VPN QUARANTINE (VPN KARANTINA) PART

Makale

G�n�m�zde server sistemlerin g�venlik politikalar� �e�itli senaryo ve ��z�mlere sahne olmu�tur. Bu ��z�mlerden biri olarak �VPN Quarantine� uzak ba�lant�larda pop�laritesini koruyan bir denetim �ekli olarak �irketlerin g�venlik ��z�mlerinde �n s�ralarda bulunmaktad�r. Bu yararl� olgu sayesinde uzak kullan�c�lar�n VPN ile �irket network�ne ba�lanmaya �al��malar� esnas�nda uygulanacak baz� politikalar ve �artlarla (�rne�in antivirus program� kullanmayan uzak kullan�c�lar�n �irket networkune ba�lanmalar�na izin vermemek) �irket g�venli�ini sa�lamak m�mk�n olabilmektedir.

�Quarantine� kelimesi T�rk�emizde �Karantina� olarak adland�r�lmaktad�r. Dolay�s�yla s�ylemlerimde bu �ekli kullanaca��m.

Ad�ndan da anla��laca�� gibi Karantina ile yapabileceklerimizin ba��nda uzak kullan�c�lar�n ba�lant�lar�n� ger�ekle�tirmelerinden sonraki safhada ikinci bir g�venlik kordonundan ge�mek zorunda b�rak�lmalar�n� sa�lamakt�r. Karantinan�n kurulmas� ve uygulanmas� i�in elimizde bulunmas� gereken materyaller �unlard�r.

- Windows Server 2003 Ent Edition kurulu bir i�letim sistemi

- Active Directory Yap�s� (Yap�land�r�lm�� bir Domain Controller)

- Windows Server 2003 Ent Cd

- Karantina i�in kullan�lacak bir .exe, bir .bat ve bir .txt dosyas�

Evet �imdi s�ra geldi kuruluma ba�malaya. Unutmamak gerekir ki VPN KARANT�NA kurulumu olduk�a a�amal� ve dikkat gerektiren bir kurulumdur. T�m bu �n bilgilerden sonra art�k kuruluma ge�ebiliriz.

Senaryomuzda bir i� gezisi i�in Uzak Do�u�ya giden bir kullan�c�n�n �irket network�ne uzaktan eri�erek kaynaklar� kullanmas� anlat�lacakt�r. �ncelikle Active Directory Users and Computers i�erisinde bir kullan�c� yarat�yoruz. Bu kullan�c� uzak ba�lant�y� ger�ekle�tirece�imiz kullan�c� olacakt�r.

Kullan�c�m�z�n Ad� �vpn1�

�imdi bir global group olu�turuyoruz.

Olu�turdu�umuz kullan�c�y� �control� grubuna �ye yap�yoruz.

Grup yaratmam�zdaki ama� Remote Policy tan�mlamalar�nda grup kullan�yor olmam�z.

�imdi s�ra geldi DHCP yi yap�land�r�p uzaktan ba�lanacak kullan�c�lar�n �irket networkunde yer alabilmeleri i�in onlara ip atanmas�n� sa�lamaya. Network Servislerinden DHCP yi kuruyoruz.

DHCP�yi kurduktan sonra bir scope olu�turuyoruz.

Bu scope yarat�l�rken uzaktan ba�lanacak kullan�c�lara atanacak IP adreslerinin �irketin �i� subnetinde oldu�una dikkat ediyoruz.

�imdi IAS (Internet Authentication Services) ad�n� verdi�imiz ve b�t�n Authentication olaylar�n� kontrol eden servisi kuruyoruz. Bu sayede VPN kullan�c�s�n�n g�venlik kontrol� bu noktada yap�lacak.

IAS kurulduktan sonra yap�lmas� gereken en �nemli g�rev onu Active Directory i�erisinde Register etmektir. Aksi halde IAS g�revini yerine getirmeyecek ��nk� Active Directory�den yetki alamayacakt�r.

Bu register i�leminin ard�ndan Active Directory �zerinde Users b�l�m�nde bulunan �RAS and IAS Servers� adl� grubun �yeleri aras�na �CLI� ad�yla bizim IAS serverimiz da eklendi.

Bu senaryoda DC ve IAS ayn� server �zerine kuruldu�undan dolay� ayn� ismi g�rmekteyiz.

�imdi IAS �zerinde RADIUS (Remote Access D�al-In User Service) Server�in yap�land�r�lmas� gerekiyor ki VPN kullan�c�lar� RADIUS �zerinden kontrol edilebilsin ve KARANT�NA�ya al�nmalar� gerekti�i bilgisine ula�abilsinler.

Burada dikkat edilmesi gereken �client address� b�l�m�ne yaz�lacak IP�nin asl�nda uzak kullan�c�y� ilk olarak kar��layacak olan VPN Server�in yani yine bizim senaryomuzda DC �zerinde kurulu olan Routing and Remote Access Server �zerinde yap�land�r�lan VPN SERVER'a ait olmas�. Bundan dolay� bu k�sma VPN SERVER IP�si yaz�lmal�d�r.

Burada belirtti�imiz �Shared Secret� daha sonra VPN Server yap�land�r�l�rken kar��m�za ��kacak ve VPN SERVER ile RADIUS SERVER aras�ndaki tokala�may� sa�layacakt�r.

�imdi IAS �zerinde uzak kullan�c�lar i�in uygulanacak olan g�venlik kurallar�n� yaratal�m.

Burda �ncelikle KARANT�NAYA al�nacaklara uygulanacak i�lemleri ortaya koyaca��m�z kontrol b�l�m�.

Bu k�s�mda �ncelikle kontrolden ge�eceklerin grubunu beliriyoruz. Daha �nceden olu�turdu�umuz �control� adl� grubu Windows-Group adl� tema ile ekliyoruz.

��te burada Add diyoruz ve �MS-Quarantine� adl� filtrelerimizi ekliyoruz. Bununla beraber kullan�c�lar�n KARANT�NA�ya al�nmalar� gerekti�ini IAS �zerinden RADIUS�a bildiriyoruz.

Bu k�s�mda karantinaya al�nacak kullan�c�lar�n karantinada ne kadar s�re bekletileceklerini ortaya koyuyoruz. Karantinada daha sonradan uygulaca��m�z �artlarla uyu�mayan kullan�c�lar burda belirtece�imiz saniye periyodundan sonra otomatik olarak Disconnect edileceklerdir. �rne�imizde 10 saniye belirtiyoruz.

�imdi de Karantinaya ald��m�z kullan�c�lar�n karantina i�erisinde kald�klar� s�re boyunca �al��t�rabilecekleri program ya da kullanabilecekleri uygulamalarin portlar�n� belirtiyoruz.

D��ar�dan gelecek ba�lant�lar� filtreleyece�imizden dolay� Input Filter se�ilmelidir.

Yeni bir filtre olu�turup burada TCP 7250 portunu a��yoruz aksi halde karantinadaki kullan�c� hi�bir �ekilde �irket i�erisinde var olamayacakt�r. Bu noktada istenirse gerekti�ini d��nd��n�z di�er portlar� da a�abilirsiniz. Fakat unutmamak gerekir ki �artlar� sa�alamayan bir kullan�c� �ok fazla yetkiye sahip olmamal�d�r. Bundan dolay� gereksiz port a��lmamal�d�r.

Permit se�eni�iyle yaln�zca belirtti�imiz portun kullan�lmas�n� bunun d��nda kalanlar�n ise kesinlikle reddedilmesini sa�lad�k.

Son durum bu �eklide g�z�kecektir.

�imdi de kontrol edilecekler gibi ikinci bir Policy olu�turuyoruz bunu da di�er b�t�n kullan�c�lar�n giri� yapabilmesi i�in kullan�yoruz. Yani karantina ile ilgisi olmayan di�er t�m uzak kullan�c�lar..

Day-And-Tme Restiriction ile di�er b�t�n kullan�c�lar�n uzak ba�lant�lar�nda ge�erli olacak zaman k�s�tlamas�n� ortaya koyuyoruz.

T�m zamanlara Permit vererek serbest giri� hakk� veriyoruz.

Policy lerimizin son durumu bu �ekilde olu�uyor. Fakat �nemli bir ayr�nt� olarak �unu unutmamak gerekir ki; kontrol edileceklerin kurallar�n�n ilk s�raya ta��nmas� gerekmekte. Bunun sebebi ise ilk a�amada kontrol kriterlerimizi uygulatabilmemizdir. Aksi halde ilk s�rada serbest haklar� sa�layan �di�erleri� isimli kural olursa hi�kimse kontrol edilme a�amas�na gelmeden serbest bir �ekilde a�a dahil olacakt�r. Bundan dolay� �kontrol edilecekler� isimli kural� ilk s�raya al�yoruz.

�imdi Routing and Remote Acces Serverin VPN server olarak yap�land�r�lmas� ve RADIUS Server�i tan�yabilmesi sa�lanmal�d�r. Bu sayede authentication VPN server taraf�ndan RADIUS Server�a iletilecektir.

Routing and Remote Access Server�i VPN i�in yap�land�r�yoruz.

D�� a�a ��karken kulland��m interface�i se�meliyiz.

DHCP yi yap�land�rd��m�z i�in uzaktan ba�lanacak kullan�c�lar ilk olarak VPN Server�a ula�acaklar�ndan dolay� ilk IP atamalar� bu noktada yap�lacakt�r.

Bu k�s�mda VPN SERVER�a bizim bir RADIUS Server�imizin oldu�unu s�yleme zaman� geldi.

RADIUS Server olarak IAS �zerinde yap�land�rd��m�z RADIUS Serverin IP sini yaziyoruz ve Shared Secret �ifresini de yaz�yoruz. Art�k VPN Server ile RADIUS kolayl�kla anla�abilecekler ve uzak kullan�c�lar�n kontrol denetimi VPN serverdan RADIUS servera aktar�lacak.

VPN SERVER konfigurasyonu da bu �ekilde tamamlan�yor.

�imdi IAS, RADIUS, VPN Server konfigurasyonlarindan sonra �Quarantine Service� adli servisi kurallar�m�z�n uygulanabilmesini sa�lamak amac�yla y�klememiz gerekiyor. Bunu da yine NETWORK SERVICES kismindan yapiyoruz.

Bu servisi kurduktan sonra manual olarak start etmemiz gerekecek. Bunun i�in �servisler� b�l�m�nden servisi a�mal�y�z.

�nce Automatic yapiyor ardindan Start ediyoruz.

Art�k server taraf�nda yap�lmas� gereken son bir �ey daha kald�. Bu da Connection ayarlamas� yapmak. Bu k�s�mda da client taraf�nda kullan�lmak �zere bir nevi application yarataca��z. Bu sayede client, uzak ba�lant�s�n� herhangi bir ayar yapmaks�z�n �al��t�rd��nda do�rudan �irketin d��a a��lan k�sm�na yani VPN Server�a ba�lanacak ve ard�ndan gerekli authentication s�recinden sonra karantina i�lemleri yap�lacak ve gerekli �artler� yerine getirdi�inde �irket networkune dahil olacakt�r. Bu connection ne �ekilde yarat�l�yor bunu da ikinci b�l�mde inceleyece�iz.

Te�ekk�rler

Baki Onur OKUTUCU

Makaleyi nas�l buldunuz?

Makaleyi nas�l buldunuz?
�ok K�t�		�ok Yararl�

G�r��leriniz : (opsiyonel)

VPN QUARANTINE (VPN KARANTINA) PART - IPrint Versiyonu

VPN QUARANTINE (VPN KARANTINA) PART - I

Print Versiyonu