Notes
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Dernière mise à jour le 08 juin 2004
Sur cette page
Dans ce module
Objectifs
S'applique à
Comment utiliser ce module
Tâches de maintenance essentielles
Rôles administratifs pour RADIUS et la sécurité du réseau local sans fil
Tâches de zone d'exploitation
Prise en charge des tâches de zone
Tâches d'optimisation de zone
Tâches de changement de zone
Tableaux de configuration
Informations complémentaires
Dans ce module
Ce module décrit les procédures opérationnelles requises pour gérer l'infrastructure RADIUS (Remote Authentication Dial-In User Service) et la sécurité de réseau local sans fil mise en œuvre dans le cadre de Sécurisation de réseaux locaux sans fil - Une solution des services de certificats de Microsoft® Windows Server™ 2003. Sa structure est basée sur les catégories et concepts MOF (Microsoft Operational Framework) abordés dans le premier module du Guide d'exploitation.
L'objectif de ce module est de vous permettre la mise en œuvre d'un système de gestion complet pour votre infrastructure RADIUS et la sécurisation de votre réseau local sans fil. Ceci inclut toutes les tâches de configuration requises pour commencer à surveiller et à gérer le système, ainsi que les tâches opérationnelles à effectuer à intervalle régulier, afin d'assurer son bon fonctionnement, et des procédures pour vous aider à gérer les incidents de prise en charge ou les modifications d'environnement et à optimiser les performances du système.
Objectifs
Ce module vous permettra d'effectuer les opérations suivantes :
comprendre les tâches à effectuer pour assurer une gestion sécurisée du système ;
affecter les rôles administratifs nécessaires à l'administration du système ;
disposer d'un document de référence pour la gestion de votre infrastructure RADIUS.
S'applique à
Ce module s'applique aux produits et technologies suivants :
Microsoft Windows Server 2003 ;
services d'authentification Microsoft IAS (Internet Authentication Services) ;
service d'annuaire Microsoft Active Directory®.
Comment utiliser ce module
Ce module décrit les étapes requises pour assurer la bonne gestion de l'environnement de votre infrastructure RADIUS. Le reste de ce module est destiné à servir de support de référence.
Pour tirer le meilleur parti de ce module :
- Lisez le module « Introduction au Guide de sécurisation des opérations réseau sans fil ». Ceci vous permettra de comprendre le Microsoft Operations Framework (MOF), le module étant structuré sous la forme d'un Guide d'exploitation MOF.
Tâches de maintenance essentielles
Cette section dresse la liste des tâches clés à accomplir pour réussir l'exploitation de l'infrastructure RADIUS et de la sécurité du réseau local sans fil. Les tâches sont répertoriées sous la forme de deux tableaux : tâches de configuration uniques et tâches opérationnelles permanentes. Les tâches dont les noms apparaissent dans les tableaux sont décrites en détails dans la suite du document. Les tâches sont regroupées par zone MOF et la fonction de gestion des services (SMF) MOF dont la tâche fait partie apparaît en regard de la tâche pour vous permettre de retrouver plus facilement la tâche requise.
Cette section comprend également une liste d'outils et de technologies utilisés dans les procédures de ce module.
Tâches de configuration initiales
Ce tableau présente les tâches à effectuer pour démarrer l'exploitation de l'infrastructure RADIUS et de la sécurisation du réseau local sans fil. Selon votre standard et vos pratiques d'exploitation, vous ne devrez peut-être pas exécuter la totalité de ces tâches, mais il vous faudra tout de même consulter les informations détaillées relatives aux tâches pour déterminer de leur pertinence. Certaines de ces tâches peuvent également nécessiter une nouvelle exécution à un moment donné. Par exemple, si un nouveau serveur IAS est installé, vous devrez configurer des travaux de sauvegarde et de surveillance pour celui-ci.
Tableau 1 : Tâches de configuration initiales
| Nom de la tâche | Cluster de rôle | MOF SMF |
|---|---|---|
| Zone d'exploitation | ||
| Ajout de clients RADIUS à des serveurs IAS | Infrastructure | Administration du réseau |
| Ajout d'ordinateurs à des groupes de stratégie de réseau sans fil | Infrastructure | Administration des services d'annuaire |
| Ajout d'ordinateurs et d'utilisateurs à des groupes de stratégie d'accès distant | Infrastructure | Administration des services d'annuaire |
| Catégorisation des alertes de surveillance | Infrastructure | Surveillance et contrôle des services |
| Surveillance des contraintes de capacité IAS | Infrastructure | Surveillance et contrôle des services |
| Configuration de l'exportation de configuration IAS | Opérations | Gestion du stockage |
| Exportation de la configuration de client RADIUS | Opérations | Gestion du stockage |
| Configuration de la sauvegarde des répertoires de données IAS | Opérations | Gestion du stockage |
| Test de la sauvegarde IAS | Opérations | Gestion du stockage |
| Optimisation de zone | ||
| Détermination de la charge maximum du serveur IAS | Infrastructure | Gestion de la capacité |
| Détermination des exigences de stockage et de sauvegarde pour un serveur IAS | Infrastructure | Gestion de la capacité |
| Changement de zone | ||
| Gestion des correctifs de système d'exploitation | Infrastructure | Gestion des modifications Gestion des versions |
| Nom de la tâche | Cluster de rôle | Fréquence |
|---|---|---|
| Ajout de clients RADIUS aux serveurs IAS | Infrastructure | Quand des points d'accès sans fil (AP) sont ajoutés au réseau. |
| Retrait de clients RADIUS du serveur IAS | Infrastructure | Quand des points d'accès sans fil (AP) sont retirés du réseau. |
| Ajout d'ordinateurs à des groupes de stratégie de réseau sans fil | Infrastructure | Quand des ordinateurs sont ajoutés au réseau. |
| Ajout d'ordinateurs et d'utilisateurs à des groupes de stratégie d'accès distant | Infrastructure | Quand des employés obtiennent un accès au réseau local sans fil. |
| Exportation de la configuration de client RADIUS | Opérations | Quand des points d'accès sans fil sont ajoutés au réseau. |
| Test de la sauvegarde IAS | Opérations | Mensuellement |
| Accès aux journaux de requêtes IAS RADIUS | Sécurité | Quotidiennement ou hebdomadairement (selon les exigences de sécurité) |
| Révision des entrées de journal des événements d'authentification IAS RADIUS | Sécurité | Quotidiennement ou hebdomadairement (selon les exigences de sécurité) |
| Archivage et suppression d'entrées de journal IAS RADIUS | Sécurité | Mensuellement |
| Gestion des correctifs de système d'exploitation | Quotidiennement |
| Nom de l'élément | Source |
|---|---|
| Console de gestion (MMC) pour utilisateurs et ordinateurs Active Directory | Windows Server 2003 |
| MSS Scripts | Cette solution |
| Éditeur de texte | Bloc-notes – Windows Server 2003 |
| Service Planificateur de tâches de Windows | Windows Server 2003 |
| SchTasks.exe | Windows Server 2003 |
| Windows Backup | Windows Server 2003 |
| Observateur d'événements | Windows Server 2003 |
| Analyseur de performances | Windows Server 2003 |
| Net.exe | Windows Server 2003 |
| Operational Alert Console | Microsoft Operations Manager (MOM) |
| Support amovible pour stockage hors machine | Disquette, CD-RW ou bande |
| Sauvegarde de serveur IAS | Service de sauvegarde professionnel ou périphérique de sauvegarde local |
| Console de gestion des stratégies de groupes | Téléchargement Web sur Microsoft.com |
| IASParse | Outils de support de Windows Server 2003 |
| Microsoft Access 2002 | Microsoft Office XP |
| Nom de l'élément | Source |
|---|---|
| Operational Alert Console | Microsoft Operations Manager ou un autre système de surveillance de services |
| Infrastructure de courrier électronique – pour les alertes opérationnelles (alternative à MOM) | Serveur et client SMTP/POP3/IMAP, tel que Microsoft Exchange Server et un client de messagerie et de collaboration Microsoft Outlook® |
| Eventquery.vbs | Windows Server 2003 |
| Outils de planification de capacité | Microsoft Operations Manager ou d'autres outils de planification de capacité |
| Système de distribution des correctifs | Microsoft Systems Management Server ou Microsoft Software Update Services |
| Nom du rôle | Cluster de rôle MOF | Finalité | Description |
|---|---|---|---|
| Administrateur du Service d'authentification Internet | Infrastructure | Entreprise | Responsable de l'administration et de la configuration globale des services IAS pour l'entreprise. |
| Auditeur du Service d'authentification Internet | Sécurité | Entreprise | Responsable de la révision, de l'archivage et de la suppression des journaux RADIUS situés sur des ordinateurs serveurs IAS. |
| Opérateur de sauvegarde du Service d'authentification Internet | Exploitation | Entreprise | Responsable de la sauvegarde et de la restauration de l'état de la configuration et des données d'historique IAS. |
| Personnel d'assistance du réseau local sans fil | Support | Entreprise | Chargés d'assistance senior responsables de la résolution des problèmes de réseau local sans fil. |
| Nom du rôle | Cluster de rôle MOF | Finalité | Description |
|---|---|---|---|
| Opérateur de surveillance | Opérations | Entreprise | Responsable de la surveillance des événements. |
| Planificateur de capacité | Infrastructure | Entreprise | Responsable de l'analyse des performances et des charges afin de prévoir les besoins de capacité à venir. |
| Administrateur Active Directory | Infrastructure et prise en charge | Entreprise | Responsable de la configuration et de la prise en charge de l'infrastructure Active Directory. |
| Opérations Active Directory | Opérateur | Entreprise | Responsable de la maintenance au jour le jour des services d'annuaire, tels que la gestion des groupes de sécurité, la création de compte, etc. |
| Administrateur de bureau | Infrastructure et prise en charge | Entreprise | Responsable de la configuration et de la prise en charge des ordinateurs de bureau. |
| Comité d'approbation des modifications | Version | Entreprise | Réponses commerciales et techniques requises pour approuver les modifications de l'infrastructure. |
| Nom du rôle | Groupe de sécurité du domaine | Groupe de sécurité local | Privilèges |
|---|---|---|---|
| Administrateur du Service d'authentification Internet | IAS Admins | Administrateurs | Privilèges d'administration intégraux sur le serveur IAS, y compris le démarrage/l'arrêt du service IAS et la modification de sa configuration. |
| Auditeurs du Service d'authentification Internet | IAS Security Auditors | N/A | Capacité à lire et à détruire des fichiers-journaux de requêtes RADIUS sur le volume de consignation. |
| Opérateurs de sauvegarde IAS | N/A | Opérateurs de sauvegarde | Sauvegarde et restauration intégrale de l'état du système d'exploitation et des données de configuration IAS. |
| Personnel d'assistance du réseau local sans fil | N/A | N/A | Collabore avec les administrateurs IAS pour résoudre des problèmes d'authentification IAS (peut bénéficier de permissions de lecture sur les mêmes ressources que les auditeurs de sécurité IAS dans certains cas). |
| Responsable de cluster de rôle : | Infrastructure |
| Fréquence : | Quand de nouveaux points d'accès sans fil sont ajoutés au réseau. |
| Exigences de sécurité : | Être membre du groupe de sécurité IAS Admins. |
| Dépendances : | Informations concernant le point d'accès à ajouter Accès au disque des clients RADIUS pour chaque serveur (situé dans une zone de stockage sécurisée). |
| Technologie requise : | Module enfichable MMC (Microsoft Management Console) pour serveur d'authentification Internet (IAS) MSS Scripts (for GenPwd) Lecteur de disquette ou autre lecteur pour support amovible, accessible en écriture Disquette ou autre support amovible, accessible en écriture |
Détail des tâches
Pour un maximum de sécurité, vous devriez ajouter chaque point d'accès sans fil à chaque serveur IAS avec un mot de passe pseudo-aléatoire (secret) unique dans ce couple. Le partage des secrets RADIUS entre points d'accès sans fil et serveurs RADIUS accroît le risque de voir le secret partagé ne pas rester secret pour très longtemps.
Windows Server 2003, Enterprise Edition, permet aux administrateurs d'ajouter des points d'accès sans fil sous forme groupée à IAS, en ajoutant le sous-réseau de client RADIUS dédié et en utilisant le secret partagé. Cette stratégie présente toutefois un risque de sécurité et devrait être mûrement réfléchie.
Cette solution met en œuvre des secrets cryptographiques aléatoires, qui sont générés par le script GenPwd inclus avec ces guides.
Pour ajouter individuellement des clients RADIUS à IAS
Depuis le module enfichable MMC du service d'authentification Internet (IAS), cliquez avec le bouton droit de la souris sur le dossier Clients RADIUS, puis sélectionnez Ajouter un client RADIUS.
Saisissez le Nom convivial et l' Adresse du client (IP ou DNS) correspondant au point d'accès sans fil. Optez pour l'adresse IP (Internet Protocol) plutôt que le nom de DNS (Domain Name System) si possible, car IAS tentera de résoudre chaque client RADIUS au démarrage du serveur, ce qui peut se répercuter sur les mesures de capacité du serveur dans des environnements de grande envergure comportant de nombreux points d'accès sans fil. Cliquez sur Suivant.
Sélectionnez RADIUS Standard en guise d'attribut client-fournisseur et saisissez le secret partagé correspondant à ce point d'accès sans fil en particulier.
Remarque : les étapes suivantes nécessitent l'utilisation d'une disquette ou d'un autre support amovible, accessible en écriture. Munissez-vous d'un support de données formaté et étiquetez-le « Clients RADIUS pour serveur MSS-IAS-01 », en remplaçant « MSS-IAS-01 » par le nom de votre serveur IAS.
Vous pouvez utiliser le script GenPwd fourni avec ces guides pour générer un secret pseudo-aléatoire fort destiné à l'usage individuel de chaque WAP configuré comme client RADIUS. GenPwd génère un secret pour chaque client RADIUS et le stocke dans un fichier Clients.txt en l'associant à un nom convivial. GenPwd ajoute automatiquement les informations à un fichier Clients.txt, situé dans le répertoire actuel, sous la forme de valeurs séparées par des virgules. Si vous disposez cependant d'une méthode permettant de générer et de stocker des secrets RADIUS forts, vous pouvez l'utiliser en lieu et place des étapes GenPwd suivantes.
Ouvrez une ligne de commande et placez-vous dans le répertoire A:\. L'emplacement du répertoire au sein de votre système de fichiers est important car les nouvelles informations seront automatiquement ajoutées au fichier Clients.txt du répertoire actuel. Si le fichier Clients.txt n'existe pas, il est créé.
Exécutez la commande suivante, en remplaçant [nom client] par le nom convivial du point d'accès sans fil. Il peut s'agir d'un nom de DNS, d'une adresse IP ou d'une autre chaîne :
cscript //job:GenPwd C:\MSSScripts\wl_tools.wsf /client:[nom client]
Une fois créé, le fichier délimité par des virgules peut être facilement importé dans une feuille de calcul ou une application de base de données pour servir de référence ou être édité.
Remarque : les secrets RADIUS devraient être modifiés à intervalle régulier pour chaque serveur IAS et point d'accès sans fil. Veillez à utiliser GenPwd ou un autre utilitaire pour générer des secrets forts et à stocker le nouveau secret et le nom de point d'accès sans fil dans le fichier Clients.txt.
Saisissez le secret partagé RADIUS dans les champs Secret partagé et Confirmer le secret partagé. Sélectionnez Les requêtes doivent contenir l'attribut de l'authentificateur de message et cliquez sur Terminer :
Remarque : la configuration d'attributs spécifiques à un constructeur peut être nécessaire pour assurer le bon fonctionnement de certains clients RADIUS. Consultez la documentation de votre constructeur pour en savoir plus sur les attributs qui lui sont spécifiques.
Retrait de clients RADIUS d'un serveur IAS
Le retrait de points d'accès sans fil existant en tant que clients RADIUS est une des seules modifications incrémentielles nécessaire sur un serveur IAS de production déployé. Cette tâche retire au point d'accès sans fil l'autorisation de prendre part à l'authentification et à la comptabilisation RADIUS avec le serveur IAS. Effectuez cette opération chaque fois que des points d'accès sans fil sont retirés, afin de désactiver leur droit à l'authentification et à la comptabilité avec des serveurs IAS.
| Responsable de cluster de rôle : | Infrastructure |
| Fréquence : | Quand des points d'accès sans fil (AP) sont retirés du réseau. |
| Exigences de sécurité : | Membre du groupe des administrateurs IAS |
| Dépendances : | Informations client RADIUS, telles que l'adresse IP ou le nom |
| Technologie requise : | - module enfichable MMC du service d'authentification Internet (IAS) - éditeur de fichiers texte Notepad.exe |
Détail de la tâche
Vous devriez retirer chaque point d'accès sans fil du serveur IAS indépendamment des autres et détruire l'entrée correspondante dans le fichier Clients.txt situé sur la disquette de sauvegarde des clients RADIUS. Le fichier Clients.txt est créé à l'aide de la procédure présentée dans le cadre de la tâche Exportation de la configuration de client RADIUS.
Pour retirer des clients RADIUS du serveur IAS
Depuis le module enfichable MMC du serveur d'authentification Internet (IAS), sélectionnez le dossier Clients RADIUS.
Dans le volet de droite, sélectionnez l'entrée correspondant au client RADIUS à supprimer et appuyez sur Supprimer.
Lorsque le programme vous demande de confirmer, choisissez Oui.
Remarque : les étapes suivantes nécessitent l'utilisation de la disquette ou de tout autre support amovible accessible en écriture, étiqueté « Clients RADIUS Clients pour le serveur MSS-IAS-01 », qui a été créé dans une section précédente. Remplacez « MSS-IAS-01 » par le nom de votre serveur IAS. Veillez à utiliser le bon disque avec le serveur approprié pour éviter toute perte de données.
Munissez-vous de la disquette des clients RADIUS correspondant à ce serveur et ouvrez le fichier A:\Clients.txt avec le Bloc-notes.
Cherchez et supprimez l'entrée associée au client RADIUS à retirer.
Administration des services d'annuaire
Les services d'annuaire permettent aux utilisateurs et aux applications de trouver des ressources réseau telles que des utilisateurs, des serveurs, des applications, des outils, des services et d'autres informations à travers le réseau. L'administration des services d'annuaire traite du fonctionnement quotidien, de la maintenance et de la prise en charge de l'annuaire d'entreprise. L'objectif de l'administration des services d'annuaire consiste à garantir que les informations sont accessibles via le réseau à tout demandeur autorisé, par l'intermédiaire d'un processus simple et organisé.
Ajout d'ordinateurs à des groupes de stratégie de réseau sans fil
L'ajout d'ordinateurs à des groupes de sécurité de stratégie de groupe de réseau sans fil basée sur Active Directory permet la configuration automatisée des paramètres de réseau sans fil sur les ordinateurs clients. Exécutez cette tâche chaque fois qu'un nouvel ordinateur devant utiliser le réseau sans fil est adjoint à l'environnement.
| Responsable de cluster de rôle : | Infrastructure |
| Fréquence : | Quand des ordinateurs mobiles sont ajoutés au réseau. |
| Exigences de sécurité : | - Administrateur de domaine ou permission d'ajouter des utilisateurs au groupe de sécurité Wireless Network Policy - Computer dans Active Directory |
| Dépendances : | - Wireless Network Group Policy Object (GPO) créé - Wireless Network Policy - Computer security group créé |
| Technologie requise : | Console de gestion (MMC) pour utilisateurs et ordinateurs Active Directory |
| Responsable de cluster de rôle : | Infrastructure |
| Fréquence : | Quand des utilisateurs se voient accorder l'accès au réseau local sans fil. |
| Exigences de sécurité : | Administrateur de domaine ou permission de modifier l'adhésion aux groupes de sécurité Remote Access Policy - Wireless Users et Remote Access Policy - Wireless Computers dans Active Directory. |
| Dépendances | Les groupes de sécurité de stratégie d'accès distant doivent avoir été créés au préalable. Des comptes ordinateur et utilisateur doivent exister dans Active Directory. |
| Technologie requise | Console de gestion (MMC) pour utilisateurs et ordinateurs Active Directory |
| Cluster de rôle : | Infrastructure |
| Fréquence : | Tâche de configuration |
| Exigences de sécurité : | Aucune |
| Dépendances : | - Processus de planification de capacité en place dans l'organisation - Outils d'analyse prenant en charge le processus |
| Exigences technologiques : | Operational Alert Console (telle que MOM) |
| Catégorie d'alerte | Description |
|---|---|
| Service non disponible | Quand une application ou un composant est indisponible à 100 %. |
| Violation de la sécurité | Quand une application est piratée ou a été infectée. |
| Erreur critique | Quand l'application a rencontré une erreur critique nécessitant une intervention administrative rapide (mais pas nécessairement immédiate). L'application ou le composant fonctionne à un niveau de performances intermédiaire mais reste en mesure de traiter les opérations les plus critiques. |
| Erreur | Quand l'application rencontre un problème passager ne nécessitant pas d'intervention administrative ou de résolution immédiate. L'application ou le composant fonctionne à un niveau de performances acceptable et reste en mesure de traiter toutes les opérations critiques. |
| Avertissement | Quand l'application génère un message d'alerte ne nécessitant pas d'intervention administrative ou de résolution immédiate. L'application ou le composant fonctionne à un niveau de performances acceptable et reste en mesure de traiter toutes les opérations critiques. Cette situation peut néanmoins évoluer en Erreur, Erreur critique ou Service non disponible si le problème persiste. |
| Information | Quand l'application génère un événement d'information. L'application ou le composant fonctionne à un niveau de performances acceptable et effectue toutes les opérations critiques et non critiques. |
| Réussite | Quand l'application génère un événement de succès. L'application ou le composant fonctionne à un niveau de performances acceptable et effectue toutes les opérations critiques et non critiques. |
| Cluster de rôle : | Infrastructure |
| Fréquence : | Tâche de configuration |
| Exigences de sécurité : | Permission requise par la solution de surveillance. |
| Dépendances : | La sortie tient dans Capacity Management SMF |
| Exigences technologiques : | - Analyseur de performances - Performance counter consolidator (tel que MOM) - Operational Alerts Console (telle que MOM) - Outils de planification de capacité |
Détail de la tâche
Les compteurs de performances suivants sont les plus utiles pour identifier les contraintes de capacité dans IAS. Le processeur et le disque dur sont les deux ressources les plus fortement utilisées par IAS et indiqueront donc d'éventuelles contraintes plus tôt que le réseau ou la mémoire.
Tableau 9 : Éléments à surveiller pour les contraintes de capacité IAS
| Objet Performance | Compteur de performance | Instance |
|---|---|---|
| Processeur | % Temps processeur | _Total |
| Disque physique | % Temps du disque | _Total |
| Disque physique | Long. moy. de file d'attente lecture disque | _Total |
| Disque physique | Long. moy. de file d'attente écriture disque | D: (IAS - DATA) |
| Interface réseau | Total octets/s | Adaptateur réseau |
| Mémoire | % Octets dédiés utilisés | --- |
| Responsable de cluster de rôle : | Opérations |
| Fréquence : | Tâche de configuration |
| Exigences de sécurité : | Être membre du groupe de sécurité Administrateurs local. |
| Dépendances : | Les installation ou processus suivants doivent être en place : - Sauvegarde disque/fichier de serveur d'entreprise - Emplacements de stockage sécurisés - Système d'alerte et de surveillance (tel que MOM) |
| Technologie requise : | - MSS Scripts - Service Planificateur de tâches de Windows - SchTasks.exe |
Détail de la tâche
Cette tâche configure une opération planifiée pour effectuer une sauvegarde nocturne de l'état de la configuration du serveur IAS. La sauvegarde IAS suppose que vous disposez d'un système de sauvegarde de serveur d'entreprise actuellement en place. En effet, la sauvegarde effectuée dans le cadre de cette procédure produit un fichier de sauvegarde pouvant, à son tour, être sauvegardé par le système de sauvegarde de l'entreprise. Il peut s'agir d'une sauvegarde réseau ou d'une sauvegarde de périphérique local. La solution suppose également que le système de sauvegarde du serveur d'entreprise s'exécute de nuit pour sauvegarder les disques du serveur IAS.
Pour configurer une sauvegarde de configuration IAS
Planifiez le travail de sauvegarde pour qu'il s'exécute la nuit à l'aide de la commande suivante. Cette commande fixe l'heure d'exécution du travail à 02h00.
SCHTASKS /Create /RU system /SC Daily /TN "IAS Backup" /TR C:\MSSScripts\IASExport.bat /ST 02:00
Remarque : la commande est affichée sur deux lignes pour des impératifs liés à l'impression. Saisissez-la sur une seule ligne.
Configurez le système de sauvegarde de votre serveur d'entreprise de façon à sauvegarder chaque nuit le contenu du répertoire D:\IASConfig sur un support amovible. Dans la mesure du possible, définissez un script de condition préalable pour vérifier que la date et l'heure des fichiers texte de configuration IAS créés par le fichier IASExport.bat datent de moins de 24 heures. Des indications d'horodatage des fichiers datant de plus de 24 heures indiquent que la sauvegarde précédente a échoué ou qu'elle est encore en cours d'exécution.
Remarque : le script IASExport.bat fourni peut servir de point de départ à cette tâche. Modifiez la logique du script IASExport.bat de manière à ce que les événements d'erreur de l'outil netsh, au sein du script, génèrent des événements ou des notifications détectées par le personnel des opérations.
Réfléchissez à l'éventualité d'activer l'audit de fichiers Windows sur le répertoire D:\IASConfig et de demander aux auditeurs de sécurité de serveur d'analyser régulièrement les données d'audit à la recherche d'activités inhabituelles (accès échoué, par exemple). Les informations du répertoire D:\IASConfig pourraient aider un éventuel intrus à comprendre comment compromettre le contrôle d'accès au réseau.
Exportation de la configuration de client RADIUS
Vous devez exporter la configuration de client RADIUS du serveur IAS pour assurer une possibilité de restauration en cas d'incident majeur sur le serveur. Les informations de client RADIUS sont sensibles à la sécurité car elles contiennent les secrets RADIUS, uniques entre chaque serveur et point d'accès sans fil. C'est pourquoi, les exportations de client RADIUS sont stockées sur des supports amovibles que vous devriez ranger en lieu sûr. Chaque sauvegarde de configuration de client RADIUS est unique pour chaque serveur IAS.
Pour permettre une restauration intégrale de l'état de configuration IAS, la configuration de client RADIUS créée en effectuant cette opération devrait être associée à la configuration système IAS créée en utilisant le script IASClientExport.bat, présenté en détails dans une autre partie de ce module.
| Responsable de cluster de rôle : | Infrastructure |
| Fréquence : | Tâche de configuration |
| Exigences de sécurité : | Être membre du groupe de sécurité IAS Admins. |
| Dépendances : | Les installations ou processus suivants doivent être en place : - Sauvegarde disque/fichier de serveur d'entreprise - Emplacements de stockage sécurisés |
| Technologie requise : | - MSS Scripts - Disquette ou autre support amovible, accessible en écriture |
Détail de la tâche
Les informations de client RADIUS sont exportées à l'aide de la commande netsh. Cette solution comprend un fichier de commandes qui exporte les informations de client RADIUS vers une disquette ou un autre support amovible, accessible en écriture.
Pour exporter la configuration de client RADIUS
Exécutez la commande suivante depuis une invite de commandes sur le serveur IAS qui exporte l'état du client RADIUS :
C:\MSSScripts\IASClientExport.bat
Identifiez toute erreur ou alerte obtenue et rectifiez-la. Une fois la situation corrigée, exécutez à nouveau le script.
Stockez le support de sauvegarde comme il se doit. Les données de sauvegarde qu'il contient sont sensibles car elles contiennent des secrets qui pourraient être utilisés pour accéder au réseau local sans fil de votre entreprise. Déplacez et stockez-le en usant des mêmes précautions et mesures de sécurité que vous accordez au serveur IAS. Les données de sauvegarde devraient être conservées dans un endroit physiquement différent du serveur IAS lui-même. Ceci vous permettra de restaurer le serveur IAS au cas où tout l'équipement informatique du site serait détruit ou deviendrait inaccessible.
Configuration de la sauvegarde des répertoires de données IAS
L'objectif de cette tâche est de fournir des conseils sur les répertoires de votre serveur IAS qui doivent être sauvegardés pour assurer une restauration système complète de l'état de configuration IAS et des données de journal RADIUS après un incident majeur sur le serveur. Une sauvegarde complète du serveur IAS comprend toute configuration de système d'exploitation et autres informations d'état nécessaires au serveur IAS.
| Responsable de cluster de rôle : | Infrastructure |
| Fréquence : | Tâche de configuration |
| Exigences de sécurité : | Être membre du groupe de sécurité local des opérateurs de sauvegarde. |
| Dépendances : | Les installations ou processus suivants doivent être en place : - Sauvegarde disque/fichier de serveur d'entreprise - Emplacements de stockage sécurisés - Système d'alerte et de surveillance (tel que MOM) |
| Technologie requise : | - Windows Backup ou Corporate Backup System - Service Planificateur de tâches de Windows - SchTasks.exe |
Détail de la tâche
Cette tâche détaille les principaux répertoires à sauvegarder pour assurer la restauration complète de l'état des configurations IAS et des données de fichier-journal. Cette tâche suppose que vous disposez d'un système de sauvegarde de serveur d'entreprise actuellement en place. Il peut s'agir d'une sauvegarde réseau ou d'une sauvegarde de périphérique local. La solution suppose également que le système de sauvegarde du serveur d'entreprise s'exécute de nuit, à l'issue de la sauvegarde de l'état de configuration IAS (02h00), pour sauvegarder les disques du serveur IAS.
Pour configurer une sauvegarde de répertoire de données IAS
Vérifiez que la sauvegarde de l'état de configuration IAS est correctement planifiée et fonctionne avec succès. La tâche de sauvegarde de l'état de configuration IAS planifiée envoie l'état de configuration IAS vers des fichiers situés sur le disque dur.
Utilisez le Bloc-notes pour créer un fichier nommé backuptest.txt dans le répertoire D:\IASLogs. Dans ce fichier, saisissez Utilisé à des fins de vérification des opérations de sauvegarde et de restauration. Enregistrez le fichier et fermez le Bloc-notes. Ce fichier sera utilisé ultérieurement dans le cadre de procédures de vérification de restauration.
Configurez le système de sauvegarde de votre serveur d'entreprise de façon à effectuer une sauvegarde complète, incrémentielle ou différentielle, des répertoires suivants :
D:\IASConfig
D:\IASLogs
Consultez les fichiers de consignation du système de sauvegarde de votre serveur d'entreprise, afin de vous assurer qu'aucune erreur ou alerte ne s'est produite. Si vous y rencontrez des erreurs ou des avertissements, exécutez manuellement les scripts d'exportation de configuration IAS et effectuez une nouvelle sauvegarde intégrale des deux répertoires.
Stockez le support de sauvegarde comme il se doit. Les données de sauvegarde qu'il contient sont sensibles car elles contiennent la configuration des logiciels serveur, donnant accès au réseau local sans fil de votre entreprise. Déplacez et stockez-le en usant des mêmes précautions et mesures de sécurité que vous accordez au serveur IAS. Les données de sauvegarde devraient être conservées dans un endroit physiquement différent que le serveur IAS lui-même. Ceci vous permettra de restaurer le serveur IAS au cas où tout l'équipement informatique du site est détruit ou devient inaccessible.
Test de la sauvegarde IAS
L'objectif de cette tâche est de tester le bon fonctionnement du processus et de la technologie de sauvegarde en procédant à un test de restauration. La restauration complète des sauvegardes sur du matériel serveur de réserve assure le meilleur niveau de confiance dans le bon fonctionnement des procédures de sauvegarde. Cette procédure a toutefois été conçue de manière à permettre aux clients n'ayant pas accès à un serveur de réserve de tester leurs procédures de restauration directement sur le matériel de production, avec un certain risque toutefois. Le test des procédures de restauration sur des serveurs de production comporte le risque d'endommager un serveur en cas de restauration partielle. Tester les sauvegardes garantit la maîtrise des étapes de restauration en cas d'incident majeur et évite les erreurs de procédure ou techniques, susceptibles d'empêcher le bon déroulement de l'opération.
Les données de restauration d'un serveur IAS se composent des éléments suivants :
Données d'exportation de l'état de configuration IAS : situées dans le répertoire D:\IASConfig. En cas de restauration depuis une bande, ces informations sont utilisées pour réimporter la configuration sur le serveur IAS.
Données d'exportation de client RADIUS : situées sur la disquette ou un autre support amovible accessible en écriture, étiqueté « Clients RADIUS pour serveur MSS-IAS-01 ». Sur l'étiquette, « MSS-IAS-01 » est remplacé par le nom de votre serveur IAS. Ces informations sont utilisées pour restaurer la configuration de client RADIUS sur le serveur IAS.
Données du journal de requêtes RADIUS : situées dans le répertoire D:\IASLogs. En cas de restauration depuis une bande, ces informations contiennent des données historiques utilisées par les auditeurs de sécurité IAS.
Avant de procéder à une restauration de test, effectuez une exportation manuelle des données d'exportation de configuration IAS et de client RADIUS. Procédez ensuite à une sauvegarde non planifiée des données de serveur et mettez ces sauvegardes de côté, afin de les utiliser en cas de problème durant le test de restauration. Ceci minimise le risque de restauration partielle d'un serveur de production, dû à des bandes endommagées ou des erreurs qui seraient passées inaperçues durant la sauvegarde normale.
| Responsable de cluster de rôle : | Opérations |
| Fréquence : | - Avant la mise en service opérationnelle du serveur IAS - Mensuellement - Retester en cas de modification de la technologie ou du processus de sauvegarde |
| Exigences de sécurité : | Faire partie des administrateurs locaux ou des opérateurs de sauvegarde sur l'ordinateur test. |
| Dépendances : | Sauvegarde disque/fichier de serveur d'entreprise |
| Technologie requise : | - Windows Backup ou Corporate Backup System - MSS Scripts |
Détail de la tâche
Cette opération détaille la restauration et la vérification des données IAS. Les trois types de données seront restaurés et des procédures spéciales seront utilisées pour valider la restauration. À moins que vous ne procédiez à des tests de restauration avancés, assurez-vous d'utiliser une sauvegarde complète récente (celle de la nuit précédente) qui s'est terminée avec succès. De même, assurez-vous durant les tests qu'aucune opération d'administration n'a été effectuée sur le serveur cible depuis la dernière sauvegarde.
Si cette tâche est effectuée pour tester la restauration d'un serveur de l'installation initiale de Windows Server 2003 à la configuration IAS, les étapes préalables de création du serveur, décrites dans le module « Implémentation de l'infrastructure RADIUS pour la sécurité de réseau local sans fil », doivent être exécutées afin de s'assurer que le matériel et les logiciels du serveur sont configurés convenablement pour IAS. L'ordre recommandé pour une restauration de serveur depuis la réinstallation est le suivant :
Installer et configurer le serveur conformément aux instructions du module « Implémentation de l'infrastructure RADIUS pour la sécurité de réseau local sans fil » dans le guide de mise en œuvre.
Procéder à la restauration en suivant les étapes de cette tâche.
Remarque : vous pouvez être amené à resélectionner les certificats d'authentification de serveur RAS et IAS nouvellement installés au sein de la stratégie d'accès distant du réseau local sans fil restaurée.
- Pour tester la sauvegarde IAS
Remarque : la première étape de cette procédure est facultative et s'utilise dans un environnement de laboratoire de test sur du matériel serveur non utilisé en production. Elle est utile pour s'assurer qu'un serveur peut être restauré à partir d'un état instable ou de sécurité compromise.
Pour restaurer un serveur devenu instable ou dont la sécurité a été compromise, réinstallez Windows Server 2003 conformément aux instruction du module « Implémentation de l'infrastructure RADIUS pour la sécurité de réseau local sans fil » du guide de mise en œuvre, et assurez-vous de copier les scripts MSS du support de distribution vers le répertoire C:\MSSScripts de votre serveur.
Naviguez jusqu'au répertoire D:\IASLogs et recherchez un fichier bakuptest.txt. Si ce fichier n'existe pas, passez à l'étape suivante. Si vous trouvez un fichier backuptest.txt, supprimez-le. Le fichier backuptest.txt a été créé durant la tâche de configuration de la sauvegarde des répertoires de données IAS pour simuler la restauration d'un fichier-journal de requête IAS RADIUS, afin de valider les supports et la procédure de sauvegarde. Si vous préférez, vous pouvez restaurer les données réelles du fichier-journal de requêtes RADIUS depuis D:\IASLogs à la place. Notez toutefois que l'écrasement des données de fichier-journal peut entraîner une perte de données en cas de restauration partielle.
Ouvrez le module enfichable MMC du service d'authentification Internet (IAS), sélectionnez les propriétés de l'objet Service authentification Internet (local) et consultez l'onglet Général. Ajoutez (Test de restauration) dans le champ Description du serveur. Cliquez sur OK pour fermer la boîte de dialogue des propriétés IAS. La modification de la chaîne de description du serveur permet de tester la restauration des paramètres de configuration IAS. À l'issue de la restauration des paramètres de configuration IAS, la chaîne de description du serveur ne devrait pas être présente.
À l'aide du module enfichable MMC Internet Authentication Service (IAS), cliquez sur le dossier Clients RADIUS avec le bouton droit de la souris, puis sélectionnez Ajouter un client RADIUS. Tapez Test de restauration en guise de Nom convivial et saisissez 127.0.0.1 comme Adresse du client (IP ou DNS). Indiquez un mot de passe dans les champs Secret partagé et Confirmer le secret partagé correspondant au client RADIUS, puis cliquez sur Terminer. La création d'un nouveau client RADIUS sert à tester les supports et la procédure de restauration de client RADIUS. Après la restauration, le client RADIUS Test de restauration ne devrait pas être présent.
Munissez-vous des supports de sauvegarde que vous souhaitez tester (par exemple, la sauvegarde de la nuit précédente) de façon régulière et utilisez-les pour restaurer les données suivantes sur le disque dur du serveur :
D:\IASConfig\*.*
D:\IASLogs\BACKUPTEST.TXT
Attention : La restauration partielle du dossier D:\IASLogs complet sur un serveur de production risque d'écraser les données de fichier-journal de production RADIUS.
Exécutez la commande ci-dessous depuis une invite de commande pour restaurer vers la base de données IAS la configuration IAS précédemment enregistrée sous forme de fichiers texte. Veillez à identifier toute erreur ou alerte apparaissant durant l'exécution du script :
C:\MSSScripts\IASImport.bat
Remarque : les étapes suivantes nécessitent l'utilisation de la disquette ou de tout autre support amovible accessible en écriture, étiqueté « Clients RADIUS Clients pour le serveur MSS-IAS-01 », qui a été créé dans une étape précédente. Remplacez « MSS-IAS-01 » par le nom de votre serveur IAS. Veillez à utiliser le bon disque avec le serveur approprié pour éviter toute perte de données.
Munissez-vous de la disquette (ou de tout autre support amovible accessible en écriture) de configuration du client RADIUS correspondant à ce serveur et insérez-la dans le lecteur du serveur. Exécutez la commande ci-dessous depuis une invite de commande. Veillez à identifier toute erreur ou alerte apparaissant durant l'exécution du script :
C:\MSSScripts\IASClientImport.bat
Fermez et rouvrez le module enfichable MMC Internet Authentication Service (IAS), sélectionnez les propriétés de l'objet Service authentification Internet (local) et consultez l'onglet Général pour vous assurer que le texte (Test de restauration) n'apparaît plus dans le champ Description du serveur. Cliquez sur OK pour fermer la boîte de dialogue des propriétés IAS.
Sélectionnez le dossier Clients RADIUS et assurez-vous que le client RADIUS Test de restauration n'apparaît plus dans le champ de droite.
Tous les autres champs de configuration au sein du module enfichable MMC Internet Authentication Service (IAS) devraient afficher les paramètres antérieurs à la sauvegarde utilisée durant le test.
Rendez-vous dans le répertoire D:\IASLogs et assurez-vous que le fichier backuptest.txt est présent. Si les étapes de restauration de cette procédure ont été exécutées sur un serveur de production, demandez à un auditeur de sécurité IAS d'inspecter les fichiers-journaux afin de s'assurer qu'ils sont intacts et récents, au moins jusqu'au point de sauvegarde.
Restaurez les supports de sauvegarde et la disquette pour sécuriser le stockage.
Administration de la sécurité
L'administration de la sécurité est chargée de maintenir un environnement informatique sûr. La sécurité constitue un élément important de l'infrastructure de l'entreprise. Un système d'information basé sur une sécurité trop fragile, finira par connaître des failles de sécurité.
Accès aux journaux de requêtes IAS RADIUS
IAS peut enregistrer facultativement divers événements, en provenance de requêtes RADIUS de points d'accès sans fil, dans des journaux de requêtes RADIUS situés sur le disque dur du serveur. Les journaux RADIUS sont utiles pour diverses raisons y compris l'identification d'attaques potentielles du système et de tentatives d'accès non autorisées au réseau d'entreprise. Cette tâche couvre les méthodes d'examen des journaux de requêtes RADIUS, bien qu'une réflexion détaillée sur l'analyse des journaux de requêtes RADIUS dépasse l'objet de ce guide.
Toute une série de méthodes peut être utilisée pour analyser les journaux de requêtes RADIUS, qui sont stockés sous forme de texte au format IAS ou dans un format d'importation de base de données. Cette solution a opté pour le format d'importation de base de données pour les fichiers de consignation en raison de la relative simplicité d'importation de ces fichiers dans des applications gérant le texte délimité par des virgules. Les méthodes d'examen des journaux de requêtes IAS RADIUS sont les suivantes :
Parcourir directement les fichiers de consignation à l'aide de l'utilitaire IASPARSE, fourni dans les outils de support de Windows Server 2003. Cet outil étant généralement installé et exécuté sur le serveur IAS lui-même, une session de services distants Telnet ou Terminal Server est requise. Par défaut, cette solution n'est pas configurée pour prendre en charge cette méthode de visualisation des fichiers de consignation.
Importer les fichiers de consignation dans Microsoft Access 2002 depuis un ordinateur d'administration à distance. Cette méthode permet à un administrateur d'importer les journaux dans une table Microsoft Access pour effectuer des requêtes occasionnelles ou dans le cadre d'un schéma plus étendu de création de rapport et d'archivage. C'est cette méthode de visualisation des fichiers de consignation qui a été retenue par cette solution. Les clients professionnels seront peut-être intéressés par la consignation basée sur Microsoft SQL Server™ 2000, décrite ci-dessous.
Accéder aux informations de consignation par l'intermédiaire d'un cluster central SQL Server 2000 qui a répliqué les données sur le serveur IAS à l'aide d'une consignation basée sur MSDE 2000. La configuration de ce scénario est assez complexe, mais Microsoft propose un livre blanc et du code pour vous aider à mener ce processus à bien. Pour obtenir de l'aide sur le paramétrage de la consignation SQL de cette manière, veuillez consulter votre partenaire Microsoft ou contacter votre responsable de compte Microsoft, qui peut vous mettre en relation avec le partenaire approprié ou des spécialistes des services de conseil Microsoft.
| Responsable de cluster de rôle : | Sécurité |
| Fréquence : | Quotidiennement ou hebdomadairement, selon les exigences de sécurité. |
| Exigences de sécurité : | Être membre du groupe de sécurité IAS Security Auditors. |
| Dépendances : | Stockage sur disque pour le stockage temporaire des journaux de requêtes RADIUS |
| Technologie requise : | IASPARSE Microsoft Access Microsoft Excel |
Détail de la tâche
Dans cette solution, les journaux de requêtes RADIUS sont générés sur chaque serveur et stockés sur un volume de disque dédié aux fichiers de consignation. Les étapes permettant d'accéder à ces fichiers de consignation comprennent l'établissement d'une connexion réseau vers chaque serveur IAS et la révision puis la suppression des fichiers de consignation lorsqu'ils ne sont plus requis. Les serveurs IAS de cette solution sont configurés pour créer un nouveau fichier-journal de requêtes RADIUS chaque mois. Les administrateurs IAS peuvent modifier cet intervalle pour l'adapter à leurs besoins spécifiques.
La table que vous créez avec Access est mise en forme d'après le type de données contenu dans chaque champ. Bien que cet exemple vous montre comment créer une nouvelle table, vous pouvez également importer un journal dans une table existante.
Pour importer des fichiers-journaux de requêtes RADIUS dans Microsoft Access
Connectez-vous à une station d'administration en tant que membre du groupe de sécurité IAS Security Auditors Active Directory et définissez une connexion de lecteur vers un serveur à examiner, en exécutant la commande suivante dans une invite de commande. Veillez à remplacer MSS-IAS-01 par le nom de votre serveur IAS :
NET USE X: \\MSS-IAS-01\IASLogs
Recherchez le fichier journal correspondant au mois que vous souhaitez consulter en utilisant le nom du fichier de consignation ainsi que la date et l'heure de celui-ci. Le nom du fichier de consignation comporte un format de nommage intégrant la date de création du fichier. Faites une copie de la base de données que vous souhaitez importer et donnez-lui l'extension de fichier . txt.
Avant de créer la table, ajoutez l'intégralité des deux lignes indiquées dans le fichier texte « C:\MSSScripts\IASAccessPrep.txt » au début du fichier de consignation créé par IAS. La première ligne contient les noms d'attributs de chaque champ du journal, que Access utilise pour créer les noms de champ dans sa table. L'utilisation des noms d'attributs dans la table simplifie l'interprétation des entrées de journal. La seconde ligne est utilisée par Access pour définir le type de données approprié pour chaque colonne de la table. Après avoir importé le fichier journal, vous devriez supprimer ces entrées dans la table Access.
Dans Access 2002, cliquez sur Base de données vide. Indiquez un nom de fichier dans Fichier Nouvelle base de données, puis cliquez sur Créer une table en entrant des données. Cliquez sur Fichier, puis sur Données externes et enfin sur Importer.
Cliquez sur Importer, Types de fichiers, puis Fichiers texte. Ensuite, repérez le fichier journal IAS, sélectionnez-le et cliquez sur Importer. Dans l' Assistant Importation de texte, cliquez sur Avancé.
Cliquez sur Spécification d'importation :
Dans Format du fichier, cliquez sur Délimité.
Dans Séparateur de champ, sélectionnez la , (virgule).
Dans Délimiteur de texte, sélectionnez " (guillemet).
Dans Dates, heures et nombres, sélectionnez Années (quatre chiffres) et Zéros non significatifs, puis indiquez l' Ordre de date (par exemple MJA), le Délimiteur de date (par exemple / ou barre oblique ), le Délimiteur d'heure (par exemple : ou deux-points) et le Symbole décimal (par exemple . ou point) appropriés.
Dans la boîte de dialogue de l' Assistant Importation de texte, cliquez sur Suivant, sélectionnez Première ligne contient les noms des champs et cliquez sur Suivant. Sélectionnez Dans une nouvelle table et cliquez sur Suivant.
Laissez les valeurs par défaut dans Options des champs et cliquez sur Suivant. Cliquez sur Laisser Access ajouter une clé primaire, puis sur Suivant. Dans Importer vers la table, tapez le nom de la nouvelle table. Cliquez sur Terminer.
Dans la boîte de dialogue FileName:Database, sélectionnez le nom de votre base de données et cliquez sur Ouvrir pour voir la table.
Révision des entrées de journal des événements d'authentification IAS RADIUS
Les auditeurs de sécurité peuvent utiliser cette tâche périodiquement pour rechercher des tentatives d'accès non autorisées au réseau sans fil. Votre stratégie de sécurité interne peut imposer un examen régulier des événements d'authentification RADIUS dans le journal des événements, afin de détecter les tentatives d'authentification ou l'utilisation d'informations de certificats volés.
Cette tâche est facultative et figure uniquement ici pour les petites organisations dont le personnel informatique est peu nombreux et ayant choisi de désactiver les événements de réussite et de rejet IAS dans les journaux d'événements système. Cette tâche nécessite soit l'adhésion au groupe IAS Admins, soit l'adhésion directe au groupe Administrateurs local. Les tâches prévues pour cette solution permettent aux auditeurs de sécurité IAS de lire les événements d'authentification sur le partage IASLogs sans nécessiter l'intégralité des droits d'accès au serveur d'un administrateur.
| Responsable de cluster de rôle : | Sécurité |
| Fréquence : | Quotidiennement ou hebdomadairement, selon les exigences de sécurité. |
| Exigences de sécurité : | Adhésion au groupe IAS Admins ou Administrateurs local/Builtin |
| Dépendances : | Cette tâche est facultative et dépend des droits d'administrateur local pour le rôle d'auditeur de sécurité. |
| Technologie requise : | Observateur d'événements ou éventuellement EventCombMT du kit de ressources de Windows Server 2003 |
| Responsable de cluster de rôle : | Sécurité |
| Fréquence : | Mensuellement |
| Exigences de sécurité : | Adhésion au groupe de sécurité IAS Security Auditors d'Active Directory |
| Dépendances : | Support amovible pour stocker les fichiers de consignation RADIUS archivés |
| Technologie requise : | Commandes Windows natives |
| Responsable de cluster de rôle : | Support |
| Fréquence : | Lors du dépannage d'un problème utilisateur |
| Exigences de sécurité : | Être membre du groupe de sécurité Administrateurs local pour apporter des modifications aux paramètres du réseau local sans fil. |
| Dépendances : | Une connexion au réseau local peut être requise pour l'Assistance à distance durant le dépannage. |
| Technologie requise : | Windows XP Édition Professionnel |
| Responsable de cluster de rôle : | Support |
| Fréquence : | Si nécessaire lors du dépannage d'un problème client sur le réseau local sans fil. |
| Exigences de sécurité : | Être membre du groupe de sécurité Administrateurs local. |
| Dépendances : | Une connexion au réseau local peut être requise pour l'Assistance à distance durant le dépannage. |
| Technologie requise : | - Windows XP Édition Professionnel - Notepad.exe |
Détail de la tâche
Après l'exécution des commandes suivantes, réessayez le processus d'authentification et consultez les fichiers Eapol.log et Rastls.log du dossier %SystemRoot%\Tracing.
Pour activer le suivi sur les ordinateurs clients
Exécutez les commandes suivantes :
netsh ras set tracing eapol enabled
netsh ras set tracing rastls enabled
Pour désactiver le suivi sur les ordinateurs clients
Exécutez les commandes suivantes :
netsh ras set tracing eapol disabled
netsh ras set tracing rastls disabled
Remarque : le suivi consomme des ressources système et génère des fichiers de consignation, dont la taille augmente avec le temps. Veillez donc à désactiver le suivi lorsque le dépannage est terminé.
Vérification de la chaîne de nom de domaine sur les ordinateurs clients
Les ordinateurs clients ne peuvent pas effectuer de vérification de révocation de certificat au cours de l'authentification EAP - TLS mutuelle, car les emplacements de la liste de révocation de certificats ne sont généralement pas disponibles tant que l'accès n'est pas accordé. Les clients Windows possèdent par conséquent la possibilité de valider tout ou partie du nom de serveur dans le certificat présenté par le serveur IAS.
Si le client sans fil valide le certificat serveur (activé par défaut) et que vous avez saisi une valeur incorrecte pour le domaine du serveur IAS dans le champ Connect if the server name ends with, l'authentification va échouer. Exécutez cette tâche lors de la résolution de problèmes d'authentification client si vous avez choisi d'activer l'option Connexion à ces serveurs. Ce paramètre n'est pas activé dans cette solution car il risque de générer des boîtes de dialogue de réseau local sans fil pour les utilisateurs finaux. Windows XP Édition Professionnel SP1 est configuré avec cette option désactivée par défaut.
| Responsable de cluster de rôle : | Support |
| Fréquence : | À l'installation ou durant le dépannage de problèmes d'utilisateur sur le réseau local sans fil. |
| Exigences de sécurité : | Être membre du groupe de sécurité Administrateurs local. |
| Dépendances : | Connaître l'emplacement du domaine IAS. |
| Technologie requise : | Windows XP Édition Professionnel |
| Responsable de cluster de rôle : | Support |
| Fréquence : | Lors du dépannage de problèmes d'authentification client |
| Exigences de sécurité : | Adhésion au groupe de sécurité local des administrateurs IAS ou à un groupe doté de droits d'accès en lecture/écriture au journal des événements système. |
| Dépendances : | Approbation de l'adhésion au groupe de sécurité approprié par les administrateurs des services d'annuaire et le personnel de sécurité. |
| Technologie requise : | Module enfichable MMC d'observateur d'événements ou EventCombMT du kit de ressources de Windows Server 2003 |
| Responsable de cluster de rôle : | Support |
| Fréquence : | Si nécessaire lors du dépannage de problèmes de connexion client au réseau local sans fil. |
| Exigences de sécurité : | Être membre du groupe de sécurité Administrateurs local sur le serveur IAS. |
| Dépendances : | La génération de trafic réseau est requise durant le dépannage. |
| Technologie requise : | commande netsh Bloc-notes |
| Responsable de cluster de rôle : | Support |
| Fréquence : | Si nécessaire lors de la résolution des problèmes de connexion client sur le serveur IAS |
| Exigences de sécurité : | Être membre du groupe de sécurité Administrateurs local. |
| Dépendances : | Capacité de charge suffisante sur le serveur pour supporter la consignation supplémentaire. Besoins minimes d'espace disque sur le volume hébergeant le système d'exploitation. |
| Technologie requise : | REGEDIT Bloc-notes |
Détail de la tâche
La consignation des échecs de validation de certificats clients est un événement de canal sécurisé, non activé par défaut sur le serveur IAS.
- Activation de la consignation SChannel sur le serveur IAS
Vous pouvez activer des événements de canal sécurisé supplémentaires en modifiant la valeur de la clé de Registre suivante de 1 (type REG_DWORD, données 0x00000001 ) à 3 (type REG_DWORD, données 0x00000003 ) :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\EventLogging
Attention : Toute erreur d'édition du Registre peut sévèrement endommager votre système. Avant de modifier le Registre, sauvegardez les données importantes de votre ordinateur.
Veillez à désactiver la consignation SChannel lorsque vous avez terminé le dépannage.
Tâches d'optimisation de zone
L'optimisation de zone englobe les fonctions de gestion des services permettant de gérer les coûts, tout en maintenant ou en améliorant les niveaux de service. Ceci comprend l'étude des pannes/incidents, l'examen des structures de coût, l'évaluation du personnel, la disponibilité, l'analyse des performances et la prévision des capacités.
Cette section comporte des information ayant trait aux fonctions de gestion des services (SMF) ci-après :
- Gestion de la capacité
Aucune tâche n'appartient aux fonctions de gestion des services restantes :
Gestion des niveaux de service
Gestion financière
Gestion de la disponibilité
Gestion de la continuité des services informatiques
Gestion des effectifs
Gestion de la capacité
La gestion de capacité est le processus de planification, de calibrage et de contrôle de capacité des solutions de services de façon à satisfaire la demande des utilisateurs dans le cadre des niveaux de performance définis dans l'accord sur le niveau de service (SLA). Ceci nécessite des informations à propos des scénarios d'usage, modèles et caractéristiques de pic de charge de la solution de service, ainsi que sur les exigences de performances définies.
Détermination de la charge maximum du serveur IAS
Cette section fournit des informations sur la charge maximum probable du serveur IAS.
Les performances sont rarement source de problème pour les serveurs IAS RADIUS correctement calibrés et configurés. Les serveurs IAS RADIUS sont les plus sollicités aux heures de pic de charge, par exemple le matin quand beaucoup d'utilisateurs se connectent simultanément, brièvement après une panne réseau majeure, ou durant un incident de serveur RADIUS quand les points d'accès sans fil basculent vers un serveur de sauvegarde.
| Cluster de rôle : | Infrastructure |
| Fréquence : | Si nécessaire |
| Exigences de sécurité : | Aucune |
| Dépendances : | Aucune |
| Exigences technologiques : | Aucune |
| Type d'authentification | Authentifications par seconde |
|---|---|
| Nouvelles authentifications EAP - TLS | 36 |
| Nouvelles authentifications EAP - TLS avec prise en charge de carte de décharge | 50 |
| Authentifications avec reconnexion rapide | 166 |
| Cluster de rôle : | Infrastructure |
| Fréquence : | Si nécessaire |
| Exigences de sécurité : | Aucune |
| Dépendances : | Aucune |
| Exigences technologiques : | Aucune |
| Élément de configuration | Paramètre | Nom de variable |
|---|---|---|
| Nom DNS du domaine racine d'arborescence de Microsoft Active Directory | woodgrovebank.com | ForestRootDomain |
| Nom de domaine NetBIOS (Network basic input/output system) | WOODGROVEBANK | NBDomainName |
| Nom du serveur IAS principal | MSS-IAS-01 | PrimaryIAShostname |
| Nom du serveur IAS secondaire | MSS-IAS-02 | SecondaryIAShostname |
| Élément de configuration | Paramètre | Nom de la variable |
|---|---|---|
| [Comptes] Nom complet du groupe administratif qui contrôle la configuration du Service d'authentification Internet (IAS) | IAS Admins | IASAdminsGroup |
| [Comptes] Nom antérieur à Windows 2000 du groupe administratif qui contrôle la configuration du Service d'authentification Internet (IAS) | IAS Admins | IASAdminsNTGroup |
| [Comptes] Nom complet du groupe révisant les journaux de requêtes d'authentification et de comptabilisation IAS (Internet Authentication Service) pour des raisons de sécurité | IAS Security Auditors | IASSecAuditGroup |
| [Comptes] Nom antérieur à Windows 2000 du groupe révisant les journaux de requêtes d'authentification et de comptabilisation IAS (Internet Authentication Service) pour des raisons de sécurité | IAS Security Auditors | IASSecAuditNTGroup |
| [Comptes] Groupe global Active Directory contenant les utilisateurs nécessitant des certificats d'authentification 802.1x | AutoEnroll Client Authentication - User Certificate | EnrollUserCertGroup |
| [Comptes] Groupe global Active Directory contenant les ordinateurs nécessitant des certificats d'authentification 802.1x | AutoEnroll Client Authentication - Computer Certificate | EnrollComputerCertGroup |
| [Comptes] Groupe global Microsoft Active Directory contenant les serveurs IAS nécessitant des certificats d'authentification 802.1x | AutoEnroll RAS et IAS Server Authentication Certificate | EnrollIASCertGroup |
| [Comptes] Nom antérieur à Windows 2000 du groupe global Microsoft Active Directory contenant les serveurs IAS nécessitant des certificats d'authentification 802.1x | AutoEnroll RAS et IAS Server Authentication Certificate | EnrollIASCertNTGroup |
| [Comptes] Groupe global Active Directory contenant les utilisateurs autorisés à accéder au réseau sans fil | Remote Access Policy - Wireless Users | WLANUsersGroup |
| [Comptes] Groupe global Active Directory contenant les ordinateurs autorisés à accéder au réseau sans fil | Remote Access Policy - Wireless Computers | WLANComputersGroup |
| [Comptes] Groupe universel Active Directory contenant les groupes Wireless Users et Wireless Computers | Remote Access Policy - Wireless Access | WLANAccessGroup |
| [Comptes] Groupe global Active Directory contenant les ordinateurs exigeant la configuration des propriétés de réseau sans fil via la stratégie de groupe Active Directory. | Wireless Network Policy - Computer | WLANConfigPolicyGroup |
| [Certificats] Modèle de certificat utilisé pour générer des certificats pour l'authentification client des utilisateurs | Client Authentication - User | UserClientAuthTemplate |
| [Certificats] Modèle de certificat utilisé pour générer des certificats pour l'authentification client des ordinateurs | Client Authentication - Computer | ComputerClientAuthTemplate |
| [Certificats] Modèle de certificat utilisé pour générer des certificats d'authentification serveur destinés à être utilisés par IAS | RAS et IAS Server Authentication | IASServerCertificate |
| [Scripts] Chemin d'accès aux scripts d'installation | C:\MSSScripts | ScriptPath |
| [Scripts] Fichier de commandes d'exportation de configuration IAS | IASExport.bat | IASExportBatch |
| [Scripts] Fichier de commandes d'importation de configuration IAS | IASImport.bat | IASImportBatch |
| [Scripts] Fichier de commandes d'exportation de configuration client IAS | IASClientExport.bat | IASClientExportBatch |
| [Scripts] Fichier de commandes d'importation de configuration client IAS | IASClientImport.bat | IASClientImportBatch |
| [Config] Chemin d'accès des fichiers de sauvegarde de configuration | D:\IASConfig | ConfigPath |
| [Journaux de requêtes] Emplacement des journaux de requêtes d'authentification et d'audit IAS (Internet Authentication Service) | D:\IASLogs | IASRequestLogLocation |
| [Journaux de requêtes] Nom de partage des journaux de requêtes RADIUS | IASLogs | IASLogShare |
| [Stratégie d'accès distant] Nom de la stratégie | Allow Wireless Access | IASRAPName |
| [stratégie de groupe] Nom d'objet de stratégie de groupe Active Directory | Wireless Network Policy | GPONameForWLAN |
| [Stratégie de groupe] Stratégie de réseau sans fil au sein de l'objet Stratégie de groupe | Client Computer Wireless Configuration | ClientWLANPolicy |