Authentication, kullanıcı bilgilerinin doğruluğunu, authorization (yetkilendirme) ise kullanıcının kaynaklara erişmesini sağlar. Authentication özel protokollerin düzenlenmesiyle sağlanırken, authorization kullanıcının hesabındaki dial-in özelliklerinin düzenlenmesiyle sağlanır.
- Windows Authentication
- RADIUS
Windows Authentication seçeneğinde kullanıcılar Windows‘a sorulurken, RADIUS seçeneğinde IAS servisi ile diğer bir kimlik denetimi server’ı kullanılır.
Authentication Protokolleri
Remote Access server’lar, kendisine uzaktan bağlanan kullanıcıların kimliğini tanımlamak için authentication yöntemleri kullanırlar. RRAS authentication için değişik protokoller kullanılabilir. Bu protokolleri iki kategoriye ayırmak mümkündür.
- Standart authentication protokolleri
- Extensible authentication protokolleri
Aşağıdaki tabloda authentication protokolleri yer almaktadır.
RAS Authentication
CHAP: Challenge Handshake Authentication Protocol (CHAP) yaygın olarak kullanılan bir protokoldür. Kullanıcını parolasını temsil eder. CHAP ile uzak client’a bir bilgi gönderilir. Uzaktan erişim sağlayan client bir hash algoritma ile parolayı şifreler.
SPAP: Shiva Password Authentication Protocol (SPAP), Shiva remote access server’larıyla kullanılan basit bir parola şifreleme protokolüdür.
MS-CHAP: MS-CHAP ile uzaktaki Windows-tabanlı client bilgisayarlar yetkilendirilir. MS-CHAP, Message Digest 4 (MD4) hashing algoritmasını ve Data Encryption Standard (DES) şifreleme tekniğini kullanır.
MS-CHAP v2: Windows Server 2003 ailesi MS-CHAP v2′yi destekler. MS-CHAP v2, karşılıklı authentication işlemiyle verileri şifreler.
EAP: Extensible Authentication Protocol (EAP), PPP’ün genişletilmiş şeklidir. EAP, güvenlik aygıtlarını kullanan authentication metotlarına gereksinim duyulduğu için geliştirilmiştir.
Windows Server 2003 ailesi iki tür EAP destekler:
- EAP-MD5 CHAP (CHAP authentication protokolüne eşit)
- EAP-TLS (sertifika-tabanlı authentication için)
MPPE: Microsoft Point-to-Point Encryption (MPPE) bir şifreleme protokolüdür. Point-to-Point Protocol (PPP) tabanlı dial-up bağlantılardaki ya da Point-to-Point Tunneling Protocol (PPTP) virtual private network (VPN) bağlantılarındaki verileri şifreler.
128-bit key (strong), 56-bit key ve 40-bit key (standard) MPPE şifreleme sistemleri kullanılır.
MPPE, VPN server ile VPN client arasındaki PPTP bağlantılarında veri güvenliği sağlar.
MPPE, MS-CHAP (MS-CHAP v2) ya da EAP-TLS tarafından oluşturulmuş şifreleme key’lerine gereksinim duyar.
RAS Politikası (RAS Policy)
RAS konusunda uzaktan bağlantının kontrolünde belli kuralların uygulanacağını belirtmiştik. İşte Remote Access Policy’ler, bağlantıyı düzenleyerek yalnızca belli kullanıcıların ve grupların uzaktan bağlantıyı gerçekleştirmelerini sağlar.
Remote Access Policy’ler Active Directory içinde değil, RAS server üzerinde saklanırlar. Bu, düzenlemelerin server’ın durumuna göre değişebileceği anlamına gelir.
Bir remote access policy üç bileşenden oluşur. Bu bileşenler Active Directory ile ilişki içinde kullanıcıları kısıtlar. Remote access policy bileşenleri şunlardır:
• Conditions (Koşullar)
• Permissions (izinler)
• Profile (Profil)
Koşullar, tarih, saat, gün, kullanıcı ID’si, IP adresi gibi bilgilerdir. Bu bilgiler bağlantının nasıl, ne zaman ve kim tarafından yapılacağını tanımlar.
İzinler, hem kullanıcının kullanıcı kaydındaki dial-in düzenlemeleri, hem de Remote Access Policy düzenlemelerinin bileşimi olarak bağlantının yapılıp yapılmayacağını belirtir.
Profil ise, her policy için düzenlenen protokol, şifreleme (encryption) ve diğer tanımlamaları içerir. Profil düzenlemeleri bağlantıya hemen uygulanır ve koşulları uymadığında bağlantıyı kabul etmez.
RAS Politikalarının Değerlendirilmesi
Uzaktan gelen bir bağlantının değerlendirilmesi, bir RAS politikasıyla yapılabilir. Ancak RAS politikalarının kullanımı için Windows Server 2003 Active Directory’nin domain functional level’ı önemlidir.
Domain functional level (fonksiyon düzeyi) mixed ise varsayım remote access policy’nin gelen bağlantılar üzerinde bir etkisi olmaz. Bu durumda kullanıcının ayarlarına göre uzaktan erişim yapılır (allow) ya da engellenir (deny).
Varsayım policy “Allow access if dial-up permission enabled” olarak adlandırılır ve RRAS kurulduğunda yaratılır. Bu policy, erişimi kullanıcının hesabı ile kontrol eder.
Birden Çok Policy Olduğunda?
Network yöneticisi, şirket içindeki farklı gruplara göre farklı uzaktan erişim ilkeleri uygulamak isteyebilir. Böylece daha fazla ilke üretmek ve uygulamak söz konusu olabilir. Bu durumda uzak bağlantı sırasıyla kendisine uyan en az bir politika oluncaya kadar denenir.
Remote Access Policy oluşturmak için gerekli adımlar:
1. Routing and Remote Access’i açın ve sunucu adını çift tıklayın.
2. Remote Access Policies’i sağ tıklayın ve New Remote Access Policy’yi seçin.
3. Bir ilke yaratmak için New Remote Access Policy Wizard’ı kullanın
Kullanıcıların Dial-in Ayarı
Dial-in bağlantıyla RAS server bağlanacak kullanıcıların kullanıcı kaydının (Stand-alone serverda yerel kullanıcı olarak ya da Active Directory DC’de domain kullanıcısı olarak) olması gerekir.
Kullanıcı kayıtlarının Dial-In tabında uzaktan erişim seçenekleri düzenlenir:
Allow access: Kullanıcının dial-up bağlantıyla bağlanabilmesi olanaklı.
Deny access: Kullanıcının dial-up bağlantıyla bağlanabilmesi olanaklı değildir.
Control access through Remote Access Policy: Kullanıcın bağlanması düzenlenen policy’lerle belirlenir. Stand alone Windows Server 2003 RAS server ya da Active Directory (native modda) ise bu seçenek kullanılır. Mixed domainlerde olmaz. Çünkü Windows NT’de vardır.
Caller ID bölümünde kullanıcının aradığı telefon numarası RAS server üzerindeki numara ile eşleştirilir. Numara uymazsa, bağlantı kabul edilmez.
Callback seçenekleri ise RAS serverın kullanıcıyı geri aramasını sağlar.
No Callback: Geri arama yok.
Set By Caller: Numara arayan tarafından düzenlenir.
Always Callback to: Belli bir numara aranır.
Assigning Static IP Address seçeneği, bir bağlantı sağlandığında kullanıcıya atanacak olan IP adresini belirtir.
Applying Static Routes seçeneği ise network yöneticisinin routera belli statik IP routlarını eklemesini sağlar. Böylece kullanıcı bağlantısı gerçekleştiğinde LAN’a erişebilir.. Bu düzenleme genellikle demand-dial ile anlamlıdır.
Kullanıcılara IP Adresi Atamak
Remote Access ve Demand-Dial olarak bağlanan client bilgisayara atamak üzere IP adresi verilebilir. Bu işlem iki türlü yapılabilir.
Dinamik olarak
Statik olarak
DHCP’den (dinamik olarak):
Belirtilen DHCP server’dan IP adresleri otomatik olarak alınır.
Static address pool (statik adres veritabanında):
Manuel olarak eklenmiş IP adreslerinden alması sağlanır.
IP adresi atamak için:
1. Administrative Tools menüsünden Routing and Remote Access’ı başlatın.
2. Konsol üzerinde server adını sağ tıklayın ve Properties’ı seçin.
3. IP tabını açın. İstediğiniz adres dağıtım yöntemini seçin.
- DHCP’den (dinamik olarak)
- Static address pool (statik adres veritabanında)
Bir sonraki makalemizde RAS’ı izlemek IAS (Internet Authentication Service) ve RADIUS’tan bahsedeceğiz.
Son Yorumlar