Radius auf Mitgliedsserver?

[wieckie 10]

Moin!

 

Ich beschäftige mich gerade damit unser Wlan auf Radius (PEAP-MS-CHAPv2 authentication) umzustellen. Mit einem QNAP-NAS als Radius hat auch alles schon geklappt. Man kann dort aber nicht auf Domänenuser zugreifen, sondern muss diese händisch pflegen. Daher möchte ich die Microsoft Boardmittel nutzen. Folgende Frage: Kann der Radius-Server (Zertifikate, Netzwerkrichtlinien) ein Mitgliedsserver sein, oder muss es zwingend der Domänencontroller sein. (Win 2008 R2)

 

Danke

 

Frank

[Dunkelmann 96]

Moin,

 

ein Mitgliedsserver reicht aus.

[daabm 1.354]

'n Abend.

 

Es muß kein DC sein, wird aber aus Performancegründen je nach Umgebung sogar empfohlen.

[wieckie 10]

Danke für die Antworten.

 

Bei uns ist es jetzt seit kurzem so, dass unser Domänencontroller in Italien steht. Wir haben einen globalen Katalogserver bei uns stehen. So wie ich das verstehe, sollte der Zertifikatserver auf dem DC, sprich in Italien für die gesamte Domäne installiert werden. Wer schon einmal mit Italienern diskutiert hat, weiss dass man Stunden mit denen reden kann ohne etwas zu bewirken. Gibt es für mich vielleicht eine "Insellösung".  Ich würde schon gerne, dass sich die User mit der Windowsanmeldung am Radius authentifizieren.

[Dunkelmann 96]

Moin,

 

Politik und Technik unter einen Hut zu bringen, ist nicht immer einfach.

Ohne genaue Kenntnisse des Unternehmens und der genauen Anforderungen wird es bei politisch motivierten Entscheidungen in einem Forum problematisch.

Vielleicht solltest Du für das Thema externe Unterstützung hinzuziehen. Manchmal kann ein Externer mit gleichen Argumenten mehr bewirken, als jemand aus der internen IT.

 

PS: Falls Du mit 'Zertifikatserver' eine Windows CA meinst, dann hat die nichts auf einem DC verloren.

[Marcin_K 1]

Danke für die Antworten.

 

Bei uns ist es jetzt seit kurzem so, dass unser Domänencontroller in Italien steht. Wir haben einen globalen Katalogserver bei uns stehen. So wie ich das verstehe, sollte der Zertifikatserver auf dem DC, sprich in Italien für die gesamte Domäne installiert werden. Wer schon einmal mit Italienern diskutiert hat, weiss dass man Stunden mit denen reden kann ohne etwas zu bewirken. Gibt es für mich vielleicht eine "Insellösung".  Ich würde schon gerne, dass sich die User mit der Windowsanmeldung am Radius authentifizieren.

 

Hallo

 

Wenn der Domänecontroller im Ausland (in der Zentrale) steht, sollte auch der Zertifikatserver dort stehen. Das heißt nicht, dass die Zertifikatsdienste auf dem Domänecontroller eingerichtet werden sollen, aber dass sie über ein IT-Team in der Zentrale verwaltet werden. Also das Installierung sie in deiner lokalen Umgebung klappt eher nicht. Aber du kannst einen Radius-Server bei dir einrichten (jetzt heißt es "Network Policy Server"), um die Authentifizierung des Zugriffes zum WiFi-Netzwerk mit der Windowsanmeldung zu benutzen.

 

Grüße

Marcin

[wieckie 10]

Danke für die Antworten.

 

Ich habe mir nun über einen IIS ein Zertifikat erstellt, importiert, PEAP, MS-CHAPV2 am NPS, AP und Client eingerichtet und es funktioniert.

 

Spricht etwas gegen selbstsignierte Zertifikate in einer kleinen Produktivumgebung (15 Clients)? Eventl. würde ich sonst eins kaufen. Windows CA-Diskussionen würde ich mir dann ersparen.

 

Danke

[daabm 1.354]

Gegen selbst erstellte spricht gar nix.

[wieckie 10]

Wo ist dann der Unterschied zwischen den selbst erstellten, wie bei mir über IIS, und den käuflich zu erwerbenden? Das ist mir nicht klar.

 

Und der  Vorteil von einer Windows CA ist also u. a.  das automatische erneuern und verwalten der Zertifikate, ansonsten sind die Zertifikate die selben?

 

Danke

[Dunkelmann 96]

Gekaufte Zertifikate kosten Geld :D . Sie haben aber den Vorteil, dass externe Stellen diesen Zertifikaten vertrauen. Für rein interne Zwecke ist es i.d.R. unnötig, ein kommerzielles Zertifikat zu nutzen.

 

Eine 'echte' CA bietet eine ganze Reihe von Möglichkeiten. Die ausgestellten Zertifikate sind nicht diselben. Bei einem IIS Zertfikat gibt es nur den Verwendungszweck 'Serverauthentifizierung'. Eine vollwertige CA bietet deutlich mehr, bis hin zu eigenen Verwenungszwecken und Richtlinien.

 

PS: Das Zertifikat jeder Root CA ist selbstsigniert

 

http://de.wikipedia.org/wiki/Public-Key-Infrastruktur

https://technet.microsoft.com/de-de/library/cc753828.aspx