Welche Sicherheioten bietet RAS?

[Sven Eichler]

hallo!

Konstellation:

Firma: Linux-RedHat-Firewall, 3 Server Win2K (1x Terminalserver), Modem.

Zu Hause: Rechner Win XP / Win2K, Modem.

Ich möchte, da ich es echt dick hab, nur noch in der Firma zu sitzen, (teilweise) Remoteadministration von zu Hause aus betreiben. Ich würde gerne den RAS-Dienst nutzen. Jetzt stellt sich mir nur eine Frage: Wie sicher ist denn die ganze Geschichte? Klar, ich werde über Rückruf arbeiten. Aber wie sieht es mit dem Rest aus? Ich meine, wird der Datenfluss verschlüsselt? Gibt es, oder benötige ich sogar, Zertifikate?

Ich würde mich der Logik halber auch vermutlich auf dem Terminalserver einwählen, zwecks der Übertragungsbandbreite, oder?

Ich habe zwar in den Threads hier mal gestöbert, aber war mit den Antworten irgendwie unschlüssig...

Nachtrag: Was genau ist denn der RADIUS-Server? Ist das sinnvoll?

[gurkenpapst]

willst du dich über telefonleitung einwählen oder das über vpn machen?

Da du von Rückruf sprichst, wohl eher über telefon.

Warum willst du da den Datenstrom verschlüsseln? Es besteht doch nur eine Verbindung zwischen Dir und dem RAS-Server. Wer soll es also abhören können? Ich würde Rückruf wie gesagt benutzen und nur bestimmten Nutzern die einwahl gestatten. Die Rückrufnummer würde ich fest eintragen.

Wovor willst du es absichern?

RADIUS ist eine Authentifizierungsvariante. Sinnvoll wenn du andere Dienste/Authentifizierungen auf einen Benutzer-Stamm zugreifen wollen.

Beispiel:

Du hast nen W2000 DC, nen squid Proxy mit authentifizierung. Der Squid soll die Benutzer und deren Passwörter nicht selbst überprüfen sondern gibt die authentifizierung an den Radius Server weiter. So brauchst du z.B. Benutzer nur einmal zu pflegen, sie haben immer das gleiche Benutzer/Passwort paar

hier die RFCs

http://www.cis.ohio-state.edu/cgi-bin/rfc/rfc2138.html

http://www.cis.ohio-state.edu/cgi-bin/rfc/rfc2139.html

[gurkenpapst]

Zusatz:

RADIUS ist speziell für DIAL-IN entwickelt worden, daher ist mein Beispiel leider untreffend, sorry.

[Sven Eichler]

Hi, Gurkenpapst!

Danke für die Antworten, haben doch einiges geholfen. Nur vielleicht doch noch Eines:

Der RADIUS-Server bietet, wenn ich das richtig verstanden habe, die Möglichkeit, einem Benutzer ein "RAS-Kennwort" zusätzlich zu seinem Windows-Account-Passwort zuzuweisen...? Sorry, aber ich hab da echt keine Ahnung von...

[TschiTschi]

Zum Thema Verschlüsselung:

Wenn Du sicherheitsrelevante Daten überträgst, würde ich Dir Verschlüsselung empfehlen. Bei einer Remote-Administration scheint mir das aber weniger der Fall zu sein!

RADIUS ist sinnvoll, wenn Du eine zentrale Datenbank möchtest und ggf. starke Authentisierung (wie z.B. SecurID ) einsetzen willst.

Da Du es aber nur für Dich machst und zusätzlich ja auch (statisches) Dial-Back nutzt, bringt Dir das nichts!

GG

[Sven Eichler]

Äh, jetzt wirds dann peinlich für mich , aber trotzdem nochmal zum Verständniss: Interpretiere ich Deine Antwort richtig, wenn ich daraus lese:

"RADIUS wird dann benötigt, wenn mehr als eine Authentifizierung gewünscht ist? Ich muss mich erst über den Radius-Server anmelden, danach erst an der Domäne"?

Wie sollte man über eine Telefonleitung verschlüsseln? Es geht hier zwar momentan nur um mich, später allerdings sollten unsere Aussenprüfer (sind eine Steuergesellschaft) per Tel. auf unsere DB kommen... Geht das über Protokolle oder brauch ich da irgendwelche Fremdsoftware?

[alexf10]

radius -???

http://w3.siemens.de/solutionprovider/_online_lexikon/3/f009803.htm

http://www.linux-magazin.de/Artikel/ausgabe/1999/12/Radius/radius.html

[McCaffrey]

Hallo,

Radius und TACACS+ sind Protokolle mit denen Anfragen eines AAA Clients an einen AAA Server gesendet werden. Sie unterscheiden sich folgendermaßen:

TACACS+

- TCP: Verbindungsorientiertes Protokoll auf der Transport Schicht (4), verlässlicher Full-Duplex Datenübertragung

- Paketverschlüsselung

- Unabhängige AAA Architektur

Radius

- UDP: Verbindungsloses Protokoll auf der Transport Schicht (4), Austausch von Datenpaketen ohne Bestätigung oder garantierter Übermittlung

- Verschlüsselt nur Passwörter bis zu 16 Byte

- Verbindet Authentifizierung und Autorisierung

AAA steht für Authentifizierung, Autorisierung und Accounting, falls das unklar sein sollte.

mfg

McCaffrey