|
Autorisieren von DHCP-Servern Die Windows Server 2003-Produktfamilie bietet integrierte Sicherheitsunterstützung für Netzwerke, die Active Directory verwenden. Durch diese Unterstützung wird eine Klasse von Objekten, die Teil des Basisverzeichnisschemas sind, hinzugefügt und verwendet, wobei die folgenden Verbesserungen zur Verfügung stehen:
Die folgenden Abschnitte behandeln diese Themen:
Hintergrundinformationen zu nicht autorisierten DHCP-Servern Bei richtiger Konfiguration und entsprechender Autorisierung in einem Netzwerk bieten DHCP-Server einen nützlichen und zweckgerichteten Verwaltungsdienst. Wird jedoch ein fehlerhaft konfigurierter oder nicht autorisierter DHCP-Server zu einem Netzwerk hinzufügt, kann er Probleme verursachen. Wird beispielsweise ein nicht autorisierter DHCP-Server gestartet, weist er eventuell falsche IP-Adressleases an Clients zu oder bestätigt DHCP-Server nicht, die versuchen, aktuelle Adressleases zu erneuern. Diese Konfigurationen können zu weiteren Problemen für DHCP-aktivierte Clients führen. Clients, die beispielsweise eine Konfigurationslease von einem nicht autorisierten Server erhalten, sind eventuell nicht in der Lage, gültige Domänencontroller zu finden, da eine erfolgreiche Anmeldung der Clients am Netzwerk verhindert wird Zur Behebung solcher Probleme werden DHCP-Server unter Windows Server 2003 vor ihrer Verwendung mit Clients hinsichtlich ihrer Autorisierung in Active Directory überprüft. Dadurch werden zufällige Schäden durch die Ausführung von DHCP-Servern mit fehlerhafter Konfiguration oder richtiger Konfiguration im falschen Netzwerk weitgehend vermieden. Der Autorisierungsprozess für DHCP-Servercomputer hängt von der Funktion des Servers ab, die bei der Installation in einem Netzwerk festgelegt wird. In der Windows Server 2003-Produktfamilie werden drei Funktionen oder Servertypen für Servercomputer unterschieden:
Bei der Bereitstellung von Active Directory müssen alle Computer, die als DHCP-Server verwendet werden, entweder Domänencontroller oder Mitgliedsserver einer Domäne sein, damit sie autorisiert werden können und Clients DHCP-Dienste bereitstellen können. Es ist zwar möglich, einen eigenständigen Server als DHCP-Server zu verwenden, sofern er sich nicht mit autorisierten DHCP-Servern in einem Subnetz befindet, doch wird dies nicht empfohlen. Erkennt ein eigenständiger DHCP-Server einen autorisierten Server im selben Subnetz, bricht der die Zuweisung von IP-Adressleases an DHCP-Clients automatisch ab. Erkennen nicht autorisierter Server DHCP-Server unter Windows Server 2003 haben die Möglichkeit, autorisierte und nicht autorisierte Server mithilfe der folgenden spezifischen Erweiterungen des DHCP-Standards zu erkennen:
Ein DHCP-Server unter Windows Server 2003 ermittelt über den folgenden Prozess, ob Active Directory verfügbar ist. Wenn dies der Fall ist, stellt der Server durch folgendes Verfahren sicher, dass er autorisiert ist, abhängig davon, ob es sich um ein Mitgliedsserver oder einen eigenständigen Server handelt: · Bei Mitgliedsservern (ein für eine Unternehmensdomäne ausgewählter Server) fragt der DHCP-Server Active Directory nach der Liste der autorisierten IP-Adressen für DHCP-Server ab. Findet der Server seine IP-Adresse in der autorisierten Liste, initialisiert er den DHCP-Dienst und stellt ihn Clients zur Verfügung. Kann er die Adresse nicht in der autorisierten Liste finden, wird er nicht initialisiert und stellt keine DHCP-Dienste bereit. Bei der Installation in einer Umgebung mit mehreren Gesamtstrukturen holen DHCP-Server die Autorisierung ausschließlich in der eigenen Gesamtstruktur ein. Nach der Autorisierung weisen DHCP-Server in einer Umgebung mit mehreren Gesamtstrukturen IP-Adressleases allen erreichbaren Clients zu. Wenn daher Clients aus einer anderen Gesamtstruktur über Router unter Verwendung der DHCP/BOOTP-Weiterleitung erreicht werden, weist der DHCP-Server ihnen IP-Adressleases zu. Steht Active Directory nicht zur Verfügung, setzt der DHCP-Server seine Funktion im letzten bekannten Zustand fort. · Bei eigenständigen Servern (Server, die nicht zu einer Domäne oder einem vorhandenen Unternehmen gehören) wird beim Starten des DHCP-Dienstes eine Anforderung in Form einer DHCP-Informationsmeldung (DHCPINFORM) an das erreichbare Netzwerk unter Verwendung der lokalen beschränkten Broadcastadresse (255.255.255.255) gesendet, um die Stammdomäne zu finden, in der andere DHCP-Server installiert und konfiguriert sind. Diese Meldung beinhaltet verschiedene herstellerspezifische Optionstypen, die von anderen DHCP-Servern unter Windows Server 2003 erkannt und unterstützt werden. Sobald andere DHCP-Server die Meldung erhalten, ermöglichen diese Optionstypen die Abfrage und den Empfang von Informationen zur Stammdomäne. Bei einer Abfrage antworten die anderen DHCP-Server mit DHCP-Bestätigungsmeldungen (DHCPACK) zur Bestätigung und Beantwortung mit Stammdomäneninformationen aus Active Directory. Empfängt der eigenständige Server keine Antwort, wird er initialisiert und stellt Clients DHCP-Dienste bereit. Wenn der eigenständige Server eine Antwort von einem in Active Directory autorisierten DHCP-Server empfängt, wird der eigenständige Server nicht initialisiert und stellt Clients keine DHCP-Dienste bereit. Autorisierte Server wiederholen den
Erkennungsprozess standardmäßig in Abständen von 60 Minuten.
Nicht autorisierte Server wiederholen den Erkennungsprozess
standardmäßig in Abständen von 10 Minuten. Anmerkungen
|