IPsec til at håndhæve NAP.
- 802.1x - 802.1x kaldes også undertiden portbaseret godkendelse og er en metode til godkendelse af klienter på switchniveau. Brug af 802.1x til at håndhæve en NAP-politik er standard praksis i nutidens verden.
Opkaldsforbindelser
Af en eller anden grund i denne tid vil Microsoft stadig have dig til at vide om disse primitive opkaldsforbindelser. Opkaldsforbindelser bruger det analoge telefonnetværk, også kendt som POTS (Plain Old Telephone Service), til at levere information fra en computer til en anden. De gør dette ved hjælp af et modem, som er en kombination af ordene modulere og demodulere. Modemet bliver tilsluttet din pc, normalt ved hjælp af et RJ11-kabel, og modulerer de digitale informationsstrømme fra din pc til et analogt signal, der kan overføres over telefonlinjerne. Når signalet når sin destination, demoduleres det af et andet modem og omdannes til et digitalt signal, som computeren kan forstå. For at oprette en opkaldsforbindelse skal du højreklikke på ikonet for netværksstatus og åbne Netværks- og delingscenter.
Klik derefter på Opsæt en ny forbindelse eller netværkshyperlink.
Vælg nu at oprette en opkaldsforbindelse, og klik på næste.
Herfra kan du udfylde alle de krævede oplysninger.
Bemærk: Hvis du får et spørgsmål, der kræver, at du opretter en opkaldsforbindelse ved eksamen, giver de de relevante detaljer.
Virtuelle private netværk
Virtuelle private netværk er private tunneler, du kan etablere over et offentligt netværk, såsom internettet, så du kan oprette forbindelse sikkert til et andet netværk.
For eksempel kan du oprette en VPN-forbindelse fra en pc på dit hjemmenetværk til dit virksomhedsnetværk. På den måde ser det ud som om pc'en på dit hjemmenetværk virkelig var en del af dit virksomheds netværk. Faktisk kan du endda oprette forbindelse til netværksshares og f.eks. Hvis du havde taget din pc og fysisk tilsluttet det til dit arbejdsnetværk med et Ethernet-kabel. Den eneste forskel er selvfølgelig hastighed: I stedet for at få Gigabit Ethernet-hastigheder, som du ville, hvis du var fysisk på kontoret, vil du blive begrænset af hastigheden på din bredbåndsforbindelse.
Du undrer dig sandsynligvis over, hvor sikre disse "private tunneller" er, da de "tunnel" over internettet. Kan alle se dine data? Nej, det kan de ikke, og det er fordi vi krypterer de data, der sendes over en VPN-forbindelse, deraf navnet virtuelt "privat" netværk. Protokollen, der bruges til at indkapsle og kryptere de data, der sendes over netværket, overlades til dig, og Windows 7 understøtter følgende:
Bemærk: Desværre skal du bruge disse definitioner udenad for denne eksamen.
-
Punkt-til-punkt tunnelprotokol (PPTP)
- Point to Point Tunneling Protocol tillader, at netværkstrafik indkapsles i en IP-header og sendes på tværs af et IP-netværk, såsom Internettet.
- Indkapsling : PPP-rammer er indkapslet i et IP-datagram ved hjælp af en modificeret version af GRE.
- Kryptering : PPP-rammer krypteres ved hjælp af Microsoft Point-to-Point-kryptering (MPPE). Krypteringsnøgler genereres under godkendelse, hvor Microsoft Challenge Handshake Authentication Protocol version 2 (MS-CHAP v2) eller Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) protokoller bruges.
-
Layer 2 Tunneling Protocol (L2TP)
- L2TP er en sikker tunnelprotokol, der bruges til transport af PPP-rammer ved hjælp af internetprotokollen, den er delvist baseret på PPTP. I modsætning til PPTP bruger Microsoft-implementeringen af L2TP ikke MPPE til at kryptere PPP-rammer. I stedet bruger L2TP IPsec i transporttilstand til krypteringstjenester. Kombinationen af L2TP og IPsec er kendt som L2TP / IPsec.
- Indkapsling : PPP-rammer pakkes først med en L2TP-header og derefter en UDP-header. Resultatet indkapsles derefter ved hjælp af IPSec.
- Kryptering : L2TP-meddelelser krypteres med enten AES- eller 3DES-kryptering ved hjælp af nøgler genereret fra IKE-forhandlingsprocessen.
-
SSTP (Secure Socket Tunneling Protocol)
- SSTP er en tunnelprotokol, der bruger HTTPS. Da TCP Port 443 er åben på de fleste virksomhedsfirewalls, er dette et godt valg for de lande, der ikke tillader traditionelle VPN-forbindelser. Det er også meget sikkert, da det bruger SSL-certifikater til kryptering.
- Indkapsling : PPP-rammer er indkapslet i IP-datagrammer.
- Kryptering : SSTP-meddelelser krypteres ved hjælp af SSL.
-
Internet nøgleudveksling (IKEv2)
- IKEv2 er en tunnelprotokol, der bruger IPsec Tunnel Mode-protokollen over UDP-port 500.
- Indkapsling : IKEv2 indkapsler datagrammer ved hjælp af IPSec ESP- eller AH-overskrifter.
- Kryptering : Meddelelser krypteres med enten AES- eller 3DES-kryptering ved hjælp af nøgler genereret fra IKEv2-forhandlingsprocessen.
Serverkrav
Bemærk: Du kan naturligvis have andre operativsystemer indstillet til at være VPN-servere. Dette er dog kravene for at få en Windows VPN-server til at køre.
For at give folk mulighed for at oprette en VPN-forbindelse til dit netværk skal du have en server, der kører Windows Server og har følgende roller installeret:
- Routing og fjernadgang (RRAS)
- Netværkspolitikserver (NPS)
Du bliver også nødt til enten at oprette DHCP eller tildele en statisk IP-pool, som maskiner, der forbinder via VPN, kan bruge.
Oprettelse af en VPN-forbindelse
For at oprette forbindelse til en VPN-server skal du højreklikke på ikonet for netværksstatus og åbne Netværks- og delingscenter.
Klik derefter på Opsæt en ny forbindelse eller netværkshyperlink.
Vælg nu at oprette forbindelse til en arbejdsplads, og klik på næste.
Vælg derefter at bruge din eksisterende bredbåndsforbindelse.
P
Nu bliver du nødt til at indtaste IP- eller DNS-navnet på VPN-serveren på det netværk, du vil oprette forbindelse til. Klik derefter på næste.
Indtast derefter dit brugernavn og din adgangskode, og klik på Opret forbindelse.
Når du har oprettet forbindelse, kan du se, om du har forbindelse til en VPN ved at klikke på netværksstatusikonet.
Lektier
- Læs følgende artikel på TechNet, som guider dig gennem planlægningssikkerhed til en VPN.
Bemærk: Dagens hjemmearbejde er lidt uden for omfanget til 70-680 eksamen, men det giver dig en solid forståelse af, hvad der foregår bag scenen, når du opretter forbindelse til en VPN fra Windows 7.
Hvis du har spørgsmål, kan du tweet mig @taybgibb , eller bare skriv en kommentar.
