Internetes hitelesítési szolgáltatás

Az Internetes hitelesítési szolgáltatás (IAS) egy RADIUS-kiszolgáló. Az IAS lehetővé teszi a felhasználók hitelesítésének, engedélyezésének és számlázásának központi kezelését, valamint a felhasználók hitelesítését Windows NT 4.0 vagy Windows 2000 tartományvezérlőn. A hálózati hozzáférést biztosító kiszolgálók (NAS) széles körét támogatja, többek között az Útválasztás és távelérés kiszolgálóját is. További tudnivalók Az IAS szolgáltatásai című témakörben olvashatók.

  • Feladatlisták
  • Gyakorlati tanácsok
  • Útmutató
  • Fogalmak
  • Hibaelhárítás


Feladatlisták

  • Feladatlista: Az IAS beállítása telefonos hálózati és VPN-hozzáféréshez
  • Feladatlista: Az IAS beállítása telefonos hozzáférés kihelyezésére


Feladatlista: Az IAS beállítása telefonos hálózati és VPN-hozzáféréshez

Lépés | Hivatkozás
Tekintse át a kulcsfogalmakat. | Fogalmak
Készítsen hitelesítési és számlázási tervet. | Gyakorlati tanácsok
Telepítse az IAS programot az elsődleges és a tartalék IAS-kiszolgálóra. | Az IAS telepítése
Állítsa be az elsődleges IAS-kiszolgáló tulajdonságait, köztük a tartományok, a portok és az eseménynaplózás kezelésének módját. | Az IAS tulajdonságainak beállítása
Adja hozzá ügyfélként a hálózati elérést biztosító kiszolgálókat (NAS) és, ha lehetséges, a Point-to-Point Tunneling protokoll (PPTP) kiszolgálókat az elsődleges IAS-kiszolgálóhoz. | Ügyfelek beállítása
Állítsa be az elsődleges IAS-kiszolgáló távelérési házirendjeit, beleértve a hitelesítés módját is. Távelérési házirendek beállítása;
Hitelesítési módszerek
Állítsa be a felhasználói hitelesítési és számlázási kérések naplózásának módszerét. Felhasználói hitelesítés és számlázás naplózásának beállítása
Másolja az IAS beállításait az elsődleges IAS-kiszolgálóról a tartalék kiszolgálóra. | Az IAS-beállítások másolása másik kiszolgálóra
Regisztrálja az elsődleges és a tartalék IAS-kiszolgálót az Active Directoryba a RAS- és IAS-kiszolgálók csoport tagjaként. | Az Active Directoryban található felhasználói objektumok megtekintésének engedélyezése az IAS-kiszolgáló számára
Ellenőrizze a NAS, és ha lehetséges, a PPTP-kiszolgáló RADIUS-számlázási és -hitelesítési beállításait annak biztosítására, hogy minden NAS kiszolgálón az IAS legyen a hitelesítő és a számlázási szolgáltató, és hogy a NAS hitelesítési módszerei megegyezzenek az IAS kiszolgálóéval. RADIUS-hitelesítés használata;
Távoli elérés;
A gyártó által kiadott dokumentáció
Ellenőrizze a NAS kiszolgálók megfelelő beállítását a telefonos, és ha lehetséges, a VPN-kapcsolathoz. Útválasztás és távelérés;
A gyártó által kiadott dokumentáció

Megjegyzés

  • További információt az IAS útválasztás és távelérés segítségével történő telepítéséről a Telefonos vállalati hozzáférés telepítési forgatókönyvben talál.


Feladatlista: Az IAS beállítása telefonos hozzáférés kihelyezésére

Lépés | Hivatkozás
Tekintse át a kulcsfogalmakat. | Fogalmak
Készítsen hitelesítési és számlázási tervet. | Gyakorlati tanácsok
Ellenőrizze, hogy a tűzfal beállításai megfelelőek-e az IAS számára. | Az IAS és a tűzfalak
Telepítse az IAS programot az elsődleges és a tartalék IAS-kiszolgálóra. | Az IAS telepítése
Állítsa be az elsődleges IAS-kiszolgáló tulajdonságait, köztük a tartományok, a portok és az eseménynaplózás kezelésének módját. | Az IAS tulajdonságainak beállítása
Adja hozzá ügyfélként az Internet-szolgáltató (ISP) RADIUS proxykiszolgálóit és a Point-to-Point Tunneling protokoll (PPTP) kiszolgálóit az elsődleges IAS-kiszolgálóhoz. Ügyfelek beállítása;
Forduljon az Internet-szolgáltatóhoz
Állítsa be az elsődleges IAS-kiszolgáló távelérési házirendjeit, beleértve a hitelesítés módját is. Távelérési házirendek beállítása;
Hitelesítési módszerek
Állítsa be a felhasználói hitelesítési és számlázási kérések naplózásának módszerét. Felhasználói hitelesítés és számlázás naplózásának beállítása;
Másolja az IAS beállításait az elsődleges IAS-kiszolgálóról a tartalék és a távoli IAS-kiszolgálóra. | Az IAS-beállítások másolása másik kiszolgálóra
Regisztrálja az elsődleges és a tartalék IAS-kiszolgálót az Active Directoryba a RAS- és IAS-kiszolgálók csoport tagjaként. | Az Active Directoryban található felhasználói objektumok megtekintésének engedélyezése az IAS-kiszolgáló számára
Ellenőrizze a PPTP-kiszolgáló RADIUS-számlázási és -hitelesítési beállításait annak biztosítására, hogy minden PPTP-kiszolgálón az IAS legyen a hitelesítő és a számlázási szolgáltató, és hogy a PPTP-kiszolgáló hitelesítési módszerei megegyezzenek az IAS-kiszolgálóéval. RADIUS-hitelesítés használata;
Távoli elérés;
A gyártó által kiadott dokumentáció
Ellenőrizze a PPTP-kiszolgálók megfelelő beállítását a VPN-kapcsolathoz. Virtuális privát hálózatok;
Útválasztás és távelérés vagy más,
a gyártó által kiadott dokumentáció
Ellenőrizze minden Internet-szolgáltató RADIUS proxykiszolgáló beállításait. | Forduljon az Internet-szolgáltatóhoz
Ellenőrizze, hogy a Csatlakozáskezelő szolgáltatásprofilok beállításai megfelelőek-e a vállalati hálózat elérésének támogatásához, és megfelelően működnek-e (a Csatlakozási pont szolgáltatás támogatásával, ahogyan kell). | Csatlakozáskezelő felügyeleti csomag

Megjegyzés

  • Az IAS kihelyezett telefonos hozzáférést használó környezetben történő telepítéséről a Kihelyezett vállalati hozzáférés külső szolgáltatókon keresztül című telepítési forgatókönyvben talál információt.


Gyakorlati tanácsok

Az alábbi elemek ajánlottak az IAS-rendszerhez.

Telepítési javaslatok

  • Telepítsen és teszteljen minden hálózati elérést biztosító kiszolgálót (helyi használattal), mielőtt RADIUS-ügyfélként használná azokat.
  • A telepítés és a beállítások végeztével – az IAS első indítása előtt – készítsen biztonsági másolatot az IAS adatbázisfájljáról (Ias.mdb). Az Ias.mdb fájl a rendszergyökér\System32\ias mappában található, ahol a rendszergyökér a Windows 2000 rendszerfájljait tartalmazó mappa, általában a C:\Winnt.

Fontos

  • Az IAS-adatbázisról javasolt biztonsági másolatot készíteni az IAS beállításainak megváltoztatásakor. Ha nem készít biztonsági másolatot, majd véletlenül töröl egy fájlt az IAS-mappából, vagy rendszerszintű hiba lép fel, az összes konfigurációs adat elveszhet.

Biztonsági intézkedések

Az IAS-kiszolgáló egy szervezet privát adatainak kommunikációját kezeli. Ez a fajta információ a számítógépes „kalózkodás” kedvelt célpontja, ezért meg kell bizonyosodnia arról, hogy az adat a illetéktelen külső és belső behatásoktól mentes. Az alábbi biztonsági intézkedések nélkülözhetetlenek:

  • Az IAS programot olyan számítógépre telepítse, amely dedikált Remote Authentication Dial-In User Service (RADIUS) kiszolgáló, ezzel kizárva annak lehetőségét, hogy illetéktelen felhasználók férjenek hozzá a rendszerhez.
  • Az IAS számítógépet fizikailag is védje. A hálózati kapcsolót lássa el biztonsági kapcsolóval, és korlátozza a számítógép fizikai hozzáférhetőségét.
  • Az IAS-kiszolgálót tűzfallal is védje. Tűzfal beállításakor győződjön meg róla, hogy a RADIUS-hitelesítésre és -számlázásra használt portok nyitva vannak, és engedélyezze az UDP-csomagok átvitelét.
  • Használjon hosszú közös titkot. Minél hosszabb a titok, annál biztonságosabb.
  • Kapcsolja be az fiókzárolás szolgáltatást. További információt a Fiókzárolás című témakörben talál.
  • A hálózati elérést biztosító kiszolgálót úgy is beállíthatja, hogy az először megpróbálja felépíteni a kapcsolatot a legbiztonságosabb protokoll használatával, majd a következő, kevésbé biztonságos segítségével, és így tovább egészen a legkevésbé biztonságos protokollig. Egy NAS kiszolgáló például megkísérelheti létrehozni a kapcsolatot az EAP, majd az MS-CHAP, végül a CHAP protokoll segítségével.
  • Tiltson le minden olyan hitelesítési protokollt, melyet a felhasználók nem használnak.

Fontos

  • A Microsoft nem javasolja a PAP és LAN Manager protokollok használatát hitelesítésre, kivéve, ha mindenképpen támogatnia kell örökölt szoftvereket futtató ügyfeleket, és a felhasználóknak semmilyen egyéb lehetőségük nincsen más protokollal történő hitelesítésre.

Naplózás

Az IAS naplózási képességeinek leghatékonyabb kihasználása érdekében tegye a következőket:

  • Első lépésként kapcsolja be mind a hitelesítési, mind a számlázási rekordok naplózását. Módosítsa ezeket a kijelöléseket az adott környezet igényeinek megfelelően.
  • Győződjön meg róla, hogy az eseménynaplózás kapacitása elegendő a naplók kezeléséhez. Alapértelmezett értéke 512 kB, ennek legalább kétszeresére kell állítani, a konfigurációtól függően.
  • Minden naplófájlról rendszeresen készítsen biztonsági másolatot, mivel a sérült vagy törölt naplók nem hozhatók újra létre.
  • A class attribútum segítségével nyomon követhető a használat, és leegyszerűsíthető annak az osztálynak vagy felhasználónak az azonosítása, melyre a használat költségét terhelni kell. Bár a class attribútum minden kérés esetén egyedi, többszörözött rekordok létrejöhetnek olyan esetben, amikor a NAS kiszolgálóhoz irányuló válasz elvész, és az újraküldi a kérést. A nyomon követési folyamat megvalósításától függően szükség lehet a többszörözött kérések törlésére a naplóból, a használat pontos nyomon követéséhez.

Az IAS teljesítményének hangolása nagy szervezetekben való használatra

  • Az IAS a Windows 2000 tartományokban a globális katalógus segítségével hitelesíti a felhasználókat. A késleltetés csökkentése érdekében az IAS programot a globáliskatalógus-kiszolgálóhoz közeli kiszolgálóra telepítse. További információt a globáliskatalógus-kiszolgálókról a Globális katalógus című témakörben talál.
  • Ha a távelérési házirendek segítségével korlátozza néhány kivételével az összes csoport hozzáférését, hozzon létre egy univerzális csoportot azon felhasználók számára, akiknek elérést kíván biztosítani, majd hozzon létre egy távelérési házirendet, mely hozzáférést biztosít az univerzális csoport számára. A felhasználókat ne adja közvetlenül az univerzális csoporthoz, különösen sok felhasználó esetén. Az univerzális csoporton belül hozzon létre alcsoportokat, és ezekhez adja a felhasználókat. Az univerzális csoportokról további információt az Univerzális, globális és tartományszintű helyi csoportok című témakörben talál. Windows 2000 csoportok hozzáférési jogainak megadásáról és korlátozásáról további információt a Csatlakozás engedélyezése csoporttagság alapján című témakörben talál.
  • Amikor csak lehetséges, a felhasználókra hivatkozzon egyszerű felhasználónévvel. A felhasználónak lehet ugyanaz az egyszerű felhasználóneve attól függetlenül, hogy melyik tartományhoz tartozik. Ez közvetve bővíthetőséget biztosít, melyre sok tartománnyal rendelkező szervezetek esetében lehet szükség.
  • Ha az IAS-kiszolgáló másodpercenként nagy számú hitelesítési kérést fogad, az átvitel javítható az IAS-kiszolgáló és a tartományvezérlő közötti, egyidejűleg folyamatban lévő hitelesítési hívások számának növelésével.

    Ehhez módosítsa a következő rendszerleíró kulcsot: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters. Adjon hozzá egy új, MaxConcurrentApi nevű értéket, és rendeljen hozzá egy 2 és 5 közötti számot. További információt a rendszerleíró kulcs értékadásáról az Érték hozzáadása című témakörben talál.

    • Fontos

    • A rendszerleíró adatbázis nem megfelelő módosítása súlyosan károsíthatja a rendszert. Mielőtt módosítaná a rendszerleíró adatbázist, készítsen biztonsági másolatot a számítógépen található fontosabb adatokról.

Megjegyzések

  • Ha túl nagy értéket rendel a MaxConcurrentAPI-hoz, az IAS-kiszolgáló túlságosan leterheli a tartományvezérlőt.
  • Ha Windows 2000 Advanced Server rendszerrel rendelkezik, használhatja a Hálózati terhelésmegosztás összetevőt (korábban WLBS) a bejövő hozzáférési kérések szétosztására több IAS-kiszolgáló között. Nagy forgalom esetén ez jobb teljesítményt eredményez.


Útmutató

  • Az IAS telepítése
  • Az IAS-beállítások másolása másik kiszolgálóra
  • Visszafejthetően titkosított jelszavak engedélyezése a tartományokban
  • Az Active Directoryban található felhasználói objektumok megtekintésének engedélyezése az IAS-kiszolgáló számára
  • Az IAS szolgáltatás elindítása vagy leállítása
  • Az IAS tulajdonságainak beállítása
  • Ügyfelek beállítása
  • A távelérés házirendjeinek konfigurálása
  • Felhasználói hitelesítés és számlázás naplózásának beállítása


Az IAS telepítése

  1. Helyezze be a Windows 2000 Server CD-t, és indítsa el a telepítőprogramot.
  2. Kattintson a Bővítések telepítése parancsra, majd a Windows-összetevők hozzáadása/eltávolítása gombra.
  3. Az Összetevők listában kattintson a Hálózati szolgáltatások elemre (de a jelölőnégyzet jelölését ne módosítsa), majd kattintson a Részletek gombra.
  4. Jelölje be az Internetes hitelesítési szolgáltatás jelölőnégyzetet, majd kattintson az OK gombra.
  5. Kattintson a Tovább gombra.


Az IAS-beállítások másolása másik kiszolgálóra

  1. A parancssorba írja be a következőt: netsh aaaa show config <elérési út>\file.txt. Ennek hatására a rendszer a konfigurációs beállításokat (a rendszerleíró adatbázis beállításait is beleértve) egy szövegfájlba menti. Az elérési út lehet relatív, abszolút, vagy univerzális elnevezési konvenció (UNC) szerint megadott út.
  2. A létrehozott fájlt másolja át a célszámítógépre, és a célszámítógép parancssorába írja be a következőt: netsh exec <elérési út>\file.txt. A parancs végrehajtása után egy üzenet jelzi, hogy a frissítés sikerült-e.

Megjegyzések

  • A netsh exec parancs futtatásához nem szükséges a célszámítógépen leállítani az IAS szolgáltatást. A parancs lefutása után a rendszer automatikusan frissíti az IAS szolgáltatást a konfigurációs beállításokkal.
  • Ha a forrás- és célszámítógépen a Windows 2000 két különböző változata fut, az eljárás nem használható.
  • A fenti eljárás az IAS, a távelérési házirend, a rendszerleíró adatbázis és a naplózás összes beállítását replikálja.

Kapcsolódó témakörök


Az Active Directoryban található felhasználói objektumok megtekintésének engedélyezése az IAS-kiszolgáló számára

  1. Jelentkezzen be az IAS-kiszolgálóra olyan fiókkal, amely tartománygazdai hitelesítő adatokkal rendelkezik.
  2. Nyissa meg az Internetes hitelesítési szolgáltatást.
  3. Kattintson az egér jobb gombjával az Internetes hitelesítési szolgáltatás elemre, majd kattintson a Szolgáltatás regisztrálása az Active Directoryba parancsra. Az Az Internet Authentication Service regisztrálása az Active Directoryba párbeszédpanelen kattintson az OK gombra.

Megjegyzések

  • Az IAS megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • Ez az eljárás csak az alapértelmezett tartományhoz adja hozzá az IAS-kiszolgálót. Más tartományokhoz az IAS-kiszolgálót kézzel kell hozzáadni, a következőképpen:
    1. Jelentkezzen be a kiszolgálóra tartománygazdai hitelesítő adatok használatával.
    2. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory – felhasználók és számítógépek parancsra.
    3. Kattintson a konzolfa Felhasználók elemére.
    4. A jobb oldali ablaktáblában kattintson az egér jobb gombjával a RAS és IAS kiszolgálók elemre, majd kattintson a Tulajdonságok parancsra.
    5. A RAS- és IAS- kiszolgálók tulajdonságai párbeszédpanel Tagok lapján adjon hozzá minden IAS-kiszolgálót.
  • A szolgáltatás Active Directoryba történő regisztrálása után érdemes ellenőrizni a biztonsági beállításokat. További tájékoztatásért kattintson a Kapcsolódó témakörök hivatkozásra.
  • További részletes információt arról, hogyan működhet egy IAS- vagy egy Útválasztás és távelérés kiszolgáló önálló Windows 2000 kiszolgálóként, Windows NT 4.0 tartomány, illetve vegyes vagy natív módú Windows 2000 tartomány tagkiszolgálójaként, a Kapcsolódó témakörök hivatkozásra kattintva talál.

Kapcsolódó témakörök


Az IAS szolgáltatás elindítása vagy leállítása

  1. Nyissa meg az Internetes hitelesítési szolgáltatás ablakot.
  2. Jobb gombbal kattintson Internetes hitelesítési szolgáltatás elemre, majd kattintson a Szolgáltatás indítása parancsra.

    A szolgáltatás leállításához kattintson a Szolgáltatás leállítása parancsra.

Megjegyzés

  • Az IAS megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.


Az IAS tulajdonságainak beállítása

  • Az IAS-port információinak beállítása
  • Tartományhelyettesítés konfigurálása az IAS-ben
  • Az IAS eseménynaplózásának beállítása


Az IAS-port információinak beállítása

  1. Nyissa meg az Internetes hitelesítési szolgáltatás ablakot.
  2. Kattintson jobb gombbal az Internetes hitelesítési szolgáltatás elemre, majd kattintson a Tulajdonságok parancsra.
  3. Kattintson a RADIUS lap fülére, majd nézze meg, hogy hogyan vannak beállítva a portok. Ha a RADIUS-hitelesítéshez és a RADIUS-számlázáshoz használt UDP-portoknak a Hitelesítés és Számlázás mezőkben található értékei eltérnek az alapértelmezett értékektől (hitelesítés: 1812,1645; számlázás: 1813,1646), írja be a portok beállításait.

    Ha több portbeállítást is használni kíván a kérések hitelesítéséhez és számlázásához, vesszőkkel válassza el egymástól a portokat.

Megjegyzések

  • A IAS szolgáltatásablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • Távoli IAS szolgáltatás konfigurálásához rendszergazdai jogokkal kell rendelkeznie a távelérésű kiszolgálón.
  • A hitelesítésre vonatkozó 1812-es érték és a számlázásra vonatkozó 1813-as érték a jelenlegi RADIUS-szabvány. Sok hálózati kiszolgáló azonban alapértelmezés szerint az 1645-ös portot használja a hitelesítési kérésekhez és az 1646-os portot a számlázási kérésekhez. Bármelyik portot is használja, győződjön meg róla, hogy az IAS- és a NAS-kiszolgáló ugyanazon portot használja.

Kapcsolódó témakörök


Tartományhelyettesítés konfigurálása az IAS-ben

  1. Nyissa meg az Internetes hitelesítési szolgáltatás ablakot.
  2. Kattintson jobb gombbal az Internetes hitelesítési szolgáltatás elemre, majd kattintson a Tulajdonságok parancsra.
  3. Kattintson a Tartományok fülre.
  4. A tartományra vonatkozó információ módosításához tegye az alábbiak egyikét:
    • A Tartományok lapon lévő listán szereplő tartományhelyettesítés eltávolításához jelölje ki a helyettesítést, majd kattintson az Eltávolítás gombra.
    • A Tartományok lapon lévő listán szereplő tartományhelyettesítés módosításához kattintson a Szerkesztés gombra, majd végezze el a kívánt módosításokat.
    • Ha tartományt kíván hozzáadni a listához, kattintson a Hozzáadás gombra, majd írja be a Keresés mezőbe a mintát, amelyet cserélni kíván (a megfelelő elválasztó karakterekkel), majd a Csere mezőbe írja be azt a karakterláncot, amelyre cserélni kívánja.
    • A felhasználónévből oly módon törölheti a tartományt, hogy a Csere mezőt üresen hagyja.

Megjegyzések

  • Az IAS megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • Az IAS szolgáltatás minden tartománycserélő szabályt végrehajt, ezért győződjön meg róla, hogy minden helyettesítés a megfelelő sorrendben van. Ha például valaki a valaki@elektronikus néven jelentkezik be, és az első szabály az @elektronikus tartományt a valaki@elektronikus.co.hu tartományra cseréli, a második szabály pedig a valaki@elektronikus.co.hu tartományt a valaki@elektronikus.com tartományra cseréli, akkor az IAS a hitelesítési kérést valaki@elektronikus.com formában fogja továbbítani.
  • A tartománynévben szereplő eredeti név nem lehet üres. A helyettesítési karakterlánc lehet üres. Mindkét karakterlánc bármely nyomtatható karaktert tartalmazhat.

Kapcsolódó témakörök


Az IAS eseménynaplózásának beállítása

  1. Nyissa meg az Internetes hitelesítési szolgáltatás ablakot.
  2. Kattintson jobb gombbal az Internetes hitelesítési szolgáltatás (IAS) elemre, majd kattintson a Tulajdonságok parancsra.
  3. A Szolgáltatás lapon jelöljön be minden szükséges beállítást, majd kattintson az OK gombra.

Megjegyzések

  • Az IAS megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • A Sikeres hitelesítési kérelmek naplózása jelölőnégyzet bejelölése nagyon sok adat naplózását eredményezheti. Mielőtt bejelöli ezt a beállítást, győződjön meg arról, hogy az Eseménynapló naplómérete maximálisra van beállítva, hogy beleférjen ez a fajta eseménynaplózás.

Kapcsolódó témakörök


Ügyfelek beállítása

  • RADIUS-ügyfelek regisztrálása


RADIUS-ügyfelek regisztrálása

  1. Nyissa meg az Internetes hitelesítési szolgáltatást.
  2. Jobb gombbal kattintson az Ügyfelek elemre, majd kattintson az Új ügyfél parancsra.
  3. A Rövid név mezőbe írjon be egy leíró nevet.
  4. Kattintson a Protokoll legördülő lista RADIUS pontjára, majd a Tovább gombra.
  5. Az Ügyfél címe (IP vagy DNS) mezőbe írja be az ügyfél DNS-nevét vagy IP-címét. DNS-név használata esetén kattintson az Ellenőrzés gombra. A DNS-név azonosítása párbeszédpanelen kattintson az Azonosítás gombra, majd jelölje ki A keresés eredménye legördülő listában azt az IP-címet, melyhez a nevet társítani kívánja.
  6. Ha az ügyfél egy NAS kiszolgáló és a NAS-specifikus távelérési házirendeket (például egy szállítóspecifikus attribútumokat tartalmazó távelérési házirendet) konfigurációs célból kívánja használni, kattintson az Ügyfél-szállító legördülő menüre, és válassza ki a gyártó nevét. Ha nem tudja a gyártó nevét vagy az nincs a listában, kattintson a RADIUS szabvány elemre.
  7. A Közös titok mezőbe írja be az ügyfél közös titkát, majd tegye meg ezt még egyszer a Közös titok megerősítése mezőbe is.
  8. Ha a NAS kiszolgáló támogatja a digitális aláírás ellenőrzésre történő használatát (PAP, CHAP, vagy MS-CHAP protokoll segítségével), jelölje be Az ügyfeleknek mindig el kell küldeniük az aláírás-attribútumokat jelölőnégyzetet. Ha a NAS kiszolgáló nem támogatja a digitális aláírást a PAP, CHAP vagy MS-CHAP protokollhoz, a jelölőnégyzetet ne jelölje be.

Megjegyzések

  • Az IAS megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • Ha az IAS egy RADIUS proxykiszolgálótól kap hozzáférési kérést, az IAS nem ismeri fel a kérést kezdeményező NAS kiszolgáló gyártóját. Ez problémákat okozhat, ha a hitelesítési feltételeket az ügyfél-szállítóra alapozva kívánja használni, és van legalább egy RADIUS proxykiszolgálóként definiált ügyfele.
  • A jelszavakban (közös titkokban) különbséget kell tenni a kis- és nagybetűk között. Győződjön meg róla, hogy az ügyfél közös titka és az ebbe a mezőbe beírt közös titok megegyezik, és megfelel a jelszó szabályainak. További tájékoztatásért kattintson a Kapcsolódó témakörök hivatkozásra.
  • Ha az ügyfél címe az Ellenőrzés gombra kattintással nem oldható fel, győződjön meg róla, hogy a beírt DNS-név helyes-e.
  • A RADIUS-ügyfelek részére megadott rövid név használható a távelérési házirendekben hozzáférés korlátozására.

Kapcsolódó témakörök


A távelérés házirendjeinek konfigurálása

  • Távelérés házirendjének hozzáadása
  • Hozzáférés engedélyezése vagy tiltása távelérési házirend beállításával
  • Feltétel beállítása távelérés házirendjéhez
  • Profil beállítása távelérés házirendjéhez
  • Házirendek fontossági sorrendjének módosítása
  • Távelérés házirendjének átnevezése
  • Távelérés házirendjének törlése


Távelérés házirendjének hozzáadása

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, és ha szükséges, kattintson duplán az Útválasztás és távelérés elemre és a kiszolgáló nevére.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, kattintson duplán az Internetes hitelesítési szolgáltatás elemre.
  2. Az egér jobb oldali gombjával kattintson a konzolfán a Távelérés házirendjei elemre, majd kattintson az Új távelérési házirend parancsra.
  3. A Távelérési házirend hozzáadása párbeszédpanelen, a A házirend rövid neve mezőbe írja a házirend nevét.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.

Kapcsolódó témakörök


Hozzáférés engedélyezése vagy tiltása távelérési házirend beállításával

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, és ha szükséges, kattintson duplán az Útválasztás és távelérés elemre és a kiszolgáló nevére.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, kattintson duplán az Internetes hitelesítési szolgáltatás elemre.
  2. Kattintson a konzolfa Távelérés házirendjei elemére.
  3. A részleteket megjelenítő ablaktáblában kattintson jobb gombbal a beállítani kívánt házirendre, majd kattintson a Tulajdonságok parancsra.
  4. A Ha a felhasználó teljesíti a fenti feltételeket területen tegye a következők egyikét:
    • A telefonos kapcsolat engedélyezéséhez jelölje be a Kapjon távelérési engedélyt választógombot.
    • A telefonos kapcsolat tiltásához jelölje be a Ne kapjon távelérési engedélyt választógombot.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • A Távelérési engedély beállítása a felhasználói objektumon hatálytalanítja ezt a beállítást, akár a Kapjon távelérési engedélyt akár a Ne kapjon távelérési engedélyt választógomb van bejelölve.


Feltétel beállítása távelérés házirendjéhez

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, majd a konzolfa kibontásához kattintson duplán az Útválasztás és távelérés elemre, utána pedig a kiszolgáló nevére.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, kattintson duplán az Internetes hitelesítési szolgáltatás elemre.
  2. Kattintson a konzolfa Távelérés házirendjei elemére.
  3. A részletek ablaktáblában kattintson jobb gombbal a beállítani kívánt házirendre, majd kattintson a Tulajdonságok parancsra.
  4. Új feltétel beállításához kattintson a Hozzáadás gombra és tegye a következőket:
    • Az Attribútum kiválasztása párbeszédpanelen válassza ki a hozzáadni kívánt attribútumot, majd kattintson a Hozzáadás gombra.
    • Az attribútum párbeszédpaneljén adja meg az attribútum beállításait, majd kattintson az OK gombra.
  5. Meglévő feltétel beállításainak megváltoztatása:
    • Kattintson a módosítani kívánt feltételre, majd a Szerkesztés gombra.
    • Az attribútum párbeszédpaneljén adja meg a kívánt beállításokat, majd kattintson az OK gombra.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.


Profil beállítása távelérés házirendjéhez

  • Behívási megkötések konfigurálása
  • IP-beállítások konfigurálása
  • Multilink-beállítások konfigurálása
  • Hitelesítés konfigurálása
  • Titkosítás konfigurálása
  • Profil attribútumainak beállítása


Behívási megkötések konfigurálása

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, majd a konzolfa kibontásához kattintson duplán az Útválasztás és távelérés elemre, utána pedig a kiszolgáló nevére.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, kattintson duplán az Internetes hitelesítési szolgáltatás elemre.
  2. Kattintson a konzolfa Távelérés házirendjei elemére.
  3. A részleteket megjelenítő ablaktáblában kattintson jobb gombbal a beállítani kívánt távelérési házirendre, majd kattintson a Tulajdonságok parancsra.
  4. Kattintson a Profil szerkesztése gombra.
  5. A Behívási megkötések lapon adja meg a kívánt beállításokat.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • A behívási megkötések a legtöbb hálózati hozzáférést biztosító kiszolgálón működnek, de előfordulhat, hogy egyes NAS kiszolgálók nem támogatják a behívási megkötések engedélyezéséhez szükséges RADIUS-attribútumokat. További tudnivalók a NAS kiszolgáló dokumentációjában találhatók.


IP-beállítások konfigurálása

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, és ha szükséges, kattintson duplán az Útválasztás és távelérés elemre és a kiszolgáló nevére.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, kattintson duplán az Internetes hitelesítési szolgáltatás elemre.
  2. Kattintson a konzolfa Távelérés házirendjei elemére.
  3. A részleteket megjelenítő ablaktáblában kattintson jobb gombbal a beállítani kívánt távelérési házirendre, majd kattintson a Tulajdonságok parancsra.
  4. Kattintson a Profil szerkesztése gombra.
  5. Az IP lapon adja meg a kívánt beállításokat.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.


Multilink-beállítások konfigurálása

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, és ha szükséges, kattintson duplán az Útválasztás és távelérés elemre és a kiszolgáló nevére.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, kattintson duplán az Internetes hitelesítési szolgáltatás elemre.
  2. Kattintson a konzolfa Távelérés házirendjei elemére.
  3. A részleteket megjelenítő ablaktáblában kattintson jobb gombbal a beállítani kívánt távelérési házirendre, majd kattintson a Tulajdonságok parancsra.
  4. Kattintson a Profil szerkesztése gombra.
  5. A Multilink lapon adja meg a kívánt beállításokat.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.


Hitelesítés konfigurálása

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, és ha szükséges, kattintson duplán az Útválasztás és távelérés elemre és a kiszolgáló nevére.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, kattintson duplán az Internetes hitelesítési szolgáltatás elemre.
  2. Kattintson a konzolfa Távelérés házirendjei elemére.
  3. A részleteket megjelenítő ablaktáblában kattintson jobb gombbal a beállítani kívánt házirendre, majd kattintson a Tulajdonságok parancsra.
  4. Kattintson a Profil szerkesztése gombra.
  5. A Hitelesítés lapon adja meg a kívánt beállításokat.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • Adott hitelesítési protokollok konfigurálására vonatkozó további információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Titkosítás konfigurálása

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, és ha szükséges, kattintson duplán az Útválasztás és távelérés elemre és a kiszolgáló nevére.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, kattintson duplán az Internetes hitelesítési szolgáltatás elemre.
  2. Kattintson a konzolfa Távelérés házirendjei elemére.
  3. A részleteket megjelenítő ablaktáblában kattintson jobb gombbal a beállítani kívánt távelérési házirendre, majd kattintson a Tulajdonságok parancsra.
  4. Kattintson a Profil szerkesztése gombra.
  5. A Titkosítás lapon adja meg a kívánt beállításokat.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.


Profil attribútumainak beállítása

  • RADIUS-attribútumok hozzáadása távelérés házirendjéhez
  • Szállítóspecifikus attribútumok beállítása távelérési házirendhez


RADIUS-attribútumok hozzáadása távelérés házirendjéhez

  1. Az IAS programban kattintson a Távelérés házirendjei elemre.
  2. Az egér jobb gombjával kattintson arra a házirendre, melyhez a RADIUS-attribútumot konfigurálni kívánja, majd kattintson a Tulajdonságok parancsra.
  3. Kattintson a Profil szerkesztése gombra, majd a Speciális fülre, végül pedig a Hozzáadás gombra.
  4. A rendelkezésre álló RADIUS-attribútumok listájában kattintson duplán arra az attribútumra, melyet a profilhoz hozzá kíván adni. A Többértékű attribútuminformáció párbeszédpanelen kattintson a Hozzáadás gombra.
  5. Az Attribútum értéke párbeszédpanelen adja meg az értéket az alábbi táblázat szerint, majd kattintson az OK gombra. Ha az attribútumhoz új értéket kíván adni, kattintson ismét a Hozzáadás gombra, majd állítsa be az attribútumot.
Ha az attribútum formátuma | Az attribútum értéke | Azonos formátumú attribútumok
Integer | Írja be a NAS kiszolgáló dokumentációjában megadott értéket. | Acct-Interim-Interval.
Enumerator | Jelöljön ki egy értéket a listáról. | Framed-Protocol.
InetAddr | Írja be az attribútumban meghatározandó IP-címet. | Framed-IP-Netmask.
Octet String | Írjon be egy karakterláncot vagy egy hexadecimális értéket. | Tunnel-Password.
String | Írjon be egy karakterláncot. | Reply-Message.

Kapcsolódó témakörök


Szállítóspecifikus attribútumok beállítása távelérési házirendhez

  1. Nyissa meg az Internetes hitelesítési szolgáltatás ablakot.
  2. Az IAS ablakban kattintson a Távelérés házirendjei elemre.
  3. Az egér jobb gombjával kattintson arra a házirendre, amelyhez a szállítóspecifikus attribútumot (VSA-t) be kívánja állítani, majd kattintson a Tulajdonságok parancsra.
  4. Kattintson a Profil szerkesztése gombra, majd a Speciális fülre, végül pedig a Hozzáadás gombra.
  5. Nézze meg a listában, hogy a kívánt szállítóspecifikus attribútum szerepel-e a rendelkezésre álló RADIUS-attribútumok között. Ha igen, kattintson rá duplán, majd állítsa be a NAS kiszolgáló dokumentációjában megadottak szerint. Amennyiben a szállítóspecifikus attribútum nincs a rendelkezésre álló RADIUS-attribútumok listájában, tegye a következőt:
    1. Kattintson duplán a Vendor-Specific elemre, majd kattintson a Hozzáadás gombra.
    2. Adja meg a hálózati elérést biztosító (NAS) kiszolgáló szállítóját.

      Ha a NAS kiszolgáló szállítóját listából való kiválasztással kívánja megadni, jelölje be a Kiválasztás választógombot, majd a listából válassza ki azon NAS kiszolgáló szállítójának nevét, amelyhez a VSA-t konfigurálni kívánja. Ha az Útválasztás és távelérés szolgáltatást használja NAS kiszolgálóként, kattintson a Microsoft bejegyzésre. Ha a szállító nem szerepel a listában, a szállítókód begépelésével adja meg a szállítót.

      Ha a NAS kiszolgáló szállítóját a szállítókód beírásával kívánja megadni, jelölje be a Szállítókód megadása választógombot, majd írja be a szállítókódot a megfelelő mezőbe. (Ha nem ismeri az Ön által használt NAS kiszolgáló szállítójának kódját, tekintse meg az SMI Network Management Private Enterprise Codes-okat tartalmazó, 1007. számú IETF RFC-dokumentumot.)

    3. Adja meg, hogy az attribútum megfelel-e a szállítóspecifikus attribútumokra vonatkozó RADIUS RFC szabványnak. Ha nem tudja, nézzen utána a NAS kiszolgáló dokumentációjában.
      • Ha az attribútum megfelel a specifikációnak, jelölje be az Igen, megfelel. választógombot, majd kattintson az Attribútum konfigurálása gombra.
        1. A Szállító által kijelölt attribútumszám mezőbe írja be az attribútumhoz rendelt számot (ez egy 0 és 255 közötti egész szám kell, hogy legyen).
        2. Az Attribútum formátuma mezőben adja meg az attribútum formátumát, majd az Attribútum értéke mezőbe írja be az attribútumhoz rendelni kívánt értéket.
      • Ha az attribútum nem felel meg a specifikációnak, jelölje be a Nem, nem felel meg. választógombot, majd kattintson az Attribútum konfigurálása gombra. A Hexadecimális attribútumérték mezőbe írja be az attribútum értékét.

Megjegyzések

  • Az IAS megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • A RADIUS RFC szabványnak megfelelő és nem megfelelő szállítóspecifikus attribútumok beállításával kapcsolatos példák megtekintéséhez kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Házirendek fontossági sorrendjének módosítása

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, és ha szükséges, kattintson duplán az Útválasztás és távelérés elemre és a kiszolgáló nevére.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, kattintson duplán az Internetes hitelesítési szolgáltatás elemre.
  2. Kattintson a konzolfa Távelérés házirendjei elemére.
  3. A részleteket megjelenítő ablaktáblában kattintson a jobb gombbal a kívánt házirendre, majd a házirend egy szinttel felfelé történő mozgatáshoz kattintson a Fel, egy szinttel történő lefelé mozgatásához pedig a Le gombra.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.


Távelérés házirendjének átnevezése

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, és ha szükséges, bontsa ki az Útválasztás és távelérés elemet és a kiszolgálónevet.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, bontsa ki az Internetes hitelesítési szolgáltatás elemet.
  2. Kattintson a konzolfa Távelérés házirendjei elemére.
  3. A részleteket megjelenítő ablaktáblában kattintson jobb gombbal a beállítani kívánt házirendre, majd kattintson az Átnevezés parancsra.
  4. Írja be az új nevet, és nyomja le az ENTER-t.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Internetes hitelesítési szolgáltatás parancsra


Távelérés házirendjének törlése

  1. Tegye a következők egyikét:
    • Nyissa meg az Útválasztás és távelérés ablakot, és ha szükséges, kattintson duplán az Útválasztás és távelérés elemre és a kiszolgáló nevére.
    • Nyissa meg az Internetes hitelesítési szolgáltatás ablakot, és ha szükséges, kattintson duplán az Internetes hitelesítési szolgáltatás elemre.
  2. Kattintson a konzolfa Távelérés házirendjei elemére.
  3. A részleteket megjelenítő ablaktáblában kattintson jobb gombbal a törölni kívánt házirendre, majd kattintson a Törlés parancsra.

Megjegyzések

  • Az Útválasztás és távelérés ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  • Az Internetes hitelesítési szolgáltatás ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.


Felhasználói hitelesítés és számlázás naplózásának beállítása

  • A naplózandó kérések kiválasztása
  • A naplófájl tulajdonságainak beállítása


A naplózandó kérések kiválasztása

  1. Nyissa meg az Internetes hitelesítési szolgáltatás ablakot.
  2. Kattintson a konzolfa Távelérés naplózása elemére.
  3. A részleteket tartalmazó ablaktáblában kattintson jobb gombbal az egyik naplófájlra, majd kattintson a Tulajdonságok parancsra.
  4. A Beállítások lapon jelöljön be egy vagy több jelölőnégyzetet a hitelesítési és számlázási kérések IAS-naplófájlokban történő rögzítéséhez:
    • A számlázási kérések és a válaszok rögzítéséhez jelölje be a Számlázási kérelmek naplózása jelölőnégyzetet.
    • A hitelesítési kérések, a hozzáférés-engedélyező csomagok és a hozzáférés-elutasító csomagok rögzítéséhez jelölje be a Számlázási kérelmek naplózása jelölőnégyzetet.
    • A periodikus állapotfrissítések, például az átmeneti számlázási csomagok rögzítéséhez jelölje be a Periodikus állapot naplózása jelölőnégyzetet.

Megjegyzések

  • A IAS szolgáltatásablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • Ajánlott kezdetben az első két beállítást bejelölni. Ha szükséges, lehet módosítani a beállításokat, hogy megfeleljenek az igényeknek.
  • A Hitelesítési kérelmek naplózása beállítás segítséget jelenthet, mert felhívja a figyelmet a tranzakciók mennyisége által okozott problémákra és az erőforrások elérésére tett engedély nélküli kísérletekre.
  • Ha bejelöli a Periodikus állapot naplózása jelölőnégyzetet, az attribútumok csak akkor kerülnek naplózásra, ha az Acct-Interim-Interval attribútumot köztes számlázási kérések generálására állította be. Ezt az attribútumot az IAS távelérési házirendjeihez a következőképpen állíthatja be:
    1. Kattintson az IAS konzolfáján a Távelérés házirendjei elemre.
    2. Kattintson jobb gombbal arra a házirendre, amelyhez átmeneti számlázási kéréseket szeretne generálni, majd kattintson a Tulajdonságok parancsra.
    3. A Beállítások lapon kattintson a Profil szerkesztése gombra.
    4. A Speciális lapon kattintson a Hozzáadás gombra.
    5. Az Attribútum hozzáadása párbeszédpanelen jelölje ki az Acct-Interim-Interval attribútumot, majd kattintson a Hozzáadás gombra.
    6. Az Attribútuminformáció párbeszédpanelen lévő Attribútum értéke mezőbe írja be az átmeneti számlázási kérések generálásának időközét. Például a 600 másodpercenkénti generáláshoz írja be a 600 értéket. Az ajánlott érték 600.


A naplófájl tulajdonságainak beállítása

  1. Nyissa meg az Internetes hitelesítési szolgáltatás ablakot.
  2. Kattintson a konzolfa Távelérés naplózása elemére.
  3. A részleteket tartalmazó ablaktáblán kattintson jobb gombbal a Helyi fájl elemre, majd kattintson a Tulajdonságok parancsra.
  4. A Helyi fájl lapon jelölje be az Adatbázis-kompatibilis fájlformátum választógombot.

    A naplófájlok IAS-formátumának megtartásához jelölje be az IAS-formátum választógombot.

    Megjegyzés

    • Bár az IAS két formátumbeállítást biztosít a naplófájlokhoz, ajánlott az adatbázis-kompatibilis naplóformátumot használni, amely minden kéréshez állandó szerkezetet használ, ami elősegítheti az adatok adatbázisba történő importálását.
  5. Új naplófájl megadott időközönkénti megnyitásához jelölje be a kívánt időközt.
    • Nagy mennyiségű tranzakció és naplózás kezeléséhez jelölje be a Naponta választógombot.
    • Kisebb mennyiségű tranzakció és naplózás kezeléséhez jelölje be a Hetente vagy Havonta választógombot.
    • Az összes tranzakció egy fájlban történő tárolásához jelölje be a Korlátlan fájlméret jelölőnégyzetet.
    • Ha nincs tisztában a tranzakciók mennyiségével, jelölje be az Amikor a naplófájl mérete eléri ezt a méretet választógombot, majd írja be azt a naplóméretet, amelynél új naplót szeretne kezdeni. Az alapértelmezett érték 10 MB.
  6. A Naplófájl könyvtára mezőbe írja be azt a helyet, ahol a naplófájlokat tárolni szeretné. Az alapértelmezett hely a rendszergyökér\system32\LogFiles mappa.

    Megjegyzés

    • A naplók megtölthetnek egy teljes partíciót, ezért ajánlott olyan helyet megadni, amely nem a rendszerpartíción van.
  7. Nézze meg a napló nevét a Naplófájl neve mezőben, majd kattintson az OK gombra.

Megjegyzések

  • A IAS szolgáltatásablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  • A naplófájl-formátumok váltásakor nem kezdődik új napló. Ha módosítja a naplófájl formátumát, a módosításkor aktív fájl a két formátum keverékét fogja tartalmazni (a napló kezdetén lévő rekordok a régi formátumúak, a napló végén lévő rekordok az új formátum szerintiek lesznek).
  • Annak elkerülésére, hogy a naplófájlok megtöltsék a tárolásukra használt merevlemezt, javasolt azokat nem a rendszerpartíción, hanem egy külön, alacsony kvótájú köteten tárolni.
  • A naplók biztonsági mentését és törlését rendszeresen el kell végezni, függetlenül a fenti eljárás során megadott időköztől.
  • Ha a felügyelt IAS-kiszolgáló nem a helyi számítógép, akkor nem lehet a könyvtárrendszert tallózva megkeresni a könyvtár elérési útját. Ha egy távoli kiszolgálóra kell naplózni a számlázási információkat, akkor az univerzális elnevezési konvenció (UNC) szerinti név, például \\Kiszolgáló\Megosztás használatával kell megadni a naplófájl nevét.

Kapcsolódó témakörök


Fogalmak

  • IAS – áttekintés
  • Az IAS ismertetése
  • Az IAS használata
  • Forrásmunkák


IAS – áttekintés

  • Az IAS szolgáltatásai
  • Az IAS működése
  • RADIUS
  • A Windows 2000 IAS és a Windows NT 4.0 IAS programok működése közötti különbségek


Az IAS szolgáltatásai

A Microsoft Windows 2000 Server részét képező Internetes hitelesítési szolgáltatás (IAS) végzi a virtuális magánhálózat (Virtual Private Network – VPN) és tárcsázás segítségével a hálózathoz kapcsolódó felhasználók központi hitelesítését, azonosítását, vizsgálatát és naplózását.

Az IAS szolgáltatás az IETF szabványú Remote Authentication Dial-In User Service (RADIUS) protokollt alkalmazza, amely lehetővé teszi homogén vagy heterogén telefonos vagy VPN hálózat használatát.

Az IAS az alábbi szolgáltatásokat nyújtja:

  • A felhasználók központi hitelesítése A felhasználók hitelesítése fontos biztonsági szempont. Az IAS többféle hitelesítő protokollt is támogat, és lehetővé teszi az egyéni hitelesítési igényeknek megfelelő hitelesítő módszerek kiegészítő alkalmazását is. A támogatott hitelesítési módszerek:
    • A PPP hitelesítési protokolljai, például a Password Authentication protokoll (PAP), a Challenge Handshake Authentication Protocol (CHAP), a Microsoft Challenge Handshake Authentication protokoll (MS-CHAP) és az Extensible Authentication protokoll (EAP).
    • Az Extensible Authentication protokoll (EAP). Olyan infrastruktúra, mely lehetővé teszi egyéni hitelesítési eszközök, például az intelligens kártyák, az egyszer használatos jelszavak és a biztonsági kártyák hozzáadását.
    • Hívottszám-azonosító szolgáltatás (Dialed Number Identification Service – DNIS). Ez a módszer a felhasználó által hívott számot veszi alapul.
    • Automatikus számazonosítás szolgáltatás (Automatic Number Identification Service – ANI). Ez a módszer a hívó felhasználó telefonszámát veszi alapul. Az ANI szolgáltatás másik neve Hívóazonosító.
    • Vendéghitelesítés
  • A távelérés szolgáltatás kihelyezése és az egész világra kiterjedő távelérés biztosítása A kihelyezett tárcsázás (más néven nagybani tárcsázás) olyan szerződéshez kapcsolódik, amelyet a szervezet vagy a magánvállalat (az ügyfél) és egy Internet-szolgáltató (ISP) köt arról, hogy a szolgáltató lehetővé teszi a vállalat alkalmazottainak a szolgáltató hálózatához való csatlakozást még mielőtt a vállalat magánhálózatához vezető VPN alagút létrejönne. Amikor az alkalmazott az ISP hálózati elérést biztosító kiszolgálójához (NAS) csatlakozik, a hitelesítésre és a használatra vonatkozó bejegyzéseket továbbítja a vállalat IAS-kiszolgálójának. Az IAS-kiszolgáló lehetővé teszi, hogy a vállalat irányítsa felhasználói hitelesítését, nyomon kövesse a használatot, és szabályozza az alkalmazottaknak a szolgáltató hálózatához való hozzáférését.

    A szolgáltatás kihelyezésének előnye az esetleges megtakarítás. Az Internet-szolgáltató útválasztói, a hálózati elérést biztosító kiszolgálók és a T1-vonalak használatával nagyobb összeg takarítható meg, mint amennyibe az infrastruktúrához szükséges hardvereszközök beszerzése kerülne. A Internet-szolgáltatóhoz való betárcsázással, illetve a vállalt szétszórt kapcsolódási pontjainak (POP-jainak) központosításával jelentősen csökkenthetők a távolsági hívásokkal kapcsolatos telefonszámlák. És mivel a szolgáltató biztosítja a rendszerhasználat támogatását, jelentős felügyeleti költségek takaríthatók meg.

  • Központi felhasználó-engedélyezés Ahhoz, hogy a csatlakozó felhasználóknak megfelelő hozzáférésük legyen a hálózathoz, az IAS a Microsoft Windows NT 4.0 tartományokban és a Windows 2000 Active Directory szolgáltatásban hitelesíti a felhasználókat. Az IAS támogatja az Active Directory új szolgáltatásait, például az egyszerű felhasználóneveket (UPN) és az univerzális csoportokat.

    A távelérési házirendek segítségével rugalmasan szabályozható, hogy ki jogosult a hálózathoz való csatlakozásra. Bár az egyes felhasználói fiókok távelérési engedélyének kezelése egyszerű, ez a megoldás a vállalat növekedésével áttekinthetetlen rendszer kialakulásához vezethet. A távelérés házirendjei sokkal hatékonyabb és rugalmasabb módszert kínálnak a távelérési engedélyek kezeléséhez.

    A távelérés házirendjei olyan feltételrendszerek, amelyek segítségével a rendszergazdák rugalmasabban biztosíthatják a táveléréssel történő hozzáférést.

    A házirendek segítségével a távelérés az alábbi szempontok alapján irányítható:

    • Felhasználói tagság Windows 2000 biztonsági csoportban. A felhasználók hozzáférését a már létező Windows 2000 biztonsági csoportok használatával engedélyezheti vagy tagadhatja meg.
    • Időpont vagy a hét napja.
    • A felhasználó által a csatlakozáshoz használt csatorna (például ISDN, modem vagy VPN-csatorna) típusa.
    • A felhasználó által hívott telefonszám. (DNIS-engedélyezés)
    • A hívást kezdeményező felhasználó telefonszáma.
    • A felhasználó a több vállalatot tömörítő csoport valamely partnerének hálózatáról csatlakozik-e.
    • A kérelmet elindító RADIUS-ügyfél.
  • A hálózati elérést biztosító összes kiszolgáló központosított karbantartása A RADIUS-szabvány támogatása lehetővé teszi, hogy az IAS az e szabványnak megfelelően működő hálózati elérést biztosító összes kiszolgáló csatlakozási paramétereit szabályozza. A RADIUS-szabvány segítségével az egyéni távelérést lehetővé tevő gyártók egyéni termékbővítéseket hozhatnak létre, amelyeket más néven gyártótól függő attribútumoknak is neveznek. Az IAS szolgáltatás több gyártó termékbővítéseit is felvette több gyártóra érvényes szótárába.

    A távelérés házirendjei lehetővé teszik, hogy a rendszergazdák a feltételes profilok létrehozásának lehetősége révén rugalmasabban kezeljék a változó csatlakozási paramétereket. A profilok segítségével a felhasználó hálózati csatlakozási paraméterei is konfigurálhatók.

    A csatlakozási paraméterek (profilok) módosításának feltételei többek között a következők:

    • Időpont vagy a hét napja.
    • A felhasználó által a csatlakozáshoz használt csatorna típusa (például ISDN, modem vagy VPN-csatorna).
    • Annak a hálózati elérést biztosító kiszolgálónak a gyártója, amelyhez a felhasználó csatlakozik.
    • Felhasználói tagság Windows 2000 biztonsági csoportban.
    A profilok segítségével szabályozhatók a csatlakozási paraméterek. Például:
    • Bizonyos hitelesítési módszerek engedélyezhetők vagy letilthatók.
    • Szabályozható, hogy a kapcsolat meddig lehet tétlen.
    • Szabályozható az egyes munkamenetek maximális ideje.
    • A többkapcsolatos munkamenetekben szabályozható a kapcsolatok száma.
    • Megadhatók a titkosítási beállítások.
    • Csomagszűrők hozzáadása lehetséges, amelyek segítségével szabályozható, hogy a felhasználó mihez férhet hozzá, ha a hálózathoz csatlakozott. A szűrők segítségével megadható például, hogy mely IP-címek, állomások és portok használhatók a csomagok küldésére és fogadására.
    • Létrehozható olyan kötelező csatorna, amely gondoskodik arról, hogy az adott kapcsolatban minden csomag védett módon legyen bújtatva az Interneten keresztül, és eljusson egy magánhálózatba.
  • Központosított vizsgálat és használatnaplózás. A RADIUS-szabvány támogatása lehetővé teszi, hogy az IAS összegyűjtse a hálózati elérést biztosító kiszolgáló által egy ponton keresztül küldött használati (számlázási) rekordokat. Az IAS naplófájlokba rögzíti a vizsgálattal kapcsolatos adatokat (például a hitelesítés eredményességét, az elutasításokat és az automatikus fiókzárolásokat) és a használattal kapcsolatos adatokat (például a bejelentkezési és kijelentkezési rekordokat). Az IAS támogatja a közvetlenül adatbázisba importálható naplófájlformátumot. Az adatok bármely adatelemző program segítségével elemezhetők.
  • Integráció a Windows 2000 Útválasztás és távelérés szolgáltatásával Az IAS szorosan együttműködik az Útválasztás és távelérés szolgáltatással. Az IAS és az Útválasztás és távelérés szolgáltatás közösen használja a távelérés házirendjeit és a számlázási eszközöket. Ennek az integrációnak köszönhetően az IAS és az Útválasztás és távelérés egységes működést biztosítanak. Az integráció révén az Útválasztás és távelérés szolgáltatás kis helyeken is üzembe helyezhető anélkül, hogy külön központi IAS-kiszolgálót kellene telepíteni, valamint lehetővé teszi a központosított távelérési kezelési modell megvalósítását abban az esetben, ha a vállalat több Útválasztás és távelérés kiszolgálóval rendelkezik. Ilyenkor az IAS az Útválasztás és távelérés kiszolgálókkal együtt egypontos felügyeletet megvalósítva biztosítja a távelérést az Ön hálózatához a kihelyezett tárcsázást, az igény szerint tárcsázó hozzáférést és VPN-hozzáférést alkalmazó felhasználók számára. Az IAS központi, nagy hálózati helyen használt házirendjei a kis hálózati helyen lévő, független Útválasztás és távelérés szolgáltatást nyújtó kiszolgálóra exportálhatók.
  • Grafikus felhasználói felület. Az IAS grafikus felhasználói felület (az MMC beépülő modul) révén teszi lehetővé a helyi vagy távoli kiszolgálók konfigurálását.
  • Távoli figyelés. Az IAS szolgáltatást figyelheti a Windows 2000 eszközein (például az Eseménynaplón vagy a Rendszerfigyelőn) keresztül, illetve a Simple Network Management protokoll (SNMP) használatával.
  • Méretezhetőség. Az IAS szolgáltatást többféle, különböző méretű hálózati konfigurációban használhatja, akár kis hálózaton működő önálló kiszolgálókon, akár nagy, vállalati és Internet-szolgáltatói hálózatokon is.
  • A konfiguráció importálása és exportálása több IAS kiszolgáló kezelésére. Az IAS konfiguráció importálása vagy exportálása parancssori segédprogrammal lehetséges. További tudnivalók a NetShell parancsok táveléréshez című témakörben találhatók.

Az IAS szolgáltatásainak bővítése

A Windows 2000 Software Development Kit (SDK) két kisebb SDK csomagot tartalmaz, az IAS SDK és az EAP SDK csomagot.

Az IAS SDK segítségével az alábbi szolgáltatások adhatók a programhoz:

  • Az IAS által visszaküldött attribútumok mellett egyéni attribútumok visszaküldése a NAS kiszolgálókhoz. Ez lehetővé teszi, hogy saját IP-címkiosztó beépülő modult írjon.
  • Lehetőség a végfelhasználói hálózati munkamenetek számának szabályozására.
  • Az IAS szolgáltatás által aktuálisan megadott távelérési engedélyek kiterjesztése.
  • Lehetőség a használati/ellenőrzési adatok Open Database Connectivity (ODBC)-kompatibilis adatbázisokba történő importálására.
  • Egyéni (nem EAP protokoll szerinti) hitelesítési módszerek az IAS számára.

Az EAP SDK lehetővé teszi tetszőleges hitelesítési módszerek alkalmazását.


Az IAS működése

Az Internetes hitelesítési szolgáltatás (IAS) egy RADIUS-kiszolgáló. Az IAS lehetővé teszi a felhasználók hitelesítésének, engedélyezésének és számlázásának központi kezelését és a felhasználók hitelesítését Windows NT 4.0 vagy Windows 2000 tartományvezérlőn. A hálózati hozzáférést biztosító kiszolgálók (NAS) széles körét támogatja, többek között az Útválasztás és távelérést.

Az IAS központilag kezeli a NAS kiszolgálók hitelesítését a hálózaton

Az ábrán az IAS-kiszolgáló központi csatorna szerepét tölti be, amelyen az összes hálózati távelérési kiszolgálótól érkező hitelesítési és számlázási kérelem keresztülfolyik. Az IAS-kiszolgáló ezen kívül naplóban rögzíti a kérelmeket és csatlakozásokat.

Az Útválasztás és távelérés a hitelesítést közvetlenül a tartományvezérlőn lévő adatok alapján végzi, a felhasználókat a távelérési házirendek szerint hitelesíti és az adatokat közvetlenül az IAS naplófájljába írja. Az IAS szolgáltatáson keresztül központilag is kezelheti ezeket a szolgáltatásokat, ha úgy állítja be az Útválasztás és távelérést, hogy RADIUS-hitelesítést és RADIUS-számlázást alkalmazzon. Ha több Útválasztás és távelérés szolgáltatással is rendelkezik, az IAS segítségével, ahelyett, hogy sok kiszolgálón módosítaná a házirendeket, ezt egyetlen kiszolgálón is elvégezheti, és egy központi helyen gyűjtheti össze az összes naplózási és számlázási adatot. Amennyiben a távelérés szolgáltatást Internet-szolgáltatókhoz helyezi ki, az IAS-kiszolgáló hitelesítési, engedélyezési és naplózási szolgáltatásokat is tud nyújtani a kihelyezett kapcsolatok részére. További információ a Kihelyezett vállalati hozzáférés külső szolgáltatókon keresztül című forgatókönyvben található.

Az Internet-szolgáltatók az IAS-t előfizetők kezelésére is használhatják. Ha Internet-szolgáltatót üzemeltet, és többsíkú szolgáltatási rendszert kíván fenntartani, egyszerűen beállíthat olyan távelérési házirendeket, amelyek a magasabb szintű síkok elérését azokra a felhasználókra korlátozzák, akik felárat fizetnek. További információ az Internet-elérés című forgatókönyvben található.

Az IAS hitelesítési folyamata

Az IAS egy RADIUS kiszolgáló, amely a Windows 2000 tartományvezérlőn vagy helyi Biztonsági fiókkezelőn (SAM) tárolt felhasználói adatokat használja a RADIUS protokollon keresztül kapott hitelesítési kérelmek ellenőrzésére. A következő lépések egy tipikus interakciót mutatnak be az IAS-kiszolgáló és egy NAS kiszolgáló között. Attól függően, hogy milyen NAS kiszolgálóval rendelkezik és hogyan állította azt be, az interakció tényleges menete az aktuális helyen ettől eltérhet.

  • A NAS kiszolgáló elindulásakor egy, a számlázást megkezdő adatcsomag küldésére (és naplózására ) sor.
  • Amikor egy távoli felhasználó felhívja a hálózati elérést biztosító kiszolgálót, a következő hitelesítési folyamat zajlik le miközben minden kérelem és válasz naplózásra kerül:
    1. A hálózati elérést biztosító kiszolgáló (NAS), ha erre konfigurálva van, először a legbiztonságosabb protokoll használatával próbál meg egyeztetni, majd a következő legbiztonságosabbal és így tovább a legkevésbé biztonságosig (például először az EAP használatával próbálkozik, majd az MS-CHAP, végül CHAP protokollal).
    2. A NAS kiszolgáló elküldi a RADIUS hitelesítési kérelmet az IAS-kiszolgálóhoz Ennek érdekében létrehoz egy Access-Request (hozzáférést kérelmező) csomagot, amely olyan attribútumokat tartalmaz, mint a felhasználó neve, jelszava, az ügyfél azonosítója és a felhasználó által használt port azonosítója. Az Access-Request a hálózaton keresztül továbbítódik az IAS-kiszolgálóhoz. Ha egy bizonyos időn belül nem érkezik válasz, a kérelem elküldése többször megismétlődik.
    3. Ha a felhasználó érvényes jogosultsággal rendelkezik, az IAS-kiszolgáló kiértékeli a távelérési házirendeket és a felhasználó behívási tulajdonságait annak érdekében, hogy eldönthesse, elfogadja-e a kérelmet vagy visszautasítsa azt. Ha a felhasználó csatlakozási próbálkozása megfelel legalább egy házirend feltételeinek, és az illető házirend engedélyezi a felhasználónak a hozzáférést, az IAS-kiszolgáló egy Access-Accept (hozzáférés-engedélyező) csomagot küld a felhasználónak. Az Access-Accept csomag a felhasználóra vonatkozó engedélyezési információkat is tartalmaz a felhasználói profil és a távelérési házirendek alapján. A NAS értelmezi ezeket a jogosultsági adatokat, hogy meghatározza a kiszolgáló által engedélyezett hálózati jogokat.

      Ha a felhasználó csatlakozási kérelme nem felel meg egy házirend követelményeinek sem, vagy olyan házirend feltételeinek felel meg, amely megtagadja a hozzáférést, az IAS-kiszolgáló egy ACCESS-REJECT (hozzáférés visszautasítása) csomagot küld a NAS kiszolgálónak, amely ennek hatására bontja a kapcsolatot a felhasználóval.

  • A kapcsolat létrejöttekor a NAS kiszolgáló egy számlázás-indítási kérelmet küld az IAS-kiszolgálónak (és naplózza azt).
  • A kapcsolat létrejötte alatt a NAS kiszolgáló közbülső számlázási kérelmeket küld az IAS-kiszolgálónak (ezek szintén naplóba kerülnek).
  • A kapcsolat megszűnésekor a NAS kiszolgáló számlázás-leállítási kérelmet küld az IAS kiszolgálónak (és naplózza azt).
  • Amikor a hálózati elérést biztosító kiszolgáló leáll, számlázás-leállítási kérelmet küld az IAS-kiszolgálónak, (amely naplózásra kerül).
  • Ha a NAS kiszolgáló nem kap választ a számlázási kérelemre az időtúllépési perióduson belül, újraküldi a kérelmet, végül a tartalék kiszolgálónak küldi el. Ha például az IAS kiszolgáló nem tudja naplózni a kérelmet (például ha a naplófájl megtelt), csendben figyelmen kívül hagyja a csomagot. Ilyenkor a NAS vagy RADIUS-proxy újraküldi a kérelmet az IAS-kiszolgálónak, majd a tartalék IAS-kiszolgálónak, amely megkísérli beírni a számlázási kérelmet a naplófájljába.
  • Ha a NAS kiszolgáló nem kap választ a hitelesítési kérelemre az időtúllépési perióduson belül, újraküldi a kérelmet, majd a tartalék IAS-kiszolgálónak küldi el. Ha például az IAS kiszolgáló nem tud kapcsolódni a tartományvezérlőhöz, vagy nem találja azt a tartományvezérlőt, amelyhez a felhasználó tartozik, csendben figyelmen kívül hagyja a csomagot. Ezután a NAS vagy RADIUS-proxy újra elküldi a kérelmet, majd a tartalék IAS-kiszolgálónak küldi el, amely ekkor megkísérli a tartomány adatbázisának alapján hitelesíteni a felhasználót. Ha a tartalék IAS-iszolgáló nem válaszol, a NAS bontja a kapcsolatot a felhasználóval.

Amikor az IAS egy Access-Accept (hozzáférést engedélyező) csomagot küld a NAS kiszolgálónak, ezzel közli vele, hogy a felhasználó kapcsolódhat a hálózathoz. A NAS kiszolgálóval a felhasználóra érvényes hozzáférési jogokat is közli a felhasználói profil és a távelérési házirendek alapján. A NAS-eszköz értelmezi a hálózati paramétereket, és csak azokat a hálózati jogosultságokat engedélyezi, amelyeket a kiszolgáló hitelesített.

Minden kiszolgáló, amely kérelmet küldhet egy IAS-kiszolgálónak az ügyfél szerepét tölti be. Az ügyfelek lehetnek NAS vagy más RADIUS-kiszolgálók. A NAS kiszolgáló ügyfélként viselkedik, ha az IAS-kiszolgáló közvetlenül a NAS kiszolgálótól fogad kérelmeket. A RADIUS-kiszolgáló ügyfélszerepet tölt be, amikor hitelesítési kérelmet továbbít a hozzá ügyfélként kapcsolódó NAS kiszolgálótól a helyi IAS-kiszolgálóhoz. További tudnivalók a RADIUS-ügyfelek regisztrálása című témakörben találhatók.


A Windows 2000 IAS és a Windows NT 4.0 IAS programok működése közötti különbségek

Az IAS előző verzióját a Windows NT 4.0 Option Pack csomag részeként adták ki. Az alábbi táblázat a két verzió működése közötti különbségeket mutatja be.

A Windows NT 4.0 IAS működése | A Windows 2000 IAS működése
Ha a hitelesítés során nem ad meg tartománynevet, az IAS-kiszolgáló csak a helyi SAM-adatbázis alapján hitelesíti a felhasználót. Az IAS az alábbi lépések segítségével old fel egy tartománnyal nem rendelkező felhasználónevet:
  1. Az IAS a rendszerleíró adatbázisból meghatároz egy alapértelmezett tartományt, ha van.
  2. Ha az IAS-kiszolgáló tagja egy tartománynak, az IAS ezen tartomány alapján hitelesíti a felhasználót.
  3. Ha az IAS-kiszolgáló nem tagja tartománynak, az IAS a helyi SAM-adatbázis alapján hitelesíti a felhasználót.
Az IAS nem minden felhasználói objektumhoz használja a visszahívási engedélyt. | Az IAS minden felhasználói objektumhoz használja a visszahívási engedélyt.
Az IAS-naplófájlok ASCII-formátumúak. | Az IAS-naplófájlok többnyelvűek és UTF-8 formátumúak.


Az IAS ismertetése

  • RADIUS-ügyfelek
  • Biztonság
  • Szállítóspecifikus attribútumok – áttekintés
  • Hitelesítési módszerek
  • Távelérési házirendek
  • Távelérés naplózása


RADIUS-ügyfelek

RADIUS-ügyfél lehet egy NAS kiszolgáló vagy egy RADIUS proxykiszolgáló. Az IAS támogat minden olyan NAS kiszolgálót, amely kompatibilis a 2138. számú RADIUS RFC dokumentummal.

  • Tartománynevek
  • RADIUS-ügyfél címének megadása
  • Mintaegyeztető szintaxis


Tartománynevek

A tartományneveket általában a hálózati útválasztáshoz és hitelesítéshez használják. A tartománynevek szolgáltatják a hitelesítési kéréseknek a felhasználó hitelesítési adatait tartalmazó kiszolgálóhoz történő továbbításához szükséges azonosítást. Ha például a vállalatnak nagybani telefonos kapcsolatra vonatkozó szerződése van egy Internet-szolgáltatóval, a felhasználók neveinek tartalmaznia kell a tartományinformációt ahhoz, hogy a hitelesítési kéréseket a megfelelő RADIUS-kiszolgálóhoz lehessen továbbítani.

Az IAS nem használ tartományneveket útválasztási célokra, de ha olyan kiszolgálótól kap hitelesítési kérést, amely használ, törölheti a felhasználónevekből a tartományokat, mielőtt a tartományvezérlőn hitelesítené a neveket , feltéve, hogy a tartománytörlő szabályok megfelelően vannak beállítva.

A tartománynév lehet előtag (például elektronikus/) vagy utótag (például @elektronikus). A tartománynév elválasztókaraktereket tartalmaz, például az „at” jelet (@) vagy a perjelet (/). Kötelezheti a felhasználót, hogy a felhasználónév részeként a tartománynevet is adja meg bejelentkezéskor. A hálózati hozzáféréshez használt tárcsázóprogramtól függően maga a tárcsázóprogram is automatikusan hozzáteheti az előtagot vagy utótagot. (A Csatlakozáskezelő felügyeleti csomag segítségével beállíthatja Csatlakozáskezelőt e feladat elvégzésére.) További információ A Csatlakozáskezelő felügyeleti csomag című témakörben található.

Ha a felhasználó tartománynevek használatával jelentkezik be, az IAS szolgáltatásnak el kell távolítania a tartományadatokat, mielőtt továbbítja a kérést a tartományvezérlőnek.

Karakterhelyettesítő szintaxis

A tartományhelyettesítő szolgáltatás a szokásos kifejezésszintaxist használja. E szintaxisról a Mintaegyeztető szintaxis című témakörben találhat bővebb információt.


RADIUS-ügyfél címének megadása

RADIUS-ügyfelek címe IP-cím vagy DNS-név segítségével adható meg.

RADIUS-ügyfél megadása IP-cím segítségével

A legtöbb esetben a RADIUS-ügyfél IP-címmel történő megadása a jobb megoldás, mert így az IAS programnak nem kell indításkor feloldania az állomásneveket. Ennek eredményeképpen az IAS sokkal gyorsabban indul, mint DNS-nevek használata esetén, különösen, ha a hálózat sok RADIUS-ügyfelet tartalmaz. Az IAS indításakor a névkiszolgálónak sem kell elérhetőnek lennie.

RADIUS-ügyfél megadása DNS-név segítségével

Csak akkor használjon DNS-nevet RADIUS-ügyfél megadására, ha a szokásosnál nagyobb felügyeleti rugalmasságra van szüksége (ha például a RADIUS-ügyfelek IP-címeit egyetlen DNS-névhez kívánja hozzárendelni).


Mintaegyeztető szintaxis

A Windows 2000 támogatja a UNIX-környezetben elterjedt mintaegyeztető szintaxis használatát. E szintaxis segítségével megadhatja a távelérés házirendjeinek feltételeit és a RADIUS-tartományokat. Az alábbi táblázat a használható speciális karaktereket tartalmazza, valamint példákkal is szolgál.

Karakter | Leírás | Példa
\ | Jelzi, hogy következő karakter speciális. | /n/ az „n” karakternek felel meg. Az /\n/ karakterlánc a soremelő, illetve az új sor karakternek felel meg.
^ | A bemeneti sor elejét jelzi. |
$ | A kimeneti sor elejét jelzi. |
* | Az előző karaktert jelzi, nullaszor vagy többször. | Az /it*/ a „i” és az „itt” karakterláncoknak is megfelel.
+ | Az előző karaktert jelzi, egyszer vagy többször. | Az /it+/ az „itt” karakterláncnak megfelel, de az „i” karakternek nem.
? | Az előző karaktert jelzi, nullaszor vagy egyszer. | Az /s?ha?/ a „ha” és a „soha” karakterláncoknak is megfelel.
. | Bármely karakternek megfelel, kivéve az új sor karaktert. |
(minta) | A mintának felel meg, és emlékezik a találatokra. A zárójelek () megfeleltetéséhez használja a következőt: „\(„ vagy ”\)”. |
x|y | Az x vagy az y értékének felel meg. | A /f|bal?/ karakterlánc mind a „fa”, mind a „bal” karakterláncoknak megfelel.
{n} | Az n egy nem negatív egész szám. Pontosan n-szer felel meg. | Az /o{2}/ karakterlánc nem felel meg az ara szóban lévő „r”-nek, de megfelel az „arrrrra” szóban lévő első két „r”-nek.
{n,} | Az n nem negatív egész szám. Legalább n-szer felel meg. | Az /o{2}/ karakterlánc nem felel meg az ara szóban lévő „r”-nek, de az „arrrrra” szóban lévő minden „r”-nek megfelel. Az /o{1,}/ egyenértékű /o+/ karakterlánccal.
{n,m} | Az m és az n nem negatív egész számok. Legalább n-szer és legfeljebb m-szer felel meg. | Az /o{1,3}/ karakterlánc az arrrrrra szóban lévő első három „r”-nek felel meg.
[xyz] | Karaktersor. A zárójelben lévő karakterek bármelyikének megfelel. | Az /[abc]/ karakterlánc megfelel a „nagy” szóban lévő „a” betűnek.
[^xyz] | Negatív karaktersor. Bármely, a zárójelben nem szereplő karakternek megfelel. | Az /[^abc]/ karakterlánc megfelel a „nagy” szóban lévő „n” betűnek.
\b | Szóhatárnak felel meg, például szóköznek. | Az /in*g\b/ karakterlánc megfelel a „mindig ingázik” kifejezésben lévő „ig” karakterláncnak.
\B | A nem szóhatárnak felel meg. | Az /in*g\B/ karakterlánc megfelel a „mindig ingázik” kifejezésben lévő „ing” karakterláncnak.
\d | Numerikus karakternek felel meg. Egyenértékű a 0-9 karakterlánccal. |
\D | Nem numerikus karakternek felel meg. Egyenértékű a ^0-9 karakterlánccal. |
\f | Lapdobás karakternek felel meg. |
\n | Soremelő karakternek felel meg. |
\r | Kocsivissza karakternek felel meg. |
\s | A kihagyott helyeknek felel meg, ilyen például a szóköz, a tabulátor, a lapdobó karakter stb. Egyenértékű a [ \f\n\r\t\v] karakterlánccal. |
\S | Bármely nem kihagyott helynek minősülő karakternek felel meg. Egyenértékű a [^ \f\n\r\t\v] karakterlánccal. |
\t | Tabulátorjelnek felel meg. |
\v | Függőleges tabulátorjelnek felel meg. |
\w | Bármely szóképző karakternek megfelel, az aláhúzás jelet is beleértve. Egyenértékű az [A-Za-z0-9_] karakterlánccal. |
\W | Bármely nem szóképző karakternek felel meg, kivéve az aláhúzás jelet. Egyenértékű az [^A-Za-z0-9_] karakterlánccal. |
\num | ?num, ahol a num pozitív egész szám. Hivatkozás a megjegyzett találatokra. A „\1” az első megjegyzett találat helyére kerül. Ez a beállítási lehetőség csak a Csere mezőben használható az Internetes hitelesítési szolgáltatással történő tartományok konfigurálásakor. További információ a példákban. |
/n/ | ?n, ahol az n nyolcas, tizenhatos vagy tízes számrendszerű váltóérték. Lehetővé teszi az ASCII kódok szabályos kifejezésekbe történő beágyazását. |

A távelérési házirendek attribútumainak példái

Az alábbi példák a távelérési házirendek attribútumait meghatározó mintakereső szintaxis használatát ismertetik.

  • Egy adott körzetszámon belül található minden telefonszám megadása

    • Például a 899-es körzetszámhoz tartozó minden telefonszám megadásához a következő szintaxist kell használni:

    899.*

  • IP-címtartomány megadása

    • Például a 192.168.1-vel kezdődő összes IP-cím megadásához a következő szintaxist kell használni:

    192\.168\.1\..+

Példák a RADIUS-tartománynévcserére

Az alábbi példák az IAS-tulajdonságok tartománynévcseréjére alkalmas mintaegyeztető szintaxis használatát ismertetik (Tartományok lap, Keresés és Csere mezők):

  • A felhasználói név tartományszakaszának eltávolítása

    • A kihelyezett tárcsázás forgatókönyvében az Internet-szolgáltató (ISP) kérheti, hogy egy bizonyos tartomány a hitelesítési kérést az Internetes hitelesítési szolgáltatás (IAS) kiszolgálóhoz irányítsa. Lehet, hogy a Windows 2000 operációs rendszer nem ismeri fel a tartományt, amelyet emiatt a felhasználó hitelesítése előtt el kell távolítani (a Csere mező üresen hagyásával).

    • Keresés: @microsoft\.com
    • Csere:
  • A felhasznalo@tartomany.com cseréje erre:tartomany.com\felhasznalo
    • Keresés: (.*)@(.*)
    • Csere: $2\$1
  • A tartomany\felhasznalo cseréje a következőre: adott_tartomany\felhasznalo
    • Keresés: (.*)@(.*)
    • Csere: adott_tartomany\$2
  • A felhasznalo cseréje a következőre: felhasznalo@adott tartomany
    • Keresés: $
    • Csere: @adott_tartomany

További információ a Tartományhelyettesítés konfigurálása az IAS-ben című témakörben található.


Biztonság

  • Az IAS és a tűzfalak
  • Közös titkok
  • Az IAS és a bújtatási alagutak
  • Fiókok zárolása


Az IAS és a tűzfalak

Mindenekelőtt győződjön meg arról, hogy a tűzfal telepítve van az IAS-kiszolgáló és az Internet-kapcsolat között.

A tűzfal beállításakor engedélyezze a hozzáférést azokhoz a csomagokhoz, melyek teljesítik az alábbi feltételek mindegyikét:

  • A csomag küldése az UDP protokollal történik.
  • A csomagot az IAS-kiszolgáló IP-címéről küldik vagy oda érkezik.
  • A csomagot az IAS-kiszolgáló RADIUS-portjáról küldik vagy oda érkezik.

További biztonsági intézkedésként, ha ismeri a tűzfalon keresztül csomagot küldő RADIUS-ügyfél IP-címét, a bejövő hozzáférést korlátozhatja kizárólag azokra a csomagokra, melyek erről az IP-címről érkeznek.


Közös titkok

A közös titok olyan karakterlánc, amely az IAS RADIUS kiszolgáló és a hozzá kapcsolódó kiszolgálók közötti különleges jelszóként szolgál.

Minden egyes IAS-kiszolgálónak rendelkeznie kell közös titokkal minden egyes olyan NAS vagy egyéb RADIUS-kiszolgáló számára, amely RADIUS-kéréseket küld neki.

A közös titok sikeres létrehozásához néhány szabályt be kell tartani. E szabályok a következők:

  • A közös titkoknak tökéletesen egyezniük kell mindkét kiszolgálón.
  • A közös titkokban különbséget kell tenni a kis- és nagybetűk között.
  • A közös titkok bármely alfanumerikus vagy speciális karaktert tartalmazhatnak. A kis- és nagybetűk, számok és speciális karakterek vegyes használata biztonságosabbá teszi a közös titkot.
  • A közös titok akár 255 karakterből is állhat. A hosszú közös titok biztonságosabb, mint a rövid.


Az IAS és a bújtatási alagutak

A bújtatás (beágyazás) során az eredeti csomagot a rendszer elrejti, azaz beágyazza egy új csomagba. Ez az új csomag tartalmazza a szükséges útválasztási információt, lehetővé téve, hogy a csomag anélkül haladhasson át az összetett tranzithálózatokon, hogy felfedné végcélját, amelyet az eredeti csomag fejléce tartalmaz. Az összetett tranzithálózat bármilyen összetett hálózat lehet: magánintranet, vagy az Internet. Miután a beágyazott csomag eléri a célpontját, a beágyazó fejlécet a rendszer eltávolítja, és az eredeti csomag fejléce alapján a csomagot végcéljához küldi. A beágyazás, az útválasztás és kicsomagolás teljes folyamatát nevezik bújtatásnak.

A bújtatási alagutaknak két fő típusa van: önkéntes és kötelező. Az IAS szolgáltatás segítségével szabályozható a kötelező bújtatási alagutakhoz való hozzáférés, és a NAS kiszolgáló utasítható arra, hogy a felhasználó nevében megnyissa a bújtatási alagutakat.

Az IAS és a távelérési házirendek segítségével a bújtatási alagutakhoz való hozzáférés azon Windows 2000 csoport alapján szabályozható, amelyhez a felhasználók tartoznak. Ez több beállítási lehetőséget és nagyobb teljesítményt tesz lehetővé, mint a statikus bújtatás (amely dedikált NAS kiszolgálót igényel) vagy a tartományon alapuló bújtatás (amely megköveteli, hogy egy adott tartományba tartozó összes felhasználónak ugyanazok legyenek a hozzáférési jogai).

Bújtatási alagutak típusai

A bújtatási alagutak többféleképpen hozhatók létre. Az alábbiakban a két fő típusról lesz szó.

Önkéntes bújtatás

A felhasználók számítógépei, illetve az ügyfélszámítógépek az önkéntes bújtatási alagút beállítására és létrehozására VPN-kérelmet bocsáthatnak ki. Ekkor a bújtatás végpontja a felhasználó számítógépe, amely bújtatóügyfélként működik. Önkéntes bújtatásról akkor beszélünk, amikor egy munkaállomás vagy egy útválasztó kiszolgáló bújtatóügyfél-szoftver segítségével virtuális kapcsolatot hoz létre a bújtatókiszolgálóval. Ehhez azonban a megfelelő bújtatóprotokollnak telepítve kell lennie az ügyfélszámítógépen.

Az IAS segítségével elvégezhető a felhasználók hitelesítése, és szabályozható az önkéntes bújtatási alagutakhoz való hozzáférés.

Kötelező bújtatás

Kötelező bújtatás esetén a hálózati elérést biztosító kiszolgáló a hitelesítési kérelmeket az IAS szolgáltatáshoz továbbítja. Az IAS attribútumokat küld vissza, amelyek utasítják a NAS kiszolgálót, hogy nyisson meg egy bújtatási alagutat a helyi hálózati célkiszolgáló felé. A bújtatás végpontja, vagyis az a VPN-kiszolgáló, ahol az alagút vége van, a távelérési házirendek feltételei szerint megváltoztatható. Ilyen feltételek lehetnek például a felhasználói hitelesítő adatok, a csoportok, amelyekhez a felhasználó tartozik, a Hívottszám-azonosítás (DNIS) vagy az Automatikus számazonosítás (ANI).

A kötelező bújtatásnál használt RADIUS-attribútumok

A következő lista azokat a RADIUS-attribútumokat tartalmazza, amelyek a bújtatással kapcsolatos információkat az IAS-kiszolgálótól a NAS kiszolgálóhoz továbbítják.

Csak engedélyezésre használt attribútumok:
  • Tunnel-Private-Group-Id
  • Tunnel-Assignment-Id
  • Tunnel-Preference
  • Tunnel-Password (Proxykkal tilos használni!)
Engedélyezésre és számlázásra használt attribútumok:
  • Tunnel-Type (PPTP, L2TP stb.)
  • Tunnel-Medium-Type (X.25, ATM, Frame Relay, IP stb.)
  • Tunnel-Client-Endpoint
  • Tunnel-Server-Endpoint
Csak számlázásra használt attribútumok:
  • Acct-Tunnel-Connection

Példa a bújtatási alagútra

Az alábbi példa egy olyan távelérési profil RADIUS-attribútumait ismerteti, amely kötelező bújtatást tesz lehetővé. A profil attribútumait a rendszer a bújtatási alagutat (L2TP Access Concentrator, LAC) megnyitó NAS kiszolgálóhoz küldi.
Attribútum | Érték
Framed-Protocol | PPP
Service-Type | Outbound-User
Tunnel-Medium-Type | IP (IP 4-es verziója)
Tunnel-Password | 1234
Tunnel-Server-Endpt | 10.10.10.10
Tunnel-Type | Layer Two Tunneling protokoll (L2TP)

A bújtatási jelszót azon a VPN-kiszolgálón kell beállítani, amelyik a bújtatási alagút végpontja (L2TP-hálózati kiszolgáló, LNS).

Megjegyzés

  • Több bújtatási alagutat leíró attribútumokat Access-Accept (hozzáférés-engedélyező) RADIUS-csomagban lehet továbbítani. A jelenlegi változat azonban csak egyetlen bújtatási alagút számára küld vissza információt.
  • Az IAS betárcsázási profilonként csak egy kötelező bújtatási alagutat támogat.


Szállítóspecifikus attribútumok – áttekintés

Az IAS lehetőséget ad a rendszergazdáknak arra, hogy minden távelérési házirendhez külön RADIUS-attribútumokat rendeljenek. A szabványos RADIUS-attribútumokon kívül, melyeket a 2138. és a 2139. számú IETF RFCs dokumentumok mutatnak be, távelérési protokollal rendelkező szállítóspecifikus attribútumokat is hozzárendelhet annak érdekében, hogy a NAS kiszolgáló a hitelesítési kéréseket megfelelően továbbítsa. A beállítandó attribútumokról további információt a hálózati elérést biztosító kiszolgáló (NAS) dokumentációjában talál.

  • Szállítóspecifikus attribútumok
  • Szállítóspecifikus attribútum (VSA) példa Cisco típusú NAS kiszolgálóra
  • Szállítóspecifikus attribútum (VSA) példa US Robotics típusú NAS kiszolgálóra


Szállítóspecifikus attribútumok

Egyes NAS-gyártók szállítóspecifikus attribútumokat (VSA-kat) használnak a szabványos attribútumok által nem támogatott szolgáltatások biztosítása érdekében. Az IAS lehetővé teszi a szállítóspecifikus attribútumok létrehozását és szerkesztését, ily módon kihasználhatók az egyes NAS-szállítók által támogatott egyedi szolgáltatások. A szállítóspecifikus szolgáltatásokkal kapcsolatos további információkért olvassa el a NAS kiszolgáló dokumentációját. Ha a NAS kiszolgálóhoz szállítóspecifikus attribútumokat kell beállítania, tudnia kell, hogy az adott attribútum megfelel-e a RADIUS RFC szabványnak. Ha az attribútum nem felel meg a szabványnak, akkor hexadecimális formában kell megadnia.

Az RFC szabványnak megfelelő szállítóspecifikus attribútumok formátuma

A következő táblázat azon szállítóspecifikus attribútumokat tartalmazó csomagok mezőit sorolja fel, amelyek megfelelnek a 2138. számú RADIUS RFC szabványban ajánlott formai követelményeknek. A mezők sorrendje megegyezik a csomagban való megjelenés sorrendjével. További tudnivalók a 2138. számú RFC-dokumentumban találhatók.

Mező | Hossz (oktettben) | Leírás
Típus | 1 | A RADIUS-attribútum típusa. A szállítóspecifikus attribútum mindig 26. típusú.
Hossz | 1 | 7, vagy több.
Szállító azonosítója | 4 | A magas helyiértékű oktett értéke 0, az alacsony helyiértékű 3 oktett pedig a szállító SMI hálózatkezelési privát vállalati kódja hálózati bájtsorrendben, az 1007. számú, „Vendor SMI Network Management Private Enterprise Codes” (Szállítói, SMI típusú hálózatkezelési magánvállalkozói kód) IETF RFC-dokumentumban megadottak szerint.
Karakterlánc | 1, vagy több | Az adat tényleges formátuma a NAS szállítójától függ. A 2138. számú RADIUS RFC szabványnak megfelelően a karakterláncnak egymástól nem elkülönített oktettekből kell állnia, a gyártótípus / gyártóhossz / érték mezők sorozataként kódolva. A RADIUS-kompatibilis szállítóspecifikus attribútumok távelérési házirendhez való hozzáadásáról további információ a Szállítóspecifikus attribútumok beállítása távelérési házirendhez című témakörben található.

Sorrend és fontosság

Ha egynél több szállítóspecifikus attribútumot kell megadni, megfelelő sorrendbe kell őket állítani. Ha például olyan szűrőattribútumot használ, amely automatikusan megszakítja azon felhasználók kapcsolatát, akik nem felelnek meg a megadott feltételeknek, az attribútumot a lista elejére kell helyeznie. Az attribútumok áthelyezéséhez használja a Fel és Le gombokat.


Szállítóspecifikus attribútum (VSA) példa Cisco típusú NAS kiszolgálóra

A Cisco szállítóspecifikus attribútumai (26. típus) megfelelnek a 2138. számú RADIUS RFC-dokumentum által a szállítóspecifikus attribútumokra ajánlott formai követelményeknek.

Az elsődleges DNS-kiszolgáló megadására szolgáló Cisco attribútummal kapcsolatos információk:

Vendor ID: 9. A Cisco egyedi azonosítója. Ha a Cisco-t adja meg szállítóként, ezt az azonosítót automatikusan adja hozzá a rendszer.

Vendor Type: 1. Attribútum-érték párokban megadott szállítóspecifikus attribútumok esetén a gyártótípus száma, amelyre a Cisco dokumentációk „cisco-avpair” néven hivatkoznak.

Data Type: Karakterlánc.

Formátum: Ha az attribútum kötelező, a szintaxis: protokoll: attribútum=érték

Ha az attribútum nem kötelező, az attribútum-érték pár csillaggal (*) van elválasztva egyenlőségjel (=) helyett. Ebben a példában a protokoll a Cisco protokoll attribútumának értéke egy adott típusú engedélyezés esetén. Az attribútum és az érték egy, a Cisco TACACS+ specifikációban meghatározott attribútum-érték (AV) párnak felel meg. Ez lehetővé teszi, hogy a RADIUS-kiszolgáló a TACACS+ engedélyezés összes szolgáltatását használhassa.

Az elsődleges DNS-kiszolgáló megadására szolgáló Cisco attribútum szintaxisa a következő:

ip:dns-servers=10.10.10.10

Az elsődleges DNS-kiszolgáló megadása:

  1. Az IAS konzolfán kattintson a Távelérés házirendjei elemre.
  2. Az egér jobb gombjával kattintson arra a házirendre, amelyhez szállítóspecifikus attribútumot kíván beállítani, majd kattintson a Tulajdonságok parancsra.
  3. Kattintson a Profil szerkesztése gombra, majd a Speciális fülre, végül pedig a Hozzáadás gombra.
  4. A RADIUS-attribútumok listájában kattintson duplán a Vendor-Specific elemre, majd a Hozzáadás gombra.
  5. Jelölje be a Kiválasztás választógombot, majd a listában kattintson a Cisco elemre.
  6. Jelölje be az Igen, megfelel. választógombot, majd kattintson az Attribútum konfigurálása gombra.
  7. A Szállító által kijelölt attribútumszám mezőbe írjon be 1-et.
  8. Az Attribútum formátuma listában kattintson a Karakterlánc elemre.
  9. Az Attribútum értéke mezőbe írja be a következőt: ip:dns-servers=10.10.10.10
A Cisco saját attribútumaival kapcsolatban a Cisco dokumentációk nyújtanak további felvilágosítást.


Szállítóspecifikus attribútum (VSA) példa US Robotics típusú NAS kiszolgálóra

A US Robotics szállítóspecifikus attribútumai nem felelnek meg a 2138. számú RADIUS RFC-dokumentum által ajánlott formai követelményeknek (26-os típusú formátum). Ezért a US Robotics minden szállítóspecifikus attribútumát hexadecimális formátumban kell megadni.

Az elsődleges DNS/NBNS-kiszolgáló megadására szolgáló US Robotics attribútum:

Vendor ID: 429. A US Robotics egyedi azonosítója. Ha a US Robotics-ot adja meg szállítóként, ezt az azonosítót automatikusan adja hozzá a rendszer.

Indicator: 0x900F

Data Type: Karakterlánc.

Formátum: A VSA-t hexadecimális formátumban kell megadni.

A 10.10.10.10 IP-cím megadása elsődleges DNS/NBNS-kiszolgálóhoz:

  1. Az IAS ablakban kattintson a Távelérés házirendjei elemre.
  2. Az egér jobb gombjával kattintson arra a házirendre, amelyhez szállítóspecifikus attribútumot kíván beállítani, majd kattintson a Tulajdonságok parancsra.
  3. Kattintson a Profil szerkesztése gombra, majd a Speciális fülre, végül pedig a Hozzáadás gombra.
  4. A RADIUS-attribútumok listájában kattintson duplán a Vendor-Specific elemre, majd a Hozzáadás gombra.
  5. Jelölje be a Kiválasztás választógombot, majd a listában kattintson a US Robotics elemre.
  6. Jelölje be a Nem, nem felel meg. választógombot, majd kattintson az Attribútum beállítása gombra.
  7. A Hexadecimális attribútumérték mezőbe írja be a következőt: 0x900f31302e31302e31302e31302e
A US Robotics saját attribútumaival kapcsolatban a US Robotics dokumentációk nyújtanak további felvilágosítást.


Hitelesítési módszerek

A távelérést használó ügyfelek hitelesítése fontos biztonsági szempont. A hitelesítési módszerek általában hitelesítési protokollokat használnak, amelyek a kapcsolatfelvétel során adatokat egyeztetnek a másik géppel. A Windows 2000 a hitelesítés nélküli elérést is lehetővé teszi.

A hitelesítési módszerekkel kapcsolatos további információ a következő oldalakon olvasható:

  • EAP
  • Az MS-CHAP protokoll
  • MS-CHAP 2-es verzió
  • A CHAP protokoll
  • A PAP protokoll
  • Hitelesítés nélküli hozzáférés

Minden protokollnak megvannak az előnyei és hátrányai a biztonság, a használhatóság és támogatottság elterjedtsége terén. A NAS-eszköz konfigurációjától függ, hogy milyen protokollt kell használni. Olvassa el a NAS-dokumentációt, ha telefonos hálózatot konfigurál, vagy forduljon az Internet-szolgáltatójához, ha a helyi hálózat telefonos eléréséhez Internet-szolgáltatót használ.

Az IAS szolgáltatást beállíthatja úgy, hogy több hitelesítési protokollt fogadjon el. A hálózati elérést biztosító kiszolgálókat úgy is beállíthatja, hogy az először a legbiztonságosabb protokoll használatával próbálja meg felépíteni a kapcsolatot, majd a második legbiztonságosabb protokoll segítségével, és így tovább, egészen a legkevésbé biztonságos protokollig (például a hálózati elérést biztosító kiszolgáló megpróbálhatja a kapcsolatot felépíteni az EAP, a CHAP, majd végül a PAP protokoll segítségével).


Távelérési házirendek

A rész tartalma:

  • Bevezetés a távelérési házirendek használatába
  • A felhasználói fiók betárcsázási tulajdonságai
  • A távelérés házirendjének elemei
  • Csatlakozási kísérlet elfogadása
  • A távelérési házirend felügyeleti modelljei


Távelérés naplózása

Ez a rész a hibakeresésre és -elhárításra használt eseménynaplózásról, valamint az elsősorban elemzésre és számlázásra alkalmazott IAS-naplófájlokról tartalmaz információkat:

  • Az IAS eseménynaplózása
  • A felhasználók hitelesítési és számlázási kéréseinek naplózása


Az IAS eseménynaplózása

Az IAS a futása közben fellépő eseményeket (például a hibákat) automatikusan eseménynaplókban rögzíti. Az IAS tulajdonságainak módosításával más típusú események rögzítésére is lehetőség van:

  • A Visszautasított hitelesítési kérelmek naplózása beállítás megadásával a program a visszautasított és a figyelmen kívül hagyott kéréseket naplózza. Ezek az üzenetek hasznosak lehetnek annak elemzésekor, hogy egy adott kérés miért lett elutasítva vagy figyelmen kívül hagyva. A kérések visszautasítása vagy figyelmen kívül hagyása több okból is bekövetkezhet. Az alábbiakban egy kérés figyelmen kívül hagyásának néhány lehetséges oka olvasható:
    • A kérés nem a RADIUS-ra vonatkozó, 2138. vagy a 2139. számú RFC szerinti formátumú.
    • A RADIUS-ügyfél, például a hálózati hozzáférést biztosító kiszolgáló (NAS), vagy a RADIUS proxykiszolgáló ismeretlen.
    • Az ügyfélnek több IP-címe van, és a kérést olyan címről küldte, mely az IAS szolgáltatásban nincs megadva.
    • A közös titok érvénytelen.
    • Az ügyfél által küldött digitális aláírás érvénytelen.
    • A digitális aláírás támogatása az ügyfél oldalán nem megfelelő (a RADIUS RFC szabványban foglaltak szerint).
    • Az IAS nem találja a felhasználó tartományát.
    • Az IAS nem tud csatlakozni a felhasználó tartományához.
    • Az IAS nem kap engedélyt a hozzáférésre a felhasználó adott tartományban lévő fiókjához.
  • A Sikeres hitelesítési kérelmek naplózása beállítás megadásával a program a sikeres kérelmeket naplózza.

Az IAS eseményeit az Eseménynapló segítségével tekintheti meg.

Megjegyzések

  • Az IAS eseménynaplózásának beállításáról további információt Az IAS eseménynaplózásának beállítása című témakörben talál.
  • A Windows 2000 eseménynaplóinak beállításáról és használatáról bővebben az Eseménynapló című témakörben tájékozódhat.
    • A hibák azonosításáról és elhárításáról bővebben a Hibakeresés című témakörben olvashat.


A felhasználók hitelesítési és számlázási kéréseinek naplózása

Az IAS segítségével létrehozhatók a hálózati elérést biztosító kiszolgálótól (NAS) érkező hitelesítési és számlázási kéréseken alapuló naplófájlok, melyeket az IAS egy központi helyen tárol. A naplófájlok használatával nyomon követhetők a hitelesítési információk, például a kérelem elfogadása, visszautasítása, vagy az automatikus fiókzárolás, ezzel leegyszerűsíthető a szolgáltatás kezelése. A naplók segítségével nyomon követhetők a számlázási információk, mint például a be- és kijelentkezési rekord, melyek segítséget nyújtanak a számlázási célú rekordok fenntartásban.

Naplózható adatok

A naplózás beállításakor megadhatja:

  • a naplózandó kéréseket
  • a naplók fájlformátumát
  • az új naplók nyitásának gyakoriságát
  • a naplók kezelésének helyét

Naplózandó kérések

Megadhatja, hogy az IAS-kiszolgálóhoz érkező kérések közül mely típusúak legyenek naplózva:

  • Számlázási kérések típusai:
    • Számlázást bekapcsoló kérések, melyeket a NAS kiszolgáló küld annak jelzésére, hogy készen áll a csatlakozások fogadására.
    • Számlázást kikapcsoló kérések, melyek küldésével a NAS kiszolgáló jelzi, hogy a kapcsolatot megszakítja.
    • Számlázást indító kérések, melyeket a NAS kiszolgáló küld (miután az IAS-kiszolgáló elfogadta a felhasználót), ezzel jelezve a felhasználói munkamenet kezdetét.
    • Számlázást leállító kérések, melyek küldésével a NAS kiszolgáló a felhasználói munkamenet végét jelzi.
  • Hitelesítési kérések típusai:
    • A NAS kiszolgáló által a csatlakozó felhasználó nevében küldött hitelesítési kérések. A napló ezen bejegyzései csak bejövő attribútumokat tartalmaznak.
    • Hitelesítés elfogadása vagy visszautasítása, melyet az IAS küld a NAS kiszolgálónak, jelezve, hogy a felhasználót elfogadja-e vagy sem. Ezek a bejegyzések csak kimenő attribútumokat tartalmaznak.
  • Periodikus állapot néhány NAS kiszolgáló által a munkamenet alatt küldött átmeneti számlázási kérések fogadására.
    • Átmeneti számlázási kérések, melyeket a NAS kiszolgáló küld periodikusan a felhasználói munkamenet közben (ha az acct-interim-interval attribútum periodikus kérések támogatására van beállítva az IAS-kiszolgáló távelérési profiljában).

Megjegyzések

  • Először az első két beállítást érdemes használni, majd miután megállapította, melyik adat felel meg leginkább az elvárásainak, finomítani a naplózási módszert.
  • A számlázási és hitelesítési kérésekkel, valamint azok IAS szolgáltatásban történő feldolgozásával kapcsolatban Az IAS működése című témakörben talál további információt.

A naplófájl formátuma

Az IAS-kiszolgáló segítségével az adat adatbázis-kompatibilis vagy IAS-formátumban naplózható:

  • IAS-formátum esetén az attribútumokat a rendszer attribútum-érték párok formájában naplózza. A formátum jellemzői:
    • Az attribútumok sorrendje a kérést küldő NAS kiszolgálótól függ.
    • A naplózott attribútumok közé a RADIUS szabványnak megfelelő, az IAS-specifikus és a szállítóspecifikus attribútumok tartoznak.
    • A nem nyomtatható karaktereket vagy határolójeleket (például | és ,) tartalmazó attribútumok nyomtatása hexadecimális formátumban történik (például 0x026).
  • Az adatbázis-kompatibilis naplóformátum kijelölése esetén az attribútumok naplózása olyan formátumban történik, mely támogatja a naplók importálását adatbázisba. A formátum jellemzői:
    • A rekordok attribútumainak rögzítése azonos sorrendben történik, függetlenül attól, hogy melyik NAS kiszolgáló küldte a kérést (a sorrendet az IAS előre definiálja). A sorrend tartalmazza azon attribútumoknak egy bizonyos csoportját, melyek általában a leghatékonyabban használhatók kérések nyomon követésére és elemzésére, bár a számuk korlátozott.
    • Ha az attribútum nem található meg a kérésben vagy a válaszban (például, ha a NAS kiszolgáló nem küldi vissza az attribútumot), a napló megfelelő mezője üres marad.
    • Az attribútumok bizonyos csoportjának naplózása az IAS-ben előre definiált sorrendben történik. A csoportba tartozó attribútumokat az IAS előre definiálja, és bár számuk korlátozott, általában ezek használhatók leghatékonyabban a kérések nyomon követésére és elemzésére.

    Megjegyzés

    • A legtöbb környezet számára az adatbázis-kompatibilis naplófájlformátum használata ajánlott, mert ennek segítségével a naplófájl könnyen importálható adatbázisba. A formátum egységes szerkezete elősegíti az adat nyomon követését és elemzését.

    Új naplók nyitásának gyakorisága

    A kiszolgáló beállításakor adja meg, hogy a rendszer naponta, hetente vagy havonta nyisson új naplót, vagy akkor, ha a napló elér egy bizonyos méretet. Azt is megteheti, hogy folyamatosan egyetlen naplót tart fenn (annak méretétől függetlenül), de ez nem ajánlott. A naplók fájlelnevezési konvencióját a megjelölt naplózási időtartam határozza meg. Mivel a beállítás megváltoztatása a már létező naplók felülírását eredményezheti, a naplózási időtartam módosítása előtt a naplókat másolja egy különálló fájlba.

    Megjegyzés

    • A naplófájlok hatékony kezeléséről további információt a Gyakorlati tanácsok című témakörben talál.

A naplófájlok rögzítésének helye

A naplófájlok alapértelmezés szerint a % rendszergyökér %\system32\LogFiles mappában helyezkednek el, de ettől eltérő helyet is megadhat.

A naplófájl rekordjainak tartalma

Az attribútumok rögzítése UTF-8 kódolással, vesszővel határolt formátumban történik. A naplófájlban található rekordok formátuma a fájl formátumától függ:

  • IAS-formátumú naplófájlok esetében a rekordok rögzített formátumú fejléccel kezdődnek, mely tartalmazza a NAS kiszolgáló IP-címét, a felhasználónevet, a rögzítés dátumát és idejét, a szolgáltatás nevét, a számítógép nevét, valamint attribútum-érték párokat.

    • Attribútumok és egyéb adatok adatbázis-kompatibilis formátumú naplózásáról további információt az Adatbázis-kompatibilis naplófájlok című témakörben talál.

  • Az adatbázis-kompatibilis naplófájlok minden rekordja egységes sorrendben tartalmaz attribútumértékeket, kezdve a számítógépnévvel, a szolgáltatás nevével, a rögzítés dátumával és idejével. Előfordulhat, hogy a NAS kiszolgáló nem használja az adatbázis-kompatibilis naplóformátum minden attribútumát, de az előre definiált attribútumok vesszővel elválasztott helyét még akkor is fenn kell tartani, ha az attribútum az adott rekordban nem vesz fel értéket.

    • Attribútumok és más adatok IAS-formátumú naplózásáról további információt az IAS-formátumú naplófájlok című témakörben talál.

Megjegyzések

  • Ez a dokumentáció olyan naplózási információkat tartalmaz, melyek kizárólag az IAS szolgáltatásra vonatkoznak. A NAS kiszolgáló által küldött adatok gyártónként eltérőek lehetnek. A NAS kiszolgáló által küldött adatokról és a számlázási csomagok beállításáról (valamint teszt- és termékinformációt) további információt a NAS kiszolgáló dokumentációjában talál. A RADIUS-attribútumok formátumáról és definíciójáról bővebben A RADIUS protokollal foglalkozó RFC-dokumentumok című témakörben tájékozódhat.
  • A hitelesítés és számlázás naplózásának IAS-kiszolgálón történő beállításával kapcsolatosan a Felhasználói hitelesítés és számlázás naplózásának beállítása című témakörben olvashat.
  • A napló adatainak használatáról bővebben a Naplók használata című témakörben olvashat.


Az IAS használata

Ez a rész az IAS használatával kapcsolatban tartalmaz információkat:

  • IAS-telepítési forgatókönyvek
  • A távelérési házirendekkel kapcsolatos forgatókönyvek
  • Naplók használata


IAS-telepítési forgatókönyvek

Ez a rész a négy leggyakoribb forgatókönyvet mutatja be, valamint az IAS beállítását és kezelését azok támogatására:

  • Telefonos vállalati hozzáférés
  • Az extranet elérésének biztosítása üzleti partnerek számára
  • Internet-elérés
  • Kihelyezett vállalati hozzáférés külső szolgáltatókon keresztül


Telefonos vállalati hozzáférés

Ez a témakör bemutatja, hogyan állítható be, hogy az IAS szolgáltatás támogassa a hitelesített vállalati telefonos kapcsolatokat. Az alábbi forgatókönyv bemutatja a tipikus telepítést és konfigurációt egy olyan esetben, amikor a vállalat ügyfelei számára szükséges a vállalati hálózathoz való hozzáférés.

A rész tartalma:

  • A vállalat jellemzői és a hitelesítési követelmények
  • A vállalati környezet támogatása céljából telepített hálózati összetevők
  • A példában a távoli felhasználók hitelesítésére alkalmazandó eljárás
  • A szóban forgó hitelesítési eljárás támogatásához szükséges hálózati összetevők telepítése
  • Kivitelezési és rendszerfelügyeleti szempontok

Tulajdonságok és követelmények

A példában szereplő vállalat nagyvállalati hálózattal rendelkezik, amelyen belül több eladási hely található. Az eladási helyek mindegyike védett hozzáférést igényel a vállalti hálózathoz. A vállalatnak megbízható módszerre van szüksége a távoli felhasználók hitelesítéséhez egy olyan környezetben, amelyre a következők jellemzők:

  • A vállalati hálózat Active Directory segítségével szabályozza a felhasználók hozzáférését.
  • Az eladási helyek igény szerint tárcsázó kapcsolattal csatlakoznak a vállalati hálózathoz.
  • A hálózati kiszolgálók távoli üzemeletetését lehetővé kell tenni.
  • Az egyes alkalmazottak hozzáférési engedélyei nem egyformák, számukra a hozzáférési engedély megadása attól függően történik, hogy mely csoport tagjai. (A vállalati alkalmazottak számára például engedélyezett a távelérés, de a szerződéses alkalmazottak számára nem.)
  • A felhasználók számára lehetővé kell tenni, hogy otthonról vagy utazás közben történő betárcsázással is elérhessék a hálózatot.

Megjegyzés

  • Ez a példa csak az Internet-hozzáférést lehetővé tevő kiszolgáló (IAS) telepítésének módjával és a Windows 2000 részét képező Útválasztás és távelérés szolgáltatás konfigurációjának alapjaival foglalkozik. További információ A távelérés forgatókönyvei című témakörben található.

Hálózati összetevők

Ebben a forgatókönyvben az IAS-kiszolgálók vállalati hálózaton működve végzik a távoli felhasználók hitelesítését. A forgatókönyv támogatására a következő komponensek telepítése történt meg:

  • A vállalati hálózatban:
    • Egy elsődleges és egy tartalék IAS-kiszolgáló, amelyeken a Windows 2000 Server alkalmazás fut, és amelyek a vállalat helyi hálózatához (LAN) csatlakoznak. Az IAS-kiszolgáló működik RADIUS-kiszolgálóként, és mint ilyen, végrehajtja a távoli felhasználók hitelesítését, azonosítását, valamint a velük kapcsolatos számlázási és naplózási feladatokat.
    • Az Active Directory Windows 2000 Server alkalmazást futtató és a helyi hálózathoz kapcsolódó tartományvezérlői. Az Active Directory tartalmazza azokat a felhasználói fiókokat és csoportokat, amelyek az összes távoli felhasználóra vonatkozó távelérési házirendek kialakításához szükségesek.
    • Hálózati elérést biztosító kiszolgálók (NAS), amelyeken a Windows 2000 Server Útválasztás és távelérés szolgáltatás-összetevője fut, és amelyek a helyi hálózathoz kapcsolódnak. A NAS kiszolgáló RADIUS-ügyfélként működik, és eljuttatja a felhasználói adatokat a megfelelő RADIUS kiszolgálókhoz (ebben a forgatókönyvben: az IAS-kiszolgálókhoz), majd a kapott válasz alapján tevékenykedik.

      Megjegyzés

      • Ebben a példában az Útválasztás és távelérés kiszolgálók mint NAS kiszolgálók szerepelnek. Más RADIUS-kompatibilis NAS kiszolgálók (például CISCO, Ascend vagy US Robotics) használata esetén az itt megadott beállításokat a többi NAS kiszolgálónak megfelelően kell módosítani.
  • Minden távoli telefonos kapcsolatot használó felhasználónál:
    • Egy modemmel (vagy más támogatott kommunikációs eszközzel) felszerelt számítógép és a csatlakozáshoz szükséges szoftver, mely támogatja a Point-to-Point protokoll (PPP) használatával történő szabványos telefonos elérést.

A példában alkalmazandó hitelesítési eljárás

A hálózati összetevők határozzák meg, hogy milyen hitelesítési eljárást kell alkalmazni. A jelen példában ismertetett telepítéssel és konfigurációval a számlázás és a hitelesítés az alábbiak szerint történik:

  • A NAS kiszolgáló elindulásakor egy accounting-on (a számlázási funkció bekapcsolásáról tájékoztató) adatcsomagot küld.
  • Amikor egy távoli felhasználó felhívja a vállalatot, a következő folyamat zajlik le (miközben minden kérelem és válasz naplózásra kerül):
    • A forgatókönyvhöz kapcsolódó hitelesítési eljárás folyamata
    1. A felhasználó tárcsázza a vállalat számát, és eléri a NAS kiszolgálót.
    2. A NAS kiszolgáló elküldi a RADIUS hitelesítési kérelmet az IAS-kiszolgálóhoz
    3. Az IAS-kiszolgáló továbbítja a hitelesítési kérelmet a tartományvezérlőhöz, ahol sor kerül a felhasználó hitelesítő adatainak ellenőrzésére.
    4. Az IAS-kiszolgáló a távelérési házirendek és a felhasználói attribútumok értékelése alapján határozza meg, hogy engedélyezi-e a telefonos kapcsolatot.

      Megjegyzés

      • Az IAS-kiszolgáló csak megfelelő engedélyek birtokában olvashatja a felhasználói objektumok attribútumait. Ezt az engedélyt a kiszolgáló csak akkor kapja meg, ha tagja a beépített RAS- és IAS-kiszolgálók biztonsági csoportnak.
    5. Ha a távelérési házirend megfelelő, és a profil sem utasítja vissza a felhasználót, akkor az IAS-kiszolgáló a hozzáférés elfogadását megerősítő adatcsomagot küld el.
    6. A felhasználó a hozzáférés elfogadását megerősítő csomagban szereplő csatlakozási beállításoknak megfelelően megkapja a hozzáférési engedélyt. A NAS kiszolgáló ekkor hozzárendel egy IP-címet és néhány egyéb paramétert az ügyfélhez, majd megkezdi az ügyfél által küldendő és az ahhoz érkező adatcsomagokkal kapcsolatos útválasztást.
  • A NAS kiszolgáló a számlázás megkezdésére vonatkozó adatcsomagot küld az IAS-kiszolgálónak, amellyel a felhasználói munkamenet kezdetét jelzi.
  • A munkamenet során közbülső számlázási adatcsomagok továbbítására kerül sor.
  • Amikor a felhasználó megszakítja a kapcsolatot, a NAS kiszolgáló a számlázás leállítását jelző adatcsomagot küld az IAS-kiszolgálóhoz, ezzel jelezve a felhasználói munkamenet befejeződését.

Telepítés

A jelen forgatókönyvet támogató IAS-kiszolgáló telepítésének lépései a következők:

  1. Annak ellenőrzése, hogy a tartományvezérlők támogatják-e a távoli felhasználókat.
  2. Az IAS-kiszolgáló telepítése és konfigurálása.
  3. Az IAS-konfiguráció másolása az elsődleges IAS-kiszolgálóról a tartalék IAS-kiszolgálóra.
  4. Az elsődleges és a tartalék IAS-kiszolgálók regisztrálása az Active Directory segítségével.
  5. A RADIUS-számlázás és -hitelesítés ellenőrzése a NAS kiszolgálókon.
  6. A távoli felhasználók csatlakozási képességének ellenőrzése.
Az alábbi információk ezekre a telepítési feladatokra, illetve a végrehajtásukhoz szükséges követelményekre vonatkoznak.

1. lépés: Annak ellenőrzése, hogy a tartományvezérlők támogatják-e a távoli felhasználókat

Ellenőrizze, hogy a távoli felhasználók a megfelelő univerzális és beágyazott csoportokban találhatók-e, és az IAS-kiszolgálót futtató számítógép rendelkezik a tartomány felhasználói objektumainak olvasásához szükséges engedélyekkel. Ezután a bejelentkezési lehetőségek tesztelésével ellenőrizze, hogy a felhasználónevek és jelszavak érvényesek-e a helyi hálózaton.

Megjegyzések

  • A CHAP alapján történő hitelesítés engedélyezése esetén biztosítani kell a visszafejthető titkosítású jelszavak használatának támogatását is. További információ A CHAP-protokoll című témakörben található.
  • További információ a következő témakörökben található:
    • Az univerzális és beágyazott csoportokról az Univerzális, globális és tartományszintű helyi csoportok című témakörben.
    • A felhasználói fiókoknak az Active Directoryban történő hozzáadásáról a Felhasználók hozzáadása csoporthoz című témakörben.
    • A felhasználók objektumainak olvasását lehetővé tevő engedélyek megadásával kapcsolatos további információ az Engedélyek és biztonsági leírók című témakörben található.

2. lépés: Az IAS-kiszolgáló telepítése és konfigurálása

Az elsődleges IAS-kiszolgáló vállalati hálózatban történő telepítésének lépései:

  1. Ellenőrizze, hogy az IAS-kiszolgálóként alkalmazni kívánt számítógép tagja-e annak az erdőnek, amelynek alapján a távoli felhasználók hitelesítésére sor kerül (mivel meghatalmazotti kapcsolat szükséges, és az Active Directory-erdők valamennyi tartománya automatikusan meghatalmazotti kapcsolatba kerül egymással). Ha az IAS-kiszolgáló és a felhasználói fiók nem ugyanabban az erdőben található, a felhasználói fiókot magába foglaló tartománynak meghatalmazotti kapcsolatban kell állnia azzal a tartománnyal, amelynek az IAS-kiszolgáló a tagja. A meghatalmazotti kapcsolatról további információ a Tartománymeghatalmazások ismertetése című témakörben található.
  2. Jelentkezzen be a helyi rendszergazda hitelesítő adataival.
  3. Ha a Windows 2000 Server telepítésekor az IAS nem lett kijelölve választható összetevőként, akkor most kell telepítenie a Vezérlőpultról megnyitható Programok telepítése/törlése párbeszédpanel segítségével.
  4. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  5. Az elsődleges IAS-kiszolgáló tulajdonságainak konfigurálásához az Internetes hitelesítési szolgáltatás MMC konzolján kattintson az egér jobb gombjával az Internetes hitelesítési szolgáltatás elemre, majd kattintson a Tulajdonságok parancsra:
    • A Szolgáltatás lapon jelölje be mindkét eseménynaplózási lehetőséget. (Később bármelyik lehetőséget törölheti, ha az nem bizonyul hasznosnak az adott környezetben.)
    • A RADIUS lapon adja meg a RADIUS-hitelesítéshez és RADIUS-számlázáshoz használni kívánt UDP portokat, majd kattintson az OK gombra.

      Megjegyzés

      • Ezeknek a portoknak azonosaknak kell lenniük a NAS kiszolgálók által használt portokkal. A jelen kiadvány idején érvényben lévő legfrissebb RADIUS szabványok szerinti hitelesítéshez az 1812-es portot, számlázáshoz az 1813-as portot kell beállítani. Az alapértelmezett értékek a leggyakrabban használt értékek: a hitelesítéshez 1812 és 1645, a számlázáshoz pedig 1813 és 1646. Ha bizonytalan a portbeállítások tekintetében, olvassa el a NAS kiszolgálónak a forgalmazó által biztosított dokumentációját.
    • Ebben a példában nem szerepelnek tartománynevek, így nincs szükség adatok megadására a Tartományok lapon.
  6. Az IAS-kiszolgálón állítsa be a RADIUS-ügyfelek támogatását. Ennek végrehajtásához az egér jobb gombjával kattintson a konzolfa Ügyfelek mappájára, kattintson az Új ügyfél parancsra, és az utasításokat követve adja hozzá a mappához az egyes RADIUS-ügyfeleket (a vállalati PPTP-kiszolgálókat) és határozza meg a rájuk vonatkozó adatokat a Rövid név, a Protokoll (ebben az esetben: RADIUS), az Ügyfél címe, az Ügyfél-szállító (ebben az esetben: RADIUS Standard), valamint a Közös titok mezők kitöltésével.

    7. Megjegyzések

    • Az IAS esetében a hitelesítésre és a számlázásra vonatkozóan megadott közös titkoknak azonosaknak kell lenniük a NAS kiszolgálóknál megadott közös titkokkal.
    • A digitális aláírások ellenőrzésének engedélyezése előtt ellenőrizze, hogy a NAS kiszolgáló támogatja-e digitális aláírások küldését az Extensible Authentication protokolltól (EAP) eltérő hitelesítési típusokhoz. Az EAP esetében a digitális aláírás ellenőrzésére mindig sor kerül, ezért a digitális aláírásra vonatkozó beállítást nem kell kijelölni.
    • Az új ügyfelek telepítéséről további információ a RADIUS-ügyfelek regisztrálása című témakörben található.
  7. Hozzon létre távelérési házirendeket. Mivel az állandó ügyfelekre más korlátozások vonatkoznak, mint a szerződéses ügyfelekre, különböző házirendeket állítson be a két csoport számára.
    1. Az állandó alkalmazottakra vonatkozó házirend megadásának lépései a következők:
      1. Az Internetes hitelesítési szolgáltatás konzolfán kattintson az egér jobb gombjával a Távelérés házirendjei elemre, majd kattintson az Új távelérési házirend parancsra.
      2. A Távelérési házirend hozzáadása párbeszédpanelen adja meg a házirend nevét. Ebben a forgatókönyvben használhatja az Állandó alkalmazottak elnevezést. A név beírása után kattintson a Tovább gombra.
      3. A következő párbeszédpanelen kattintson a Hozzáadás gombra, és adja meg a házirend feltételét.
      4. Az Attribútum kiválasztása párbeszédpanelen az Attribútumtípusok listában jelölje ki a Windows-Groups elemet, kattintson a Hozzáadás gombra, majd ismét kattintson a Hozzáadás gombra, jelölje ki azokat a csoportokat, amelyekre a házirend érvényes lesz (például az Állandó alkalmazottak csoportot), kattintson a Hozzáadás gombra, majd kétszer az OK gombra.

        Megjegyzés

        • A távelérés házirendjei nem tartalmazhatnak beépített csoportokat, így azok nem láthatók a tartománycsoportok listájában.
      5. A Távelérési házirend hozzáadása párbeszédpanelen kattintson a Tovább gombra.
      6. Jelölje be a Kapjon távelérési engedélyt választógombot, majd kattintson a Tovább gombra.
      7. Kattintson a Profil szerkesztése gombra.
      8. A Betárcsázási profil szerkesztése párbeszédpanel a Hitelesítés lapján az MS-CHAP és az MSCHAP v2 hitelesítés előtti jelölőnégyzeteket jelölje be, majd kattintson az OK gombra (a profilra vonatkozó minden más beállítást alapértelmezett formában használva).
      9. Kattintson a Befejezés gombra.
    2. A szerződéses alkalmazottakra érvényes távelérési házirendeket ugyanúgy állítsa be, mint az állandó alkalmazottakra vonatkozó házirendeket, de ebben legyen benne a hozzáférés időtartamára vonatkozó korlátozás. E házirend beállításához ismételje meg az állandó alkalmazottakra vonatkozó házirend beállításának lépéseit, de a házirendnek adja a Szerződéses alkalmazottak nevet, majd a következő lépések segítségével adjon hozzá egy újabb, a hozzáférés időtartamát korlátozó feltételt.
      1. Az Internetes hitelesítési szolgáltatás ablak részleteket tartalmazó ablaktáblájában kattintson duplán a Szerződéses alkalmazottak elemre.
      2. A Szerződéses alkalmazottak tulajdonságai párbeszédpanelen kattintson a Hozzáadás gombra, és adjon meg újabb feltételt.
      3. Az Attribútum kiválasztása párbeszédpanelen jelölje ki a Day-And-Time-Restrictions elemet, majd kattintson a Hozzáadás gombra.
      4. A Bejelentkezési idő megszorítások párbeszédpanelen jelölje ki a hozzáférés óráit (reggel héttől este hétig csak hétköznap, illetve tetszés szerint más időpontokat), majd jelölje be a Hozzáférés választógombot, és kattintson kétszer az OK gombra.
    3. Ha azt szeretné, hogy az előbbiekben létrehozott házirendek ne ütközzenek az alapértelmezett házirenddel (Hozzáférés engedélyezése, ha van betárcsázási jogosultsága), törölje az alapértelmezett házirendet.

      4. A távelérés házirendjeinek létrehozásáról további információ A távelérés házirendjeinek konfigurálása című témakörben olvasható.

  8. Állítsa be a felhasználói hitelesítés és számlázás naplózását.

    9. Bár az IAS-kiszolgálón megadhatók az alapvető naplózási beállítások, előfordulhat, hogy további programokra van szükség a számlázással és hibaelhárítással kapcsolatos naplóadatok használatához. Előfordulhat, hogy olyan programot telepít, amellyel nyomon követhető, hogy az egyes részlegek milyen mértékben használják ki a távelérés lehetőségét. A jelen forgatókönyv szempontjából a naplózás konfigurálásakor a következőket kell figyelembe venni:

    • A naplófájlokhoz az adatbázis-importálási naplóformátumot kell alkalmazni a saját programokban található adatok beágyazásának és alkalmazásának megkönnyítése céljából. Ha ezt a formátumot választja, adatbázis-kezelő programokkal (például a Microsoft Access 2000 programmal) közvetlenül elolvashatja a használatra, hozzáférés-elemzésre és jelentéskészítésre vonatkozó adatokat tartalmazó naplófájlt.
    • Célszerű beállítani, hogy a kiszolgálóhoz érkező valamennyi kérelemtípus (beleértve a hitelesítési, számlázási és periodikus frissítési kérelmeket is) naplózásra kerüljön. Ha később úgy gondolja, hogy ezekre a naplóadatokra nincs szükség, megváltoztathatja ezt a beállítást.

A naplózás beállításaival kapcsolatos további információ a Felhasználói hitelesítés és számlázás naplózásának beállítása című témakörben található.

3. lépés: Az IAS-konfiguráció másolása az elsődleges IAS-kiszolgálóról a tartalék IAS-kiszolgálóra

Az ügyfélkonfigurációkat, a távelérés házirendjeit és a naplózási beállításokat másolja a tartalék IAS-kiszolgálóra.

A számítógép IAS-konfigurációjának másik számítógépre történő másolásáról további információ Az IAS-beállítások másolása másik kiszolgálóra című témakörben található.

4. lépés: Az elsődleges és a tartalék IAS-kiszolgálók regisztrálása az Active Directory segítségével

Ahhoz, hogy a felhasználók hitelesítésére sor kerülhessen, az elsődleges és a tartalék IAS-kiszolgálókat a RAS- és IAS-kiszolgálók biztonsági csoport tagjaiként kell regisztrálni a beépített csoportokban található Active Directory tartományvezérlőin. Az IAS-kiszolgálók hozzáadásának lépései:

  1. Jelentkezzen be a kiszolgálóra tartomány rendszergazdájának hitelesítő adataival.
  2. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory – felhasználók és számítógépek parancsra.
  3. Kattintson a konzolfa Felhasználók elemére.
  4. A részleteket megjelenítő ablaktáblában kattintson az egér jobb gombjával a RAS- és IAS-kiszolgálók elemre.
  5. A RAS- és IAS- kiszolgálók tulajdonságai párbeszédpanel Tagok lapján adjon hozzá minden IAS-kiszolgálót.

Megjegyzés

  • A kiszolgálókat a netsh ras register server [tartomány] [kiszolgáló] paranccsal is regisztrálhatja. További tudnivalók a NetShell parancsok táveléréshez című témakörben találhatók.

5. lépés: A RADIUS-számlázás és -hitelesítés ellenőrzése a NAS kiszolgálókon

Ha ellenőrizni szeretné, hogy a Windows 2000 Server Útválasztás és távelérés szolgáltatását alkalmazó valamennyi NAS kiszolgálón megfelelően van-e konfigurálva a RADIUS-számlázás és -hitelesítés, illetve hogy az adott konfiguráció egyezik-e az IAS-kiszolgáló 2. és 3. lépésben megadott konfigurációjával, az alábbiak szerint járjon el:

  1. Jelentkezzen be a kiszolgálóra a tartományfelügyelő hitelesítő adataival.
  2. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  3. Azoknál a NAS kiszolgálóknál, amelyeken telepítve van az Útválasztás és távelérés szolgáltatás, az egér jobb gombjával kattintson a kiszolgálónévre, kattintson a Tulajdonságok parancsra, és ellenőrizze a következőket:
    • Az Általános lapon:
      • Be van-e jelölve a Távelérési kiszolgáló jelölőnégyzet.
        • .
    • A Biztonság lapon:
      • A RADIUS-hitelesítés lehetőség van-e kiválasztva, és konfigurálása az elsődleges és tartalék IAS-kiszolgálók neveivel történt-e; az IAS-kiszolgálók konfigurálásakor a megfelelő közös titok és port lett-e megadva; illetve a Hitelesítési módszerek területen be vannak-e jelölve az MS-CHAP v2 és az MS-CHAP jelölőnégyzetek.
      • A RADIUS-számlázás lehetőség van-e kiválasztva, és az elsődleges és tartalék IAS-kiszolgálók neveivel történt-e a konfigurálása; az IAS-kiszolgálók konfigurálásakor a megfelelő közös titok és port lett-e megadva; illetve be van-e jelölve a RADIUS Accounting On és Accounting Off üzenetek küldése jelölőnégyzet.
    • Az IP lapon legyenek bejelölve a következők:
      • Az IP-t futtató távoli rendszerek
      • A teljes hálózat elérése
      • A DHCP szolgáltatás segítségével rendeljen hozzá a távoli IP-címeket.

A NAS kiszolgáló tulajdonságainak ellenőrzéséről további információ A hálózati elérést biztosító kiszolgáló tulajdonságainak megtekintése című témakörben található.

6. lépés: A távoli felhasználók csatlakozási képességének ellenőrzése

Az IAS-kiszolgáló telepítésének utolsó lépéseként ellenőrizni kell, hogy a távoli telefonos felhasználók kapcsolódhatnak-e a vállalati szolgáltatóhoz a Hálózati és telefonos kapcsolatok szolgáltatás segítségével.

A távoli telefonos kapcsolatokról további információ a Hálózati és telefonos kapcsolatok című témakörben található.

Kivitelezési és rendszerfelügyeleti szempontok

A vállalat méretétől függ, hogy elegendő-e egyetlen IAS-kiszolgáló alkalmazása. Sok esetben az IAS-kiszolgáló ugyanarra a számítógépre is telepíthető, mint amelyen a tartományvezérlő található. Figyelje az adatátvitelt, és ha szükséges, az igényeknek megfelelően módosítsa az IAS-kiszolgáló telepítésekor megadott beállításokat.

Megjegyzés

  • Ez a példa egy vállalati környezetben alkalmazható megvalósítási alaptervet ismertet. Az adott vállalat igényeihez igazodva mindenki saját maga dönthet az alkalmazni kívánt kiszolgálók számáról és a megvalósítás egyéb kérdéseiről.

Az IAS-kiszolgáló felügyeletével kapcsolatos valamennyi feladat távolról is ellátható.

Ha a távelérés házirendjeinek frissítése szükségessé válik, akkor azt az elsődleges IAS-kiszolgálón kell végrehajtani, majd az új IAS-konfigurációt kell a többi IAS-kiszolgálóra másolni.

Megjegyzés

  • A vállalati táveléréssel kapcsolatos további tudnivalók az alábbi helyeken találhatók:
    • A távelérés üzembe helyezése - a konfigurációval kapcsolatos információk.
    • A A KRADEB Ipari Kft. számára biztosított távelérés című forgatókönyv, amely bemutatja a távelérést biztosító VPN-kapcsolatok vállalati szintű megvalósításának hardverrel és szoftverrel kapcsolatos szempontjait.


Az extranet elérésének biztosítása üzleti partnerek számára

Ez a témakör azt ismerteti, hogyan állítható be az IAS olyan üzleti partnereket magába foglaló vállalati extranet támogatására, amelyeknek csak meghatározott rész elérése van szükségük a vállalat hálózatán.

A rész tartalma:

  • A telefonos elérést használó távoli partnerek hitelesítésének vállalati jellemzői és követelményei
  • A vállalati extranet elérését támogató telepített hálózati összetevők
  • A távoli felhasználó hitelesítésére alkalmazott eljárás ebben a példában
  • A szóban forgó hitelesítési eljárást támogató hálózati összetevők telepítése
  • Kivitelezési és rendszerfelügyeleti szempontok

Megjegyzés

  • A példában hivatkozott vállalat, vállalati hálózat és vállalati környezet egyetlen vállalatra vonatkozik, amely üzleti partnerei számára hozzáférést biztosít.

Jellemzők és követelmények

A példában szereplő vállalat saját hálózattal rendelkezik, amelynek egyes részeihez (kiszolgálóihoz) biztonságos hozzáférést kíván biztosítani üzleti partnerei számára. A vállalati intranet kiterjesztését, amely lehetővé teszi a kommunikációt az üzleti partnerekkel és a vásárlókkal, extranetnek nevezik. Az extranet segítségével a vásárlók és az üzleti partnerek korlátozott hozzáféréshez jutnak a vállalat intranetéhez, így hatékonyabbá és gyorsabbá válik a kommunikáció. A vállalatnak megbízható módszerre van szüksége az üzleti partnerek hitelesítésére egy olyan környezetben, amely a következő tulajdonságokkal jellemezhető:

  • A vállalat az Active Directory segítségével szabályozza a felhasználók hozzáférését.
  • Az üzleti partnerek különböző hozzáférési jellemzőkkel rendelkeznek. A vállalati hálózat elérése meghatározott partnerek számára lehetséges, az egyes partnerek által elérhető területet pedig különböző üzleti követelmények határozzák meg. (Az egyik partner például technológiai fejlesztésekben működik együtt a vállalattal, ezért a fejlesztői részleghez tartozó kiszolgáló elérésére van szüksége, míg egy másik partner hardvereket szállít, ezért a gyártási részleg kiszolgálójához kell hozzáféréssel rendelkeznie.) Ebben a példában a hozzáférést a NAS szabályozza IP-szűrők használatával. A kapcsolatokon alkalmazott szűrők távelérési házirendek segítségével adhatók meg.
  • A vállalat üzleti partnerei sok, különböző helyen található felhasználóval rendelkeznek, amelyeknek biztonságos módszerre van szükségük a vállalati hálózat egyes területeinek eléréséhez.
  • Az üzleti partner felhasználói rendelkeznek Internet-hozzáféréssel.
  • A VPN-kapcsolat intelligens kártyát és Extensible Authentication protokollt (EAP) használ 128 bites titkosítással.
  • Az egyes üzleti partnerek felhasználóinak egyedi felhasználói nevekre van szükségük saját vállalatuk megjelölésével.

Megjegyzés

  • Ez a példa csak az IAS beállítását ismerteti, a távelérési és VPN-komponensek részletes konfigurálásával nem foglalkozik. Az egyéb távelérési és VPN-komponensek telepítési követelményeiről a következő témakörök nyújtanak tájékoztatást:
    • A távelérés forgatókönyvei
    • Útválasztási forgatókönyvek, azon belül elsősorban a Telefonos fiókirodai hálózat
    • Virtuális magánhálózati forgatókönyvek

Hálózati összetevők

Ebben a példában egy elsődleges IAS-kiszolgáló és egy tartalék IAS-kiszolgáló végzi a távoli üzleti partnerek felhasználóinak hitelesítését. Példánkban a következő összetevők vannak telepítve:

  • A vállalati hálózaton:
    • Egy elsődleges IAS-kiszolgáló és egy tartalék IAS-kiszolgáló, amelyek a Windows 2000 Server rendszert futtatják és csatlakoztatva vannak a vállalat helyi hálózatához (LAN) és az Internethez. Az IAS-kiszolgáló RADIUS-kiszolgálóként működik, amely elvégzi a távoli felhasználók hitelesítését és engedélyezését, valamint a velük kapcsolatos számlázási és naplózási feladatokat.
    • Active Directory tartományvezérlők, amelyeken Windows 2000 Server rendszer fut, és csatlakoztatva vannak a helyi hálózathoz. Az Active Directory tartalmazza a távelérési házirendek beállításához használt felhasználói fiókokat és csoportokat. Az üzleti partnerekhez Egyszerű felhasználónév lett létrehozva, amely korlátozza a vállalati tartomány általuk elérhető területét.
    • Olyan PPTP-kiszolgálók, amelyek a Windows 2000 Server rendszert futtatják engedélyezett Útválasztás és távelérés szolgáltatással, elfogadják a PPTP-kapcsolatokat, és csatlakoztatva vannak a helyi hálózathoz, illetve bérelt vonalon keresztül az Internethez. A PPTP-kiszolgáló, amely hálózati címmel rendelkezik az Interneten és a helyi magánhálózaton, VPN-kapcsolatokat biztosít az üzleti partner felhasználói számára a vállalati hálózat egyes részeihez.

      Megjegyzések

      • A PPTP a VPN-kapcsolatok létrehozásához szükséges protokoll. A PPTP protokoll képes beágyazni a Point-to-Point protokollt (PPP) használó csomagokat (például egy hálózati elérést biztosító kiszolgálótól (NAS) érkező csomagok) az Internet-protokollt (IP) használó csomagokba, és továbbítani azokat bármilyen IP-hálózaton keresztül, beleértve az Internetet is.
      • A PPTP-kiszolgáló telepítésével kapcsolatban az alábbi témakörben találhat bővebb információt: Feladatlista: PPTP-kiszolgáló telepítése és konfigurálása.
  • Az üzleti partnerek felhasználói számára:
    • Egy modemmel (vagy más támogatott kommunikációs eszközzel) felszerelt számítógép, Internet-hozzáférés és a csatlakozáshoz szükséges szoftver, amely támogatja a szabványos elérést PPP- és PPTP-kapcsolatok használatával. A hitelesített felhasználók csak akkor férhetnek hozzá a vállalati hálózathoz, ha rendelkeznek egyszerű felhasználónévvel.
    • Intelligenskártyás elérés jellemzői.

A példában alkalmazandó hitelesítési eljárás

A hálózati összetevők szabják meg, hogy milyen hitelesítési eljárás szükséges. A példában ismertetett telepítés és konfiguráció alkalmazása esetén a számlázás és a hitelesítés végrehajtása a következők szerint történik:

  • A PPTP-kiszolgáló elindulásakor egy csomag küldésére kerül sor, amely a számlázási funkció bekapcsolását jelzi.
  • Amikor egy üzleti partner felhasználója csatlakozik a vállalat hálózatához, a rendszer végrehajtja a következő műveleteket, valamint naplózza a lekérdezéseket és a válaszokat.
    • A példában alkalmazott hitelesítési eljárás folyamata
    1. Intelligenskártyás elérés használatával a felhasználó csatlakozik a vállalat PPTP-kiszolgálójához.
    2. A PPTP-kiszolgáló elküldi a RADIUS-hitelesítési kérelmet az IAS-kiszolgálóhoz.

      Megjegyzés

      • Az üzleti partner felhasználójához tartozó Egyszerű felhasználónév beérkezésekor az IAS lekérést hajt végre a globális katalógusban, és az egyszerű felhasználónév utótagját egy teljesen minősített tartománynévhez rendeli.
    3. Az IAS-kiszolgáló továbbítja a hitelesítési kérelmet a tartományvezérlőhöz, ahol a felhasználó hitelesítő adatainak ellenőrzésére kerül sor.
    4. Az IAS-kiszolgáló a távelérési házirendek és a felhasználói attribútumok értékelése alapján meghatározza, hogy engedélyezett-e a telefonos kapcsolat.

      Megjegyzés

      • Az IAS-kiszolgálónak megfelelő engedélyre van szüksége a felhasználói objektum attribútumainak olvasásához. Ezt az engedélyt a kiszolgáló akkor kapja meg, ha tagja a beépített RAS- és IAS-kiszolgálók biztonsági csoportnak.
    5. Ha a távelérési házirend megfelelő és a profil sem utasítja el a felhasználót, akkor az IAS-kiszolgáló egy, a hozzáférés elfogadását megerősítő adatcsomagot küld.

      Megjegyzés

      • A házirendek értékeléséről az alábbi témakörökben olvashat bővebb információkat:
        • A távelérés kialakítása (konfigurálási információk)
        • Csatlakozási kísérlet elfogadása
    6. A felhasználó a hozzáférés elfogadását megerősítő csomagban szereplő csatlakozási beállításoknak megfelelően megkapja a VPN-hozzáférési engedélyt. A csatlakozási beállítások között szerepel az üzleti partner hozzáférését meghatározó szűrő is, amelyet a PPTP-kiszolgáló a kapcsolaton áthaladó minden csomagra alkalmaz.
    7. A PPTP-kiszolgáló ekkor hozzárendel egy IP-címet és néhány egyéb paramétert az ügyfélhez, majd megkezdi az ügyfél által küldendő és az ahhoz érkező adatcsomagokkal kapcsolatos útválasztást.
  • A PPTP-kiszolgáló a számlázás megkezdésére vonatkozó adatcsomagot küld az IAS-kiszolgálónak, amellyel a felhasználói munkamenet kezdetét jelzi.
  • A munkamenet során közbülső számlázási adatcsomagok továbbítására kerül sor.
  • Amikor a felhasználó megszakítja a kapcsolatot, a NAS-kiszolgáló a számlázás leállítását jelző csomagot küld az IAS-kiszolgálóhoz, ezzel jelezve a felhasználói munkamenet befejezését.

Az üzleti partnerek extranetes hozzáférésével kapcsolatban további információk találhatók a Csomagszűrés alkalmazása extranetes üzleti partnerek esetén című forgatókönyvben.

Telepítés

A példában szereplő IAS-kiszolgáló telepítéséhez a következő lépések szükségesek:

  1. Annak ellenőrzése, hogy a tűzfal beállításai megfelelőek-e az IAS számára.
  2. Annak ellenőrzése, hogy a tartományvezérlők támogatják-e a távoli felhasználókat.
  3. Az IAS telepítése és konfigurálása.
  4. Az IAS-konfiguráció másolása az elsődleges IAS-kiszolgálóról a tartalék IAS-kiszolgálóra.
  5. Az elsődleges és a tartalék IAS-kiszolgálók regisztrálása az Active Directoryban.
  6. Annak ellenőrzése, hogy a PPTP-kiszolgálók megfelelően vannak-e beállítva a RADIUS-számlázás támogatására, illetve a hitelesítés megfelelően van-e beállítva a VPN-kapcsolatokhoz.
  7. Az üzleti partnerek csatlakozási jellemzőinek ellenőrzése.
Az alábbi információk ezekre a telepítési feladatokra, illetve a végrehajtásukhoz szükséges követelményekre vonatkoznak.

1. lépés: Annak ellenőrzése, hogy a tűzfal beállításai megfelelőek-e az IAS számára

A tűzfal beállításával kapcsolatos további információkért olvassa el Az IAS és a tűzfalak című témakört.

2. lépés: Annak ellenőrzése, hogy a tartományvezérlők támogatják-e a távoli felhasználókat

Ellenőrizze, hogy az üzleti partnerek felhasználói a megfelelő univerzális és beágyazott csoportokban találhatók-e, és az IAS szolgáltatást futtató számítógép rendelkezik-e a tartomány felhasználói objektumainak olvasásához szükséges engedélyekkel. Ezután a bejelentkezési jellemzők tesztelésével ellenőrizze, hogy a felhasználói nevek és jelszavak érvényesek-e a helyi hálózaton. Mivel csoportokat használ, ellenőrizze, hogy a felhasználói fiók Távelérési engedély beállításában az Elérés vezérlése a RAS-házirend alapján beállítás van-e megadva. Hozzon létre csoportokat az egyes üzleti partnerek számára, és állítson be egyszerű felhasználóneveket az üzleti partnerek felhasználóihoz. Az egyik üzleti partner (Cég) Anna nevű felhasználójához például hozzon létre egy csoportot Cég néven, majd hozzon létre egy UPN nevet (@Cég.com) és rendelje hozzá a cég felhasználójához.

Megjegyzések

  • Ha támogatni kívánja a CHAP protokollt, konfigurálnia kell a visszafejthető titkosítású jelszavak támogatását is. További információt A CHAP protokoll című témakörben talál.
  • További információkat a következő témakörökben talál:
    • Az univerzális és beágyazott csoportokról az Univerzális, globális és tartományszintű helyi csoportok című témakörben olvashat.
    • A felhasználói fiókoknak az Active Directoryhoz történő hozzáadásáról a Felhasználók hozzáadása csoporthoz című témakörben tájékozódhat.
    • A felhasználói objektumok olvasását lehetővé tevő engedélyek megadását az Engedélyek és biztonsági leírók című témakörben találja.
    • A csoporttagság beállításáról a Hozzáférés megadása csoporttagság alapján című témakörben olvashat.

3. lépés: Az IAS telepítése és konfigurálása

Az elsődleges IAS-kiszolgáló telepítésének lépései:

  1. Ellenőrizze, hogy az IAS futtatására szánt kiszolgáló tagja-e annak az erdőnek, amelynek alapján a távoli felhasználók hitelesítését végzi majd (mivel meghatalmazotti kapcsolat szükséges, és az Active Directory erdő valamennyi tartománya automatikusan meghatalmazotti kapcsolatba kerül egymással.) Ha az IAS és a felhasználói fiók nem ugyanabban az erdőben található, a felhasználói fiókot magába foglaló tartománynak meghatalmazotti kapcsolatban kell állnia azzal a tartománnyal, amelynek az IAS a tagja. A meghatalmazotti kapcsolatról további információ a Tartományszintű meghatalmazások ismertetése című témakörben található.
  2. Jelentkezzen be rendszergazdai hitelesítő adatokkal.
  3. Ha a Windows 2000 Server telepítésekor az IAS nem lett kijelölve választható összetevőként, akkor most kell telepítenie a Vezérlőpultról megnyitható Programok telepítése/törlése párbeszédpanel segítségével.
  4. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  5. Az elsődleges IAS-kiszolgáló tulajdonságainak konfigurálásához az Internetes hitelesítési szolgáltatás nevű MMC konzolon kattintson az egér jobb gombjával az Internetes hitelesítési szolgáltatás elemre, majd kattintson a Tulajdonságok parancsra:
    • A Szolgáltatás lapon jelölje be mindkét eseménynaplózási lehetőséget. (Később bármelyik lehetőséget törölheti, ha az nem bizonyul hasznosnak az adott környezetben.)
    • A RADIUS lapon adja meg a RADIUS-hitlesítéshez és RADIUS-számlázáshoz használni kívánt UDP portokat, majd kattintson az OK gombra.

      Megjegyzés

      • Ezeknek a portoknak azonosaknak kell lenniük a PPTP-kiszolgálók által használt portokkal. A jelen kiadvány idején érvényben lévő legfrissebb RADIUS szabványok szerinti hitelesítéshez az 1812-es portot, számlázáshoz az 1813-as portot kell beállítani. Alapértelmezettként a leggyakrabban használt értékek vannak beállítva: hitelesítéshez az 1812-es és 1645-ös, számlázáshoz pedig az 1813-as és az 1646-os. Ha bizonytalan a portbeállítások tekintetében, olvassa el a forgalmazó által a NAS-kiszolgálóhoz biztosított dokumentációt.
  6. Állítson be IAS-támogatást a RADIUS-ügyfelekhez. Ennek végrehajtásához az egér jobb gombjával kattintson a konzolfa Ügyfelek mappájára, kattintson az Új ügyfél parancsra, és az utasításokat követve adja hozzá a mappához az egyes RADIUS-ügyfeleket (a vállalati PPTP-kiszolgálókat), és határozza meg a rájuk vonatkozó adatokat a Rövid név, a Protokoll (ebben az esetben: RADIUS), az Ügyfél címe, az Ügyfél-szállító (ebben az esetben: RADIUS Standard), valamint a Közös titok mezők kitöltésével.

    7. Megjegyzések

    • Az IAS esetében a hitelesítésre és a számlázásra vonatkozóan megadott közös titkoknak azonosaknak kell lenniük a NAS-kiszolgálóknál megadott közös titkokkal.
    • Az új ügyfelek telepítéséről további információ a RADIUS-ügyfelek regisztrálása című témakörben található.
  7. Állítson be egy távelérési házirendet az egyik olyan üzleti partner intelligenskártyás eléréséhez (ebben a példában a Soft Számítástechnikai Kft. nevű fiktív vállalathoz), amely 128 bites titkosítást használ. A házirendet a következő módon állíthatja be:
    1. Az Internetes hitelesítési szolgáltatás konzolfán a jobb gombbal kattintson a Távelérés házirendjei elemre, majd kattintson az Új távelérési házirend parancsra és konfiguráljon egy távelérési házirendet az egyik üzleti partner felhasználói számára.
    2. A Távelérési házirend hozzáadása varázsló első párbeszédpanelén írja be a megfelelő nevet A házirend rövid neve mezőbe. (Ebben a példában például a Soft Számítástechnika intelligenskártyás elérése nevet lehetne megadni.) A név beírása után kattintson a Tovább gombra.
    3. A következő párbeszédpanelen kattintson a Hozzáadás gombra, válassza ki a Windows-Groups elemet, kattintson a Hozzáadás, majd ismét a Hozzáadás gombra, jelölje ki azokat a csoportokat, amelyekre a házirendnek vonatkoznia kell (például: Soft Számítástechnika), kattintson a Hozzáadás gombra, majd kétszer az OK gombra.

      Megjegyzés

      • A távelérési házirendekben nem lehetnek beépített csoportok, így azok nem láthatók a tartományhoz tartozó csoportok listájában.
    4. Egy újabb feltétel hozzáadásához kattintson ismét a Hozzáadás gombra, válassza a NAS-Port-Type elemet, jelölje ki a Virtuális (VPN) elemet, kattintson a Hozzáadás, az OK, majd a Tovább gombra.
    5. Jelölje be a Kapjon távelérési engedélyt választógombot, majd kattintson a Tovább gombra.
    6. Kattintson a Profil szerkesztése gombra.
    7. A Hitelesítés lapon jelölje be a Kibővíthető hitelesítési protokoll (EAP) jelölőnégyzetet, válassza az Intelligens kártya vagy egyéb bizonyítvány elemet, kattintson a Beállítás gombra, majd válassza ki a használni kívánt számítógépes bizonyítványt.
    8. Az IP lapon lévő IP-csomagszűrők mezőben kattintson az Ügyféltől gombra, adja meg a célhálózatra vonatkozó információkat a szűrőhöz, majd kattintson háromszor az OK gombra.
    9. Kattintson a Befejezés gombra.
    10. Ahhoz, hogy az előzőek alapján konfigurált házirendek biztosan ne ütközzenek az alapértelmezett házirenddel (Hozzáférés engedélyezése, ha van betárcsázási jogosultsága), törölje az alapértelmezett házirendet.

    Megjegyzések

    • Adjon meg külön házirendet minden üzleti partner számára.
    • Az intelligens kártyákról és azok megvalósításáról az Intelligens kártyák – áttekintés című témakörben olvashat további információkat.
    • A távelérési házirendek beállításával kapcsolatos további információk a Távelérési házirendek beállítása című témakörben találhatók.
  8. Állítsa be a felhasználói hitelesítés és számlázás naplózását.

    9. Bár az IAS-kiszolgálón megadhatók a naplózás alapvető beállításai, előfordulhat, hogy további programokra van szükség a számlázással és hibaelhárítással kapcsolatos naplóadatok használatához. Lehet, hogy olyan program telepítése válik szükségessé, amellyel nyomon követhető a távelérési jellemzők vállalati részlegenként történő alkalmazása. A jelen példa esetében a naplózás konfigurálásakor a következőket kell figyelembe venni:

    • A naplófájlokhoz az adatbázis-importálási naplóformátumot kell alkalmazni a saját programokban található adatok beágyazásának és alkalmazásának megkönnyítése céljából. Ha ezt a formátumot választja, az adatbázis-kezelő programokkal közvetlenül elolvashatja a használatra, a hozzáférés-elemzésre és a jelentéskészítésre vonatkozó adatokat tartalmazó naplófájlokat.
    • Érdemes beállítani, hogy a kiszolgálóhoz érkező mindhárom hitelesítési és számlázási kérelemtípus naplózásra kerüljön. Ha később úgy gondolja, hogy ezekre a naplóadatokra nincs szükség, megváltoztathatja ezt a kijelölést.

A naplózás beállításaival kapcsolatos további információ a Felhasználói hitelesítés és számlázás naplózásának beállítása című témakörben található.

4. lépés: Az IAS-konfiguráció másolása az elsődleges IAS-kiszolgálóról a tartalék IAS-kiszolgálóra

Az IAS-konfigurációt (beleértve az IAS tulajdonságait, az ügyfélkonfigurációkat, a távelérési házirendeket és a naplózási beállításokat) másolja a tartalék IAS-kiszolgálóra.

Egy számítógép IAS-konfigurációjának egy másik számítógépre történő másolásáról további információ Az IAS-beállítások másolása másik kiszolgálóra című témakörben található.

5. lépés: Az elsődleges és a tartalék IAS-kiszolgálók regisztrálása az Active Directoryban

Ahhoz, hogy a felhasználók hitelesítését elvégezhesse, az elsődleges és a tartalék IAS-kiszolgálókat a RAS- és IAS-kiszolgálók biztonsági csoport tagjaiként kell regisztrálni a beépített csoportokban található Active Directory tartományvezérlőin. Az IAS-kiszolgálók hozzáadásának lépései:

  1. Jelentkezzen be a kiszolgálóra tartományi rendszergazdai hitelesítő adatokkal.
  2. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory - felhasználók és számítógépek parancsra.
  3. Kattintson a konzolfa Felhasználók elemére.
  4. A részleteket megjelenítő ablaktáblában kattintson az egér jobb gombjával a RAS- és IAS-kiszolgálók elemre.
  5. A RAS- és IAS-kiszolgálók tulajdonságai párbeszédpanel Tagok lapján végezze el az összes IAS-kiszolgáló hozzáadását.

Megjegyzés

  • A kiszolgálók regisztrálásához használhatja a netsh ras register server [tartomány] [kiszolgáló] parancsot is. További tudnivalók a NetShell-parancsok táveléréshez című témakörben találhatók.

6. lépés: Annak ellenőrzése, hogy a PPTP-kiszolgálók megfelelően vannak-e beállítva a RADIUS-számlázás támogatására, illetve a hitelesítés megfelelően van-e beállítva a VPN-kapcsolatokhoz

Ha ellenőrizni szeretné, hogy a megfelelő távelérési szoftvereket alkalmazó valamennyi PPTP-kiszolgálón megfelelő-e a RADIUS-számlázás és -hitelesítés konfigurációja, illetve hogy ez a konfiguráció egyezik-e az IAS-kiszolgáló konfigurációjával (ezzel biztosítva azt, hogy az IAS-kiszolgáló legyen beállítva hitelesítési és számlázási szolgáltatóként), az alábbiak szerint járjon el:

  1. Jelentkezzen be a kiszolgálóra tartományi rendszergazdai hitelesítő adatok használatával.
  2. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  3. Azoknál a PPTP-kiszolgálóknál, amelyeken telepítve van az Útválasztás és távelérés szolgáltatás, az egér jobb gombjával kattintson a kiszolgálónévre, kattintson a Tulajdonságok parancsra, és ellenőrizze a következőket:
    • Az Általános lapon:
      • Be van-e jelölve a Távelérési kiszolgáló jelölőnégyzet
        • .
    • A Biztonság lapon:
      • A RADIUS-hitelesítés beállítás van-e megadva, és az elsődleges és a tartalék IAS-kiszolgálók neveivel, a megfelelő közös titokkal és porttal van-e konfigurálva; be van-e jelölve a Mindig digitális aláírás használatával beállítás; és be van-e jelölve a Bővíthető hitelesítési protokoll (EAP) jelölőnégyzet a Hitelesítési módszerek párbeszédpanelen.
      • A RADIUS-számlázás lehetőség van-e kiválasztva, és konfigurálása az elsődleges és tartalék IAS-kiszolgálók neveivel történt-e; az IAS-kiszolgálók konfigurálásakor a megfelelő közös titok és port lett-e megadva; illetve be van-e jelölve a RADIUS Accounting On és Accounting Off üzenetek küldése jelölőnégyzet.
    • Az IP lapon legyenek bejelölve a következők:
      • Az IP-t futtató távoli rendszerek
      • Csak ehhez a számítógéphez férhetnek hozzá
      • DHCP használata távoli IP-címek kijelöléséhez
  4. Ellenőrizze a PPTP-kiszolgálók megfelelő beállítását a VPN-kapcsolathoz. A PPTP-kiszolgálók beállításával kapcsolatban a Virtuális magánhálózatok című témakörben olvashat bővebb információkat.

7. lépés: Az üzleti partnerek csatlakozási jellemzőinek ellenőrzése

Az IAS beállításának utolsó lépéseként ellenőrizze, hogy az üzleti partnerek VPN-felhasználói képesek-e a vállalati hálózat elérésére. Ehhez ellenőrizze az intelligenskártyás hozzáférést.

Kivitelezési és rendszerfelügyeleti szempontok

A partnerek felhasználói által hozzáférhető területeket meghatározó házirendek megadásakor legyen körültekintő.

Kivitelezési szempontok

Ez a példa csak egy az extranetes elérés konfigurálási lehetőségei közül. A tényleges megvalósítás függ a vállalat méretétől és a hozzáféréssel kapcsolatos követelményektől. A példát saját igényeinek megfelelően alkalmazza.

Megjegyzés

  • A VPN hálózatok használatával megvalósított táveléréssel (beleértve az intelligens kártyák, az erős titkosítás és a szűrők használatát) kapcsolatban a VPN-forgatókönyvek című témakörben olvashat további információkat.


Internet-elérés

Ez a témakör bemutatja, hogyan telepíthető az IAS-kiszolgáló oly módon, hogy támogassa az ügyfelek Internet-szolgáltatóval létesített hitelesített telefonos kapcsolatait. Az alábbi példa bemutatja a tipikus telepítést és konfigurációt egy olyan Internet-szolgáltató esetében, amelynek ügyfelei az Internet-szolgáltatón keresztül kívánnak Internet-kapcsolatot létesíteni.

A rész tartalma:

  • az Internet-szolgáltató jellemzői és hitelesítési követelményei
  • az Internet-szolgáltatói környezet támogatására telepített hálózati összetevők
  • a példában alkalmazandó ügyfélhitelesítési eljárás
  • a szóban forgó hitelesítési eljárást támogató hálózati összetevők telepítése
  • megvalósítási és rendszerfelügyeleti szempontok.

Tulajdonságok és követelmények

Ebben a példában az Internet-szolgáltató egyetlen adatközponttal rendelkezik, amely nagyon sok felhasználót szolgál ki, a hálózati hozzáférést biztosító kiszolgálók (NAS) pedig több kapcsolódási ponttal (POP-pal) rendelkeznek. A szolgáltatónak megbízható felhasználóhitelesítési módszerre van szüksége egy olyan környezetben, amely a következő tulajdonságokkal jellemezhető:

  • Az Internet-szolgáltató az Active Directory segítségével szabályozza a felhasználók hozzáférését.
  • A szolgáltató két szolgáltatási rendszert biztosít: az egyik egy korlátlan hozzáférési rendszer telefonos modemmel rendelkező felhasználóknak, a másik pedig egy magasabb szintű rendszer az ISDN-kapcsolatok támogatására. A felhasználók a hozzáférési jogot attól függően kapják meg, hogy melyik rendszerbe iratkoztak fel, és ez meghatározza, hogy melyik az a csoport, amelyhez az egyes felhasználók tartoznak.
  • A felhasználók az egyes szolgáltatók kapcsolódási pontjaihoz (POP) tartozó helyi telefonszámokon keresztül kell, hogy a hálózathoz csatlakozhassanak.

Megjegyzés

  • Ez a példa csak az IAS-kiszolgáló telepítésének módjával és a Windows 2000 részét képező Útválasztás és távelérés szolgáltatás konfigurációjának alapvető kérdéseivel foglalkozik. További információ A távelérés forgatókönyvei című témakörben található.

Hálózati összetevők

Ebben a példában az IAS-kiszolgálók a vállalati hálózatra vannak telepítve, így azonosíthatók azok a felhasználók, akik az Internet-szolgáltató hálózati hozzáférést biztosító kiszolgálóin (NAS) telepített kapcsolódási pontokon keresztül csatlakoznak. A példa támogatása érdekében a következő összetevők vannak telepítve:

  • Az Internet-szolgáltatónál:
    • Egy elsődleges és egy tartalék IAS-kiszolgáló, amelyeken a Windows 2000 Server operációs rendszer fut. Az IAS-kiszolgálók RADIUS-kiszolgálókként működnek, amelyek elvégzik a szolgáltató által nyújtott szolgáltatást igénybe vevő valamennyi felhasználóval kapcsolatos hitelesítési, azonosítási, számlázási és naplózási feladatokat.
    • Active Directory tartományvezérlők, amelyeken Windows 2000 Server rendszer fut. Az Active Directory tartalmazza azokat a felhasználói fiókokat és csoportokat, amelyek az összes felhasználóra vonatkozó távelérési házirendek kialakításához szükségesek.
    • Hálózati hozzáférést biztosító kiszolgálók (NAS), amelyeken a Windows 2000 Server Útválasztás és távelérés szolgáltatás-összetevője fut, és amelyek a helyi hálózathoz kapcsolódnak. A NAS kiszolgáló RADIUS-ügyfélként működik, amely eljuttatja a felhasználói adatokat a megfelelő RADIUS-kiszolgálókhoz (ebben a példában az IAS-kiszolgálókhoz), majd a kapott válasz alapján tevékenykedik.

      Megjegyzés

      • Ebben a példában az Útválasztás és távelérés kiszolgálók mint NAS kiszolgálók szerepelnek. Más RADIUS-kompatibilis NAS kiszolgálók (például CISCO, Ascend vagy US Robotics) használata esetén az itt megadott beállításokat a többi NAS kiszolgáló beállításainak megfelelően kell módosítani.
  • Az ISDN-támogatás nélküli alaprendszer valamennyi egyéni felhasználójánál:
    • A Point-to-Point (PPP) protokollt használó szabványos telefonos kapcsolatok támogatására konfigurált számítógép. Ebben a példában a Csatlakozáskezelő-profil segítségével történik annak engedélyezése, hogy az ügyfelek a szolgáltató kapcsolódási pontjain keresztül érhessék el az Internetet.
  • Az ISDN-támogatást biztosító magasabb szintű rendszer valamennyi egyéni felhasználójánál:
    • A PPP protokollt használó szabványos telefonos kapcsolatok, valamint a közvetlen elérést biztosító ISDN támogatására konfigurált számítógép. Az ISDN használatával történő hozzáférés esetében is az alaprendszernél alkalmazott Csatlakozáskezelő-profilt lehet használni, mivel a szolgáltatásprofil telefonos és ISDN kapcsolódási pontokat is tartalmaz. (A Csatlakozáskezelő a felhasználó által kiválasztott csatlakozási eszköz típusa alapján a megfelelő kapcsolódási pontokat teszi elérhetővé.)

    Megjegyzés

    • A Csatlakozáskezelő használatához a szolgáltatásprofilt el kell juttatni a távelérést igénylő számítógépekhez, majd végre kell hajtani a profil telepítését és beállítását. A Csatlakozáskezelő-profilok a Csatlakozáskezelő felügyeleti csomag (CMAK) varázsló alkalmazásával hozhatók létre. A Csatlakozáskezelő-profilok létrehozásával, továbbításával és beállításával kapcsolatos további információkat a Csatlakozáskezelő felügyeleti csomag útmutató tartalmazza.

A példában alkalmazandó hitelesítési eljárás

A hálózati összetevők határozzák meg, hogy milyen hitelesítési eljárást kell alkalmazni. A jelen példában ismertetett telepítéssel és konfigurációval a számlázás és a hitelesítés az alábbiak szerint történik:

  • A NAS kiszolgáló elindulásakor a rendszer számlázást bekapcsoló adatcsomagot küld.
  • Ha egy távoli felhasználó felhívja a szolgáltató egyik kapcsolódási pontját, a következő folyamat zajlik le (miközben minden kérelem és válasz naplózásra kerül):
    • A példában alkalmazott hitelesítési eljárás
    1. A felhasználó kiválasztja a tárcsázás helyszínét, majd a Csatlakozáskezelő-profilban lévő telefonkönyvben kijelöli az Internet-szolgáltató megfelelő telefonszámát (kapcsolódási pontját).
    2. A NAS kiszolgáló elküldi a RADIUS hitelesítési kérelmet az IAS-kiszolgálóhoz.
    3. Az IAS-kiszolgáló a hitelesítési kérelmet továbbítja az adott helyhez tartozó tartományvezérlőhöz, ahol megtörténik a felhasználó hitelesítő adatainak ellenőrzése.
    4. Az IAS-kiszolgáló a távelérési házirendek és a felhasználói attribútumok értékelése alapján határozza meg, hogy engedélyezett-e a telefonos kapcsolat.

      Megjegyzés

      • Az IAS-kiszolgáló csak megfelelő engedélyek birtokában olvashatja a felhasználói objektumok attribútumait. Ezt az engedélyt a kiszolgáló akkor kapja meg, ha tagja a beépített RAS- és IAS-kiszolgálók biztonsági csoportnak.
    5. Ha a kiszolgáló megfelelő távelérési házirendet talál, és a profil sem utasítja vissza a felhasználót, az IAS-kiszolgáló a hozzáférés elfogadásáról értesítő adatcsomagot küld.
    6. A felhasználó a hozzáférés elfogadását megerősítő adatcsomagban szereplő csatlakozási beállításoknak megfelelően megkapja a hozzáférési engedélyt. A NAS kiszolgáló ekkor hozzárendel az ügyfélhez egy IP-címet és néhány egyéb paramétert, majd megkezdi az ügyfél által küldendő, és az ügyfélhez érkező adatcsomagokkal kapcsolatos útválasztást.
  • A NAS kiszolgáló a számlázás megkezdését jelző adatcsomagot küld az IAS-kiszolgálónak, amellyel a felhasználói munkamenet kezdetét jelzi.
  • A munkamenet során közbülső számlázási adatcsomagok továbbítására kerül sor.
  • Ha a felhasználó megszakítja a kapcsolatot, a NAS kiszolgáló a számlázás leállítását jelző adatcsomagot küld az IAS-kiszolgálóhoz, ezzel jelezve a felhasználói munkamenet befejeződését.

Telepítés

A jelen példa támogatását biztosító IAS-kiszolgáló telepítésének lépései a következők:

  1. Ellenőrizze, hogy a tartományvezérlők támogatják-e a távoli felhasználókat.
  2. Az IAS telepítése és konfigurálása.
  3. Az IAS-konfiguráció másolása az elsődleges IAS-kiszolgálóról a tartalék IAS-kiszolgálóra.
  4. Az elsődleges és a tartalék IAS-kiszolgálók regisztrálása az Active Directory segítségével.
  5. A RADIUS-számlázás és -hitelesítés ellenőrzése a NAS kiszolgálókon.
  6. A távoli felhasználók csatlakozási képességének ellenőrzése.
Az alábbi információk ezekre a telepítési feladatokra, illetve a végrehajtásukhoz szükséges követelményekre vonatkoznak.

1. lépés: Ellenőrizze, hogy a tartományvezérlők támogatják-e a távoli felhasználókat

Ellenőrizze, hogy a felhasználók az egyszerű felhasználónevekkel (UPN) vannak-e telepítve és a megfelelő univerzális és beágyazott csoportokban vannak-e, illetve azt, hogy az IAS-kiszolgáló rendelkezik-e engedélyekkel a tartomány felhasználói objektumainak olvasásához. Ebben a példában két univerzális csoport telepítésére kerül sor, egyik az alaprendszert, a másik pedig a magasabb szintű ISDN-rendszert használó felhasználók számára. A potenciális felhasználók nagy száma miatt az univerzális csoportokba beágyazott globális csoportokat kell létrehozni, a felhasználókat pedig nem közvetlenül az univerzális csoportokban, hanem az alcsoportokban kell elhelyezni. A helyi hálózatra történő bejelentkezéssel ellenőrizze a felhasználónevek és a jelszavak érvényességét.

Ellenőrizze, hogy a CHAP és MS-CHAP alapú protokollok megkapják-e a tartományvezérlők támogatását.

Megjegyzések

  • Az egyszerű felhasználóneveknek az Internet-szolgáltató neve után tartalmazniuk kell az @ karaktert (például Szolgáltató_neve@Felhasználónév).
  • Ha szükséges a CHAP protokoll támogatása, akkor be kell állítani a visszafejthető titkosítású jelszavak támogatását, és engedélyezni kell a tiszta szöveges jelszavak használatát. További információt A CHAP protokoll című témakörben talál.
  • További információt a következő témakörökben talál:
    • az univerzális és beágyazott csoportokról: Univerzális, globális és tartományszintű helyi csoportok
    • a felhasználói fiókok Active Directoryhoz történő hozzáadásáról: Felhasználó hozzáadása a csoporthoz
    • a felhasználók objektumainak olvasását lehetővé tevő engedélyek megadásáról az Engedélyek és biztonsági leírók című témakörben.

2. lépés: Az IAS telepítése és konfigurálása

Az elsődleges IAS-kiszolgáló telepítésének lépései a következők:

  1. Ellenőrizze, hogy az IAS-kiszolgálóként alkalmazni kívánt számítógép tagja-e annak az erdőnek, amelynek alapján a távoli felhasználók hitelesítésére sor kerül (mivel meghatalmazotti kapcsolat szükséges, és az Active Directory-erdők valamennyi tartománya automatikusan meghatalmazotti kapcsolatba kerül egymással). Ha az IAS-kiszolgáló és a felhasználói fiók nem ugyanabban az erdőben található, a felhasználói fiók tartományának meghatalmazotti kapcsolatban kell állnia azzal a tartománnyal, amelynek tagja az IAS-kiszolgáló. A meghatalmazotti kapcsolatokról további információt A tartománymeghatalmazások értelmezése című témakörben talál.
  2. Jelentkezzen be a helyi rendszergazda hitelesítő adataival.
  3. Ha a Windows 2000 Server telepítésekor az IAS nem lett kijelölve telepítésre mint választható komponens, akkor most telepítse a Vezérlőpultról elérhető Programok telepítése/törlése alkalmazással.
  4. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  5. Az Internetes hitelesítési szolgáltatás MMC-konzolján kattintson az egér jobb gombjával az Internetes hitelesítési szolgáltatás elemre, majd kattintson a Tulajdonságok parancsra:
    • A Szolgáltatás lapon jelölje be mindkét eseménynaplózási lehetőséget. (A későbbiekben bármelyik beállítás megváltoztatható, ha az nem megfelelő az adott környezethez.)
    • A RADIUS lapon adja meg a RADIUS-hitelesítés és -számlázás céljaira használni kívánt UDP-portokat, majd kattintson az OK gombra.

      Megjegyzés

      • Ezeknek a portoknak azonosaknak kell lenniük a NAS kiszolgálók által használt portokkal. A jelen kiadvány idején érvényben lévő legfrissebb RADIUS-előírás szerint hitelesítéshez az 1812-es portot, számlázáshoz az 1813-as portot kell beállítani. Az alapértelmezett beállítások a leggyakrabban használt értékek: hitelesítéshez az 1812-es és 1645-ös, számlázáshoz pedig az 1813-as és az 1646-os. Ha bizonytalan a portbeállítások tekintetében, olvassa el a NAS kiszolgáló szállítója által mellékelt dokumentációt.
    • Ebben a példában nem szerepelnek tartománynevek, így nincs szükség adatok megadására a Tartományok lapon.
  6. Állítsa be a RADIUS-ügyfelek IAS-támogatását. Ennek végrehajtásához az egér jobb gombjával kattintson az Internetes hitelesítési szolgáltatások konzolfa Ügyfelek mappájára, kattintson az Új ügyfél parancsra, és az utasításokat követve adja hozzá a mappához az egyes RADIUS-ügyfeleket (a NAS kiszolgálókat), és adja meg a rájuk vonatkozó adatokat a Rövid név, a Protokoll (ebben az esetben: RADIUS), az Ügyfél címe, az Ügyfél-szállító (ebben az esetben: RADIUS szabvány), valamint a Közös titok mezők kitöltésével.

    7. Megjegyzések

    • Az IAS esetében a hitelesítésre és a számlázásra vonatkozóan megadott közös titkoknak azonosaknak kell lenniük a NAS kiszolgálóknál megadott közös titkokkal.
    • Mielőtt sor kerülne a digitális aláírások ellenőrzésének engedélyezésére, ellenőrizze, hogy a NAS kiszolgáló támogatja-e digitális aláírások küldését az Extensible Authentication protokolltól (EAP) eltérő hitelesítési típusokhoz.
    • Az EAP alkalmazása esetén a digitális aláírás ellenőrzésére minden esetben sor kerül, ezért nem kell kijelölni a digitális aláírásra vonatkozó beállítást.

      • Az új ügyfelek telepítéséről további információ a RADIUS-ügyfelek regisztrálása című témakörben található.

  7. Hozza létre a távelérés házirendjeit. Az Internet-szolgáltatók legtöbb alaprendszere nem teszi lehetővé az ISDN alkalmazásával történő hozzáférést, ezért két csoportot kell kialakítani, amelyek közül az egyik támogatja a többszörös kapcsolatokat (magasabb szintű rendszerekhez), a másik viszont nem (az alaprendszerhez).
    1. A nem ISDN-felhasználók távelérési házirendjének kialakítása az alábbiak szerint történhet:
      1. Az Internetes hitelesítési szolgáltatás MMC konzoljában a konzolfán kattintson az egér jobb gombjával a Távelérés házirendjei elemre, majd kattintson az Új távelérési házirend parancsra.
      2. A Távelérési házirend hozzáadása varázslóban A házirend rövid neve mezőben adja meg a házirend rövid nevét. (Ebben a példában használja az Alaprendszer elnevezést.) A név beírása után kattintson a Tovább gombra.
      3. A megjelenő párbeszédpanelen kattintson a Hozzáadás gombra, jelölje ki a Windows-Groups elemet, kattintson a Hozzáadás, majd ismét a Hozzáadás gombra, jelölje ki az(oka)t a csoporto(ka)t, amely(ek)re a házirendnek vonatkoznia kell (például az Alaprendszert használók csoportra), kattintson a Hozzáadás gombra, majd kétszer az OK gombra, végül pedig a Tovább gombra.

        4. Megjegyzés

        • A távelérési házirendekben nem lehetnek beépített csoportok, így azok nem láthatók a tartományhoz tartozó csoportok listájában.
      4. Jelölje be a Kapjon távelérési engedélyt választógombot, majd kattintson a Tovább gombra.
      5. Kattintson a Profil szerkesztése gombra.
      6. A Hitelesítés lapon jelölje be a CHAP, az MS-CHAP és az MS-CHAP v2 hitelesítési protokollok jelölőnégyzeteit.
      7. A Behívási megkötések lapon jelölje be az Aszinkron és a Szinkron jelölőnégyzeteket, majd kattintson az OK gombra.
      8. Kattintson a Befejezés gombra.
    2. A magasabb szintű rendszer számára is hozzon létre egy távelérési házirendet, amely csak annyiban különbözik az előzőtől, hogy támogatnia kell az ISDN használatát. Ennek a házirendnek a kialakításához az alaprendszer létrehozásakor alkalmazott lépéseket kell újra végrehajtani, de a házirend neve legyen Magasabb rendszer; jelölje ki azt a Windows-Groups elemet, amely azokat a felhasználókat tartalmazza, akiknek ISDN-hozzáférést kíván adni, majd a Behívási megkötések lapon jelölje be az ISDN-nel kapcsolatos valamennyi jelölőnégyzetet (az alaprendszerhez bejelölt jelölőnégyzetek jelölésének megtartásával).
    3. Ha azt szeretné, hogy az előbbiekben létrehozott házirendek ne ütközzenek az alapértelmezett házirenddel (Hozzáférés engedélyezése, ha van betárcsázási jogosultsága), törölje az alapértelmezett házirendet.

      4. Megjegyzés

      • A távelérés házirendjeinek beállításával kapcsolatos további információk a Távelérési házirendek konfigurálása című témakörben találhatók.
  8. Állítsa be a felhasználói hitelesítés és számlázás naplózását.

    9. Bár az IAS-kiszolgálón megadhatók a naplózás alapvető beállításai, előfordulhat, hogy a számlázással és hibaelhárítással kapcsolatos naplóadatok használatához további programokra van szükség. Telepíthet például olyan programot, amellyel nyomon követhető a távelérés vállalati részlegenkénti kihasználása. Ebben a példában a naplózás konfigurálásakor a következőket kell figyelembe venni:

    • A saját programokban található adatok beágyazásának és alkalmazásának megkönnyítése céljából a naplófájlokhoz az adatbázis-importálási naplóformátumot kell alkalmazni. E formátum megadása esetén az adatbázis-kezelő programokkal közvetlenül olvasható a használatra, a hozzáférések elemzésére és a jelentéskészítésre vonatkozó adatokat tartalmazó naplófájl.
    • Határozza meg, hogy a kiszolgálóhoz érkező valamennyi kérelemtípus (köztük a hitelesítési, számlázási és rendszeres frissítési kérelmek) naplózásra kerüljön. Ha később úgy gondolja, hogy ezekre a naplóadatokra nincs szükség, megváltoztathatja ezt a beállítást.

A naplózás beállításaival kapcsolatos további információ a Felhasználói hitelesítés és számlázás naplózásának beállítása című témakörben található.

3. lépés: Az IAS-konfiguráció másolása az elsődleges IAS-kiszolgálóról a tartalék IAS-kiszolgálóra

Másolja az ügyfélkonfigurációkat, a távelérés házirendjeit és a naplózási beállításokat a tartalék IAS-kiszolgálóra.

A számítógép IAS-konfigurációjának másik számítógépre történő másolásáról további információ Az IAS-beállítások másolása másik kiszolgálóra című témakörben található.

4. lépés: Az elsődleges és a tartalék IAS-kiszolgálók regisztrálása az Active Directory segítségével.

Ha felhasználókat szeretne hitelesíteni, az elsődleges és a tartalék IAS-kiszolgálókat a RAS- és IAS-kiszolgálók biztonsági csoport tagjaiként kell regisztrálni a beépített csoportokban található Active Directory tartományvezérlőin. Az IAS-kiszolgálók hozzáadásának lépései a következők:

  1. Jelentkezzen be a kiszolgálóra a tartomány rendszergazdájának hitelesítő adataival.
  2. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory - felhasználók és számítógépek parancsra.
  3. Kattintson a konzolfa Felhasználók elemére.
  4. A részleteket megjelenítő ablaktáblában kattintson az egér jobb gombjával a RAS- és IAS-kiszolgálók elemre.
  5. A RAS- és IAS-kiszolgálók tulajdonságai párbeszédpanel Tagok lapján végezze el az összes IAS-kiszolgáló hozzáadását.

Megjegyzés

  • A kiszolgálókat a netsh ras register server [tartomány] [kiszolgáló] paranccsal is regisztrálhatja. További tudnivalók a NetShell parancsok táveléréshez című témakörben találhatók.

5. lépés: A RADIUS-számlázás és -hitelesítés ellenőrzése a NAS kiszolgálókon

Ha ellenőrizni szeretné, hogy a Windows 2000 Server Útválasztás és távelérés szolgáltatását alkalmazó valamennyi NAS kiszolgálón megfelelően van-e konfigurálva a RADIUS-számlázás és -hitelesítés, illetve, hogy az adott konfiguráció egyezik-e az IAS-kiszolgáló 2. és 3. lépésben megadott konfigurációjával, az alábbiak szerint járjon el:

  1. Jelentkezzen be a kiszolgálóra a tartományfelügyelő hitelesítő adataival.
  2. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  3. Azoknál a NAS kiszolgálóknál, amelyeken az Útválasztás és távelérés telepítve van, az egér jobb gombjával kattintson a kiszolgálónévre, kattintson a Tulajdonságok parancsra, és ellenőrizze a következőket:
    • Az Általános lapon:
      • Be van-e jelölve a Távelérési kiszolgáló jelölőnégyzet
        • .
    • A Biztonság lapon:
      • Be van-e jelölve a RADIUS-hitelesítés lehetőség, és az elsődleges és tartalék IAS-kiszolgálók neveivel van-e konfigurálva; az IAS-kiszolgálók konfigurálásakor a megfelelő közös titok és port lett-e megadva, illetve a Hitelesítési módszerek csoportban be vannak-e jelölve a CHAP, az MS-CHAP v2 és az MS-CHAP jelölőnégyzetek.
      • A RADIUS-számlázás lehetőség van-e kiválasztva, és az elsődleges és tartalék IAS-kiszolgálók neveivel történt-e annak konfigurálása; az IAS-kiszolgálók konfigurálásakor a megfelelő közös titok és port lett-e megadva, illetve be van-e jelölve a RADIUS Accounting On és Accounting Off üzenetek küldése jelölőnégyzet.
    • Az IP lapon legyenek bejelölve a következők:
      • Az IP-t futtató távoli rendszerek
      • A teljes hálózat elérése
      • DHCP használata távoli IP-címek kijelöléséhez

A NAS kiszolgáló tulajdonságainak ellenőrzéséről további információ A hálózati hozzáférést biztosító kiszolgáló tulajdonságainak megtekintése című témakörben található.

6. lépés: A távoli felhasználók csatlakozási képességének ellenőrzése

Az IAS-kiszolgáló telepítésének utolsó lépéseként ellenőrizni kell, hogy a távoli telefonos felhasználók kapcsolódni tudnak-e az Internet-szolgáltatóhoz a Hálózat és telefonos kapcsolatok szolgáltatás segítségével.

A Hálózat és telefonos kapcsolatok szolgáltatásról további információ a Hálózat és telefonos kapcsolatok című témakörben található.

Megvalósítási és rendszerfelügyeleti szempontok

A vállalat méretétől függ, hogy elegendő-e egyetlen IAS-kiszolgáló alkalmazása. Sok esetben az IAS-kiszolgáló ugyanarra a számítógépre is telepíthető, mint amelyen a tartományvezérlő található. Figyelje az adatátvitelt, és ha szükséges, az igényeknek megfelelően módosítsa az IAS-kiszolgáló telepítésekor megadott beállításokat.

Ha bővebb tájékoztatásra van szüksége arról, hogy milyen módon állítható be a teljesítmény, ha az IAS nagy számú felhasználó kiszolgálását végzi, olvassa el a Gyakorlati tanácsok című témakörben foglaltakat.

Megjegyzés

  • Ez a példa egy vállalati környezetben alkalmazható megvalósítási alaptervet ismertet. Az adott vállalat igényeihez igazodva mindenki saját maga dönthet az alkalmazni kívánt kiszolgálók számáról és a megvalósítás egyéb kérdéseiről.

Ha a távelérés házirendjeinek frissítése válik szükségessé, akkor azt az elsődleges IAS-kiszolgálón kell végrehajtani, majd az új IAS-konfigurációt kell a többi IAS-kiszolgálóra másolni.


Kihelyezett vállalati hozzáférés külső szolgáltatón keresztül

Ebből a témakörből megtudhatja, hogyan telepíthető az IAS-kiszolgáló úgy, hogy támogatást biztosítson egy olyan vállalatnak, amely távoli telefonos hozzáférési lehetőségét egy Internet-szolgáltatóhoz (ISP) kihelyezte. Ebben a helyzetben a vállalat általános hozzáférési szerződést köt a szolgáltatóval, amelynek értelmében a vállalat alkalmazottai az Internet-szolgáltató világszerte megtalálható kapcsolódási pontjain (POP) keresztül kapcsolódhatnak a vállalati hálózathoz.

A rész tartalma:

  • a vállalat jellemzői és követelményei a kihelyezett telefonos hozzáférés alkalmazásával történő hitelesítés szempontjából
  • a kihelyezett telefonos hozzáférést támogató hálózati összetevők az adott vállalati környezetben
  • a példában a távoli felhasználók hitelesítésére alkalmazandó eljárás
  • a szóban forgó hitelesítési eljárás támogatásához szükséges hálózati összetevők telepítése
  • megvalósítási és rendszerfelügyeleti szempontok (például a telefonos hozzáférés szolgáltatói támogatásának inicializálása).

Tulajdonságok és követelmények

A példában szereplő vállalat nagy területen elszórtan elhelyezkedő távoli felhasználókkal rendelkezik, akiknek biztonságos hozzáférést kell biztosítani a vállalati hálózathoz. A vállalat szempontjából kevesebb költséggel jár, ha a távelérést a vállalati távelérés kihelyezésével oldják meg. A vállalatnak megbízható módszerre van szüksége a távoli felhasználók hitelesítéséhez egy olyan környezetben, amelyre a következők jellemzők:

  • A vállalati hálózatban a felhasználók hozzáférésének szabályozása az Active Directory segítségével történik.
  • Az alkalmazottak hozzáférési lehetőségei nem azonosak, és a hozzáférési jogosultság megadása bizonyos alkalmazottak esetében annak figyelembe vételével történik, hogy melyik csoporthoz tartoznak. (A vállalat állandó alkalmazottai például rendelkeznek hozzáférési jogosultsággal, a szerződéses munkatársak azonban nem.)
  • A vállalathoz sok olyan távoli felhasználó tartozik, akiknek biztonságos módszerrel kell a vállalati hálózathoz kapcsolódniuk.
  • A marketing és a kereskedelmi csoport tagjai a világ különböző pontjaira utaznak, ezért számukra a helyi telefonos hálózaton keresztül igénybe vehető globális hozzáférést kell biztosítani a távolsági hívások miatti költségek csökkentése érdekében.
  • Az Internet-kapcsolatot érintő titkosítási és hitelesítési követelmények nem annyira szigorúak, mint a VPN-kapcsolatok esetében. Ebben a példában az Internet-kapcsolat például nem titkosítást, hanem CHAP protokollt használ, a VPN-kapcsolat azonban intelligens kártyát és az Extensible Authentication protokollt (EAP) használja 128 bites titkosítással.
  • A felhasználóknak biztosítani kell, hogy betárcsázással otthonról és út közben is a hálózathoz kapcsolódhassanak.
  • A távelérés kihelyezett támogatását biztosító Internet-szolgáltatónak világszerte számos kapcsolódási pontja (Points of Presence, POP) van, amelyek mindegyikének lehetővé kell tennie, hogy a vállalati felhasználók biztonságosan hozzáférhessenek a vállalati hálózathoz.

Megjegyzés

  • Ez a példa csak az IAS-kiszolgáló telepítésével foglalkozik. A példa nem tartalmazza a táveléréshez szükséges valamennyi összetevő és a VPN-komponensek teljes konfigurációját. A többi távelérési és VPN-komponens megvalósítási követelményeire vonatkozóan a következő témakörökben található bővebb felvilágosítás:
    • A távelérés forgatókönyvei
    • Útválasztási forgatókönyvek, ezek közül is elsősorban a Telefonos fiókirodai hálózat példa
    • Virtuális magánhálózati forgatókönyvek

Hálózati összetevők

Ebben a példában a távoli felhasználók hitelesítése céljából egy elsődleges és egy tartalék IAS-kiszolgáló vállalati hálózatra történő telepítésére kerül sor. A példa támogatására a következő komponensek telepítése történt meg:

  • A vállalati hálózatban:
    • Egy elsődleges és egy tartalék IAS-kiszolgáló, amelyeken a Windows 2000 Server alkalmazás fut, és amelyek a vállalat helyi hálózatához (LAN) és az Internethez csatlakoznak. Az IAS-kiszolgáló működik RADIUS-kiszolgálóként is, és mint ilyen, végrehajtja a táveléréssel kapcsolódó felhasználók hitelesítésével, azonosításával, számlázásával és naplózásával kapcsolatos feladatokat.
    • Az Active Directory Windows 2000 Server alkalmazást futtató, és a helyi hálózathoz kapcsolódó tartományvezérlői. Az Active Directory tartalmazza azokat a felhasználói fiókokat és csoportokat, amelyek a távoli felhasználókra vonatkozó távelérési házirendek telepítéséhez szükségesek.
    • Windows 2000 Server alkalmazást futtató PPTP-kiszolgálók, amelyeken engedélyezve van az Útválasztás és távelérés alkalmazás és a PPTP-kapcsolatok elfogadása, és amelyek a helyi hálózathoz, illetve bérelt vonalon keresztül az Internethez is kapcsolódnak. A PPTP-kiszolgáló hálózati címmel rendelkezik az Interneten és a helyi magánhálózaton is, és feladata VPN-kapcsolatok biztosítása a felhasználóknak a vállalati hálózathoz történő csatlakozáshoz.

      Megjegyzések

      • A PPTP a biztonságos kapcsolatok létrehozására szolgáló protokoll. A PPTP képes a Point-to-Point (PPP) protokoll csomagjait Internet-protokoll (IP) csomagokba ágyazni, és bármely IP alapú hálózaton keresztül továbbítani, beleértve az Internetet is.
      • A PPTP-kiszolgálóval kapcsolatos további információért olvassa el a Feladatlista: PPTP-kiszolgáló telepítése és konfigurálása című témakört.
  • Az Internet-szolgáltatónál:
    • Hálózati hozzáférést biztosító kiszolgálók (NAS), amelyeken a Windows 2000 Server alkalmazás fut. A NAS kiszolgáló RADIUS-ügyfélként működik. (Ebben a példában a kérelmek a szolgáltatónál lévő RADIUS-proxykiszolgálón keresztül érkeznek az IAS-kiszolgálóhoz, illetve haladnak tovább a vállalati kiszolgálóhoz.) A példában használható bármilyen RADIUS-kompatibilis NAS kiszolgáló (például a Windows 2000 Útválasztás és távelérés szolgáltatása, Cisco, U.S. Robotics, Ascend vagy egyéb kiszolgáló).
    • Az Internet-szolgáltatónál elhelyezett RADIUS-proxykiszolgáló, amely a többi kiszolgáló RADIUS-ügyfeleként működik.
  • Minden távoli telefonos kapcsolatot használó felhasználónál:
    • Modemmel vagy más támogatott kommunikációs eszközzel rendelkező számítógép és a szabványos telefonos elérési lehetőségeket támogató csatlakozási szoftver, PPP- és VPN-kapcsolatok alkalmazásával. Ebben a példában a szolgáltatón keresztül a telefonos és VPN-kapcsolatok használatával történő egyszerű bejelentkezéses hozzáférés engedélyezése a Csatlakozáskezelő-profil segítségével történik.

      Megjegyzés

      • A Csatlakozáskezelő csak akkor használható, ha a szolgáltatásprofil minden távelérést igénylő számítógépen telepítve van és a beállítás is megtörtént. A Csatlakozáskezelő-profilok a Csatlakozáskezelő felügyeleti csomag (CMAK) varázsló használatával hozhatók létre. A Csatlakozáskezelő-profilok létrehozásáról, számítógépekhez történő eljuttatásáról és telepítéséről részletes információt a Csatlakozáskezelő felügyeleti csomag útmutató tartalmaz.
    • Intelligens kártya segítségével biztosított hozzáférés.

A példában alkalmazandó hitelesítési eljárás

A hálózati összetevők határozzák meg, hogy milyen hitelesítési eljárást kell alkalmazni. A jelen példában ismertetett telepítéssel és konfigurációval a számlázás és a hitelesítés az alábbiak szerint történik:

  • A NAS kiszolgáló annak indításakor egy számlázást bekapcsoló adatcsomagot küld. Ha a RADIUS-proxykiszolgáló megfelelően van konfigurálva az adatcsomagok továbbításához, akkor a csomagot a vállalati IAS-kiszolgálóhoz továbbítja, ahol sor kerül annak naplózására. (Néhány szolgáltató ezt az adatcsomagot nem küldheti a vállalati RADIUS-kiszolgálóra.)
  • Ha egy távoli felhasználó betárcsáz az Internet-szolgáltatóhoz, az összes kérelem és válasz naplózása közben a következő folyamat játszódik le:
    • A példában alkalmazott hitelesítési eljárás
    1. A felhasználó megadja a tárcsázás helyét, majd a Csatlakozáskezelő-profilban lévő telefonkönyvből kiválasztja az Internet-szolgáltatóhoz való kapcsolódásra alkalmas helyi vagy más megfelelő telefonszámot (POP-ot). A felhasználó a CHAP alapú hitelesítés alkalmazásával kapcsolódik a szolgáltató NAS kiszolgálójához. A felhasználónévhez kapcsolódik egy, a felhasználó által vagy a Csatlakozáskezelő által automatikusan meghatározott tartománynév, amelyet a NAS használ majd arra, hogy a hitelesítési és számlázási kérelmeket a vállalati hálózat IAS-kiszolgálójához továbbítsa.
    2. A NAS kiszolgáló elküldi a RADIUS-hitelesítési kérelmet a RADIUS-proxykiszolgálóhoz.
    3. A RADIUS-proxykiszolgáló a tartománynév alapján továbbítja a kérelmet a vállalati IAS-kiszolgálóhoz. A kérelem továbbítható több RADIUS-kiszolgálón keresztül is (amelyek közül mindegyik más szolgáltatóhoz vagy a szolgáltatókból alakult központi konzorciumhoz tartozik). A felhasználónév esetében az IAS-kiszolgáló az összes tartomány-eltávolító szabályt alkalmazza.

      Megjegyzés

      • Ha az egyszerű felhasználónév (UPN) megérkezik a felhasználótól, az IAS-kiszolgáló lekérdezi a globális katalógust, majd az egyszerű felhasználónév utótagját hozzárendeli egy teljesen minősített tartománynévhez (FQDN).
    4. Az IAS-kiszolgáló továbbítja a hitelesítési kérelmet a tartományvezérlőhöz, ahol sor kerül a felhasználó hitelesítő adatainak ellenőrzésére.
    5. Az IAS-kiszolgáló a távelérés házirendjei és a felhasználói attribútumok értékelése alapján határozza meg, hogy engedélyezett-e a telefonos hozzáférés.

      Megjegyzés

      • Az IAS-kiszolgáló csak megfelelő engedélyek birtokában olvashatja a felhasználói objektumok attribútumait. Ezt az engedélyt a kiszolgáló csak akkor kapja meg, ha tagja a beépített RAS- és IAS-kiszolgálók biztonsági csoportnak.
    6. Ha a kiszolgáló megfelelő távelérési házirendet talál, és a profil sem utasítja vissza a felhasználót, az IAS-kiszolgáló Access-Accept (hozzáférés-engedélyező) adatcsomagot küld el.
    7. A RADIUS-proxykiszolgáló ezt a hozzáférés-engedélyező csomagot továbbítja.
    8. A felhasználó az Access-Accept (hozzáférés-engedélyező) csomagban megadott csatlakozási beállítások alapján megkapja a hozzáférési engedélyt.
    9. Ezt követően a NAS kiszolgáló IP-címet és más paramétereket rendel hozzá az ügyfélhez, vagyis megkezdi az ügyfél által küldött és fogadott adatcsomagokkal kapcsolatos útválasztást.
    10. Ezután a Csatlakozáskezelő bújtatási alagutat inicializál a vállalati hálózat PPTP-kiszolgálójához.
    11. A PPTP-kiszolgáló a szóban forgó felhasználóra vonatkozó hitelesítési kérelmet küld az IAS-kiszolgálóhoz a VPN-elérés ellenőrzése céljából.
    12. Az IAS-kiszolgáló megkapja a kérelmet, és továbbítja az adatcsomagot a tartománykiszolgálóhoz. Itt ismét sor kerül a felhasználó hitelesítési adatainak ellenőrzésére, a távelérési házirendek és a felhasználói attribútumok értékelésére, majd a felhasználó a hozzáférés-engedélyezési adatcsomagban megadott beállítások alapján megkapja az engedélyt a VPN alkalmazásával történő csatlakozásra.
    13. A PPTP-kiszolgáló a számlázás megkezdésére vonatkozó üzenetet küld a RADIUS-kiszolgálóhoz.
  • A munkamenet során a NAS és a PPTP-kiszolgáló közbülső adatcsomagokat is küld.
  • Ha a felhasználó megszakítja a kapcsolatot, a PPTP-kiszolgáló a számlázás leállítására vonatkozó adatcsomagot küld az IAS-kiszolgálóhoz, amelyben jelzi a felhasználói munkamenet befejezését. (Néhány szolgáltató ezt az adatcsomagot nem küldheti a vállalati RADIUS-kiszolgálóra.)

Telepítés

A jelen példa támogatását biztosító IAS-kiszolgáló telepítésének lépései a következők:

  1. Ellenőrizze, hogy a tűzfal támogatja-e az IAS-kiszolgálót.
  2. Ellenőrizze, hogy a tartományvezérlők támogatják-e a távoli felhasználókat.
  3. Az IAS-kiszolgáló telepítése és konfigurálása.
  4. Az IAS-konfiguráció másolása az elsődleges IAS-kiszolgálóról a tartalék IAS-kiszolgálóra.
  5. Az elsődleges és a tartalék IAS-kiszolgálók regisztrálása az Active Directory segítségével.
  6. Ellenőrizze, hogy a PPTP-kiszolgálók támogatják-e a RADIUS-számlázást és -hitelesítést, és megfelelően vannak-e konfigurálva a VPN-kapcsolatokhoz.
  7. A RADIUS-számlázás és -hitelesítés ellenőrzése az Internet-szolgáltató RADIUS-proxykiszolgálóján.
  8. A távoli felhasználók csatlakozási képességének ellenőrzése.

Az alábbi információk a telepítés egyes lépéseiről és a telepítés végrehajtásához szükséges eszközökről adnak tájékoztatást.

1. lépés: Ellenőrizze, hogy a tűzfal támogatja-e az IAS-kiszolgálót

A tűzfal telepítésére vonatkozó információk Az IAS és a tűzfalak című témakörben találhatók.

2. lépés: Ellenőrizze, hogy a tartományvezérlők támogatják-e a távoli felhasználókat

Ellenőrizze, hogy léteznek-e a felhasználók csoportjai (ebben a példában az állandó és a szerződéses alkalmazottak külön csoportot alkotnak), a távoli felhasználók a megfelelő univerzális és beágyazott csoportokban vannak-e, az IAS-kiszolgálóként használt számítógép rendelkezik-e engedéllyel a tartományhoz tartozó felhasználók objektumainak olvasásához, és végül a helyi hálózatra történő bejelentkezés révén ellenőrizze a felhasználónevek és a jelszavak érvényességét. Mivel csoportok használatára kerül sor, a felhasználói fiókban ellenőrizni kell, hogy a Távelérés engedélyezése csoportban az Elérés vezérlése a RAS-házirend alapján beállítás be van-e jelölve. Azt is ellenőrizni kell, hogy az Active Directory natív üzemmódban van-e, valamint azt, hogy engedélyezve van-e a visszafejthető titkosítású jelszavak használata, mert az állandó alkalmazottak csak ebben az esetben használhatják a CHAP alapú hitelesítést.

Megjegyzések

  • A CHAP alapján történő hitelesítés engedélyezése esetén biztosítani kell a visszafejthető titkosítású jelszavak használatának támogatását is. További tudnivalók a CHAP című témakörben találhatók.
  • További információ a következő témakörökben található:
    • az univerzális és beágyazott csoportokról: Univerzális, globális és tartományszintű helyi csoportok
    • a felhasználói fiókok Active Directoryhoz történő hozzáadásáról: Felhasználó hozzáadása a csoporthoz
    • a felhasználói objektumok olvasására vonatkozó engedélyek megadásáról: Engedélyek és biztonsági leírók
    • csoporttagság meghatározásáról: Hozzáférés megadása csoporttagság alapján

3. lépés: Az IAS-kiszolgáló telepítése és konfigurálása

Az elsődleges IAS-kiszolgáló telepítésének lépései a következők:

  1. Ellenőrizze, hogy az IAS-kiszolgálóként alkalmazni kívánt számítógép tagja-e annak az erdőnek, amelynek alapján a távoli felhasználók hitelesítésére sor kerül (mivel meghatalmazotti kapcsolat szükséges, és az Active Directory-erdők valamennyi tartománya automatikusan meghatalmazotti kapcsolatba kerül egymással). Ha az IAS-kiszolgáló és a felhasználói fiók nem ugyanabban az erdőben található, a felhasználói fiók tartományának meghatalmazotti kapcsolatban kell állnia azzal a tartománnyal, amelynek az IAS-kiszolgáló tagja. A meghatalmazotti kapcsolatról további információ A tartománymeghatalmazások értelmezése című témakörben található.
  2. Jelentkezzen be a rendszergazda hitelesítő adataival.
  3. Ha a Windows 2000 Server telepítésekor az IAS nem lett kijelölve telepítésre mint választható komponens, akkor most telepítse a Vezérlőpultról elérhető Programok telepítése/törlése alkalmazással.
  4. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes hitelesítési szolgáltatás parancsra.
  5. Az Internetes hitelesítési szolgáltatás MMC-konzolján a jobb gombbal kattintson az Internetes hitelesítési szolgáltatás elemre, majd kattintson a Tulajdonságok parancsra, és állítsa be az elsődleges IAS-kiszolgáló tulajdonságait:
    • A Szolgáltatás lapon jelölje be mindkét eseménynaplózási típust. (A későbbiekben bármelyik beállítás megváltoztatható, ha az nem megfelelő az adott környezethez.)
    • A RADIUS lapon adja meg a RADIUS-hitelesítés és -számlázás céljaira használni kívánt UDP-portokat, majd kattintson az OK gombra.

      Megjegyzés

      • Ezeknek a portoknak azonosaknak kell lenniük a kiszolgálón alkalmazott portokkal. A legújabb RADIUS-előírások értelmében a jelen kiadvány készítésének időpontjában az 1812-es a hitelesítő port, az 1813-as pedig a számlázási port. Az alapértelmezés a leggyakrabban használt értékekre van beállítva: 1812 és 1645 a hitelesítéshez, illetve 1813 és 1646 a számlázáshoz. Ha bizonytalan a portbeállítások tekintetében, olvassa el a NAS kiszolgáló szállítója által biztosított dokumentációt.
    • Ha a vállalati kiszolgáló eléréséhez az Internet-szolgáltatóknál használt tartománynevek nem ugyanazok, mint amelyek a vállalati tartományok eléréséhez szükségesek, a Tartományok lapon hozhat létre a tartománynevek kezelésére szolgáló szabályokat.
  6. Az IAS-kiszolgálón állítsa be a RADIUS-ügyfelek támogatását. Ehhez az Internetes hitelesítési szolgáltatás konzolfáján a jobb gombbal kattintson az Ügyfelek mappára, majd kattintson az Új ügyfél parancsra, és a képernyőn megjelenő utasítások alapján végezze el az egyes RADIUS-ügyfelek (köztük a vállalati PPTP-kiszolgálók és a szolgáltató RADIUS-proxykiszolgálójának) hozzáadását és adataik meghatározását a Rövid név, Protokoll (ebben az esetben: Radius), az Ügyfélcím, az Ügyfél-szállító (ebben az esetben: RADIUS szabvány) és a Közös titok mezők kitöltésével.

    7. Megjegyzések

    • Az IAS esetében a hitelesítésre és a számlázásra vonatkozóan megadott közös titkoknak azonosaknak kell lenniük a NAS kiszolgálóknál megadott közös titkokkal.
    • A digitális aláírások ellenőrzésének engedélyezése előtt ellenőrizze, hogy a NAS kiszolgáló támogatja-e digitális aláírások küldését az Extensible Authentication protokolltól (EAP) eltérő hitelesítési típusokhoz. Az EAP esetében a digitális aláírás ellenőrzésére mindig sor kerül, és a digitális aláírásra vonatkozó beállítást nem kell bejelölni.
    • Az új ügyfelek telepítéséről további információ a RADIUS-ügyfelek regisztrálása című témakörben található.
  7. Hozzon létre távelérési házirendeket, amelyek támogatják az állandó alkalmazottak kihelyezett telefonos kapcsolaton keresztül történő hozzáférését. A megfelelő házirendek létrehozásának lépései a következők:
    1. Hozzon létre távelérési házirendet a 128 bites titkosítású intelligens kártyákkal történő hozzáférés támogatására. E házirend létrehozásához az Internetes hitelesítési szolgáltatás konzolfában a jobb gombbal kattintson a Távelérés házirendjei mappára, majd kattintson az Új távelérési házirend parancsra. A varázsló segítségével határozza meg a következőket:
      • Adja meg az Intelligenskártyás hozzáférés vagy más elnevezésű házirend rövid nevét A házirend rövid neve mezőben, majd kattintson a Tovább gombra.
      • Feltétel hozzáadásához kattintson a Hozzáadás gombra, jelölje ki a Windows-Groups elemet, kattintson a Hozzáadás, majd ismét a Hozzáadás gombra, jelölje ki a megfelelő csoport nevét (például Állandó alkalmazottak), ezután kattintson a Hozzáadás gombra, majd kétszer az OK gombra.

        Megjegyzés

        • A távelérés házirendjei nem tartalmazhatnak beépített csoportokat, ezért ezek nem láthatók a tartománycsoportok listájában.
      • Ha második feltételt is szeretne hozzáadni, kattintson ismét a Hozzáadás gombra, jelölje ki a NAS-Port-Type feltételt, kattintson a Hozzáadás gombra, jelölje ki a Virtuális (VPN) értéket, kattintson a Hozzáadás, majd az OK, végül ismét a Tovább gombra.
      • Jelölje be a Kapjon távelérési engedélyt választógombot, majd kattintson a Tovább gombra.
      • Kattintson a Profil szerkesztése gombra, majd a Hitelesítés lapon jelölje be a Bővíthető hitelesítési protokoll (EAP) jelölőnégyzetet, az Intelligens kártya vagy egyéb bizonyítvány (TLS) elemet, majd kattintson a Beállítás gombra.
      • Az Intelligens kártya vagy egyéb bizonyítvány tulajdonságai párbeszédpanelen jelölje ki a használni kívánt számítógépes bizonyítványt, és kattintson az OK gombra.
      • A házirend beállításainak mentéséhez kattintson a Befejezés gombra.

      Megjegyzés

      • Az intelligens kártyákról és azok alkalmazásáról további információ az Intelligens kártyák – áttekintés című témakörben található.
      • A távelérés házirendjeinek létrehozásáról A távelérés házirendjeinek konfigurálása című témakör nyújt információt.
    2. Hozza létre az állandó alkalmazottakra vonatkozó távelérési házirendet. E házirend létrehozásához az Internetes hitelesítési szolgáltatás konzolfában a jobb gombbal kattintson ismét a Távelérés házirendjei mappára, majd kattintson az Új távelérési házirend parancsra. A varázsló segítségével határozza meg a következőket:
      • Adja meg az Állandó alkalmazottak vagy más elnevezésű házirend rövid nevét A házirend rövid neve mezőben, majd kattintson a Tovább gombra.
      • Feltétel hozzáadásához kattintson a Hozzáadás gombra, jelölje ki a Windows-Groups elemet, kattintson a Hozzáadás gombra, jelölje ki a megfelelő csoport nevét (például Állandó alkalmazottak), ezután kattintson a Hozzáadás gombra, majd kétszer az OK gombra, végül pedig a Tovább gombra.
      • Jelölje be a Kapjon távelérési engedélyt választógombot, majd kattintson a Tovább gombra.
      • Kattintson a Profil szerkesztése gombra, majd a Hitelesítés lapon jelölje be a hitelesítési metódusként alkalmazni kívánt CHAP protokoll jelölőnégyzetét, majd kattintson az OK gombra.
      • A házirend beállításainak mentéséhez kattintson a Befejezés gombra.

        • Megjegyzés

        • Mivel a hozzáférést engedélyező házirend csak az állandó alkalmazottakra érvényes, a másik csoporthoz tartozó szerződéses alkalmazottaknak a hozzáférés nem engedélyezett.
    3. Ha azt szeretné, hogy az előbbiekben létrehozott házirendek ne ütközzenek az alapértelmezett házirenddel (Hozzáférés engedélyezése, ha van betárcsázási jogosultsága), törölje az alapértelmezett házirendet.
  8. Állítsa be a felhasználói hitelesítés és számlázás naplózását.

    9. Bár az IAS-kiszolgálón lehetőség van az alapvető naplózási beállítások megadására, előfordulhat, hogy további programok létrehozása válik szükségessé a számlázás és a hibaelhárítás adatainak naplózásához. Telepíthet például olyan programot, amellyel nyomon követhető, hogy az egyes részlegek milyen mértékben használják ki a távelérés lehetőségét. A jelen példa szempontjából a naplózás konfigurálásakor a következőket kell figyelembe venni:

    • A saját programokban található adatok beágyazásának és alkalmazásának megkönnyítése céljából a naplófájlokhoz az adatbázis-importálási naplóformátumot kell alkalmazni. E formátum használata esetén az adatbázis-kezelő programokkal közvetlenül olvashatók a használatra, a hozzáférések elemzésére és a jelentéskészítésre vonatkozó adatokat tartalmazó naplófájlok.
    • Határozza meg, hogy a kiszolgálóhoz érkező valamennyi hitelesítési és számlázási kérelem naplózásra kerüljön. Ha később úgy gondolja, hogy ezekre a naplóadatokra nincs szükség, megváltoztathatja ezt a beállítást.

A naplózás beállításaival kapcsolatos további információ a Felhasználói hitelesítés és számlázás naplózásának beállítása című témakörben található.

4. lépés: Az IAS-konfiguráció másolása az elsődleges IAS-kiszolgálóról a tartalék IAS-kiszolgálóra

Az IAS-kiszolgáló konfigurációját (az IAS-kiszolgáló tulajdonságaival, az ügyfél-konfigurációkkal, a távelérés házirendjeivel és a naplózási beállításokkal együtt) másolja a tartalék IAS-kiszolgálóra.

A számítógép IAS-konfigurációjának másik számítógépre történő másolásáról további információ Az IAS-beállítások másolása másik kiszolgálóra című témakörben található.

5. lépés: Az elsődleges és a tartalék IAS-kiszolgálók regisztrálása az Active Directory segítségével

Ha felhasználókat kíván hitelesíteni, az elsődleges és a tartalék IAS-kiszolgálókat a RAS- és IAS-kiszolgálók biztonsági csoport tagjaiként kell regisztrálni a beépített csoportokban található Active Directory tartományvezérlőin. Az IAS-kiszolgálók hozzáadásának lépései a következők:

  1. Jelentkezzen be a kiszolgálóra a tartomány rendszergazdájának hitelesítő adataival.
  2. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory - felhasználók és számítógépek parancsra.
  3. Kattintson a konzolfa Felhasználók elemére.
  4. A részleteket megjelenítő ablaktáblában kattintson az egér jobb gombjával a RAS- és IAS-kiszolgálók elemre.
  5. A RAS- és IAS-kiszolgálók tulajdonságai párbeszédpanel Tagok lapján végezze el az összes IAS-kiszolgáló hozzáadását.

Megjegyzés

  • A kiszolgálókat a netsh ras register server [tartomány] [kiszolgáló] paranccsal is regisztrálhatja. További információt a NetShell parancsok táveléréshez című témakörben talál.

6. lépés: Ellenőrizze, hogy a PPTP-kiszolgálók támogatják-e a RADIUS-számlázást és -hitelesítést, és megfelelően vannak-e konfigurálva a VPN-kapcsolatokhoz

Ha ellenőrizni szeretné, hogy a megfelelő távelérési szoftvert alkalmazó valamennyi PPTP-kiszolgálón megfelelően van-e konfigurálva a RADIUS-számlázás és -hitelesítés, illetve, hogy az adott konfiguráció egyezik-e a hitelesítőként és számlázóként konfigurált IAS-kiszolgáló beállításával, az alábbiak szerint járjon el:

  1. Jelentkezzen be a kiszolgálóra a tartományfelügyelő hitelesítő adataival.
  2. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Útválasztás és távelérés parancsra.
  3. Azoknál a PPTP-kiszolgálóknál, amelyeken az Útválasztás és távelérés telepítve van, az egér jobb gombjával kattintson a kiszolgálónévre, kattintson a Tulajdonságok parancsra, és ellenőrizze a következőket:
    • Az Általános lapon:
      • Be van-e jelölve a Távelérési kiszolgáló jelölőnégyzet
        • .
    • A Biztonság lapon:
      • A RADIUS-hitelesítés lehetőség van-e kiválasztva, és az elsődleges és tartalék IAS-kiszolgálók neveivel történt-e annak konfigurálása; az IAS-kiszolgálók konfigurálásakor a megfelelő közös titok és port lett-e megadva; be van-e jelölve a Mindig digitális aláírás használatával jelölőnégyzet, illetve a Hitelesítési módszerek csoportban be van-e jelölve az EAP lehetőség.
      • A RADIUS-számlázás lehetőség van-e kiválasztva, és az elsődleges és tartalék IAS-kiszolgálók neveivel történt-e annak konfigurálása; az IAS-kiszolgálók konfigurálásakor a megfelelő közös titok és port lett-e megadva, illetve be van-e jelölve a RADIUS Accounting On és Accounting Off üzenetek küldése jelölőnégyzet.
    • Az IP lapon legyenek bejelölve a következők:
      • Az IP-t futtató távoli rendszerek
      • A teljes hálózat elérése
      • DHCP használata távoli IP-címek kijelöléséhez
    • A PPP lapon minden beállítás legyen bejelölve.
  4. Ellenőrizze, hogy megfelelő-e a PPTP-kiszolgálók beállítása a VPN-kapcsolatokhoz. A PPTP-kiszolgálók telepítésével kapcsolatban további információt a Virtuális magánhálózatok című témakörben talál.

7. lépés: A RADIUS-számlázás és -hitelesítés ellenőrzése az Internet-szolgáltató RADIUS-proxykiszolgálóján

  1. Adja meg a szolgáltatónak a tartomány adatait, és ellenőrizze, hogy a tartomány kezelése megfelelően van-e beállítva a RADIUS-proxykiszolgálón.
  2. A RADIUS-proxykiszolgáló konfigurálásához adja meg a szolgáltatónak a közös titkot, és ellenőrizze, hogy a kiszolgáló megfelelően van-e beállítva a közös titok kezeléséhez.
  3. A szolgáltatótól kérdezze meg, hogy a kérelmekben mely attribútumok küldésére került sor, és mikorra várható a válasz megérkezése.
  4. Kérdezze meg, hogy a szolgáltató RADIUS-proxykiszolgálója támogatja-e digitális aláírások küldését. (Ha igen, akkor a profilt úgy kell beállítani, hogy kérje a digitális aláírást.)
  5. Kérdezze meg a szolgáltatótól, hogy milyen hardvert (technológiát) használ.

8. lépés: A távoli felhasználók csatlakozási képességének ellenőrzése

Az IAS-kiszolgáló telepítésének utolsó lépéseként ellenőrizni kell, hogy a VPN-felhasználók kapcsolódni tudnak-e a vállalati hálózathoz a Csatlakozáskezelő segítségével.

  1. Ellenőrizze, hogy a felhasználók megkapták-e a Csatlakozáskezelő-profilokat.
  2. Ellenőrizze az intelligenskártyás hozzáférést.
  3. A szolgáltatásprofilok telepítése után ellenőrizze, hogy a NAS kiszolgálókhoz való csatlakozáshoz használt telefonszámok megfelelően vannak-e megadva, illetve megfelelően történik-e a tartománynevek kezelése.

Megvalósítási és rendszerfelügyeleti szempontok

Az IAS-kiszolgáló valamennyi felügyeleti feladata távolról is ellátható.

  • Ha a távelérés házirendjeinek frissítése válik szükségessé, akkor azt az elsődleges IAS-kiszolgálón kell végrehajtani, majd az új IAS-konfigurációt kell a többi IAS-kiszolgálóra másolni.
  • A hálózati elérést lehetővé tevő kiszolgálók távolról frissíthetők.
  • A távoli felhasználók rendszeren végrehajtott munkája, műveletei a vállalati hálózaton is nyomon követhetők.

Ez a példa a kihelyezett telefonos elérés vállalati környezetben alkalmazható megvalósítási alaptervét ismerteti. Az IAS-kiszolgáló telepítésekor saját környezete igényeihez igazíthatja a példában megadott beállításokat. A vállalat méretétől függ, hogy elegendő-e egyetlen IAS-kiszolgáló alkalmazása. Sok esetben az IAS-kiszolgáló ugyanarra a számítógépre is telepíthető, mint amelyen a tartományvezérlő található. Figyelje az adatátvitelt, és ha szükséges, az igényeknek megfelelően módosítsa az IAS-kiszolgáló telepítésekor megadott beállításokat.

Megjegyzés

  • A vállalati szintű (egyebek közt a kihelyezett) távelérés megvalósításával kapcsolatos további információk forrásai:
    • A távelérés kialakítása – a konfigurációs kérdésekkel kapcsolatos további információk
    • A Távelérés a KRADEB Ipari Kft. részére című példa, amely bemutatja a távelérést biztosító VPN-kapcsolatok vállalati szintű megvalósításának hardverrel és szoftverrel kapcsolatos szempontjait


Naplók használata

Ez a rész az IAS által létrehozott naplófájlok használatáról tartalmaz információkat:

  • Naplórögzítés más folyamatok számára
  • Adatbázis-kompatibilis naplófájlok
  • IAS-formátumú naplófájlok


Naplórögzítés más folyamatok számára

Ha az adatokat közvetlenül egy másik folyamatba szeretné gyűjteni, az IAS programot úgy kell beállítania, hogy a naplót fájl helyett named pipe-ba írja. A named pipe-ok használatához a naplófájl mappájaként adja meg a következőt: \\.\pipe vagy \\számítógépnév\pipe. A named pipe kiszolgálóprogramnak az adat elfogadásához létre kell hoznia egy \\.\pipe\iaslog.log nevű named pipe-ot.

Megjegyzések

  • A hitelesítés és számlázás naplózásának beállításáról IAS-kiszolgálón a Felhasználói hitelesítés és számlázás naplózásának beállítása című témakörben talál.
  • A naplófájl adatbázisba történő importálásáról további információt az IAS-naplófájlok importálása adatbázisba című témakörben talál.


Adatbázis-kompatibilis naplófájlok

Ez a rész az IAS által létrehozott adatbázis-kompatibilis naplófájlok használatáról tartalmaz információkat:

  • IAS-naplófájlok importálása adatbázisba
  • Adatbázis-kompatibilis naplófájlok értelmezése


IAS-naplófájlok importálása adatbázisba

A naplófájlokat eredeti formátumukban is megtekintheti, de az adatok összetettsége miatt ez a formátum nehezen használható. A naplófájladatok megtekintésének egyik leghatékonyabb módja az Adatbázis-kompatibilis formátum használata. A formátum egységes szerkezete lehetővé teszi a napló valamely adatbázis-kezelőbe, például Microsoft Access programba történő importálását, ahol az adat könnyen olvasható és értelmezhető formában jelenik meg. A napló importálása után a kívánt naplózási folyamatnak megfelelően szűrheti és elemezheti az adatot, akár más programok használatával is.

A következő példa bemutatja, hogyan importálható egy adatbázis-kompatibilis napló a Microsoft Access 97 egy táblájába.

Példa: IAS-naplófájl importálása Microsoft Access 97 táblába

A Microsoft Access 97 tábla formátuma az egyes mezők tartalmától függ. Az alábbi példa egy új tábla létrehozását mutatja be, de a napló már létező táblába is importálható.

A tábla létrehozása előtt adja hozzá a naplófájlhoz a következő bekezdésben szereplő két sort. Az első sor a napló mezőihez tartozó attribútumok neveit tartalmazza. Ha ezt a naplófájlba másolja, az Access segítségükkel létrehozhatja a mezők neveit. Az attribútum nevei a táblában elősegítik a napló értelmezését. A második sor tartalma arra szolgál, hogy beállítsa a tábla oszlopainak megfelelő adattípusát. A naplófájl importálása után ezt a sort törölje a táblából.

ComputerName,ServiceName,Record-Date,Record-Time,Packet-Type,User-Name,Fully-Qualified-User-Name,Called-Station-Id,Calling-Station-ID,Callback-Number,Framed-IP-Address,NAS-Identifier,NAS-IP-Address,NAS-Port,Client-Vendor,Client-IP-Address,Client-Friendly-Name,Event-Timestamp,Port-Limit,NAS-Port-Type,Connect-Info,Framed-Protocol,Service-Type,Authentication-Type,NP-Policy-Name,Reason-Code,Class,Session-Timeout,Idle-Timeout,Termination-Action,EAP-Friendly-Name,Acct-Status-Type,Acct-Delay-Time,Acct-Input-Octets,Acct-Output-Octets,Acct-Session-Id,Acct-Authentic,Acct-Session-Time,Acct-Input-Packets,Acct-Output-Packets,Acct-Terminate-Cause,Acct-Multi-Ssn-Id,Acct-Link-Count,Acct-Interim-Interval,Tunnel-Type,Tunnel-Medium-Type,Tunnel-Client-Endpt,Tunnel-Server-Endpt,Acct-Tunnel-Conn,Tunnel-Pvt-Group-ID,Tunnel-Assignment-ID,Tunnel-Preference,MS-Acct-Auth-Type,MS-Acct-EAP-Type,MS-RAS-Version,MS-RAS-Vendor,MS-CHAP-Error,MS-CHAP-Domain,MS-PPE-Encryption-Types,MS-MPPE-Encryption-Policy
x,x,01/01/1999,12:00:00,0,x,x,x,x,x,x,x,x,0,0,x,x,01/01/1999 12:00:00,0,0,x,0,0,0,x,0,x,0,0,0,x,0,0,0,0,x,0,0,0,0,0,x,0,0,0,0,x,x,x,x,x,0,0,0,x,0,x,x,0,0

Tábla létrehozása

  1. A naplófájl kiterjesztését változtassa meg .txt kiterjesztésűre.
  2. Az Access 97 program elindítását követően kattintson a Fájl menü Új adatbázis pontjára.
  3. Az Új párbeszédpanelen kattintson az Üres adatbázis ikonra, majd az OK gombra.
  4. Az Új adatbázis párbeszédpanel Fájlnév mezőjében adjon meg egy fájlnevet, majd kattintson a Létrehozás gombra.
  5. A fájlnév:adatbázis párbeszédpanelen kattintson az Új gombra.
  6. Az Új tábla párbeszédpanelen válassza a Tábla importálása elemet, majd kattintson az OK gombra.
  7. Az Importálás párbeszédpanel Fájltípus legördülő listájában válassza a Szövegfájlok elemet, ezután keresse meg az IAS-naplófájlt, jelölje ki, majd kattintson az Importálás gombra.
  8. A Szövegimportáló varázsló párbeszédpanelen kattintson a Speciális gombra.
  9. A Speciális párbeszédpanelen tegye a következőket:
    • A Fájlformátum területen
      • jelölje be a Határolt választógombot.
    • A Mezőhatároló legördülő listából válassza a , (vessző) elemet.
    • A Szöveghatároló legördülő listában kattintson az " (idézőjel) elemre.
    • A Kódlap legördülő listában válassza a Windows (ANSI) elemet.
    • A Dátumok, időpontok és számok területen jelölje be a Négyjegyű évszám és a Vezető nullák a dátumokban jelölőnégyzeteket, a Dátumformátum legördülő listában válassza ki a megfelelő dátumformátumot (például HNÉ), adja meg a Dátumelválasztót (például /), az Időelválasztót (például kettőspont), és a Tizedesjelet (például vessző), majd kattintson az OK gombra.
  10. A Szövegimportáló varázsló párbeszédpanelen kattintson a Tovább gombra, jelölje be Az első sor tartalmazza a mezőneveket jelölőnégyzetet, majd ismét kattintson a Tovább gombra.
  11. Az adattárolás helyére vonatkozóan jelölje be az Egy új táblában választógombot, majd kattintson a Tovább gombra.
  12. A Mezőbeállítások csoport alapértelmezett beállításait ne módosítsa, kattintson a Tovább gombra.
  13. Jelölje be Az Access adjon elsődleges kulcsot a táblához választógombot, majd kattintson a Tovább gombra.
  14. Az Importálás a következő táblába mezőbe írja be az új tábla nevét, kattintson a Befejezés, majd az OK gombra.
  15. A fájlnév:adatbázis párbeszédpanelen kattintson az adatbázis nevére, majd a Megnyitás gombra, és tekintse meg a táblát.


Adatbázis-kompatibilis naplófájlok értelmezése

A naplófájlokhoz használható adatbázis-kompatibilis naplóformátum a Windows 2000 rendszertől kezdve áll rendelkezésre. Az IAS-formátumú naplófájloktól eltérően az adatbázis-kompatibilis naplófájlok szabványos sorrendben tárolják az adatokat, olyan szerkezetben, amely állandó és független az adatot küldő hálózati elérést biztosító (NAS) kiszolgálótól. Ez az állandó sorrend és szerkezet egyszerűbbé teszi a számlázás és a hitelesítés nyilvántartását. Az adatokat egyszerűen lehet exportálni egy adatbázisba, amely támogatja a különféle programokkal végezhető szűrést és elemzést.

Megjegyzés

  • Bár az IAS az IAS-formátumú és az adatbázis-kompatibilis formátumú naplófájlokat is támogatja, általában az adatbázis-kompatibilis naplóformátumot kell használni, mert az támogatja az ODBC-formátummal kompatibilis eszközöket, ezzel elősegítve az adatok elemzését és a jelentéskészítést.

Az adatbázis-kompatibilis naplófájlok bejegyzései

Az alábbiak példabejegyzések (hozzáféréskérő és hozzáférés-engedélyező) egy adatbázis-kompatibilis naplófájlból.

"ÜGYFÉLGÉP","IAS",1999/06/17,13:04:33,1,"ügyfél",,,,,,,,,9,"10.10.10.10","iasügyfél",,,,,,,1,,0,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
"ÜGYFÉLGÉP","IAS",1999/06/17,13:04:33,2,,"iasclientdc/Users/client",,,,,,,,9,"10.10.10.10","iasügyfél",,,,,,2,1,"Hozzáférés engedélyezése, ha van betárcsázási engedélye",0,"311 1 10.10.10.11 06/17/1999 20:04:30 1",,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,

Az alábbi táblázat tartalmazza azokat az attribútumokat , amelyek szerepelhetnek egy adatbázis-kompatibilis naplófájlban, rögzítésük sorrendjét és a fenti hozzáféréskérő csomag értelmezését.

Megjegyzések

  • Az első oszlopban lévő üres mező azt jelzi, hogy a NAS nem vette fel az attribútumot a csomagba (a példabejegyzésben).
  • Az Adattípus oszlop azonosítja minden attribútum adattípusát (szöveg, szám vagy idő). Amikor létrehozza azt az adatbázist, amelybe a naplófájlokat importálni fogja, fontos, hogy minden mezőt az abba importálandó attribútumérték adattípusának megfelelően definiáljon. Az adatbázis-kompatibilis naplófájlokban a szöveg típusú értékeket (például karakterláncok, karakterlánc oktettek és IP-címek) mindig kettős idézőjel határolja. Ha a szöveghatároló előfordul a karakterláncon belül, akkor azt dupla határoló helyettesíti.
  • A táblázat a belső IAS-attribútumok megfelelő értékeit tartalmazza. A RADIUS-attribútumok értékeinek definíciói a RADIUS RFC-dokumentumokban találhatók.
  • A számlázási csomagok konfigurálásával kapcsolatos tudnivalók és a NAS tesztelési és gyártási információi a NAS-dokumentációban találhatók.
  • A naplófájlok olvasásának és értelmezésének megkönnyítésére a Windows 2000 Resource Kit tartalmaz egy eszközt (iasparse), amely elemzi és olvasható formátumban megjeleníti a naplófájlokat. További tudnivalók a Windows 2000 Resource Kit című témakörben találhatók.
A példában szereplő érték | Attribútum | Adattípus | Értelmezés
„ÜGYFÉLGÉP” ComputerName Szöveg Annak a kiszolgálónak a neve, amelyik fogadta a csomagot.
(Belső IAS-attribútum.)
„IAS” ServiceName Szöveg A rekordot generáló szolgáltatás neve, IAS vagy Windows 2000 távelérés.
(Belső IAS-attribútum.)
06/14/2000 Record-Date Idő A dátum az IAS- vagy a távelérési kiszolgálón.
(Belső IAS-attribútum.)
17:58:39 Record-Time Idő Az idő az IAS- vagy a távelérési kiszolgálón.
(Belső IAS-attribútum.)
1 Packet-Type Szám Az adatcsomag típusa. Lehet:
  • 1 = Accept-Request (kéréselfogadó csomag)
  • 2 = Access-Accept (hozzáférés-engedélyező csomag)
  • 3 = Access-Reject (hozzáférés-visszautasító csomag)
  • 4 = Accounting-Request (számlázáskérő csomag)
(Belső IAS-attribútum.)
„ügyfél” | User-Name | Szöveg | A felhasználó bejelentett személyazonossága.
Fully-Qualified-User-Name Szöveg A felhasználónév kanonikus formája.
(Belső IAS-attribútum.)
Called-Station-Id | Szöveg | A felhasználó által tárcsázott telefonszám.
Calling-Station-Id | Szöveg | Az a telefonszám, ahonnan a hívást kezdeményezték.
Callback-Number | Szöveg | A visszahívási szám.
Framed-IP-Address | Szöveg | A felhasználó számára konfigurálandó keretezett cím.
NAS-Identifier | Szöveg | A kérést kezdeményező NAS kiszolgálót azonosító szöveg.
NAS-IP-Address | Szöveg | A kérést kezdeményező NAS IP-címe.
NAS-Port | Szám | A kérést kezdeményező NAS fizikai portszáma.
9 Client-Vendor Szám A NAS gyártója.
(Belső IAS-attribútum.)
„10.10.10.10” Client-IP-Address Szöveg A RADIUS-ügyfél IP-címe.
(Belső IAS-attribútum.)
„iasügyfél” Client-Friendly-Name Szöveg A RADIUS-ügyfél rövid neve.
(Belső IAS-attribútum.)
Event-Timestamp | Time | Az a dátum és időpont, amikor az esemény történt a NAS kiszolgálón.
Port-Limit | Szám | A NAS által a felhasználó részére biztosított portok maximális száma.
NAS-Port-Type | Szám | A kérést kezdeményező NAS által használt fizikai port típusa.
Connect-Info | Szöveg | A felhasználó kapcsolatának jellemzőit adja meg.
Framed-Protocol | Szám | A használandó protokoll.
Service-Type | Szám | A felhasználó által kért szolgáltatás típusa.
1 Authentication-Type Szám A felhasználó ellenőrzésére használt hitelesítési mód. Lehet:
  • 1 = PAP
  • 2 = CHAP
  • 3 = MS-CHAP v1
  • 4 = MS-CHAP v2
  • 5 = EAP
  • 7 = Nincs
  • 8 = Egyéni

(Belső IAS-attribútum.)
NP-Policy-Name | Szöveg | A hozzáférést megadó vagy megtagadó távelérési házirend rövid neve. Ez az attribútum hitelesítéselfogadó és hitelesítés-visszautasító kéréseknél kerül a naplóba. Ha a felhasználó elutasításának az az oka, hogy egy távelérési házirendnek sem felel meg, akkor ez az attribútum üres.
0 Reason-Code Szám A felhasználó visszautasításának oka. Lehet:
  • 0 = IAS_SUCCESS
  • 1 = IAS_INTERNAL_ERROR
  • 2 = IAS_ACCESS_DENIED
  • 3 = IAS_MALFORMED_REQUEST
  • 4 = IAS_GLOBAL_CATALOG_UNAVAILABLE
  • 5 = IAS_DOMAIN_UNAVAILABLE
  • 6 = IAS_SERVER_UNAVAILABLE
  • 7 = IAS_NO_SUCH_DOMAIN
  • 8 = IAS_NO_SUCH_USER
  • 16 = IAS_AUTH_FAILURE
  • 17 = IAS_CHANGE_PASSWORD_FAILURE
  • 18 = IAS_UNSUPPORTED_AUTH_TYPE
  • 32 = IAS_LOCAL_USERS_ONLY
  • 33 = IAS_PASSWORD_MUST_CHANGE
  • 34 = IAS_ACCOUNT_DISABLED
  • 35 = IAS_ACCOUNT_EXPIRED
  • 36 = IAS_ACCOUNT_LOCKED_OUT
  • 37 = IAS_INVALID_LOGON_HOURS
  • 38 = IAS_ACCOUNT_RESTRICTION
  • 48 = IAS_NO_POLICY_MATCH
  • 64 = IAS_DIALIN_LOCKED_OUT
  • 65 = IAS_DIALIN_DISABLED
  • 66 = IAS_INVALID_AUTH_TYPE
  • 67 = IAS_INVALID_CALLING_STATION
  • 68 = IAS_INVALID_DIALIN_HOURS
  • 69 = IAS_INVALID_CALLED_STATION
  • 70 = IAS_INVALID_PORT_TYPE
  • 71 = IAS_INVALID_RESTRICTION
  • 80 = IAS_NO_RECORD
  • 96 = IAS_SESSION_TIMEOUT
  • 97 = IAS_UNEXPECTED_REQUEST

(Belső IAS-attribútum.)
Class Szöveg A hozzáférés-engedélyező csomagban az ügyfélnek küldött attribútumok. A formátum a következő:
  • Type Értéke mindig 25. 1 oktett.
  • Length Mindig 20 vagy több. 1 oktett.
  • Checksum A Class attribútum maradéka felett képzett Adler-32 ellenőrző összeget tartalmazza. 4 oktett.
  • Vendor-Id A magas helyiértékű oktett értéke 0, az alacsony helyiértékű 3 oktett pedig a szállítóhoz tartozó SMI Network Management Private Enterprise Code kódja hálózati bájtsorrendben, az IETF 1007-es számú RFC-dokumentumának „Vendor SMI Network Management Private Enterprise Codes” (Szállítói, SMI típusú hálózatkezelési magánvállalkozói kód) részében megadottak szerint. 4 oktett.
  • Version Értéke mindig 1. 2 oktett.
  • Server-Address Az Access-Challenge csomagot (hozzáférési kihíváscsomagot) indító RADIUS-kiszolgáló neve. Többhelyű kiszolgálók esetén ez annak a hálózati összeköttetésnek a címe lesz, amelyik az eredeti Access-Request (hozzáféréskérő) csomagot fogadta. 2 oktett.
  • Service-Reboot-Time Az első sorozatszám visszaadásának időpontja. 8 oktett.
  • Unique-Serial-Number 8 oktett.
  • String A számlázási rekordok besorolására használható, azért, hogy ezt az információt további elemzésre lehessen használni. Az IAS szolgáltatásban a Class attribútumot a profilból ebbe a String mezőbe kell másolni. 0 vagy több oktett.
A Serial-Number, a Service-Reboot-Time és a Server-Address kombinációjának egyértelműen azonosítania kell minden, a kiszolgáló által elfogadott hitelesítést. Ennek a kombinációnak a használatával történik a számlázási rekordok megfeleltetése a hitelesítésekkel.
Session-Timeout | Szám | A munkamenet leállítása előtti idő (másodpercben).
Idle-Timeout | Szám | A munkamenet leállítása előtti üresjárati idő (másodpercben)
Termination-Action | Szám | A szolgáltatás befejeződése után indítandó NAS-művelet.
EAP-Friendly-Name | Szöveg | EAP rövid név.
Acct-Status-Type | Szám | Megadja, hogy a számlázási csomag indít vagy leállít egy hidat, egy útválasztást vagy a terminálkiszolgálón egy munkamenetet.
Acct-Delay-Time | Szám | Az az idő (másodpercben), amióta a NAS ugyanazt a számlázási csomagot küldi.
Acct-Input-Octets | Szám | A munkamenet alatt fogadott oktettek száma.
Acct-Output-Octets | Szám | A munkamenet alatt küldött oktettek száma.
Acct-Session-Id | Szöveg | Egyedi, számokból álló karakterlánc, amely a kiszolgálói munkamenetet azonosítja.
Acct-Authentic | Szám | Megadja, mely kiszolgáló hitelesített egy beérkező hívást.
Acct-Session-Time | Szám | Az az idő (másodpercekben), amely óta a munkamenet be van jelentkezve.
Acct-Input-Packets | Szám | A munkamenet alatt fogadott csomagok száma.
Acct-Output-Packets | Szám | A munkamenet alatt küldött csomagok száma.
Acct-Terminate-Cause | Szám | A kapcsolat megszakításának oka.
Acct-Multi-Ssn-Id | Szöveg | Egyedi, számokból álló karakterlánc, amely a többkapcsolatos munkamenetet azonosítja.
Acct-Link-Count | Szám | A többkapcsolatos munkamenet kapcsolatainak a száma.
Acct-Interim-Interval | Szám | A NAS által küldött belső frissítések között eltelt idő hossza (másodperben).
Tunnel-Type | Szám | A használandó bújtatóprotokollok.
Tunnel-Medium-Type | Szám | Olyan, protokollbújtatáskor használandó átviteli közeg (például L2TP), amely többszörös átvitelen is működik.
Tunnel-Client-Endpt | Szöveg | A bújtatási alagút bújtatást kezdeményező oldalának IP-címe.
Tunnel-Server-Endpt | Szöveg | A bújtatási alagút kiszolgáló-oldalának IP-címe.
Acct-Tunnel-Conn | Szöveg
Tunnel-Pvt-Group-ID | Szöveg | Egy adott bújtatási munkamenet csoportos azonosítója.
Tunnel-Assignment-ID | Szöveg | Az a bújtatás, amelyhez egy munkamenet társítva van.
Tunnel-Preference | Szám
MS-Acct-Auth-Type | Szám | Az Útválasztás és távelérés szolgáltatás attribútuma. Lásd a 2548-as számú RFC-dokumentumot.
MS-Acct-EAP-Type | Szám | Az Útválasztás és távelérés szolgáltatás attribútuma. Lásd a 2548-as számú RFC-dokumentumot.
MS-RAS-Version | Szöveg | Az Útválasztás és távelérés szolgáltatás attribútuma. Lásd a 2548-as számú RFC-dokumentumot.
MS-RAS-Vendor | Szám | Az Útválasztás és távelérés szolgáltatás attribútuma. Lásd a 2548-as számú RFC-dokumentumot.
MS-CHAP-Error | Szöveg | Az Útválasztás és távelérés szolgáltatás attribútuma. Lásd a 2548-as számú RFC-dokumentumot.
MS-CHAP-Domain | Szöveg | Az Útválasztás és távelérés szolgáltatás attribútuma. Lásd a 2548-as számú RFC-dokumentumot.
MS-MPPE-Encryption-Types | Szám | Az Útválasztás és távelérés szolgáltatás attribútuma. Lásd a 2548-as számú RFC-dokumentumot.
MS-MPPE-Encryption-Policy | Szám | Az Útválasztás és távelérés szolgáltatás attribútuma. Lásd a 2548-as számú RFC-dokumentumot.


IAS-formátumú naplófájlok

Ez a rész az IAS által létrehozott IAS-formátumú naplófájlok használatáról tartalmaz információkat:

  • IAS-formátumú naplófájlok értelmezése
  • Szállítóspecifikus attribútumokra vonatkozó IAS-azonosítók értelmezése


IAS-formátumú naplófájlok értelmezése

Az IAS Windows NT 4 rendszerben található változatában a naplónak olyan formátuma volt, amelyben az attribútumok naplózása attribútum-érték párokként történt. A Windows 2000 rendszer IAS szolgáltatása támogatja ezt a formátumot; az ilyen formátumú naplók az IAS-formátumú naplófájlok. Azonban a Windows 2000 rendszerben ez a formátum támogatja további információk felvételét a naplófájlba.

  • A számlázási adatcsomagokon (számlázás bekapcsolása, számlázás kikapcsolása, számlázás indítása, számlázás leállítása, átmeneti számlázás) kívül a Windows 2000 rendszer IAS-kiszolgálója a hitelesítési információkat (hozzáféréskérések, hozzáférés-engedélyezések, hozzáférés-visszautasítások) is naplózza.
  • Minden olyan attribútum-karakterlánc, amely nem nyomtatható karaktereket vagy bármilyen határolójelet (például | és , ) tartalmaz, hexadecimális formátumban lesz kinyomtatva (például 0x026).
  • Ha az IAS az IAS-szolgáltatásban nem definiált (RADIUS-szabvány vagy szállítóspecifikus) attribútumot fogad, akkor azt karakterláncként naplózza.

A Windows 2000 által támogatott attribútumok többsége, amit hálózati elérést biztosító (NAS) kiszolgáló küld, naplózásra kerül, ha meg van adva az IAS-formátumú naplófájlok használata. Azonban egyes attribútumokat nem lehet naplózni, mert bizalmas információt tartalmaznak, például jelszót, ami nem kerülhet be a naplófájlba. A szakasz végén található lista tartalmazza a nem naplózott attribútumokat.

Megjegyzés

  • Ha nincs áttérési, kompatibilitási vagy más olyan probléma, ami miatt szükséges az IAS-formátum használata, akkor az adatbázis-kompatibilis naplóformátumot kell használni. Az adatbázis-kompatibilis naplóformátum az attribútumoknak kisebb részhalmazát tartalmazza, de tartalmazza a legtöbb nyomon követési és számlázási művelethez szükséges attribútumot. Az adatbázis-kompatibilis naplóformátum támogatja az adatok adatbázisba történő egyszerűbb integrálását, ami jelentősen megkönnyíti az adatelemzést és számlázást támogató szoftverek fejlesztését és megvalósítását.

Az IAS-formátumú naplófájlokban rögzített bejegyzések

Az alábbi egy példabejegyzés (hozzáféréskérés) egy IAS-formátumú naplófájlból.

10.10.10.10,ügyfél,1999/06/04,14:42:19,IAS,ÜGYFÉLGÉP,6,2,7,1,5,9,61,5,64,1,65,1,31,1

Ennek a rekordnak és a naplófájl összes rekordjának a formátuma tartalmaz egy fejlécet, amelyet a rögzített adatcsomagban levő összes attribútumhoz tartozó attribútum-érték párok követnek.

A rekord első hét pozíciója a fejléc, amely a következőket tartalmazza:

A példában szereplő érték | Attribútum | Azonosító | Adattípus | Értelmezés
10.10.10.10 | NAS-IP-Address | IAS-fejléc | Szöveg | A kérést küldő NAS IP-címe
ügyfél | User-Name | IAS-fejléc | Szöveg | A hozzáférést kérő felhasználó neve
06/04/1999 | Record-Date | IAS-fejléc | Idő | A napló rögzítésének dátuma
14:42:19 | Record-Time | IAS-fejléc | Idő | A napló rögzítésének időpontja
IAS | Service-Name | IAS-fejléc | Szöveg | A RADIUS-kiszolgálón futó szolgáltatás neve
ÜGYFÉLGÉP | Computer-Name | IAS-fejléc | Szöveg | A RADIUS-kiszolgáló neve

A fejléc után következnek a RADIUS-attribútumok és értékeik párokba rendezve, a következő formátumban:

<első_attribútum>,<első_attribútum_értéke>,<második_attribútum>,<második_attribútum_értéke>

stb. Például a fejléc utáni két mező a 6 és a 2 értéket tartalmazza, ami a következőt jelenti:

  • A 6 a szolgáltatás típusának RADIUS-azonosítója.
  • A 2 a szolgáltatás típusa attribútum értéke. A RADIUS protokoll a következő értékeket adja meg a Service-Type attribútumra:
    • 1 = Login
    • 2 = Framed
    • 3 = Callback Login
    • 4 = Callback Framed
    • 5 = Outbound
    • 6 = Administrative
    • 7 = NAS Prompt
    • 8 = Authenticate Only
    • 9 = Callback NAS Prompt
    • Az attribútum értéke „Framed”
Ennek az attribútum-érték párnak a jelentése Service-Type = Framed, ami azt jelzi az IAS-kiszolgálónak, hogy a felhasználó részére keretezett protokollt kell elindítani, amilyen például a Point-to-Point protokoll (PPP) vagy a SLIP.

Megjegyzés

  • A fenti példa egy attribútum-érték pár értelmezését mutatja be. Nem adja meg az összes attribútumot és értéket.

A következő táblázat az IAS-formátumú naplófájl rekordjaiban előforduló RADIUS-attribútumokat mutatja be. Az attribútumokat számsorrendben tartalmazza a következő táblázat. A sorrend nem tükrözi azt a sorrendet, ahogy az attribútumok a naplófájlban megjelennek. Az adatbázis-kompatibilis naplófájloktól eltérően, amelyek rögzített sorrendben tartalmazzák az attribútumokat, az IAS-formátumú naplófájlokban az attribútumok sorrendje a NAS által használt formátumtól függ. További tudnivalók ezeknek a rekordoknak a formátumáról a NAS dokumentációjában találhatók.

Megjegyzések

  • Ez a táblázat nem tartalmazza a szállítóspecifikus attribútumokat (VSA-kat). További tudnivalók a VSA-k értelmezéséről a Szállítóspecifikus attribútumok IAS-azonosítóinak értelmezése című témakörben találhatók.
  • Az Azonosító oszlopban található „IAS” kezdetű bejegyzések IAS-specifikus attribútumok, amelyek nem találhatók meg a RADIUS-protokollban.
  • További tudnivalók ezekről az attribútumokról és az értékeikről a RADIUS RFC-dokumentumokban és a NAS-dokumentációban találhatók.
  • A naplófájlok olvasásának és értelmezésének megkönnyítésére a Windows 2000 Resource Kit tartalmaz egy eszközt (iasparse), amely elemzi és olvasható formátumban megjeleníti a naplófájlokat. További tudnivalók a Windows 2000 Resource Kit című témakörben találhatók.
Attribútum | Azonosító | Adattípus | Értelmezés
User-Name | 1 | Szöveg | A felhasználó bejelentett személyazonossága.
NAS-IP-Address | 4 | Szöveg | A kérést kezdeményező NAS IP-címe.
NAS-Port | 5 | Szám | A kérést kezdeményező NAS fizikai portszáma.
Service-Type | 6 | Szám | A felhasználó által kért szolgáltatás típusa.
Framed-Protocol | 7 | Szám | A használandó protokoll.
Framed-IP-Address | 8 | Szöveg | A felhasználó számára konfigurálandó keretezett cím.
Framed-IP-Netmask | 9 | Szöveg | A felhasználó számára konfigurálandó IP-hálózati maszk.
Framed-Routing | 10 | Szám | A felhasználó által használandó útválasztási mód.
Filter-Id | 11 | Szöveg | A hitelesítést kérő felhasználó szűrőlistájának neve.
Framed-MTU | 12 | Szám | A felhasználó számára konfigurálandó maximális átviteli egység.
Framed-Compression | 13 | Szám | A használandó tömörítési protokoll.
Login-IP-Host | 14 | Szám | Annak az állomásnak az IP-címe, amelyhez a felhasználót kell csatlakoztatni.
Login-Service | 15 | Szám | A felhasználót a bejelentkezési állomáshoz csatlakoztató szolgáltatás.
Login-TCP-Port | 16 | Szám | Az a TCP-port, amelyhez a felhasználót kell csatlakoztatni.
Reply-Message | 18 | Szöveg | Az az üzenet, amely a felhasználónak a hitelesítési kérés elfogadásakor vagy visszautasításakor jelenik meg.
Callback-Number | 19 | Szöveg | A visszahívási szám.
Callback-Id | 20 | Szöveg | A NAS által hívandó hely neve.
Framed-Route | 22 | Szöveg | A NAS által hívandó hely neve.
Framed-IPX-Network | 23 | Szám | A NAS kiszolgálón a felhasználó számára konfigurálandó IPX-hálózati szám.
Class 25 Szöveg A hozzáférés-engedélyező csomagban az ügyfélnek küldött attribútumok. A formátum a következő:
  • Type Értéke mindig 25. 1 oktett.
  • Length Mindig 20 vagy több. 1 oktett.
  • Checksum A Class attribútum maradéka felett képzett Adler-32 ellenőrző összeget tartalmazza. 4 oktett.
  • Vendor-Id A magas helyiértékű oktett értéke 0, az alacsony helyiértékű 3 oktett pedig a szállítóhoz tartozó SMI Network Management Private Enterprise Code kódja hálózati bájtsorrendben, az IETF 1007-es számú RFC-dokumentumának „Vendor SMI Network Management Private Enterprise Codes” (Szállítói, SMI típusú hálózatkezelési magánvállalkozói kód) részében megadottak szerint. 4 oktett.
  • Version Értéke mindig 1. 2 oktett.
  • Server-Address Az Access-Challenge csomagot (hozzáférési kihíváscsomagot) indító RADIUS-kiszolgáló neve. Többhelyű kiszolgálók esetén ez annak a hálózati összeköttetésnek a címe lesz, amelyik az eredeti Access-Request (hozzáféréskérő) csomagot fogadta. 2 oktett.
  • Service-Reboot-Time Az első sorozatszám visszaadásának időpontja. 8 oktett.
  • Unique-Serial-Number 8 oktett.
  • String A számlázási rekordok besorolására használható, azért, hogy ezt az információt további elemzésre lehessen használni. Az IAS szolgáltatásban a Class attribútumot a profilból ebbe a String mezőbe kell másolni. 0 vagy több oktett.
A Serial-Number, a Service-Reboot-Time és a Server-Address kombinációjának egyértelműen azonosítania kell minden, a kiszolgáló által elfogadott hitelesítést. Ennek a kombinációnak a segítségével történik a számlázási rekordok megfeleltetése a hitelesítésekkel.
Vendor-Specific | 26 | Szöveg | A saját NAS-funkciók támogatását szolgálja.
Session-Timeout | 27 | Szám | A munkamenet leállítása előtti idő (másodpercben).
Idle-Timeout | 28 | Szám | A munkamenet leállítása előtti üresjárati idő (másodpercben)
Termination-Action | 29 | Szám | A szolgáltatás befejeződése után indítandó NAS-művelet.
Called-Station-Id | 30 | Szöveg | A felhasználó által tárcsázott telefonszám.
Calling-Station-Id | 31 | Szöveg | Az a telefonszám, ahonnan a hívást kezdeményezték.
NAS-Identifier | 32 | Szöveg | A kérést kezdeményező NAS-t azonosító karakterlánc.
Login-LAT-Service | 34 | Szöveg | Az az állomás, amelyhez a felhasználót a LAT csatlakoztatja.
Login-LAT-Node | 35 | Szöveg | Az a csomópont, amelyhez a felhasználót a LAT csatlakoztatja.
Login-LAT-Group | 36 | Szöveg | Azok a LAT-csoportkódok, amelyekhez a felhasználó engedéllyel rendelkezik.
Framed-AppleTalk-Link | 37 | Szám | AppleTalk hálózati szám a soros kapcsolathoz a felhasználó számára (csak akkor, ha a felhasználó útválasztó).
Framed-AppleTalk-Network | 38 | Szám | Az az AppleTalk hálózati szám, amelyet a NAS a felhasználó AppleTalk csomópontjának lefoglalásához próbál.
Framed-AppleTalk-Zone | 39 | Szöveg | A felhasználó alapértelmezett AppleTalk zónája.
Acct-Status-Type | 40 | Szám | Megadja, hogy a számlázási csomag indít vagy leállít egy hidat, egy útválasztást vagy a terminálkiszolgálón egy munkamenetet.
Acct-Delay-Time | 41 | Szám | Az az idő (másodpercben), amióta a NAS ugyanazt a számlázási csomagot küldi.
Acct-Input-Octets | 42 | Szám | A munkamenet alatt fogadott oktettek száma.
Acct-Output-Octets | 43 | Szám | A munkamenet alatt küldött oktettek száma.
Acct-Session-Id | 44 | Szöveg | Egyedi, számokból álló karakterlánc, amely a kiszolgálói munkamenetet azonosítja.
Acct-Authentic | 45 | Szám | Megadja, mely kiszolgáló hitelesített egy beérkező hívást.
Acct-Session-Time | 46 | Szám | Az az idő (másodpercekben), amely óta a munkamenet be van jelentkezve.
Acct-Input-Packets | 47 | Szám | A munkamenet alatt fogadott csomagok száma.
Acct-Output-Packets | 48 | Szám | A munkamenet alatt küldött csomagok száma.
Acct-Terminate-Clause | 49 | Szám | A kapcsolat megszakításának oka.
Acct-Multi-Ssn-Id | 50 | Szöveg | Egyedi, számokból álló karakterlánc, amely a többkapcsolatos munkamenetet azonosítja.
Acct-Link-Count | 51 | Szám | Többkapcsolatos munkamenet kapcsolatainak a száma.
Event-Timestamp | 55 | Idő | Az a dátum és időpont, amikor az esemény történt a NAS kiszolgálón.
NAS-Port-Type | 61 | Szám | A kérést kezdeményező NAS által használt fizikai port típusa.
Port-Limit | 62 | Szám | A NAS által a felhasználó részére biztosított portok maximális száma.
Login-LAT-Port | 63 | Szám | A NAS által a felhasználó részére biztosított portok maximális száma.
Tunnel-Type | 64 | Szám | A használandó bújtatóprotokollok.
Tunnel-Medium-Type | 65 | Szám | Olyan, protokollbújtatáskor használandó átviteli közeg (például L2TP), amely többszörös átvitelen is működik.
Tunnel-Client-Endpt | 66 | Szöveg | A bújtatási alagút bújtatást kezdeményező oldalának IP-címe.
Tunnel-Server-Endpt | 67 | Szöveg | A bújtatási alagút kiszolgáló-oldalának IP-címe.
Acct-Tunnel-Conn | 68 | Szöveg
Password-Retry | 75 | Szám | Ennyiszer próbálkozhat a felhasználó a hitelesítéssel, mielőtt a NAS bontaná a kapcsolatot.
Prompt | 76 | Szám | Megadja a NAS-nak, hogy visszhangozza-e a felhasználói válaszokat beíráskor.
Connect-Info | 77 | Szöveg | A felhasználó kapcsolatának jellemzőit adja meg.
Configuration-Token | 78 | Szöveg | A használandó felhasználói profil típusa, amelyet egy RADIUS proxykiszolgáló hozzáférés-engedélyező csomagban küld egy RADIUS proxyügyfélnek.
Tunnel-Pvt-Group-ID | 81 | Szöveg | Egy adott bújtatási munkamenet csoportos azonosítója.
Tunnel-Assignment-ID | 82 | Szöveg | Az a bújtatás, amelyhez egy munkamenet társítva van.
Tunnel-Preference | 83 | Szám
Acct-Interim-Interval | 85 | Szám | A NAS által küldött belső frissítések között eltelt idő hossza (másodperben).
Ascend | 107-től 255-ig | Szöveg | Ezek a szállítóspecifikus attribútumok az Ascend dokumentációjában találhatók meg.
Saved-RADIUS-Framed-Route | IAS 4100 | Szöveg | A NAS kiszolgálón a felhasználó számára konfigurálandó útválasztó információ (csak belső IAS használatra).
Saved-RADIUS-Framed-Route | IAS 4100 | Szöveg | A NAS kiszolgálón a felhasználó számára konfigurálandó útválasztó információ (csak belső IAS használatra).
Client-IP-Address | IAS 4108 | Szöveg | A RADIUS-ügyfél IP-címe.
NAS-Manufacturer | IAS 4116 | Szám | A NAS gyártója.
MS-CHAP-Error | IAS 4121 | Szám | Egy MS-CHAP tranzakciót leíró hibaadatok.
Authentication-Type | IAS 4127 | Szám | A felhasználó ellenőrzésére használt hitelesítési mód.
Client-Friendly-Name | IAS 4128 | Szöveg | A RADIUS-ügyfél rövid neve.
SAM-Account-Name | IAS 4129 | Szöveg | A felhasználói fiók neve a Biztonsági fiókkezelő (SAM) szolgáltatásban.
Fully-Qualified-User-Name | IAS 4130 | Szöveg | A felhasználónév kanonikus formája.
EAP-Friendly-Name | IAS 4132 | Szöveg | Az Extensible Authentication protokollban (EAP) használt rövid név.
Packet-Type IAS 4136 Szám Az adatcsomag típusa. Lehet:
  • 1=Accept-Request (kéréselfogadó csomag)
  • 2=Access-Accept (hozzáférés-engedélyező csomag)
  • 3=Access-Reject (hozzáférés-visszautasító csomag)
  • 4=Accounting-Request (számlázáskérő csomag)
Reason-Code IAS 4142 Szám A felhasználó visszautasításának oka. Lehet:
  • 00 = IAS_SUCCESS
  • 01 = IAS_INTERNAL_ERROR
  • 02 = IAS_ACCESS_DENIED
  • 03 = IAS_MALFORMED_REQUEST
  • 04 = IAS_GLOBAL_CATALOG_UNAVAILABLE
  • 05 = IAS_DOMAIN_UNAVAILABLE
  • 06 = IAS_SERVER_UNAVAILABLE
  • 07 = IAS_NO_SUCH_DOMAIN
  • 08 = IAS_NO_SUCH_USER
  • 16 = IAS_AUTH_FAILURE
  • 17 = IAS_CHANGE_PASSWORD_FAILURE
  • 18 = IAS_UNSUPPORTED_AUTH_TYPE
  • 32 = IAS_LOCAL_USERS_ONLY
  • 33 = IAS_PASSWORD_MUST_CHANGE
  • 34 = IAS_ACCOUNT_DISABLED
  • 35 = IAS_ACCOUNT_EXPIRED
  • 36 = IAS_ACCOUNT_LOCKED_OUT
  • 37 = IAS_INVALID_LOGON_HOURS
  • 38 = IAS_ACCOUNT_RESTRICTION
  • 48 = IAS_NO_POLICY_MATCH
  • 64 = IAS_DIALIN_LOCKED_OUT
  • 65 = IAS_DIALIN_DISABLED
  • 66 = IAS_INVALID_AUTH_TYPE
  • 67 = IAS_INVALID_CALLING_STATION
  • 68 = IAS_INVALID_DIALIN_HOURS
  • 69 = IAS_INVALID_CALLED_STATION
  • 70 = IAS_INVALID_PORT_TYPE
  • 71 = IAS_INVALID_RESTRICTION
  • 80 = IAS_NO_RECORD
  • 96 = IAS_SESSION_TIMEOUT
  • 97 = IAS_UNEXPECTED_REQUEST
NP-Policy-Name | IAS 4149 | Szöveg | A távelérés házirendjének rövid neve.

Az IAS-formátumú naplófájlokban nem rögzített attribútumok.

A következő attribútumok bizalmas információt tartalmaznak, ezért nem kerülnek a naplóba.

Attribútum neve | Azonosító
User-Name | 1
User-Password | 2
CHAP-Password | 3
State | 24
Proxy-State | 33
CHAP-Challenge | 60
Tunnel-Password | 69
EAP-Message | 79
Signature | 80
Saved-Radius-Framed-IP-Address | A Microsoft szállítóspecifikus attribútuma
Saved-Radius-Callback-Number | A Microsoft szállítóspecifikus attribútuma
NP-Calling-Station-ID | A Microsoft szállítóspecifikus attribútuma
Saved-NP-Calling-Station-ID | A Microsoft szállítóspecifikus attribútuma
Saved-Radius-Framed-Route | A Microsoft szállítóspecifikus attribútuma
NP-Sessions-Allowed | A Microsoft szállítóspecifikus attribútuma
Day-And-Time-Restrictions | A Microsoft szállítóspecifikus attribútuma
NP-Called-Station-ID | A Microsoft szállítóspecifikus attribútuma
NP-Allowed-Port-Types | A Microsoft szállítóspecifikus attribútuma
NP-Authentication-Type | A Microsoft szállítóspecifikus attribútuma
NP-Allowed-EAP-Type | A Microsoft szállítóspecifikus attribútuma
Saved-Radius-Framed-IP-Address | Megosztott titok
Client-Packet-Header | A Microsoft szállítóspecifikus attribútuma
Token-Groups | A Microsoft szállítóspecifikus attribútuma
NP-Allow-Dial-in | A Microsoft szállítóspecifikus attribútuma
NP-Constraint | A Microsoft szállítóspecifikus attribútuma
NP-Version | A Microsoft szállítóspecifikus attribútuma
NP-VendorID | A Microsoft szállítóspecifikus attribútuma
NP-Sequence | A Microsoft szállítóspecifikus attribútuma
Client-UDP-Port | A Microsoft szállítóspecifikus attribútuma
MS-CHAP-Challenge | A Microsoft szállítóspecifikus attribútuma
MS-CHAP-Response | A Microsoft szállítóspecifikus attribútuma
MS-CHAP-CPW-1 | A Microsoft szállítóspecifikus attribútuma
MS-CHAP-CPW-2 | A Microsoft szállítóspecifikus attribútuma
MS-CHAP-LM-Enc-PW | A Microsoft szállítóspecifikus attribútuma
MS-CHAP-NT-Enc-PW | A Microsoft szállítóspecifikus attribútuma
MS-CHAP-MPPE-Keys | A Microsoft szállítóspecifikus attribútuma
Windows-Groups | A Microsoft szállítóspecifikus attribútuma
MS-MPPE-Send-Key | A Microsoft szállítóspecifikus attribútuma
MS-MPPE-Recv-Key | A Microsoft szállítóspecifikus attribútuma
MS-Filter | A Microsoft szállítóspecifikus attribútuma
MS-CHAP2-Response | A Microsoft szállítóspecifikus attribútuma
MS-CHAP2-Success | A Microsoft szállítóspecifikus attribútuma
MS-CHAP2-CPW | A Microsoft szállítóspecifikus attribútuma
  • Szállítóspecifikus attribútumok IAS-azonosítóinak értelmezése


Szállítóspecifikus attribútumokra vonatkozó IAS-azonosítók értelmezése

Amikor az IAS naplózza a következő szállítóspecifikus attribútumokat, egyedi azonosítót rendel hozzájuk, hogy megkönnyítse a naplófájlok értelmezését.

Megjegyzések

  • Előfordulhat, hogy az IAS által a szállítóspecifikus attribútumhoz rendelt azonosító(szám) nem ugyanaz, mint a forgalmazó által hozzárendelt azonosító. Ha IAS-formátumú naplófájlt használ, a szállító által használt azonosító meghatározására vonatkozó tudnivalókat megtalálja a hálózati elérést biztosító kiszolgáló (NAS) dokumentációjában. Ha adatbázis-importálási naplófájlokat használ, az attribútumhoz rendelt azonosító(szám) nem jelenik meg a naplóban. Az alábbi táblázat az attribútumok adattípusának meghatározásában nyújt segítséget. Az attribútumok számsorrendben vannak felsorolva.
  • A Microsoft szállítóspecifikus RADIUS attribútumaival kapcsolatos további tudnivalókat a RADIUS szolgáltatással kapcsolatos RFC-k között talál, elsősorban a 2548-as számú dokumentumban.
Azonosító | Attribútum neve | Szállító | Adattípus
107 | Ascend-Calling-Subaddress | Ascend | Szöveg
108 | Ascend-Callback-Delay | Ascend | Szám
109 | Ascend-Endpoint-Disc | Ascend | Szöveg
110 | Ascend-Remote-FW | Ascend | Szöveg
111 | Ascend-Multicast-G-Leave-Delay | Ascend | Szám
112 | Ascend-CBCP-Enable | Ascend | Szám
113 | Ascend-CBCP-Mode | Ascend | Szám
114 | Ascend-CBCP-Delay | Ascend | Szám
115 | Ascend-CBCP-Trunk-Group | Ascend | Szám
116 | Ascend-Appletalk-Route | Ascend | Szöveg
117 | Ascend-Appletalk-Peer-Mode | Ascend | Szám
118 | Ascend-Route-Appletalk | Ascend | Szám
119 | Ascend-FCP-Parameter | Ascend | Szöveg
120 | Ascend-Modem-Port-No | Ascend | Szám
121 | Ascend-Modem-Slot-No | Ascend | Szám
122 | Ascend-Modem-Shelf-No | Ascend | Szám
123 | Ascend-CallAttempt-Limit | Ascend | Szám
124 | Ascend-CallBlock-Duration | Ascend | Szám
125 | Ascend-Maximum-Call-Duration | Ascend | Szám
126 | Ascend-Route-Preference | Ascend | Szám
127 | Ascend-Tunneling-Protocol | Ascend | Szám
128 | Ascend-Shared-Profile-Enable | Ascend | Szám
129 | Ascend-Primary-Home-Agent | Ascend | Szöveg
130 | Ascend-Secondary-Home-Agent | Ascend | Szöveg
131 | Ascend-Dialout-Allowed | Ascend | Szám
132 | Ascend-Client-Gateway | Ascend | Szám
133 | Ascend-BACP-Enable | Ascend | Szám
134 | Ascend-DHCP-Maximum-Leases | Ascend | Szám
135 | Ascend-Client-Primary-DNS | Ascend | Karakterlánc
136 | Ascend-Client-Secondary-DNS | Ascend | Karakterlánc
137 | Ascend-Client-Assign-DNS | Ascend | Szám
138 | Ascend-User-Acct-Type | Ascend | Szám
139 | Ascend-User-Acct-Host | Ascend | Szám
140 | Ascend-User-Acct-Port | Ascend | Szám
141 | Ascend-User-Acct-Key | Ascend | Szöveg
142 | Ascend-User-Acct-Base | Ascend | Szám
143 | Ascend-User-Acct-Time | Ascend | Szám
144 | Ascend-Assign-IP-Client | Ascend | Szám
145 | Ascend-Assign-IP-Server | Ascend | Szám
146 | Ascend-Assign-IP-Global-Pool | Ascend | Szöveg
147 | Ascend-DHCP-Reply | Ascend | Szám
148 | Ascend-DHCP-Pool-Number | Ascend | Szám
149 | Ascend-Expect-Callback | Ascend | Szám
150 | Ascend-Event-Type | Ascend | Szám
151 | Ascend-Session-Svr-Key | Ascend | Szöveg
152 | Ascend-Multicast-Rate-Limit | Ascend | Szám
153 | Ascend-IF-Netmask | Ascend | Szám
154 | Ascend-Remote-Addr | Ascend | Szám
155 | Ascend-Multicast-Client | Ascend | Szám
156 | Ascend-FR-Circuit-Name | Ascend | Szöveg
157 | Ascend-FR-Link-Up | Ascend | Szám
158 | Ascend-FR-Nailed-Grp | Ascend | Szám
159 | Ascend-FR-Type | Ascend | Szám
160 | Ascend-FR-Link-Mgt | Ascend | Szám
161 | Ascend-FR-N391 | Ascend | Szám
162 | Ascend-FR-DCE-N392 | Ascend | Szám
163 | Ascend-FR-DTE-N392 | Ascend | Szám
164 | Ascend-FR-DCE-N393 | Ascend | Szám
165 | Ascend-FR-DTE-N393 | Ascend | Szám
166 | Ascend-FR-T391 | Ascend | Szám
167 | Ascend-FR-T392 | Ascend | Szám
168 | Ascend-Bridge-Address | Ascend | Szöveg
169 | Ascend-TS-Idle-Limit | Ascend | Szám
170 | Ascend-TS-Idle-Mode | Ascend | Szám
171 | Ascend-DBA-Monitor | Ascend | Szám
172 | Ascend-Base-Channel-Count | Ascend | Szám
173 | Ascend-Minimum-Channels | Ascend | Szám
174 | Ascend-IPX-Route | Ascend | Szöveg
175 | Ascend-FT1-Caller | Ascend | Szám
176 | Ascend-Backup | Ascend | Szöveg
177 | Ascend-Call-Type | Ascend | Szám
178 | Ascend-Group | Ascend | Szöveg
179 | Ascend-FR-DLCI | Ascend | Szám
180 | Ascend-FR-Profile-Name | Ascend | Szöveg
181 | Ascend-Ara-PW | Ascend | Szöveg
182 | Ascend-IPX-Node-Addr | Ascend | Szöveg
183 | Ascend-Home-Agent-IP-Addr | Ascend | Szöveg
184 | Ascend-Home-Agent-Password | Ascend | Szöveg
185 | Ascend-Home-Network-Name | Ascend | Szöveg
186 | Ascend-Home-Agent-UDP-Port | Ascend | Szám
187 | Ascend-Multilink-ID | Ascend | Szám
188 | Ascend-Num-In-Multilink | Ascend | Szám
189 | Ascend-First-Dest | Ascend | Szám
190 | Ascend-Pre-Input-Octets | Ascend | Szám
191 | Ascend-Pre-Output-Octets | Ascend | Szám
192 | Ascend-Pre-Input-Packets | Ascend | Szám
193 | Ascend-Pre-Output-Packets | Ascend | Szám
194 | Ascend-Maximum-Time | Ascend | Szám
195 | Ascend-Disconnect-Cause | Ascend | Szám
196 | Ascend-Connect-Progress | Ascend | Szám
197 | Ascend-Data-Rate | Ascend | Szám
198 | Ascend-Pre-Session-Time | Ascend | Szám
199 | Ascend-Token-Idle | Ascend | Szám
200 | Ascend-Token-Immediate | Ascend | Szám
201 | Ascend-Require-Auth | Ascend | Szám
202 | Ascend-Number-Sessions | Ascend | Szöveg
203 | Ascend-Authen-Alias | Ascend | Szöveg
204 | Ascend-Token-Expiry | Ascend | Szám
205 | Ascend-Menu-Selector | Ascend | Szöveg
206 | Ascend-Menu-Item | Ascend | Szöveg
207 | Ascend-PW-Warntime | Ascend | Szám
208 | Ascend-PW-Lifetime | Ascend | Szám
209 | Ascend-IP-Direct | Ascend | Szöveg
210 | Ascend-PPP-VJ-Slot-Comp | Ascend | Szám
211 | Ascend-PPP-VJ-1172 | Ascend | Szám
212 | Ascend-PPP-Async-Map | Ascend | Szám
213 | Ascend-Third-Prompt | Ascend | Szöveg
214 | Ascend-Send-Secret | Ascend | Szöveg
215 | Ascend-Receive-Secret | Ascend | Szöveg
216 | Ascend-IPX-PeerMode | Ascend | Szám
217 | Ascend-IP-Pool-Definition | Ascend | Szöveg
218 | Ascend-Assign-IP-Pool | Ascend | Szám
219 | Ascend-FR-Direct | Ascend | Szám
220 | Ascend-FR-Direct-Profile | Ascend | Szöveg
221 | Ascend-FR-Direct-DLCI | Ascend | Szám
222 | Ascend-Handle-IPX | Ascend | Szám
223 | Ascend-Netware-Timeout | Ascend | Szám
224 | Ascend-IPX-Alias | Ascend | Szám
225 | Ascend-Metric | Ascend | Szám
226 | Ascend-PRI-Number-Type | Ascend | Szám
227 | Ascend-Dial-Number | Ascend | Szöveg
228 | Ascend-Route-IP | Ascend | Szám
229 | Ascend-Route-IPX | Ascend | Szám
230 | Ascend-Bridge | Ascend | Szám
231 | Ascend-Send-Auth | Ascend | Szám
232 | Ascend-Send-Passwd | Ascend | Szöveg
233 | Ascend-Link-Compression | Ascend | Szám
234 | Ascend-Target-Util | Ascend | Szám
235 | Ascend-Maximum-Channels | Ascend | Szám
236 | Ascend-Inc-Channel-Count | Ascend | Szám
237 | Ascend-Dec-Channel-Count | Ascend | Szám
238 | Ascend-Seconds-Of-History | Ascend | Szám
239 | Ascend-History-Weigh-Type | Ascend | Szám
240 | Ascend-Add-Seconds | Ascend | Szám
241 | Ascend-Remove-Seconds | Ascend | Szám
242 | Ascend-Data-Filter | Ascend | Karakterlánc
243 | Ascend-Call-Filter | Ascend | Karakterlánc
244 | Ascend-Idle-Limit | Ascend | Szám
245 | Ascend-Preempt-Limit | Ascend | Szám
246 | Ascend-Callback | Ascend | Szám
247 | Ascend-Data-Svc | Ascend | Szám
248 | Ascend-Force56 | Ascend | Szám
249 | Ascend-Billing-Number | Ascend | Szöveg
250 | Ascend-Call-By-Call | Ascend | Szám
251 | Ascend-Transit-Number | Ascend | Szöveg
252 | Ascend-Host-Info | Ascend | Szöveg
253 | Ascend-PPP-Address | Ascend | Szám
254 | Ascend-MPP-Idle-Percent | Ascend | Szám
255 | Ascend-Xmit-Rate | Ascend | Szám
4120 | MS-CHAP-Domain | Microsoft | Karakterlánc
4121 | MS-CHAP-Error | Microsoft | Karakterlánc
4134 | MS-Acct-Auth-Type | Microsoft | Szám
4135 | MS-Acct-EAP-Type | Microsoft | Szám
4143 | MS-Filter | Microsoft | Karakterlánc
4147 | MS-RAS-Vendor | Microsoft | Szám
4148 | MS-RAS-Version | Microsoft | Karakterlánc
4150 | MS-Primary-DNS-Server | Microsoft | Karakterlánc
4151 | MS-Secondary-DNS-Server | Microsoft | Karakterlánc
4152 | MS-Primary-NBNS-Server | Microsoft | Karakterlánc
4153 | MS-Secondary-NBNS-Server | Microsoft | Karakterlánc
5000 | Cisco-AV-Pair | Cisco | Szöveg
11000 | USR-Last-Number-Dialed-Out | US Robotics | Szöveg
11001 | USR-Last-Number-Dialed-In-DNIS | US Robotics | Szöveg
11002 | USR-Last-Callers-Number-ANI | US Robotics | Szöveg
11003 | USR-Channel | US Robotics | Szám
11004 | USR-Event-Id | US Robotics | Szám
11005 | USR-Event-Date-Time | US Robotics | Szám
11006 | USR-Call-Start-Date-Time | US Robotics | Szám
11007 | USR-Call-End-Date-Time | US Robotics | Szám
11008 | USR-Default-DTE-Data-Rate | US Robotics | Szám
11009 | USR-Initial-Rx-Link-Data-Rate | US Robotics | Szám
11010 | USR-Final-Rx-Link-Data-Rate | US Robotics | Szám
11011 | USR-Initial-Tx-Link-Data-Rate | US Robotics | Szám
11012 | USR-Final-Tx-Link-Data-Rate | US Robotics | Szám
11013 | USR-Chassis-Temperature | US Robotics | Szám
11014 | USR-Chassis-Temp-Threshold | US Robotics | Szám
11015 | USR-Actual-Voltage | US Robotics | Szám
11016 | USR-Expected-Voltage | US Robotics | Szám
11017 | USR-Power-Supply-Number | US Robotics | Szám
11018 | USR-Card-Type | US Robotics | Szám
11019 | USR-Chassis-Slot | US Robotics | Szám
11020 | USR-Sync-Async-Mode | US Robotics | Szám
11021 | USR-Originate-Answer-Mode | US Robotics | Szám
11022 | USR-Modulation-Type | US Robotics | Szám
11023 | USR-Initial-Modulation-Type | US Robotics | Szám
11024 | USR-Connect-Term-Reason | US Robotics | Szám
11025 | USR-Failure-to-Connect-Reason | US Robotics | Szám
11026 | USR-Equalization-Type | US Robotics | Szám
11027 | USR-Fallback-Enabled | US Robotics | Szám
11028 | USR-Connect-Time-Limit | US Robotics | Szám
11029 | USR-Number-of-Rings-Limit | US Robotics | Szám
11030 | USR-DTE-Data-Idle-Timout | US Robotics | Szám
11031 | USR-Characters-Sent | US Robotics | Szám
11032 | USR-Characters-Received | US Robotics | Szám
11033 | USR-Blocks-Sent | US Robotics | Szám
11034 | USR-Blocks-Received | US Robotics | Szám
11035 | USR-Blocks-Resent | US Robotics | Szám
11036 | USR-Retrains-Requested | US Robotics | Szám
11037 | USR-Retrains-Granted | US Robotics | Szám
11038 | USR-Line-Reversals | US Robotics | Szám
11039 | USR-Number-Of-Characters-Lost | US Robotics | Szám
11040 | USR-Number-of-Blers | US Robotics | Szám
11041 | USR-Number-of-Link-Timeouts | US Robotics | Szám
11042 | USR-Number-of-Fallbacks | US Robotics | Szám
11043 | USR-Number-of-Upshifts | US Robotics | Szám
11044 | USR-Number-of-Link-NAKs | US Robotics | Szám
11045 | USR-DTR-False-Timeout | US Robotics | Szám
11046 | USR-Fallback-Limit | US Robotics | Szám
11047 | USR-Block-Error-Count-Limit | US Robotics | Szám
11048 | USR-DTR-True-Timeout | US Robotics | Szám
11049 | USR-Security-Login-Limit | US Robotics | Szám
11050 | USR-Security-Resp-Limit | US Robotics | Szám
11051 | USR-DTE-Ring-No-Answer-Limit | US Robotics | Szám
11052 | USR-Back-Channel-Data-Rate | US Robotics | Szám
11053 | USR-Simplified-MNP-Levels | US Robotics | Szám
11054 | USR-Simplified-V42bis-Usage | US Robotics | Szám
11055 | USR-Mbi-Ct-PRI-Card-Slot | US Robotics | Szám
11056 | USR-Mbi-Ct-TDM-Time-Slot | US Robotics | Szám
11057 | USR-Mbi-Ct-PRI-Card-Span-Line | US Robotics | Szám
11058 | USR-Mbi-Ct-BChannel-Used | US Robotics | Szám
11059 | USR-Physical-State | US Robotics | Szám
11060 | USR-Packet-Bus-Session | US Robotics | Szám
11061 | USR-Server-Time | US Robotics | Szám
11062 | USR-Channel-Connected-To | US Robotics | Szám
11063 | USR-Slot-Connected-To | US Robotics | Szám
11064 | USR-Device-Connected-To | US Robotics | Szám
11065 | USR-NFAS-ID | US Robotics | Szám
11066 | USR-Q931-Call-Reference-Value | US Robotics | Szám
11067 | USR-Call-Event-Code | US Robotics | Szám
11068 | USR-DS0 | US Robotics | Szám
11069 | USR-DS0s | US Robotics | Szöveg
11070 | USR-Gateway-IP-Address | US Robotics | Karakterlánc
11071 | USR-Call-Arrival-in-GMT | US Robotics | Szám
11072 | USR-Call-Connect-in-GMT | US Robotics | Szám
11073 | USR-Call-Terminate-in-GMT | US Robotics | Szám
11074 | USR-IDS0-Call-Type | US Robotics | Szám
11075 | USR-Call-Reference-Number | US Robotics | Szám
11076 | USR-CDMA-Call-Reference-Number | US Robotics | Szám
11077 | USR-Mobile-IP-Address | US Robotics | Karakterlánc
11078 | USR-IWF-IP-Address | US Robotics | Karakterlánc
11079 | USR-Called-Party-Number | US Robotics | Szöveg
11080 | USR-Calling-Party-Number | US Robotics | Szöveg
11081 | USR-Call-Type | US Robotics | Szám
11082 | USR-ESN | US Robotics | Szöveg
11083 | USR-IWF-Call-Identifier | US Robotics | Szám
11084 | USR-IMSI | US Robotics | Szöveg
11085 | USR-Service-Option | US Robotics | Szám
11086 | USR-Disconnect-Cause-Indicator | US Robotics | Szám
11087 | USR-Mobile-NumBytes-Txed | US Robotics | Szám
11088 | USR-Mobile-NumBytes-Rxed | US Robotics | Szám
11089 | USR-Num-Fax-Pages-Processed | US Robotics | Szám
11090 | USR-Compression-Type | US Robotics | Szám
11091 | USR-Call-Error-Code | US Robotics | Szám
11092 | USR-Modem-Setup-Time | US Robotics | Szám
11093 | USR-Call-Connecting-Time | US Robotics | Szám
11094 | USR-Connect-Time | US Robotics | Szám
11095 | USR-RMMIE-Manufacutere-ID | US Robotics | Szám
11096 | USR-RMMIE-Product-Code | US Robotics | Szöveg
11097 | USR-RMMIE-Serial-Number | US Robotics | Szöveg
11098 | USR-RMMIE-Firmware-Version | US Robotics | Szöveg
11099 | USR-RMMIE-Firmware-Build-Date | US Robotics | Szöveg
11100 | USR-RMMIE-Status | US Robotics | Szám
11101 | USR-RMMIE-Num-Of-Updates | US Robotics | Szám
11102 | USR-RMMIE-x2-Status | US Robotics | Szám
11103 | USR-RMMIE-Planned-Disconnect | US Robotics | Szám
11104 | USR-RMMIE-Last-Update-Time | US Robotics | Szám
11105 | USR-RMMIE-Last-Update-Event | US Robotics | Szám
11106 | USR-RMMIE-Rcv-Tot-PwrLvl | US Robotics | Szám
11107 | USR-RMMIE-Rcv-PwrLvl-3300Hz | US Robotics | Szám
11108 | USR-RMMIE-Rcv-PwrLvl-3750Hz | US Robotics | Szám
11109 | USR-RMMIE-PwrLvl-NearEcho-Canc | US Robotics | Szám
11110 | USR-RMMIE-PwrLvl-FarEcho-Canc | US Robotics | Szám
11111 | USR-RMMIE-PwrLvl-Noise-Lvl | US Robotics | Szám
11112 | USR-RMMIE-PwrLvl-Xmit-Lvl | US Robotics | Szám
11113 | USR-PW-IFilter-IP | US Robotics | Szöveg
11114 | USR-PW-IFilter-IPX | US Robotics | Szöveg
11115 | USR-PW-IFilter-SAP | US Robotics | Szöveg
11116 | USR-PW-OFilter-IP | US Robotics | Szöveg
11117 | USR-PW-OFilter-IPX | US Robotics | Szöveg
11118 | USR-PW-OFilter-SAP | US Robotics | Szöveg
11119 | USR-PW-VPN-ID | US Robotics | Szám
11120 | USR-PW-VPN-Name | US Robotics | Szöveg
11121 | USR-PW-VPN-Neighbor | US Robotics | Karakterlánc
11122 | USR-PW-Framed-Routing-V2 | US Robotics | Szám
11123 | USR-PW-VPN-Gateway | US Robotics | Szöveg
11124 | USR-PW-Tunnel-Authentication | US Robotics | Szöveg
11125 | USR-PW-Index | US Robotics | Szám
11126 | USR-PW-Cutoff | US Robotics | Szöveg
11127 | USR-PW-Packet | US Robotics | Szöveg
11128 | USR-Primary-DNS-Server | US Robotics | Karakterlánc
11129 | USR-Secondary-DNS-Server | US Robotics | Karakterlánc
11130 | USR-Primary-NBNS-Server | US Robotics | Karakterlánc
11131 | USR-Secondary-NBNS-Server | US Robotics | Karakterlánc
11132 | USR-Syslog-Tap | US Robotics | Szám
11133 | USR-Log-Filter-Packet | US Robotics | Szám
11134 | USR-Chassis-Call-Slot | US Robotics | Szám
11135 | USR-Chassis-Call-Span | US Robotics | Szám
11136 | USR-Chassis-Call-Channel | US Robotics | Szám
11137 | USR-Keypress-Timeout | US Robotics | Szám
11138 | USR-Unauthenticated-Time | US Robotics | Szám
11139 | USR-VPN-Encryptor | US Robotics | Szöveg
11140 | USR-VPN-GW-Location-Id | US Robotics | Szöveg
11141 | USR-Re-Chap-Timeout | US Robotics | Szám
11142 | USR-CCP-Algorithm | US Robotics | Szám
11143 | USR-ACCM-Type | US Robotics | Szám
11144 | USR-Connect-Speed | US Robotics | Szám
11145 | USR-Framed-IP-Address-Pool-Name | US Robotics | Szöveg
11146 | USR-MP-EDO | US Robotics | Karakterlánc
11147 | USR-Local-Framed-IP-Addr | US Robotics | Karakterlánc
11148 | USR-Framed-IPX-Route | US Robotics | Karakterlánc
11149 | USR-MPIP-Tunnel-Originator | US Robotics | Karakterlánc
11150 | USR-Bearer-Capabilities | US Robotics | Szám
11151 | USR-Speed-Of-Connection | US Robotics | Szám
11152 | USR-Max-Channels | US Robotics | Szám
11153 | USR-Channel-Expansion | US Robotics | Szám
11154 | USR-Channel-Decrement | US Robotics | Szám
11155 | USR-Expansion-Algorithm | US Robotics | Szám
11156 | USR-Compression-Algorithm | US Robotics | Szám
11157 | USR-Receive-Acc-Map | US Robotics | Szám
11158 | USR-Transmit-Acc-Map | US Robotics | Szám
11159 | USR-Compression-Reset-Mode | US Robotics | Szám
11160 | USR-Min-Compression-Size | US Robotics | Szám
11161 | USR-IP | US Robotics | Szám
11162 | USR-IPX | US Robotics | Szám
11163 | USR-Filter-Zones | US Robotics | Szám
11164 | USR-Appletalk | US Robotics | Szám
11165 | USR-Bridging | US Robotics | Szám
11166 | USR-Spoofing | US Robotics | Szám
11167 | USR-Host-Type | US Robotics | Szám
11168 | USR-Send-Name | US Robotics | Szöveg
11169 | USR-Send-Password | US Robotics | Szöveg
11170 | USR-Start-Time | US Robotics | Szám
11171 | USR-End-Time | US Robotics | Szám
11172 | USR-Send-Script1 | US Robotics | Szöveg
11173 | USR-Reply-Script1 | US Robotics | Szöveg
11174 | USR-Send-Script2 | US Robotics | Szöveg
11175 | USR-Reply-Script2 | US Robotics | Szöveg
11176 | USR-Send-Script3 | US Robotics | Szöveg
11177 | USR-Reply-Script3 | US Robotics | Szöveg
11178 | USR-Send-Script4 | US Robotics | Szöveg
11179 | USR-Reply-Script4 | US Robotics | Szöveg
11180 | USR-Send-Script5 | US Robotics | Szöveg
11181 | USR-Reply-Script5 | US Robotics | Szöveg
11182 | USR-Send-Script6 | US Robotics | Szöveg
11183 | USR-Reply-Script6 | US Robotics | Szöveg
11184 | USR-Terminal-Type | US Robotics | Szöveg
11185 | USR-Appletalk-Network-Range | US Robotics | Szám
11186 | USR-Local-IP-Address | US Robotics | Szöveg
11187 | USR-Routing-Protocol | US Robotics | Szám
11188 | USR-Modem-Group | US Robotics | Szöveg
11189 | USR-IPX-Routing | US Robotics | Szám
11190 | USR-IPX-WAN | US Robotics | Szám
11191 | USR-IP-RIP-Policies | US Robotics | Szám
11192 | USR-IP-RIP-Simple-Auth-Password | US Robotics | Szöveg
11193 | USR-IP-RIP-Input-Filter | US Robotics | Szöveg
11194 | USR-IP-Call-Input-Filter | US Robotics | Szöveg
11195 | USR-IPX-RIP-Input-Filter | US Robotics | Szöveg
11196 | USR-MP-MRRU | US Robotics | Szám
11197 | USR-IPX-Call-Input-Filter | US Robotics | Szöveg
11198 | USR-AT-Input-Filter | US Robotics | Szöveg
11199 | USR-AT-RTMP-Input-Filter | US Robotics | Szöveg
11200 | USR-AT-Zip-Input-Filter | US Robotics | Szöveg
11201 | USR-AT-Call-Input-Filter | US Robotics | Szöveg
11202 | USR-ET-Bridge-Input-Filter | US Robotics | Szöveg
11203 | USR-IP-RIP-Output-Filter | US Robotics | Szöveg
11204 | USR-IP-Call-Output-Filter | US Robotics | Szöveg
11205 | USR-IPX-RIP-Output-Filter | US Robotics | Szöveg
11206 | USR-IPX-Call-Output-Filter | US Robotics | Szöveg
11207 | USR-AT-Output-Filter | US Robotics | Szöveg
11208 | USR-AT-RTMP-Output-Filter | US Robotics | Szöveg
11209 | USR-AT-Zip-Output-Filter | US Robotics | Szöveg
11210 | USR-AT-Call-Output-Filter | US Robotics | Szöveg
11211 | USR-ET-Bridge-Output-Filter | US Robotics | Szöveg
11212 | USR-ET-Bridge-Call-Output-Filter | US Robotics | Szöveg
11213 | USR-IP-Default-Route-Option | US Robotics | Szám
11214 | USR-MP-EDO-HIPER | US Robotics | Karakterlánc
11215 | USR-Modem-Training-Time | US Robotics | Szám
11216 | USR-Interface-Index | US Robotics | Szám
11217 | USR-Tunnel-Security | US Robotics | Szám
11218 | USR-Port-Tap | US Robotics | Szám
11219 | USR-Port-Tap-Format | US Robotics | Szám
11220 | USR-Port-Tap-Output | US Robotics | Szám
11221 | USR-Port-Tap-Facility | US Robotics | Szám
11222 | USR-Port-Tap-Priority | US Robotics | Szám
11223 | USR-Port-Tap-Address | US Robotics | Karakterlánc
11224 | USR-MobileIP-Home-Agent-Address | US Robotics | Karakterlánc
11225 | USR-Tunneled-MLPP | US Robotics | Szám
11226 | USR-Multicast-Proxy | US Robotics | Szám
11227 | USR-Multicast-Receive | US Robotics | Szám
11228 | USR-Multicast-Forwarding | US Robotics | Szám
11229 | USR-IGMP-Query-Interval | US Robotics | Szám
11230 | USR-IGMP-Maximum-Response-Time | US Robotics | Szám
11231 | USR-IGMP-Robustness | US Robotics | Szám
11232 | USR-IGMP-Version | US Robotics | Szám
11233 | USR-IGMP-Routing | US Robotics | Szám
11234 | USR-VTS-Session-Key | US Robotics | Szöveg
11235 | USR-Orig-NAS-Type | US Robotics | Szöveg
11236 | USR-Call-Arrival-Time | US Robotics | Szám
11237 | USR-Call-End-Time | US Robotics | Szám
11238 | USR-Rad-Multicast-Routing-Ttl | US Robotics | Szám
11239 | USR-Rad-Multicast-Routing-Rate-Limit | US Robotics | Szám
11240 | USR-Rad-Multicast-Routing-Protocol | US Robotics | Szám
11241 | USR-Rad-Multicast-Routing-Boundary | US Robotics | Szöveg
11242 | USR-Rad-Dvmrp-Metric | US Robotics | Szám
11243 | USR-Chat-Script-Name | US Robotics | Szöveg
11244 | USR-Chat-Script-Rules | US Robotics | Szöveg
11245 | USR-Rad-Location-Type | US Robotics | Szám
11246 | USR-Tunnel-Switch-Endpoint | US Robotics | Szöveg
11247 | USR-OSPF-Addressless-Index | US Robotics | Szám
11248 | USR-Callback-Type | US Robotics | Szám
11249 | USR-Tunnel-Auth-Hostname | US Robotics | Szöveg
11250 | USR-Acct-Reason-Code | US Robotics | Szám
11251 | USR-DNIS-ReAuthentication | US Robotics | Szám
11250 | USR-PPP-Source-IP-Filter | US Robotics | Szöveg
11253 | USR-Auth-Mode | US Robotics | Szám
11254 | USR-NAS-Type | US Robotics | Szám
11255 | USR-Request-Type | US Robotics | Szám


Forrásmunkák

Ez a rész az alábbi tudnivalókat tartalmazza:

  • Eszközök az IAS figyelésére
  • A RADIUS szolgáltatással kapcsolatos RFC-k
  • Microsoft Platform Software Development Kit
  • Windows 2000 Resource Kit
  • Frissített technikai információ az IAS szolgáltatásról


Eszközök az IAS figyelésére

Hasznos információkhoz juthat, ha megadott időközönként diagramot készít az IAS teljesítményéről. Számos Windows 2000 Server összetevő és Microsoft-program használható az IAS szolgáltatáshoz statisztikai adatok rögzítésére. A statisztikák elemzése után úrjaértékelheti a sávszélesség és a hardver beállítását, meghatározhatja a hibás és az érvénytelen csomagok és a visszautasított vagy figyelmen kívül hagyott hitelesítési kérések okát, és felkészülhet a hálózati biztonság potenciális sérüléseire. Ez a témakör a következőkről ad tájékoztatást:

  • A Windows 2000 Rendszerfigyelő számlálói
  • Windows 2000 Eseménynapló
  • Windows 2000 SNMP szolgáltatás
  • A Microsoft Systems Management Server Hálózatfigyelő összetevője

A Rendszerfigyelő számlálói

A Rendszerfigyelő eszközzel figyelheti meghatározott összetevők és programfolyamatok erőforrás-használatát. A Rendszerfigyelő eszközben diagramok és jelentések segítségével megnézheti, hogy milyen hatékonysággal használja a kiszolgáló az IAS szolgáltatást, azonosíthatja a potenciális problémákat és torlódásokat, valamint elháríthatja a hibákat.

A Rendszerfigyelő a következő, IAS szolgáltatással kapcsolatos teljesítményobjektumok figyelésére használható:

  • IAS-számlázási ügyfelek
  • IAS-számlázási kiszolgáló
  • IAS-hitelesítésű ügyfelek
  • IAS-hitelesítési kiszolgáló

Eseménynapló

Az Eseménynapló használatával információkat gyűjthet a hardver- és a szoftverproblémákról és figyelheti a Windows 2000 biztonsági eseményeit, például a tájékoztatási, a figyelmeztetési és a hibaeseményeket. További tudnivalók Az IAS eseménynaplózása című témakörben találhatók.

SNMP szolgáltatás

A Simple Network Management Protocol (SNMP) szolgáltatás használatával figyelheti az IAS-kiszolgáló állapotinformációit.

Hálózatfigyelő összetevő

A Windows 2000 Hálózatfigyelő összetevőjével vagy egy kereskedelemben kapható adatcsomag-elemző („sniffer”) programmal meg lehet nézni a hitelesítési és a számlázási adatcsomagokat, amikor azok megérkeznek az IAS-kiszolgálóra. A Hálózatfigyelő eszközzel észlelni lehet az eldobott csomagokat és figyelni lehet a hitelesítési szolgáltatók elmaradt válaszát. A Hálózatfigyelő tartalmaz egy RADIUS-elemzőt, amellyel figyelni lehet, hogy a NAS hogyan kommunikál az IAS-kiszolgálóval.


A RADIUS szolgáltatással kapcsolatos RFC-k

Az RFC-k az Internet-felhasználók által alkalmazott, folyamatosan fejlesztett technikai beszámolók, protokolljavaslatok és protokollszabványok összességét jelentik. Az útválasztás szabványai az Internet Engineering Task Force (IETF) és más munkacsoportok által publikált RFC-kben vannak definiálva. A PPP-beállítások megadásával kapcsolatos tudnivalók A PPP beállítása című témakörben található.

Az IAS-attribútumokról szóló RFC-k

RFC-szám | Cím
2138 | Remote Authentication Dial-In User Service (Távoli hitelesítési szolgáltatás telefonos felhasználók részére – RADIUS)
2139 | Radius-naplózás
2548 | Microsoft Vendor-specific RADIUS Attributes (A Microsoft gyártókra vonatkozó RADIUS-attribútumai)

Az RFC-dokumentumok beszerzése

RFC-dokumentumokat a Request for Comments című webhelyen szerezhet be. Ezt a webhelyet jelenleg az Information Sciences Institute (ISI) intézet tagjai tartják karban, és ők teszik közzé azt a rendszerezett listát, amely az összes RFC-dokumentumot tartalmazza. Az RFC-k a következő csoportokba sorolhatók:

  • Elfogadott Internet-szabványok
  • Javasolt Internet-szabványok (tervezet formájában közzétéve vizsgálat céljából)
  • Gyakorlati tanácsok az Internet használatához
  • Tájékoztató jellegű (For Your Information – FYI) dokumentumok

Megjegyzés


Microsoft Platform Software Development Kit

A Microsoft Platform Software Development Kit tartalmazza az IAS Software Development Kit (SDK) anyagot. Az IAS SDK használatával további IAS-szolgáltatásokat használhat, valamint:

  • Az IAS által visszaküldött attribútumokon kívül testreszabott attribútumokat is visszaküldhet a NAS kiszolgálóhoz. Ezáltal megalkothatja a saját IP-címhozzárendelő beépülő modulját.
  • A végfelhasználói munkamenetek számát irányíthatja.
  • Az IAS által jelenleg nyújtott távelérés-hitelesítések mellett újabbakat használhat.
  • Közvetlenül importálhat használati/ellenőrzési adatokat az Open Database Connectivity (ODBC)-kompatibilis adatbázisokba.
  • Engedélyezhet testreszabott (nem EAP) hitelesítési módszereket az IAS szolgáltatás részére.


Windows 2000 Resource Kit

A Microsoft Press által kiadott Windows 2000 Resource Kit számos tudnivalót tartalmaz az IAS szolgáltatásról. A kiadványhoz tartozó CD is hasznos eszközöket tartalmaz, amelyek segítségével könnyebben értelmezhetők az IAS-naplózási és hitelesítési naplófájlokban található attribútumok .

További információt a Windows 2000 Resource Kit anyagban talál.


Frissített technikai információ az IAS szolgáltatásról

Az IAS szolgáltatással kapcsolatos frissített technikai információkat a Microsoft webhelyén található Személyes tanácsadó központ műszaki témájú cikkeiben találhat. További tudnivalók a Frissített technikai információ című témakörben találhatók.


Hibaelhárítás

Ez a témakör az IAS telepítésekor előforduló gyakori problémákat ismerteti.

Mi a probléma?

Az érvényes felhasználók nem tudnak bejelentkezni, és a Windows 2000 Eseménynapló az alábbi hibaüzenetek egyikét jeleníti meg:
Ismeretlen felhasználónév vagy rossz jelszó.
A megadott felhasználó nem létezik.
A megadott tartomány nem létezik.

Ok: A felhasználó rosszul adta meg a felhasználónevet vagy a jelszót.

Megoldás: Ellenőrizze a felhasználó Windows 2000 rendszerben használt felhasználónevének és fiókjelszavának helyességét, illetve azt, hogy a fiók érvényes-e abban a tartományban, amelyben az IAS hitelesíti a felhasználót.

Ok: Lehet, hogy a tartományhelyettesítés rosszul, vagy nem helyes sorrendben van beállítva, így a tartományvezérlő nem ismeri fel a felhasználónevet.

Megoldás: Állítsa be a tartományhelyettesítési szabályokat.

Lásd még: Tartománynevek, Tartományhelyettesítés konfigurálása az IAS-ben

Ok: Ha a távelérési kiszolgáló egy tartomány tagja, és a felhasználó válasza nem tartalmaz tartománynevet, a távelérési kiszolgáló a saját tartománynevét használja.

Megoldás: Ha más tartománynevet kíván használni (azaz nem az IAS-kiszolgálóét), az IAS-t futtató számítógépen a rendszerleíró adatbázis következő változójának értékeként adja meg a használandó tartománynevet:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RemoteAccess\Policy

Fontos!

  • A rendszerleíró adatbázis nem megfelelő módosítása súlyosan károsíthatja a rendszert. A rendszerleíró adatbázis módosítása előtt készítsen biztonsági másolatot a számítógépen található fontosabb adatokról.

Ok: Egyes NAS-kiszolgálók automatikusan leválasztják a tartománynevet a felhasználónévről, mielőtt a felhasználónevet továbbítanák egy RADIUS-kiszolgálóhoz.

Megoldás: Kapcsolja ki azt a szolgáltatást, amely a tartománynév felhasználónévről történő leválasztását végzi. További információt a NAS-kiszolgáló dokumentációjában talál.

Ok: Lehet, hogy a felhasználó CHAP protokollt használ, de az Active Directory nincs konfigurálva a tiszta szöveges jelszavak használatára.

Megoldás: Ha CHAP-hitelesítést kíván használni az IAS programmal, valamely felhasználó vagy csoport betárcsázási profilját konfigurálja CHAP használatára. A NAS-kiszolgálót és a felhasználó tárcsázóprogramját (például a Csatlakozáskezelőt) is a CHAP-hitelesítés használatához kell konfigurálni. A tartományvezérlőn is engedélyezni kell a CHAP használatát. Miután egy tartományon engedélyezi a visszafejthetően titkosított jelszavak használatát, az összes felhasználónak meg kell változtatnia a jelszavát, másképp nem hitelesíthetik magukat a tartományban.

Lásd még: Visszafejthetően titkosított jelszavak engedélyezése a tartományokban

Az érvényes felhasználók nem tudnak bejelentkezni, és a Windows 2000 Eseménynapló a következő hibaüzenetet jeleníti meg:
A hitelesítés típusa nincs támogatva ezen a rendszeren.

Ok: A felhasználó olyan módszerrel kísérelte meg a hitelesítést, amelyet ez a rendszer nem támogat. Elképzelhető például, hogy a felhasználó olyan EAP-típust használ, amely nincs telepítve.

Megoldás: Módosítsa a betárcsázási profilt a kérdéses protokoll engedélyezésével.

Lásd még: Hitelesítési beállítások

Az érvényes felhasználók nem tudnak bejelentkezni, és a Windows 2000 Eseménynapló az alábbi hibaüzenetek egyikét jeleníti meg:
A felhasználó információja nem felel meg egy távoli hozzáférési házirendnek.
A felhasználó nem tárcsázhat be a hálózatba.
A felhasználó nem engedélyezett hitelesítési módszerrel próbálkozott.
A felhasználó nem engedélyezett hívóállomásról próbált meg kapcsolatot létesíteni.
A felhasználó az engedélyezett órákon kívül próbált meg betárcsázni.
A felhasználó nem engedélyezett NAS-telefonszám hívásával próbált meg kapcsolódni.
A felhasználó érvénytelen porttípus használatával próbált meg kapcsolódni.
A távelérési házirend egyik megszorítása nem sikerült.

Ok: Lehet, hogy egy távelérési házirend megtagadja a felhasználótól a hozzáférést.

Megoldás: Ellenőrizze a házirendek listáján, hogy nem zárt-e ki olyan felhasználókat, akik jogosultak a hozzáférésre. Az eseménynaplóban ellenőrizze, hogy a felhasználó nem olyan paraméterekkel próbál-e kapcsolódni, amelyeket egy távelérési házirend nem engedélyez (például nem engedélyezett időpontban, nem engedélyezett porttípus használatával, nem engedélyezett telefonszámról való hívással vagy nem engedélyezett NAS-telefonszám hívásával). A távelérési házirendeket úgy kell beállítania, hogy biztosítsák a felhasználói hozzáférést.

Ok: Lehet, hogy rossz a távelérési házirendek sorrendje.

Megoldás: A hitelesítést az első olyan házirend engedélyezi vagy tagadja meg, amelynek feltételei a kapcsolódni szándékozó felhasználóra vonatkoznak. A Fel gombbal a problémákba ütköző felhasználóknak hozzáférést biztosító házirendet feljebb helyezheti a listán.

Az érvényes felhasználók nem tudnak bejelentkezni, és a Windows 2000 Eseménynapló az alábbi hibaüzenetet jeleníti meg:
A felhasználó túllépte a betárcsázási kizárások számát.

Ok: Ha a fiókok zárolása engedélyezve van, akkor a korábbi sikertelen hozzáférési kísérletek következtében a rendszer zárolhatta a felhasználói fiókot.

Megoldás: Növelje a betárcsázási kizárások számát.

Lásd még: Fiókok zárolása

Az érvényes felhasználók nem tudnak bejelentkezni, és a Windows 2000 Eseménynapló az alábbi hibaüzenetet jeleníti meg:
A felhasználói fiók zárolva van, így nem lehet a használatával bejelentkezni.

Ok: Ha a fiókok zárolása engedélyezve van, akkor a korábbi sikertelen hozzáférési kísérletek következtében a rendszer zárolhatta a felhasználói fiókot.

Megoldás: Várakoztassa a felhasználót addig, amíg a sikertelen kísérlet időmérője alapállapotba kerül, vagy manuálisan állítsa a fiókot alapállapotba (ha a felhasználó nem várhat az időmérő automatikus visszaállásáig).

Lásd még: Fiókok zárolása

Az érvényes felhasználók nem tudnak bejelentkezni, és a Windows 2000 Eseménynapló az alábbi hibaüzenetet jeleníti meg:
A felhasználó nem tárcsázhat be a hálózatba.

Ok: Lehet, hogy a felhasználó nem használhat telefonos hozzáférést.

Megoldás: Ha ellenőrzi a felhasználó információit a tartományvezérlőn (vagy a Helyi felhasználók és csoportok beállításai között), megbizonyosodhat afelől, hogy a felhasználó számára engedélyezve van-e a telefonos hozzáférés. Ha a telefonos hozzáférés nincs engedélyezve, ez felülbírál bármely, a hozzáférést engedélyező távelérési házirendet.

Az érvényes felhasználók nem tudnak bejelentkezni, és a Windows 2000 Eseménynapló az alábbi hibaüzenetet jeleníti meg:
Az aktuális konfiguráció csak helyi felhasználói fiókokat támogat.

Ok: Az IAS a helyi Biztonsági fiókkezelő (SAM) használatával végzi a hitelesítést, és a felhasználó nem tagja a helyi felhasználói adatbázisnak.

Megoldás: Adja az IAS-kiszolgálót az Active Directoryhoz.

Lásd még: Az Active Directoryban található felhasználói objektumok megtekintésének engedélyezése az IAS-kiszolgáló számára

Az érvényes felhasználók nem tudnak bejelentkezni, és a Windows 2000 Eseménynapló az alábbi hibaüzenetek egyikét jeleníti meg:
A felhasználói fióktartomány nem érhető el.
A kiszolgáló nem érhető el.
A megadott tartomány nem létezik.
Az IAS nem tudta elérni a Globális katalógust.

Ok: Kommunikációs probléma adódhatott a NAS és az IAS között, vagy az IAS és a tartományvezérlő, esetleg a globáliskatalógus-kiszolgáló között.

Megoldás: A ping parancs használatával ellenőrizheti a tartományvezérlővel vagy a globáliskatalógus-kiszolgálóval fennálló kommunikációt. Ha a ping működik, kíséreljen meg a net use \\kiszolgálónév\megosztás paranccsal a kiszolgálóhoz kapcsolódni.

Lásd még: Ha az IAS naplójában nem jelenik meg csomaginformáció, ellenőrizze a Windows 2000 eseménynaplóban, hogy a kapcsolódási kísérlet időtúllépéssel végződik-e. Az IAS-napló konfigurációjával kapcsolatban további tudnivalókat talál az ODBC-kompatibilis naplófájlok vagy az IAS-formátumú naplófájlok részekben, a használni kívánt naplófájlformátumnak megfelelően.

Az érvényes felhasználók nem tudnak bejelentkezni, és a Windows 2000 Eseménynapló az alábbi hibaüzenetet jeleníti meg:
A felhasználónak meg kell változtatnia a jelszavát.

Ok: Lehet, hogy a felhasználó CHAP protokollt használ, de az Active Directory nincs konfigurálva a tiszta szöveges jelszavak használatára.

Megoldás: Ha CHAP-hitelesítést kíván használni az IAS programmal, valamely felhasználó vagy csoport betárcsázási profilját konfigurálja CHAP használatára. A NAS-kiszolgálót és a felhasználó tárcsázóprogramját (például a Csatlakozáskezelőt) is a CHAP-hitelesítés használatához kell konfigurálni. A tartományvezérlőn is engedélyezni kell a CHAP használatát.

Lásd még: Visszafejthetően titkosított jelszavak engedélyezése a tartományokban

Az érvényes felhasználók nem tudnak bejelentkezni, az IAS nem válaszol, és a Windows 2000 Eseménynapló az alábbi hibaüzenetek egyikét jeleníti meg:
Hibás kérés.
A hitelesítési kérelem váratlan csomagot tartalmazott, ezért a feldolgozása megszakadt.

Ok: Az IAS-kiszolgálón és a NAS-kiszolgálón nem egyeznek a megosztott titkok.

Megoldás: Ellenőrizze, hogy mindkettő helyesen van-e beírva, és hogy mindkét megosztott titok ugyanúgy használja-e a kis- és nagybetűket.

Ok: Egyes NAS-kiszolgálók rövidebb megosztott titkokat igényelnek.

Megoldás: Mindkét számítógépen módosítsa a megosztott titkokat olyanra, amely 10 karakternél rövidebb.

Ok: Egyes NAS-kiszolgálók nem ismerik fel az összes olyan karaktert, amelyet az IAS elfogad a megosztott titokhoz.

Megoldás: Módosítsa a megosztott titkot olyanra, amely csak betűket és számokat tartalmaz.

Ok: Lehet, hogy a NAS olyan csomagokat küld, amelyek nem felelnek meg az IAS által elvárt formátumnak.

Megoldás: Kattintson jobb gombbal az Internetes hitelesítési szolgáltatás elemre, majd kattintson a Tulajdonságok parancsra. Győződjön meg róla, hogy a Visszautasított hitelesítési kérelmek naplózása jelölőnégyzet be van jelölve, majd jelenítse meg a Windows 2000 eseménynaplót annak ellenőrzéséhez, hogy a rendszer nem küld-e váratlan vagy rossz formátumú csomagokat. Ha igen, akkor néhány forgalmazóspecifikus attribútum beállítására lehet szükség az IAS programban, hogy a NAS-kiszolgálóval kapcsolatos problémák megoldódjanak.

Lásd még: Tanulmányozza a NAS dokumentációját.

Ok: Az IAS nem tud a tartományhoz kapcsolódni.

Megoldás: Győződjön meg róla, hogy az IAS a megfelelő tartománynéven végzi a hitelesítést. Ha a tartománynév helyes, győződjön meg arról, hogy az IAS tagja a tartománynak, illetve hogy meghatalmazotti kapcsolat áll fenn a tartomány és az IAS szolgáltatást tartalmazó tartomány között.

Ok: Az IAS nem rendelkezik engedéllyel az Active Directory felhasználói objektumainak megtekintéséhez.

Megoldás: Adja az IAS-kiszolgálót az Active Directoryhoz.

Lásd még: Az Active Directoryban található felhasználói objektumok megtekintésének engedélyezése az IAS-kiszolgáló számára

Ok: A felhasználói fiók olyan Active Directory erdőben található, amely eltér az IAS-kiszolgálót tagként tartalmazó erdőtől.

Megoldás: RADIUS-proxy használatával a hitelesítési kérelmet átirányíthatja egy olyan IAS-kiszolgálóhoz, amely a másik Active Directory erdő tagja.

Az érvényes felhasználók nem tudnak bejelentkezni, és az IAS-napló az jelzi, hogy az IAS Access-Accept (hozzáférés-engedélyező) csomagot küldött vissza.

Ok: A távelérési házirendben vagy a felhasználói fiókban engedélyezett beállítás nincs engedélyezve vagy támogatva a NAS kiszolgálón. Ha a hely kihelyezett telefonos szolgáltatást használ, győződjön meg arról is, hogy a beállítás az Internet-szolgáltató RADIUS proxykiszolgálóján is engedélyezett és támogatott, mivel a felhasználók kapcsolódását az is megakadályozhatja, ha a NAS támogatja valamely távelérési házirend összes engedélyezett beállítását, de a RADIUS-proxy nem. Például:

  • A felhasználó 128 bites titkosítást használ, az IAS engedélyezi azt egy távelérési házirendben, de az Útválasztás és távelérés szolgáltatás nem.
  • A Távelérés házirendje a NAS kiszolgálóhoz támogat egy visszahívási attribútumot, de a visszahívás nincs engedélyezve a NAS kiszolgálón vagy a RADIUS-proxyn.

Megoldás: Győződjön meg arról, hogy a távelérési házirend, illetve a felhasználói fiók beállításait a NAS támogatja és engedélyezi.

  • A 128 bites titkosítást említő példában engedélyezze a Legerősebb biztonsági beállítást az Útválasztás és távelérés szolgáltatást futtató kiszolgálón. (Ha ezen a kiszolgálón korábban még nem engedélyezte ezt a beállítást, szükség lehet a Microsoft Encryption Pack csomag telepítésére.)
  • A visszahívással kapcsolatos példa megoldásához tanulmányozza át a NAS dokumentációját. A kihelyezett telefonos szolgáltatás esetében lépjen kapcsolatba Internet-szolgáltatójával, és győződjön meg róla, hogy a RADIUS-proxy támogatja a visszahívást.

Lásd még: Adattitkosítás

Ok: A NAS vagy a RADIUS-proxy olyan beállítást igényelhet, amely nincs konfigurálva az IAS távelérési házirendjében, illetve a felhasználói fiókban. Például:

  • Lehet, hogy a NAS keretes útválasztást igényel, de ez az IAS szolgáltatásban alapértelmezés szerint nincs beállítva.
  • Elképzelhető, hogy a NAS Van Jacobsen típusú TCP/IP-tömörítést igényel, amely alapértelmezés szerint nincs engedélyezve az IAS szolgáltatásban.
  • Ha a keretes MTU (maximális átviteli egység) engedélyezve van a NAS kiszolgálón, de az IAS szolgáltatásban nincs, a felhasználók nem tudnak bejelentkezni.

Megoldás: Győződjön meg róla, hogy a NAS beállításai egyeznek a távelérési házirend, illetve a felhasználói fiók beállításaival. Ha kihelyezett telefonos szolgáltatást használ, ellenőrizze a RADIUS-proxyt biztosító Internet-szolgáltatónál, hogy a proxybeállítások megegyeznek-e a távelérési házirend, illetve a felhasználói fiók beállításaival. A következő megoldások a példáknak felelnek meg.

Megoldás: Ellenőrizze, hogy a keretes útválasztás engedélyezett-e.

  1. Az IAS szolgáltatásban kattintson a Távelérés házirendjei elemre, majd kattintson duplán arra a házirendre, amely a bejelentkezni nem képes felhasználókra vonatkozik.
  2. Kattintson a Profil szerkesztése gombra, kattintson a Speciális fülre, majd a Hozzáadás gombra.
  3. A RADIUS-attribútumok listájában kattintson duplán a Framed-Routing elemre.
  4. Az Attribútum értéke legördülő listában kattintson a None elemre.

Megoldás: Konfigurálja az IAS programot úgy, hogy a Van Jacobsen típusú TCP/IP-tömörítést használja.

  1. Az IAS szolgáltatásban kattintson a Távelérés házirendjei elemre, majd kattintson duplán arra a házirendre, amely a bejelentkezni nem képes felhasználókra vonatkozik.
  2. Kattintson a Profil szerkesztése gombra, kattintson a Speciális fülre, majd a Hozzáadás gombra.
  3. A RADIUS-attribútumok listájában kattintson duplán a Framed-Compression elemre.
  4. Az Attribútum értéke legördülő listában kattintson a Van Jacobsen TCP/IP elemre.

Megoldás: Ellenőrizze a keretes MTU (maximális átviteli egység) beállításait az IAS programban, és győződjön meg róla, hogy azok megegyeznek a NAS beállításaival.

  1. Az IAS szolgáltatásban kattintson a Távelérés házirendjei elemre, majd kattintson duplán arra a házirendre, amely a bejelentkezni nem képes felhasználókra vonatkozik.
  2. Kattintson a Profil szerkesztése gombra, kattintson a Speciális fülre, majd a Hozzáadás gombra.
  3. A RADIUS-attribútumok listájában kattintson duplán a Framed-MTU elemre.
  4. Kattintson az Attribútum értéke szövegmezőbe, majd gépelje be azt az értéket, amely megegyezik a NAS kiszolgáló beállításával.

Ok: Lehet, hogy az IAS-kiszolgáló nincs megfelelően konfigurálva. Például:

  • Lehet, hogy az IAS megosztott titka nem egyezik meg a NAS megosztott titkával.
  • Ha az IAS az Access-Accept (hozzáférés-engedélyező) csomagot más hálózati kártya használatával küldi vissza, mint amelyen az Access-Request (hozzáféréskérő) csomagot kapta, a NAS nem ismeri fel a csomagot.

Megoldás: Ellenőrizze az IAS beállításait. Ha az IAS az Access-Accept (hozzáférés-engedélyező) csomagot más hálózati kártya használatával küldi vissza, mint amelyen az Access-Request (hozzáféréskérő) csomagot kapta, ellenőrizze a NAS kiszolgálóhoz rendelt útvonalakat és metrikákat. Ha ez nem oldja meg a problémát, módosítsa az IAS portbeállításait, és adja meg az IAS által használandó IP-címeket. Ehhez hajtsa végre a következő műveleteket:

  • Kattintson az egér jobb gombjával az Internetes hitelesítési szolgáltatás feliratra, majd kattintson a Tulajdonságok parancsra.
  • Kattintson a RADIUS lap Hitelesítési szövegmezőjébe, majd gépelje be a NAS és a port IP-címeit, kettősponttal elválasztva (például: 10.10.10.10:1812, 10.10.10.10:1645).

Lásd még: A NAS dokumentációjában további tudnivalókat találhat ezekkel az attribútumokkal, és az IAS által az Access-Accept (hozzáférés-engedélyező) csomagban visszaküldendő egyéb attribútumokkal kapcsolatban. Lehet, hogy az IAS olyan attribútumokat küld, amelyeket a NAS nem képes feldolgozni, illetve a NAS olyan attribútumokat igényelhet, amelyek nem szerepelnek az IAS által küldött Access-Accept (hozzáférés-engedélyező) csomagban.

Ok: Ha a kérés visszaküldése RADIUS-proxyn keresztül történik, elképzelhető, hogy a proxy nem támogat egyes kiterjesztéseket, amelyek a szolgáltatások támogatásához szükségesek. Például:

  • Ha azt szeretné, hogy a felhasználók EAP-hitelesítést használjanak, a RADIUS-proxynak támogatnia kell a digitális aláírásokat (a RADIUS-kiterjesztések szerint).
  • Ha azt szeretné, hogy a felhasználók kötelező bújtatási alagutak használatával kapcsolódjanak, a RADIUS-proxynak támogatnia kell a bújtatási jelszó titkosítását.
  • Ha azt szeretné, hogy a kapcsolatok Microsoft Encryption titkosítást használjanak, a RADIUS-proxynak támogatnia kell az MPPE-kulcsok titkosítását.

Megoldás: A RADIUS-proxy dokumentációjában ellenőrizheti, hogy támogatottak-e a használni kívánt szolgáltatásokhoz szükséges kiterjesztések.

Azok a felhasználók is bejelentkezhetnek, akiknek nem szabadna távelérési engedéllyel rendelkezniük.

Ok: Lehet, hogy valamely távelérési házirend hozzáférést biztosít a felhasználónak.

Megoldás: Ellenőrizze a házirendek listáján, hogy nem vett-e fel olyan felhasználókat, akiknek meg kellene tagadni a hozzáférést.

Ok: Lehet, hogy a felhasználói objektum betárcsázási tulajdonságai felülbírálják a távelérési házirend beállításait.

Megoldás: Ellenőrizze a felhasználói objektum betárcsázási tulajdonságait.

Lásd még: Behívási megkötések konfigurálása, A felhasználói fiók betárcsázási tulajdonságai

Ok: Lehet, hogy rossz a távelérési házirendek sorrendje.

Megoldás: A hitelesítést az első olyan házirend engedélyezi vagy tagadja meg, amelynek feltételei a kapcsolódni szándékozó felhasználóra vonatkoznak. A felhasználóktól a hozzáférést megtagadó házirendet a Fel gombbal feljebb helyezheti a listán.

A felhasználók be tudnak jelentkezni, de bejelentkezési kísérleteik nem jelennek meg a naplófájlokban.

Ok: Az IAS nincs beállítva a visszautasított vagy eldobott hitelesítési kérelmek naplózására.

Megoldás: Állítsa be az IAS programot a visszautasított vagy eldobott hitelesítési kérelmek naplózására a Windows 2000 eseménynaplóban, és ellenőrizze, hogy kerülnek-e a naplóba rossz formátumú csomagok. Lehet, hogy a NAS más megosztott titkot igényel a RADIUS-számlázáshoz. Győződjön meg arról, hogy a számlázáshoz használt megosztott titok megegyezik-e a hitelesítéshez használttal.

Lásd még: Az IAS eseménynaplózása

A PAP-hitelesítés működik, de a CHAP-hitelesítés nem.

Ok: Lehet, hogy a távelérési házirend betárcsázási profilja nincs beállítva a CHAP-titkosítás engedélyezésére.

Megoldás: Ellenőrizze a betárcsázási profil beállításait, és győződjön meg róla, hogy az IAS be van állítva a CHAP-hitelesítés használatára.

Megoldás: Ellenőrizze, hogy a NAS be van-e állítva a CHAP használatára. További információt a NAS-kiszolgáló dokumentációjában talál.

Megoldás: Ellenőrizze, hogy a tartományvezérlő be van-e állítva visszafejthető titkosítású jelszavak tárolására.

Lásd még: Visszafejthetően titkosított jelszavak engedélyezése a tartományokban

Ok: A jelszavak alapállapotba állításukig nem visszafejthető titkosítású formában tárolódnak.

Megoldás: Miután engedélyezi a jelszavak visszafejthetően titkosított formában történő tárolását, a rendszer az éppen érvényes jelszavakat nem ilyen formában tárolja, és módosításuk nem történik meg automatikusan. Ehhez törölnie kell a felhasználók jelszavait, vagy be kell állítania, hogy a felhasználóknak a következő bejelentkezéskor módosítani kelljen jelszavaikat.

Lásd még: A felhasználói jelszó törlése, A felhasználói fiók tulajdonságainak módosítása

A Windows 2000 tartományvezérlőt most állította át vegyes üzemmódról natív üzemmódra, és nem fér hozzá a Távelérés és az IAS kiszolgálók hozzáférése tárolóhoz.

Ok: Miután egy tartományvezérlőt vegyes üzemmódról natív üzemmódra állít, a módosítás replikálásához a tartomány összes tartományvezérlőjét újra kell indítani.

Megoldás: Indítsa újra a tartományvezérlőket, így a kiszolgálók ismét hozzáférhetnek a tartományvezérlőhöz.

Nem látható az Útválasztás és távelérés szolgáltatás kiszolgálója alatti Távelérés házirendjei csomópont.

Ok: Ha egy Útválasztás és távelérés kiszolgáló RADIUS-hitelesítés használatára van beállítva, a Távelérés házirendjei csomópont csak az Internetes hitelesítési szolgáltatásban érhető el.

Megoldás: Ez a program működésének sajátossága.


Elérés korlátozása meghatározott időszakokra

  1. Kattintson duplán az IAS konzolfa Internetes hitelesítési szolgáltatás elemére.
  2. Az egér jobb oldali gombjával kattintson a Távelérés házirendjei elemre, majd kattintson az Új távelérési házirend parancsra.
  3. A házirend rövid neve mezőbe írja be a házirend egyedi, leíró nevét, majd kattintson a Tovább gombra.
  4. Kattintson a Hozzáadás gombra, majd kattintson duplán a Day-And-Time-Restriction attribútumtípusra.
  5. Jelölje ki azt az időtartamot, amíg engedélyezni kívánja a hozzáférést, majd jelölje be az Engedélyezve választógombot.