Але цю технологію неможливо розгорнути в організації, в якій ще не спланована і не розгорнута ніяка мережева інфраструктура. Перед тим як розгортати сервера захисту доступу до мережі, вам необхідно ретельно спланувати і розгорнути такі технології як доменні служби Active Directory, групові політики, інфраструктуру відкритого ключа, а також протокол Radius (Remote Authentication Dial-In User Service). Зрозуміло, в залежності від технології, до якої повинна застосовуватися захист доступу до мережі, вам потрібно буде спланувати і розгортати інші технології, такі як DHCP-сервер або сервери віддалених робочих столів (раніше відомі, як термінальні сервера). У цій статті мова піде про основні вимоги та рішеннях, які необхідно розгорнути в організації до розгортання технології «Захист доступу до мережі», а саме, коротко будуть розглянуті таких технології як доменні служби Active Directory, групові політики, інфраструктура відкритого ключа, а також протокол RADIUS.
Доменні служби Active Directory
Доменні служби Active Directory не були б основною роллю інфраструктури безпеки, якби відповідали тільки за ідентифікацію і доступ об'єктів мереж компанії. Крім зазначеної вище ключового завдання, Active Directory підтримує:
- певну схему. яка являє собою набір правил, що визначають класи об'єктів і атрибути, що містяться в каталозі, а також обмеження, межі для примірників цих об'єктів, формат їх імен та багато іншого. Варто відзначити, що всі об'єкти в доменних службах Active Directory вважаються екземплярами класу;
- служби реплікації. які поширюють дані каталогів по мережі організації, включаючи сховище даних, конфігурації та інше. Всі контролери домену в рамках свого домену є учасниками реплікації і містять повну копію всієї інформації каталогу для свого домену;
- господарів операцій - контролери домену, виконують певну роль, яка призначається лише одного контролера домену. Використання операцій з єдиним майстром запобігає виникненню конфліктних ситуацій в тих випадках, коли майстер операції відключений. Майстер ролі (Flexible Single Master Operation, FSMO) повинен бути доступний в той час, коли на рівні домену або лісу виконуються залежать від нього дії. Доменні служби Active Directory містять п'ять ролей майстрів операцій, які можуть бути визначені під час установки контролера домена Active Directory;
- глобальний каталог (Global Catalog або GC), який представляє собою репозиторій розподілених даних, що зберігає неповну репліку тільки для читання про кожен об'єкт, а також полегшує пошук в лісі Active Directory. Глобальний каталог зберігається на контролерах домену, які призначені в якості серверів глобального каталогу і розповсюджується за допомогою реплікації з безліччю рівноправних учасників.
Крім цих можливостей можна відзначити такі можливості як делегування адміністративних повноважень, контролери домену з правами тільки для читання, довірчі відносини між доменами і багато іншого.
групова політика
Групові політики - це набір правил, що забезпечують інфраструктуру, в якій адміністратори локальних комп'ютерів і доменних служб Active Directory можуть централізовано розгортати і керувати налаштуваннями користувачів і комп'ютерів в організації. Всі настройки облікових записів, операційної системи, аудиту, системного реєстру, параметрів безпеки, установки програмного забезпечення та інші параметри розгортаються і оновлюються в рамках домена за допомогою параметрів об'єктів групової політики GPO (Group Policy Object). Групові політики є компонентом операційної системи Windows і ґрунтуються на тисячах окремих параметрів політик, інакше кажучи, політик, що визначають певну конфігурацію для свого застосування.
Інфраструктура відкритого ключа
Зараз інфраструктура відкритого ключа застосовується практично в кожній організації. Самі цифрові сертифікати можуть бути використані для надання безпечних комунікацій на веб-сайтах, для шифрування електронної пошти, для захисту бездротових комунікацій, файлової системи шифрування, віртуальних приватних мереж і багато чого іншого. Цілком очевидно, що для реалізації такої складної технології в організації необхідно ретельно планувати, розгортати і контролювати таку інфраструктуру. У Windows-системах за реалізацію технології інфраструктури відкритого ключа відповідає служба сертифікації Active Directory, яку можна назвати обов'язковою частиною структури Active Directory, що надає настроюються послуги видачі сертифікатів відкритого ключа, що використовуються в програмних системах безпеки, які застосовують технології відкритих ключів, і управління цими сертифікатами.
Для самої інфраструктури PKI можна виділити кілька основних компонентів:
Служби сертифікації Active Directory включають підтримку всіх зазначених вище компонентів, а також надають такі можливості як службу мережевого відповідача, приймаючу запити стану відкликання для конкретних сертифікатів, процесу автоматичної реєстрації сертифікатів, архівацію, відновлення ключів і багато іншого.