Meine Abschlussarbeit zur IHK Prüfung

Einrichten eines VPN für BerliKomm- Mitarbeiter mit einem ACE- Server zur Authentication und einem RADIUS- Server zur Authorisation

Menü

* Start
Einleitung
* Vorwort
* Projektbeschreibung
* Auswahl der Hard- und Software
Installation von SunOS 5.8
* SunOS 5.8 (Solaris 8)
* Erste Schritte
* Grundkonfiguration
* Software Installation von Solaris 8
* Partitionierung
* Nach der Installation
* Kernel Konfiguration
* Allgemeine Sicherheitshinweise
Installation der ACE/SERVER Software
* Vorbereitung der Installation
* Installation der Software
Konfiguration des ACE/SERVERS
* Die Services und ihre Ports
* Starten des ACE/SERVERS
* Grundkonfiguration des ACE/SERVERS
* System- Parameter
* Edit Authorization Parameters
* Token Importieren und Synchronisieren
* Benutzergruppen erstellen
* Der Agent Host
* Die Konfigurationsdatei und der Acting Server
* Log und Report
* Abschluß
Der Test
* Aufbau des Versuchnetzes
* Installation der ACE/SERVER Client Software
* Installation der VPN-Client von Cisco
* Der Authorisationstest
* Der Test des VPNs
Konfiguration des Radius Server
* Definition des RADIUS
* Der Radius im RSA ACE/SERVER
Zum Schluss
* Einrichten der PIX- Firewall
* Einweisung der Mitarbeiter
Anhang
* Anhang
Aufbau des Versuchnetzes
Erst einmal sollte nur die Funktionalität der Authentisierung erprobt werden. Dazu wurden auf zwei Firmen- Laptops die Client- Software des ACE/SERVERS aufgespielt. Hierbei ist Konfigurationsdatei (siehe Punkt 4.2.6), die man vorhin erstellt hat, wichtig. Diese wird über das Netzwerk oder per Diskette auf den Laptop aufgespielt. Mehr dazu im Punkt 5.2, Installation und Konfiguration der Client- Software. Zusätzlich wurde die Software bei einem Mitarbeiter der BERLIKOMM zu Hause installiert. Von Vorteil war, das die BERLIKOMM GmbH nicht nur ISP, sondern auch Telekommunikationsanbieter ist, so konnten wir für den Versuch das firmeneigene Telefonnetz nutzen. Über einen ISDN- Anschluß konnte man sich ganz normal über den Access- Server ins Internet einwählen.

nach oben

Installation und Konfiguration des ACE/SERVER Client Software
Zur Installation der Client- Software auf einen Windows- Clienten gibt es eigentlich nicht viel zu sagen. Man meldet sich als Administrator am System an und startet das Setup. Durch die Installation führt ein Windows typischer Installationswiszard. Installiert wird nur der Netzwerk- Client. Die anderen Komponenten sind für ein VPN- Client- Host nicht notwendig und ich gehe deshalb hier auch nicht darauf ein. Wichtig ist, daß die vorher am ACE/SERVER erzeugte Konfigurationsdatei, sdconf.rec, zugänglich ist. Diese kann man vor der Installation über eine Netzwerkverbindung auf den Laptop kopieren, während der Installation einen Netzwerkpfad als Quelle angeben oder man nimmt eine Diskette dafür. Der Installationsvorgang fragt nach dem Platz der Datei, den man zum erfolgreichen Abschluß der Installation angeben muß. Bei der Konfiguration der Client- Software stellt man jetzt ein, welche Windows NT4 Benutzer oder Gruppen sich am ACE/SERVER anmelden können. Die Benutzernamen sollten mit denen auf dem ASE/SERVER übereinstimmen, da jetzt bei der Freigabe des Systems nicht nur der lokale Benutzername und das lokale Paßwort abgefragt werden. Die Client- Software startet auch bei der Systemanmeldung, verbindet sich über die vorhandene DFÜ- Verbindung mit dem ACE/SERVER und verlangt das Paßwort für diesen. Ist keine DFÜ- Verbindung möglich, muß das Reserve- Paßwort eingegeben werden. Dieses wird bei der Freigabe der Client- Software für die bestimmten Benutzer und Gruppen am jeweiligen System vergeben.

nach oben

Installation und Konfiguration des VPN-Client von Cisco
Auch hier muß man sich als Administrator am System anmelden und das Setup starten. Mit der Installation der Software wird die Client- Software auch gleich konfiguriert. Im ersten Fenster auf NEW... klicken und die Konfiguration des Client beginnt. Dann wird der Name der Verbindung und eine kurze Beschreibung dieser eingegeben. Im nächsten Fenster muß die IP des VPN Servers eingegeben werden. Das ist in unserem Fall die IP der PIX Firewall. Danach wird nicht der Benutzername und das Paßwort angegeben, sondern Punkt Certificate aktiviert. Nun noch über den Punkt Validate Certificate die Konfigurationsdatei sdconf.rec wählen. Damit ist dann die Installation und Konfiguration der Client- Software abgeschlossen.

nach oben

Der Authorisationstest
Beim Starten des Systems oder der Client- Software wird jetzt der ACE/Server automatisch gesucht und sich mit diesem verbunden. Danach wird man aufgefordert seinen persönlichen PIN und das Token- Paßwort einzugeben. Der Server überprüft nun die Authentication, also die Identität des Clienten und gibt die für ihn eingerichteten Services frei. Dies geschieht über den ACE/SERVER und dem implementierten RADIUS Server. Dieser Prozeß wurde erst im lokalem Netzwerk getestet, also ohne DFÜ- Verbindung und danach über einen ISDN Anschluß. Die Anmeldung im lokalen Netz verlief ohne Probleme. Auch bei gleichzeitiger Anmeldung aller drei Versuchsclienten konnte keine Verzögerung festgestellt werden. Bei der Anmeldung über die DFÜ- Verbindung mußten die Tokens noch einmal synchronisiert werden. Danach erfolgte auch hier die Anmeldung ohne Probleme. Somit war der Test erfolgreich abgeschlossen.

nach oben

Der Test des VPNs
Nach Starten des VPN Clients einfach auf Connect klicken und eine Verbindung wird aufgebaut. Jetzt muß man in dem neu aufgehenden Fenster seinen Benutzername und seine PIN und den aktuellen Code seines SecurID Tokens als Paßwort eingeben. Wenn der ACE/SERVER akzeptiert, geht dieses Anmelde Fenster zu und man kann das VPN nutzen. Den aktuellen Zustand der Verbindung kann man beobachten, in dem man das VPN Dialer Icon im System Tray doppeltklickt oder mit der rechten Maustaste anklickt und "Status" wählt. Jetzt auf das Icon Netzwerkumgebung klicken und dann über Extras/ Netzlaufwerk verbinden den Pfad zum Server oder zu seinem Rechner im BERLIKOMM Lan angeben. Hat man sich am lokalen System mit dem selben Namen und Paßwort wie im Netzwerk angemeldet, kann man jetzt auf alle freigegebenen Dateien und Ressourcen zugreifen. Auch diese funktionierte ohne Probleme und der Test wurde erfolgreich beendet.

nach oben