5.3.Захист на рівні транзакцій (eap –tls)

EAP-TLS запропонований IETF як ескізна пропозиція для жорсткого методу автентифікації, базованого на сертифікатах публічного ключа. При EAP-TLS клієнт подає сертифікат користувача до сервера доступу через комутовані канали, а у той сам час сервер подає свій сертифікат користувачу. Перше забезпечує жорстку автентифікацію користувача сервером; друге – гарантію, що користувач досягнув той сервер, який він бажав. Обидві системи покладаються на ланцюг довірених органів при верифікації правильності запропонованих сертифікатів.

Сертифікат користувача повинен зберігатися у комп’ютері клієнта комутованого каналу, або зберігтися на зовнішній інтелектуальній карті. У кожному випадку сертифікат не може бути доступний без певної форми ідентифікації користувача (PIN-номера або обміну іменем та паролем) між користувачем та комп’ютером клієнта. Цей підхід відповідає критерію “щось ти знаєш і щось ти маєш”, рекомендованому більшістю експертів від захисту інформації. EAP-TLS – це конкретний метод EAP, який може бути впроваджений у Windows 2000. Подібно до MS-CHAP, EAP-TLS може повернутися до ключа шифрування для наступного шифрування даних через MPPE.

5.3.1.1.Адміністрування користувача

При виборі технології VPN важливо розглянути питання адміністрування. Великі мережі потребують зберігати інформацію директорій користувачів (послуги директорій –directory service) у централізованому запам’ятовуючому пристрої, так що адміністратори і застосування можуть додавати, модифікувати або запитувати про цю інформацію. Кожен сервер доступу або тунельний сервер може обслуговувати власну внутрішню базу даних з засобами, орієнтованими на користувача, такими, як імена, паролі та атрибути дозволу на використання комутованих каналів. Однак, оскільки облік багатьох користувачів для багатьох серверів адміністративно не підтримується, то більшість адміністраторів встановлює головну базу даних обліку на сервері директорій (Directory Server), або на первинному контролері домену, або на RADIUS-сервері.

Підтримка в RAS

Microsoft Remote Access Server (RAS) опрацьований для роботи з інформацією, віднесеною до користувача, яка зберігається в котролері домену або на RADIUS-сервері. Використання контролера домену спрощує систему адміністрування, бо дозвіл на користування комутованими каналами є частиною інформації про користувача, яку завжди обслуговує адміністратор в конкретній базі даних. Microsoft RAS початково опрацьований як сервер доступу для користувачів комутованих каналів. RAS також є тунельним сервером для сполучень PPTP і L2TP. Підтримка L2TP додана до сервера Windows NT версії 5.0. Внаслідок цього це розв’язання для VPN Рівня 2 успадковує цілу інфраструктуру управління, доцільну для мережевої взаємодії через комутовані канали.

У Windows 2000 RAS може мати переваги нових послуг директорій (Directory Services) у реплікованих базах даних загальнокорпоративного засягу, базовані на протоколі LDAP. Lightweight Directory Access Protocol (LDAP) – це стандартний промисловий протокол для доступу до послуг директорій, опрацьований як простіша альтернатива до протоколу DAP X.500. LDAP є розтяжний, незалежний від виготівника і оснований на стандартах. Ця інтеграція з DS може дозволити адміністратору мати багато засобів для сесій з використанням комутованих каналів або VPN для індивідуальних користувачів або їх груп. Ці засоби можуть визначати фільтри для комутованих каналів, необхідні методи автентифікації або шифрування, обмеження для днів або часу і т.п.

Для мережевого адміністратора RAS-сервера, оснащеного PPTP, моніторування сесій PPTP у віртуальній приватній мережі ідентичне з моніторуванням RAS-сполучення. Він може бачити, які VPN-порти активні, статистики щодо тривалості сполучень, яка швидкість використовується та основну інформацію про пересилання даних; все це доступне через програму RAS Administration.