Forums Neueste Beiträge
 

ISA Server 2006 sicher über RADIUS mit NPS kommunizieren lassen

20/11/2009 - 11:54 von Thomas Lambertz | Report spam
Hallo Community,

ich habe bei mir folgende Konstellation:

Unsere User nutzen einen ISA Server 2006 Standard als Webproxy, um im
Internet zu surfen. Der Server steht in unserer DMZ (da er hier auch andere
Aufgaben wahrnehmen muss) und ist somit kein Domànenmitglied in unserem
internen LAN.

Beim Zugriff auf das Web müssen sich die User anhand ihres Domànenaccounts
authentifzieren. Damit der ISA-Server den Zugriff aus der DMZ gewàhren kann,
habe ich in unserem internen LAN einen NPS-Server als RADIUS-Server
aufgesetzt, der die Anfragen des ISA Servers aus der DMZ annimmt und für ihn
prüft.

Der ganze Ablauf funktioniert. Allerdings erlaubt der ISA Server als
Webproxyclient nur die Verwendung von PAP, um mit dem sich
authentifizierenden Host zu kommunizieren. Da hier die Anmeldeinformationen
im Klartext übermittelt werden, empfinde ich diese Lösung jedoch als nicht
befriedigend.

Welche Möglichkeiten bestehen, den Ablauf sicherer zu gestalten? Ist das mit
dem ISA Server in der DMZ überhaupt vernünftig lösbar oder sollte besser ein
zweiter ISA im internen LAN aufgesetzt werden, der dann auch Domànenmitglied
ist und direkt mit dem DC über Kerberos kommunizieren kann.

Bin gespannt auf eure Antworten

Gruß
Thomas
 

Lesen sie die antworten

#1 Jens Baier
20/11/2009 - 12:01 | Warnen spam
Hi,

Der ganze Ablauf funktioniert. Allerdings erlaubt der ISA Server als
Webproxyclient nur die Verwendung von PAP, um mit dem sich



ja,leider!

authentifizierenden Host zu kommunizieren. Da hier die
Anmeldeinformationen im Klartext übermittelt werden, empfinde ich diese
Lösung jedoch als nicht befriedigend.



RADIUS ueber IPSEC ist die einzige Loesung, welche ich eingesetzt habe

Welche Möglichkeiten bestehen, den Ablauf sicherer zu gestalten? Ist das
mit dem ISA Server in der DMZ überhaupt vernünftig lösbar oder sollte
besser ein zweiter ISA im internen LAN aufgesetzt werden, der dann auch
Domànenmitglied ist und direkt mit dem DC über Kerberos kommunizieren
kann.



aus meiner Sicht spricht nichts dagegen, den ISA in die Domaene zu bringen.
http://blogs.isaserver.org/shinder/...ompliance/

Gruss Jens
www.it-training-grote.de
www.forefront-tmg.de
https://mvp.support.microsoft.com/p...Marc.Grote
http://blog.it-training-grote.de

Ähnliche fragen