Pianifica la protezione di una LAN wireless con Windows Server 2003
Certificate Services
Progettazione di un'infrastruttura RADIUS per la protezione di reti LAN senza fili
In questa paginaArgomenti del moduloL'obiettivo principale di questo modulo consiste nel descrivere l'architettura e la progettazione dell'infrastruttura IAS (Servizio di Autenticazione Internet Microsoft®, Internet Authentication Service) utilizzata in questa soluzione. La prima funzione del modulo è di presentare le decisioni di progettazione relative all'infrastruttura IAS per la soluzione e il ragionamento sotteso a tali decisioni. Il secondo scopo di questo modulo è di facilitare la determinazione dell'adeguatezza della progettazione per l'organizzazione. ObiettiviIl modulo consente di:
Ambito di applicazioneQuesto modulo si applica ai seguenti prodotti e tecnologie:
Utilizzo del moduloIn questo modulo viene fornita una panoramica della modalità di utilizzo di IAS per fornire una soluzione di accesso a una rete LAN senza fili (WLAN, Wireless LAN). È possibile adattare la metodologia utilizzata nella propria organizzazione e utilizzare le linee guida presentate in questo modulo con una infrastruttura RADIUS già esistente. Per sfruttare al massimo il presente modulo:
Utilizzo di IAS per la gestione dell'accesso alla reteIl Servizio di Autenticazione Internet (IAS) incluso in Windows Server 2003 rappresenta l'implementazione Microsoft di un server e un proxy RADIUS. In qualità di server RADIUS, IAS esegue l'autenticazione, l'autorizzazione e l'accounting centralizzati di vari tipi di connessioni di rete. In qualità di proxy RADIUS, IAS è in grado di inoltrare le richieste RADIUS a un altro server RADIUS per l'esecuzione delle su indicate funzioni. IAS può essere utilizzato insieme con i server VPN (Rete privata virtuale, Virtual Private Network), ad esempio il servizio Routing e Accesso remoto (RRAS, Routing and Remote Access Service) basato su Microsoft Windows, o con un'altra infrastruttura di accesso alla rete, ad esempio i punti di accesso senza fili e i dispositivi Ethernet di autenticazione. Per ottenere il massimo da un'infrastruttura RADIUS basata su IAS, occorre prendere una decisione mirata allo sfruttamento dei servizi centralizzati per la gestione dell'accesso alla rete che interessi l'intera azienda. Ciò include l'utilizzo di un database di account centralizzato, quale il servizio directory Microsoft Active Directory®, e la centralizzazione della gestione dei criteri di accesso alla rete su server IAS. Mediante la gestione centralizzata è possibile ridurre drasticamente i costi associati alla gestione delle informazioni per il controllo dell'accesso alla rete memorizzate su dispositivi distribuiti. Inoltre, il ricorso ad account e a criteri di accesso alla rete centralizzati consente di ridurre i rischi di sicurezza associati alla configurazione e alla gestione dei dispositivi distribuiti. La pianificazione e la distribuzione di un'infrastruttura IAS rispondente alle esigenze presenti e future dell'organizzazione richiedono un'attenta considerazione. IAS non è stato ideato per fornire l'accesso a una rete isolata, quanto piuttosto per consentire una gestione strategica dell'accesso alla rete in diversi contesti. Identificazione dei requisiti dell'organizzazione in termini di gestione dell'accesso alla reteIl Servizio di Autenticazione Internet (IAS) incluso in Windows Server 2003 supporta vari scenari di accesso alla rete, tra cui i seguenti:
Per ottimizzare l'investimento in un'infrastruttura IAS e ridurre al minimo le modifiche future, è opportuno valutare ciascuno degli scenari in rapporto alla propria organizzazione. Sebbene IAS venga utilizzato in questa soluzione solo per l'accesso alla rete senza fili, il suo impiego potrebbe essere esteso a supporto di ciascuno di tali scenari. Per informazioni sull'estensione dell'infrastruttura RADIUS a supporto di altri scenari, fare riferimento al modulo "Architettura della soluzione di rete LAN senza fili protetta". Utilizzo di IAS per la gestione dell'accesso alla rete senza filiIn seguito all'adozione di standard di settore quali IEEE (Institute of Electrical and Electronics Engineers) 802.11 e 802.11b, le reti WLAN stanno diventando sempre più diffuse. Questo tipo di rete consente agli utenti di spostarsi all'interno di un edificio o di un gruppo di edifici e, allo stesso tempo, avere la possibilità di collegarsi automaticamente alla rete mediante un punto di accesso senza fili (AP, Access Point). Pur essendo estremamente pratiche, le reti WLAN presentano i seguenti rischi per la sicurezza:
Per ovviare al primo rischio, è possibile impostare i punti di accesso senza fili come client RADIUS e, quindi, configurarli per inviare le richieste di accesso e i messaggi di accounting a un server RADIUS centrale in cui viene eseguito IAS. Per far fronte al secondo rischio, è possibile crittografare i dati scambiati tra i dispositivi senza fili e i punti di accesso senza fili. IAS fornisce una protezione avanzata per le reti WLAN fungendo da server RADIUS per i punti di accesso senza fili e per i dispositivi client IEEE 802.1X, nonché fornendo chiavi di crittografia dinamiche mediante protocolli di autenticazione basati su certificati, ad esempio il protocollo EAP-TLS (Extensible Authentication Protocol-Transport Layer Security). Nota: in questa guida, per descrivere i punti di accesso senza fili si ricorre anche all'espressione client RADIUS. Sebbene i punti di accesso senza fili non siano il solo tipo possibile di client RADIUS, sono gli unici trattati in questa guida e, pertanto, le due espressioni vengono utilizzate come se fossero dei sinonimi. Identificazione dei requisiti per la soluzionePrima di iniziare a progettare una soluzione di gestione dell'accesso senza fili mediante IAS, occorre essere certi di aver compreso i requisiti esistenti necessari relativi all'ambiente. Considerazioni su Active DirectoryQuesta soluzione si rivolge alle organizzazioni che adottano Active Directory e utilizzano Microsoft Windows 2000 Server o versioni successive nei controller di dominio. Questa condizione è essenziale in quanto in materia di progettazione dell'infrastruttura RADIUS sono state prese diverse decisioni che implicano l'utilizzo di funzionalità disponibili solo in domini Windows 2000 (o versioni successive) in modalità nativa. Nella tabella seguente vengono illustrate alcune funzionalità utilizzate in questa soluzione e il relativo supporto nei vari livelli di funzionalità di un dominio. Tabella 1. Funzionalità di Windows 2000 utilizzate nella soluzione
Nota: anche l'implementazione di Servizi certificati inclusa in questa soluzione richiede Active Directory. Per ulteriori informazioni, vedere il modulo "Progettazione di un'infrastruttura a chiave pubblica". Sebbene non indispensabile, dopo aver letto il presente modulo si potrebbe decidere di distribuire IAS nei controller di dominio. Questa soluzione si basa sul Servizio di Autenticazione Internet (IAS) incluso in Windows Server 2003 e pertanto richiede l'aggiornamento dei controller di dominio di destinazione a questa versione del sistema operativo. Tale aggiornamento presuppone un'attenta pianificazione dei requisiti sia per i computer client sia per gli altri controller di dominio dell'ambiente. Nel corso del presente modulo verranno fornite ulteriori informazioni sulla distribuzione di IAS nei controller di dominio. Infrastruttura RADIUS esistenteQuesta soluzione non presuppone un'infrastruttura RADIUS esistente. Sebbene i server esistenti basati su IAS e di terze parti possano coesistere senza problemi con questa soluzione, nella maggior parte dei casi è consigliabile utilizzare il Servizio di Autenticazione Internet (IAS) di Windows Server 2003 per le funzionalità correlate all'accesso alla rete WLAN. I server RADIUS esistenti basati su Windows possono essere aggiornati a Windows Server 2003, così da poter essere utilizzati in questa soluzione come server RADIUS principali. In alternativa è possibile modificare i server RADIUS esistenti in modo che fungano da proxy e inoltrino il traffico RADIUS ai nuovi server RADIUS basati su Windows Server 2003. Per istruzioni dettagliate sulla pianificazione della migrazione dell'infrastruttura RADIUS esistente al Servizio di Autenticazione Internet (IAS) di Windows Server 2003, contattare il partner Microsoft oppure il responsabile clienti Microsoft, che è in grado di indirizzare verso il partner appropriato o ai professionisti Microsoft Consulting Services. Progettazione dell'infrastruttura RADIUSQuando si utilizza IAS per supportare l'accesso WLAN basato sullo standard 802.1X, occorre prendere numerose decisioni relative alla progettazione. In questa sezione vengono illustrate alcune di tali decisioni, nonché le opzioni scelte per questa soluzione. È necessario valutare ciascuna di tali decisioni per verificarne l'applicabilità al proprio ambiente. Determinazione del ruolo di IAS come server RADIUSI server IAS possono essere distribuiti in modo che funzionino in uno dei tre seguenti ruoli concettuali RADIUS:
Nota: nella presente guida le espressioni server RADIUS e proxy RADIUS vengono utilizzate per descrivere un server IAS configurato in modo tale da svolgere questi ruoli. Nella tabella seguente vengono descritte alcune delle capacità dei server configurati per svolgere questi ruoli e la relativa utilità in scenari reali. Tabella 2. Ruoli RADIUS di un server IAS
Non tutti i ruoli RADIUS sono necessari per gli scenari di gestione dell'accesso alla rete. Per molte organizzazioni, ad esempio, la gestione dell'accesso WLAN richiede solo il ruolo di server RADIUS. Se tuttavia l'organizzazione prevede di utilizzare l'infrastruttura di rete senza fili per utenti e dispositivi di più insiemi di strutture Active Directory, è necessario anche il ruolo di proxy RADIUS, onde indirizzare le richieste ai diversi server RADIUS di ciascun insieme di strutture. Questa soluzione include server IAS configurati unicamente come server RADIUS e non come proxy RADIUS. Informazioni sul failover dei server e sul bilanciamento del caricoIl servizio RADIUS è un componente essenziale di qualsiasi soluzione di gestione dell'accesso WLAN basata sullo standard 802.1X. La disponibilità di server IAS a servizio di punti di accesso senza fili determina la disponibilità della rete WLAN per gli utenti finali. Pertanto, quando si progetta un'infrastruttura RADIUS, è necessario garantire che due o più server IAS siano sempre al servizio dei punti di accesso senza fili. Nella maggior parte dei punti di accesso senza fili di ultima generazione è possibile configurare due server RADIUS per l'autenticazione e due server RADIUS per l'accounting. In tal modo viene assicurato che la perdita di contatto con un server RADIUS non incida sul servizio fornito ai client WLAN. Quando si implementano più server per garantire la capacità di recupero dagli errori, molte organizzazioni scelgono uno schema in base al quale eseguire il bilanciamento del carico delle richieste provenienti dai punti di accesso senza fili configurati come client RADIUS su tutti i server RADIUS, così da assicurare che non vengano limitate le risorse di alcun server. Prima di scegliere una strategia di bilanciamento del carico, è importante sapere che lo standard 802.1X prevede l'implementazione del protocollo EAP nell'ambito del servizio RADIUS (EAP-RADIUS) tra i punti di accesso senza fili e i server RADIUS. Sebbene il servizio RADIUS utilizzi il protocollo UDP (User Datagram Protocol) senza connessione, il protocollo EAP è orientato alla sessione e ne viene effettuato il tunneling all'interno del servizio RADIUS. Ciò comporta la necessità di garantire che, in caso di mancata autenticazione, vengano restituiti allo stesso server RADIUS più pacchetti EAP-RADIUS comprendenti una sola operazione di autenticazione. Nella tabella seguente vengono illustrate le varie opzioni che consentono di assicurare che i client RADIUS possano utilizzare più server RADIUS per il recupero dagli errori ed eseguire il bilanciamento del carico delle richieste RADIUS. Tabella 3. Opzioni per il failover e il bilanciamento del carico EAP-RADIUS
È consigliabile che le organizzazioni di notevoli dimensioni e i grandi provider di servizi di rete prendano in considerazione l'utilizzo dei proxy RADIUS per l'accettazione delle richieste provenienti dai client RADIUS e la distribuzione del carico tra i server RADIUS, che possono essere configurati in gruppi di server RADIUS. La distribuzione del carico di traffico tra i server RADIUS configurati come gruppi di server RADIUS può basarsi su vari parametri configurabili, ad esempio il tipo di traffico RADIUS e gli attributi RADIUS, oltre che sui valori relativi a priorità e peso. I server RADIUS di ogni gruppo di server RADIUS possono quindi eseguire l'autenticazione e l'autorizzazione di base per gli utenti e i dispositivi di un dominio o di un intero insieme di strutture. In tal modo si crea un'efficiente architettura front-end/back-end a servizio delle richieste RADIUS e si fornisce la maggior flessibilità possibile per le opzioni di bilanciamento del carico e di scalabilità. 
Figura 1 Tuttavia, le capacità native di failover ai server RADIUS incluse nei punti di accesso senza fili di ultima generazione forniscono il livello minimo di funzionalità necessaria per la maggior parte delle organizzazioni, così da garantire agli utenti finali un accesso WLAN continuo. Inoltre, il percorso di migrazione da una strategia di failover e bilanciamento del carico RADIUS basata su punti di accesso senza fili a una strategia di failover e bilanciamento del carico RADIUS basata su server proxy RADIUS è relativamente semplice. Uno svantaggio della strategia di failover e bilanciamento del carico RADIUS basata su punti di accesso senza fili è rappresentato dal sovraccarico di gestione dovuto all'abbinamento dei punti di accesso senza fili ai server RADIUS, al monitoraggio dei server RADIUS finalizzato all'equa distribuzione del carico e alle modifiche da apportare laddove necessario. Un altro svantaggio è costituito dal fatto che numerosi punti di accesso senza fili non supportano il failback. Ciò può condurre a situazioni in cui tutti i punti di accesso senza fili rimangono esclusi da un server RADIUS, con conseguente necessità di un intervento da parte dell'amministratore. Per ottenere il bilanciamento del carico mediante una strategia di failover basata su punti di accesso senza fili qualora siano disponibili localmente più server RADIUS:
Figura 2 Per realizzare il bilanciamento del carico mediante una strategia di failover basata su punti di accesso senza fili nelle filiali in cui è disponibile un solo server RADIUS locale, oltre a un server RADIUS remoto, è necessario configurare tutti i punti di accesso senza fili della filiale in modo che utilizzino il server RADIUS locale come server principale. Quindi configurare il server RADIUS remoto come server secondario da utilizzare qualora quello principale non funzioni. 
Figura 3 Nei casi di filiali, assicurarsi che i punti di accesso senza fili siano in grado di eseguire il failback al server RADIUS principale quando quest'ultimo torna a funzionare, altrimenti occorrerà riconfigurare manualmente i punti di accesso senza fili per evitare che il servizio RADIUS attraversi inutilmente la rete WAN. I server RADIUS presso le filiali sono facoltativi e si possono evitare utilizzando server RADIUS centralizzati in una rete WAN. Tuttavia, l'assenza di un server RADIUS locale comporta che l'accesso alla rete WLAN locale dipende dalla disponibilità della rete WAN. Questa soluzione è stata ideata con l'intento di utilizzare il failover tra server basato su punti di accesso senza fili e la configurazione manuale per il bilanciamento del carico. Per ulteriori informazioni sulla pianificazione di un'infrastruttura RADIUS in grado di utilizzare i proxy RADIUS per il failover e il bilanciamento del carico tra server, consultare il manuale "Deploying IAS" incluso in Microsoft Windows Server 2003 Deployment Kit all'indirizzo http://go.microsoft.com/fwlink/?LinkId=4716 (in iglese). Definizione dei requisiti di registrazioneÈ possibile configurare i server IAS in modo che registrino due tipi di informazioni facoltative:
Gli eventi di autenticazione riusciti e rifiutati che vengono generati a partire da dispositivi e utenti che tentano di accedere alla rete WLAN vengono registrati per impostazione predefinita in IAS nel Registro eventi sistema di Windows Server 2003. Le informazioni incluse nel registro degli eventi di autenticazione si dimostrano assai utili per la risoluzione dei problemi di autenticazione, sebbene possano essere utilizzate anche per attività di controllo della protezione e segnalazione di avvisi. All'inizio è opportuno che la registrazione degli eventi di autenticazione riusciti e rifiutati rimanga attiva, tuttavia è possibile disattivarla una volta che il sistema risulti stabile. Gli eventi di accesso riuscito alla rete WLAN tendono a saturare rapidamente il Registro eventi sistema e potrebbero risultare inutili ai fini della protezione qualora sia attiva la registrazione delle richieste di autenticazione RADIUS. È consigliabile che le aziende utilizzino strumenti di monitoraggio, ad esempio Microsoft Operations Manager (MOM), per trattare mediante script personalizzati gli eventi IAS inclusi nel Registro eventi sistema. Uno script personalizzato MOM potrebbe ad esempio rilevare un aumento del numero di eventi IAS correlati a tentativi rifiutati di autenticazione e informarne l'amministratore affinché agisca conseguentemente. IAS consente inoltre di salvare le informazioni sulle sessioni di autenticazione e accesso alla rete sotto forma di registri di richieste RADIUS. È possibile attivare e disattivare le informazioni seguenti incluse nei registri delle richieste RADIUS:
I registri delle richieste RADIUS si dimostrano assai utili per organizzazioni quali i provider di servizi di rete che addebitano ai clienti il servizio in base all'utilizzo della rete. Tuttavia, i registri delle richieste RADIUS possono essere utilizzati anche per scopi di protezione. In particolare, i registri di autenticazione e accounting RADIUS consentono a coloro che si occupano di monitorare la protezione di determinare quanto segue:
In IAS la registrazione in formato testo delle informazioni di autenticazione e accounting RADIUS è disattivata per impostazione predefinita. Prima di attivarla è necessario:
Le aziende che hanno deciso di utilizzare i registri di accounting RADIUS devono prendere in considerazione la possibilità di avvalersi delle funzionalità di registrazione SQL Server di IAS. Le informazioni di accounting RADIUS possono essere registrate in SQL Server Desktop Engine (MSDE 2000) su ogni server IAS e, quindi, replicate in un cluster centrale Microsoft SQL Server 2000. L'adozione di questa strategia consente di realizzare un sistema di memorizzazione centralizzato e strutturato dei dati di accounting RADIUS, così da rendere più semplici l'esecuzione di query, la creazione di report e le attività di archiviazione. La registrazione SQL Server in un database MSDE locale elimina inoltre l'eventualità che i problemi della rete impediscano a IAS di registrare le informazioni e, quindi, di respingere le richieste di accesso alla rete. Le organizzazioni prive di SQL Server 2000 o a corto di personale in grado di eseguire query, creare report e archiviare periodicamente i registri delle richieste RADIUS possono comunque prendere in considerazione la possibilità di eseguire la registrazione di queste informazioni per facilitare le indagini in caso di problemi di protezione. Come indicato nella tabella seguente, in questa soluzione sono state prese varie decisioni di progettazione che occorre esaminare per stabilirne l'adeguatezza all'ambiente. Tabella 4. Decisioni di progettazione in relazione alla registrazione IAS
Scelta di centralizzare o distribuire i serverLa decisione di utilizzare server IAS centralizzati o distribuiti si basa in parte sulla distribuzione geografica dell'organizzazione e sulla strategia di distribuzione dell'infrastruttura IT dell'organizzazione. Occorre considerare quale dei tre seguenti tipi di strategia per l'infrastruttura IT è più vicino a quello dell'organizzazione:
L'obiettivo principale delle moderne organizzazioni IT aziendali è di utilizzare un'infrastruttura IT sempre più di ridotta, basata su componenti centralizzati e con maggiore capacità di recupero dagli errori. Il raggiungimento di questo obiettivo richiede un notevole investimento in componenti infrastrutturali WAN ad alta velocità e con maggiore capacità di recupero dagli errori, così da garantire che gli utenti nelle filiali godano dello stesso livello di servizio IT degli utenti che si trovano nella sede centrale. Un vantaggio di questa strategia è rappresentato dal fatto che il costo dell'infrastruttura a server distribuiti può essere dirottato verso l'infrastruttura di rete e la larghezza di banda. Inoltre, l'infrastruttura dei server si trova a poca distanza dal personale tecnico specializzato e dal personale addetto all'esercizio del data center. Pertanto è possibile ottenere un maggiore livello di disponibilità. In organizzazioni con reti WAN ad alta velocità e con grande capacità di recupero dagli errori è da preferire la centralizzazione dei server IAS, la quale deve pertanto essere considerata come il punto di partenza per la progettazione dei server RADIUS aziendali. Il protocollo RADIUS non sfrutta in modo eccessivo la larghezza di banda e funziona bene sui collegamenti WAN. Tuttavia, è essenziale disporre di una connessione ad alte prestazioni tra i server IAS e i controller di dominio che contengono gli utenti e i gruppi utilizzati per determinare l'accesso alla rete. Molti potenziali problemi con lo standard di rete 802.1X possono essere evitati garantendo che le comunicazioni tra i server IAS e Active Directory avvengano ad alta velocità. La realtà per molte organizzazioni non aziendali è che il costo della larghezza di banda, di sofisticati dispositivi di rete e di connessioni WAN ridondanti impedisce l'adozione di un modello di infrastruttura IT centralizzata. Tali organizzazioni scelgono un modello di infrastruttura IT decentralizzata con server distribuiti nelle filiali, così da garantire la continuità del servizio IT in caso di guasto della rete WAN. Un terzo tipo di strategia per l'infrastruttura IT si ha quando le organizzazioni scelgono di centralizzare l'infrastruttura IT dove possibile e di distribuirla dove necessario. Questa strategia consente di raggruppare la maggior parte dell'infrastruttura IT in sedi hub a servizio degli utenti di tali sedi e di quelli delle filiali collegate all'hub. Questo modello consente al contempo di distribuire l'infrastruttura dei server nelle filiali con un maggior numero di utenti finali. Nel diagramma seguente viene illustrato un esempio di una simile organizzazione. 
Figura 4 Questa soluzione, progettata in vista di modelli di distribuzione dell'infrastruttura server centralizzata, decentralizzata e mista, fornisce quanto segue:
Nota: in filiali di piccole dimensioni prive di infrastruttura server, l'accesso alle reti WLAN dipende dalla disponibilità della rete WAN. Determinazione del numero e della posizione dei serverOgni insieme indipendente di strutture Active Directory dovrebbe includere almeno due server IAS che fungano da server RADIUS per gli utenti e i dispositivi dell'insieme di strutture. Ciò assicura che le richieste di accesso alla rete continuino a essere gestite qualora uno dei server RADIUS diventi indisponibile. Le sedi centrali delle aziende, al cui interno lavorano molti utenti, rappresentano i candidati ideali per un'infrastruttura basata su due o più server RADIUS. Se tra più sedi hub con server RADIUS è disponibile larghezza di banda ad alta velocità, è possibile configurare i punti di accesso senza fili in modo che eseguano il failover ai server RADIUS di una rete WAN. Tuttavia, prima di utilizzare i server RADIUS di una rete WAN, è opportuno considerare la vicinanza di tali server ai controller di dominio contenenti le informazioni su utenti e gruppi con cui viene controllato l'accesso alla rete. Inoltre, è importante testare i valori di timeout dei punti di accesso senza fili e dei computer client, apportando le eventuali modifiche necessarie. Le filiali abbastanza grandi da garantire controller di dominio e che sono prive di connessioni WAN alle sedi hub con capacità di recupero dagli errori sono candidati probabili a ospitare un server RADIUS locale. Se l'organizzazione non ha implementato funzionalità WAN di recupero dagli errori, occorre valutare il costo iniziale e di esercizio di un server IAS di filiale rispetto al costo in cui si incorre nel caso in cui la rete WAN ha problemi e gli utenti della rete WLAN non possono accedere a quest'ultima. Installazione di IAS insieme con altri serviziA motivo del grande volume di interazioni con i controller di dominio Active Directory, i server IAS presentano un incremento delle prestazioni se installati sullo stesso hardware dei controller di dominio, evitando l'attraversamento della rete. Occorre tuttavia considerare attentamente le implicazioni connesse all'installazione di IAS nei controller di dominio. Nella tabella seguente vengono riportati i dettagli relativi a tali considerazioni. Tabella 5. Considerazioni sull'installazione di IAS e dei controller di dominio sullo stesso hardware
I controller di dominio Active Directory sono elementi essenziali dell'infrastruttura IT e devono essere gestiti con estrema cura. Molte organizzazioni aziendali adottano una politica che prevede di ridurre al minimo i programmi software o i servizi installati nei controller di dominio, per garantire la loro massima affidabilità e la continuità del servizio. Inoltre, gli amministratori delle infrastrutture RADIUS di molte aziende sono distinti dagli amministratori delle infrastrutture Active Directory. IAS è un componente facoltativo di Windows, pertanto non esiste alcuna separazione intrinseca tra l'amministrazione di IAS e gli amministratori locali di Windows. Ciò comporta che se IAS viene installato nei controller di dominio, gli amministratori di dominio devono aggiungere gli amministratori di IAS al gruppo di protezione Administrators condiviso da tutti i controller del dominio. Occorre prestare attenzione al fatto che questa soluzione richiede la versione di IAS inclusa in Windows Server 2003. Pertanto, se si intende installare IAS sullo stesso hardware dei controller di dominio Windows 2000 Server, è necessario eseguirne l'aggiornamento a Windows Server 2003 prima di installare e configurare IAS. Inoltre, prima di eseguire l'aggiornamento dei controller di dominio Windows 2000 Server a Windows Server 2003, è opportuno considerare i requisiti riportati di seguito. Tabella 6. Requisiti per i controller di dominio Windows Server 2003
Questa soluzione è stata ideata per consentire l'installazione di IAS sullo stesso hardware dei controller di dominio, se lo si desidera. La soluzione è stata collaudata con IAS separato dai controller di dominio Windows Server 2003 in sedi hub e installato insieme con Windows Server 2003 nei controller di dominio di filiali. Stima del carico dei server RADIUSIAS funziona bene anche su server con prestazioni modeste e può essere scalato verticalmente mediante hardware aggiuntivo o orizzontalmente ricorrendo ai gruppi di server RADIUS. Tuttavia è preferibile stimare in anticipo il carico che i client WLAN causeranno sull'hardware dei server IAS, così da evitare alle risorse dei server limitazioni che potrebbero incidere sulla disponibilità del servizio. Una progettazione ottimale dovrebbe includere un numero minimo di server necessari per garantire la capacità di recupero dagli errori, pur lasciando spazio per una futura crescita. Ciò è particolarmente importante quando si sceglie di dimensionare l'hardware dei server per l'utilizzo in un modello di bilanciamento del carico basato su punti di accesso senza fili. Nel passare dal bilanciamento del carico basato su punti di accesso senza fili al bilanciamento del carico basato su proxy RADIUS, i requisiti dell'hardware possono passare da due a cinque server qualora i server RADIUS esistenti abbiano già raggiunto la capacità massima. Le considerazioni sul carico dei server IAS includono quanto segue:
Il numero di utenti e dispositivi che necessitano dell'accesso alla rete WLAN è indispensabile per la stima del carico dei server IAS. Alcune organizzazioni limitano l'utilizzo della rete WLAN a un ristretto gruppo di utenti quali i dirigenti, mentre altre organizzazioni scelgono di offrire l'accesso WLAN a tutti gli utenti. A prescindere dalla strategia scelta dall'organizzazione, è necessario prevedere lo scenario peggiore, nel quale tutti gli utenti e dispositivi in grado di accedere alla rete WLAN richiedono l'autenticazione e l'autorizzazione nell'arco di un breve periodo di tempo. Così facendo si garantisce che i server IAS saranno dimensionati in modo da gestire periodi di stress elevato, ad esempio gli orari di punta del lavoro e il periodo immediatamente successivo a un'interruzione cospicua della rete. Inoltre, le opzioni di autenticazione hanno un notevole effetto sul carico dei server IAS. I protocolli basati su certificati, ad esempio EAP-TLS, eseguono in occasione dell'accesso iniziale un'operazione con chiave pubblica che sfrutta intensamente le risorse della CPU, ma poi, per tutti i successivi accessi, utilizzano una strategia basata su credenziali memorizzate nella cache detta Riconnessione rapida, fino alla scadenza della cache (otto ore, per impostazione predefinita). La riautenticazione completa può avere luogo quando i client senza fili si associano a punti di accesso che sfruttano un server IAS diverso da quello precedentemente utilizzato. Questa riautenticazione mobile avviene solo una volta tra client e server IAS ed è invisibile all'utente finale qualora sia in uso il protocollo EAP-TLS. Inoltre, è possibile adottare il metodo di aggiornamento delle chiavi di crittografia delle sessioni WEP 802.11 che consiste nell'imporre ai client senza fili di riautenticarsi con i server RADIUS. Alcuni modelli di punto di accesso senza fili includono funzionalità con cui eseguire l'aggiornamento temporizzato delle chiavi di sessione WEP senza dover imporre ai client l'esecuzione frequente della riautenticazione con il server RADIUS a intervalli prestabiliti. Queste funzionalità sono specifiche dei singoli produttori e devono essere valutate a fronte dei requisiti delle risorse dei server, della strategia di amministrazione centralizzata e degli standard di settore. Oltre a ciò, l'imminente standard WPA (WiFi Protected Access) include funzionalità di crittografia avanzata che possono ridurre la necessità di una riautenticazione frequente. Pertanto, nel creare un modello per un determinato numero di autenticazioni che ogni server IAS dovrà gestire, è opportuno considerare la frequenza dei tipi di autenticazione indicati nella tabella riportata di seguito. Tabella 7. Tipi di autenticazione
La stima del numero di autenticazioni che IAS è in grado di gestire deve essere espressa in autenticazioni al secondo. È stato dimostrato che IAS è in grado di raggiungere le seguenti prestazioni con un server Intel Pentium 4 a 2 GHz su cui viene eseguito Windows Server 2003 e Active Directory installato su un altro server Intel Pentium 4 a 2 GHz. Le informazioni contenute nella tabella che segue vengono fornite senza alcuna garanzia e devono essere intese come mere linee guida ai fini della pianificazione della capacità e non ai fini di un confronto fra prestazioni. Tabella 8. Autenticazioni al secondo
IAS può essere configurato in modo che generi registri di testo basati su disco contenenti quantità variabili di informazioni sulle richieste RADIUS. Occorre considerare attentamente il sovraccarico che le attività di registrazione RADIUS comportano per i server RADIUS, in quanto i sottosistemi disco a bassa velocità possono ritardare le risposte RADIUS IAS ai punti di accesso senza fili, con conseguenti timeout dei protocolli e inutili operazioni di failover dei punti di accesso senza fili ai server RADIUS secondari. Inoltre, se si attivano le funzionalità di analisi software di Windows Server 2003, verrà imposto un ulteriore carico sui server IAS, sebbene ciò possa dimostrarsi necessario di tanto in tanto per risolvere i problemi di accesso alla rete. I server IAS, pertanto, dovrebbero avere la capacità di funzionare e gestire il carico di produzione anche quando le funzionalità di analisi risultano attive per brevi periodi di tempo. Stima dei requisiti hardware dei serverÈ necessario scegliere l'hardware dei server su cui eseguire IAS basandosi sull'elenco di compatibilità hardware per Windows Server 2003. Scegliendo i componenti hardware dei server da questo elenco è possibile evitare i problemi di affidabilità e compatibilità che potrebbero sorgere con hardware non collaudato e driver di periferica malfunzionanti. I server IAS devono rispettare i requisiti hardware consigliati per Windows Server 2003. Occorre poi prendere in considerazione altri servizi in esecuzione nel sistema, ad esempio Active Directory. Sarebbe opportuno dedicare a IAS componenti hardware in grado di sostenere il doppio del previsto carico di autenticazione per server, così da garantire la disponibilità di sufficienti risorse server con cui affrontare le situazioni di failover tra server e le condizioni insolite della rete. Nel diagramma seguente viene illustrato un esempio di progettazione di server RADIUS basata su IAS in cui vengono indicati la posizione e il numero di server in base alla distribuzione degli utenti e al carico previsto. Sebbene tale progettazione si riferisca a un'organizzazione di grandi dimensioni, questa soluzione è stata collaudata con un sottoinsieme di questa infrastruttura basato sulla sede londinese qui mostrata. Nota: la Woodgrove Bank è un'azienda fittizia rappresentativa di organizzazioni di medie e grandi dimensioni. L'architettura e le caratteristiche della sua rete sono state utilizzate come base per diverse decisioni di progettazione nell'implementazione della build di riferimento di questa soluzione. 
Figura 5 Questa soluzione è stata progettata con due server RADIUS che si trovano nella sede centrale al servizio di 6.742 utenti. Solo il 50 percento degli utenti può accedere alla rete senza fili, pertanto 3.371 utenti e i rispettivi 3.371 dispositivi eseguono l'autenticazione con i due server RADIUS mediante il protocollo EAP-TLS negli orari di massimo carico. Ogni server è dimensionato in modo da gestire 3.371 autenticazioni distribuite in un periodo di picco di accessi di 30 minuti, che corrisponde all'incirca a due nuove autenticazioni EAP-TLS al secondo con capacità di quattro nuove autenticazioni al secondo nei periodi di failover tra server. Sul server è inoltre attiva la registrazione delle richieste di autenticazione e accounting RADIUS in file di testo. Il server è dedicato all'esecuzione della funzione di server RADIUS, con Active Directory su un diverso computer. Inoltre, i server sono intenzionalmente sovradimensionati per poter far fronte ai requisiti futuri, ad esempio il controllo dell'accesso alla rete di tipo VPN, via cavo e con connessione remota. Nella tabella seguente viene indicato l'hardware dei server IAS utilizzato per il collaudo di questa soluzione. Tabella 9. Hardware dei server collaudato
I requisiti hardware per i propri server IAS possono essere diversi e devono essere valutati sulla base delle variabili specifiche dell'organizzazione. Determinazione dei requisiti software dei serverOccorre stabilire se per i server IAS del proprio ambiente è necessario Windows Server 2003 Standard Edition o Enterprise Edition. Windows Server 2003 Standard Edition supporta solo 50 client RADIUS e due gruppi di routing server. Questa soluzione è stata collaudata con Windows Server 2003 Enterprise Edition per server RADIUS di sedi hub e con Windows Server 2003 Standard Edition per ulteriori server RADIUS di filiali. La soluzione tuttavia funziona altrettanto bene con una versione che presenta le limitazioni indicate in precedenza. È opportuno scegliere la versione di Windows Server 2003 che risponde ai propri requisiti RADIUS specifici. Sono necessari altri componenti software, a seconda degli standard dell'organizzazione. Ad esempio:
Creazione di un piano di gestioneI server RADIUS basati su IAS richiedono relativamente poca manutenzione ordinaria per garantire la disponibilità continua del servizio e la protezione della rete. Tuttavia, è necessario determinare in anticipo la strategia di gestione IAS, così da addestrare il personale necessario per gestire l'infrastruttura RADIUS in base ai requisiti aziendali. Gestione delle modifiche e della configurazioneLa conoscenza dello stato dei server IAS e la sua conservazione sono essenziali per assicurare la disponibilità del servizio e la protezione della rete. IAS facilita nativamente le modifiche transazionali di vari elementi di configurazione dei server mediante il comando netsh e pertanto consente un semplice rollback qualora una modifica causi problemi imprevisti. Il comando netsh consente di esportare e importare per intero o in parte la configurazione IAS in file di testo di configurazione per il trasferimento delle impostazioni tra server IAS che svolgono lo stesso ruolo. Questa funzionalità può velocizzare la distribuzione delle modifiche della configurazione in ambienti di grandi dimensioni. Le attività che occorre svolgere per realizzare una gestione appropriata delle modifiche e della configurazione vengono indicate nel modulo "Gestione dell'infrastruttura di protezione RADIUS e LAN senza fili" nella Guida operativa. Pianificazione in vista di un ripristino di emergenzaPer garantire un ripristino veloce del servizio RADIUS in situazioni di emergenza è necessaria un'appropriata pianificazione da realizzare prima del verificarsi dell'evento. L'installazione e la configurazione di IAS possono essere semplificate mediante gli script di installazione forniti con la presente guida, mentre le attività da svolgere per ripristinare rapidamente lo stato della configurazione di IAS possono essere desunte dagli script netsh. Ulteriori informazioni sulle attività di ripristino di emergenza si trovano nel modulo "Gestione dell'infrastruttura di protezione RADIUS e LAN senza fili" della Guida operativa. Pianificazione delle autorizzazioni amministrativeIAS è un componente facoltativo del sistema operativo Windows Server 2003 e pertanto non richiede un modello di protezione amministrativa diverso da quello del server locale. La separazione dell'amministrazione di IAS da quella svolta dagli amministratori del server locale non è possibile se non mediante attività di sviluppo personalizzato, ad esempio la creazione di una pagina Web protetta che consenta di eseguire modifiche della configurazione di IAS mediante un account fisso con autorizzazioni amministrative per il server locale. È tuttavia importante pianificare i tipi di amministrazione necessari e i requisiti di accesso alle varie risorse IAS per ottenere un modello con privilegi minimi. Nella tabella seguente vengono forniti alcuni esempi di ruoli e attività correlati ai server IAS. Tabella 10. Descrizioni e attività dei ruoli IAS
Nella tabella seguente sono illustrate le autorizzazioni per le risorse che occorre avere per eseguire le varie attività sui server IAS. Tabella 11. Autorizzazioni necessarie per le attività sui server IAS
Monitoraggio e controllo della protezioneIAS è un componente dell'infrastruttura di protezione del quale occorre eseguire il monitoraggio in maniera preventiva. Alcune ricerche nell'ambito della protezione hanno mostrato che gli attacchi riusciti sono in genere preceduti da svariati attacchi non riusciti. Il monitoraggio preventivo della protezione dei server IAS e dei relativi registri finalizzato all'individuazione di elementi sospetti si dimostra necessario per sapere quando la rete è sotto attacco. Nella tabella seguente vengono elencati i possibili pericoli per l'infrastruttura dei server che possono essere monitorati in maniera preventiva. Tabella 12. Pericoli per l'infrastruttura dei server IAS
Oltre al monitoraggio di base della protezione, è consigliabile eseguire il controllo preventivo della protezione dei server IAS e utilizzare i componenti tecnologici correlati, onde capire quando la rete è in pericolo. Nella tabella che segue sono elencati i potenziali pericoli per l'infrastruttura di server IAS e i relativi componenti tecnologici che è possibile utilizzare per eseguire un controllo preventivo. Tabella 13. Pericoli per l'infrastruttura dei server IAS da controllare preventivamente
RiepilogoIn questo modulo è stata illustrata la progettazione di un'infrastruttura RADIUS per la protezione di una rete senza fili basata sullo standard 802.1X. Dato il probabile utilizzo futuro dell'infrastruttura RADIUS per altri tipi di gestione dell'accesso alla rete, tale infrastruttura è stata progettata con questa finalità. La progettazione qui presentata è abbastanza flessibile da consentirne l'estensione in base a numerosi requisiti futuri. Le considerazioni illustrate in questo modulo verranno utilizzate nella Guida all'implementazione e nella Guida operativa per implementare l'infrastruttura RADIUS. Nei restanti moduli di questa Guida alla pianificazione verrà trattata la progettazione di altri componenti essenziali di questa soluzione: le impostazioni 802.1X e l'infrastruttura necessarie per ottenere un rete WLAN protetta. Ulteriori informazioniPer ulteriori informazioni su IAS, vedere quanto segue:
Per ulteriori informazioni sulle tecnologie WLAN 802.1X, vedere:
Elementi di configurazione definiti dall'utentePrima di iniziare la procedura di configurazione, occorre accertarsi di aver raccolto o deciso le impostazioni di tutti gli elementi indicati nella sottostante tabella. Tabella 14. Elementi di configurazione definiti dall'utente
Elementi di configurazione prescritti nella soluzioneLe impostazioni specificate in questa tabella non devono essere modificate se non se ne ha una particolare necessità. Tabella 15. Elementi di configurazione prescritti nella soluzione
|
