- PR -

AD環境を構築せずにNPSをIEEE802.1Xで使用する場合の証明書について

1
投稿者投稿内容
Detonator
会議室デビュー日: 2009/02/18
投稿数: 3
投稿日時: 2009-02-18 00:46
はじめまして、よろしくお願いします。

今回Windows2008ServerのNPSを利用して、IEEE802.1Xを使用した出来るだけセキュアな無線LAN環境を構築したいと思っているのですが・・・

証明書発行の段階で躓いてしまいました
今回ドメイン管理をせずにActive Directory 証明書サービスにてサーバー証明書、及びクライアント証明書を証明機関Web 登録サポートを使用して行おうとしたのですが
WEB証明書とメール証明書の発行しか出来ません
私のやり方がおかしいとは思うのですが何度やってもうまくいきません
検索してもドメインを使用して環境を構築するのがほとんどみたいで情報が見つかりませんでした

証明書について根本的な考え方が間違っているのかもしれないのですが・・・
ADを使用しない環境でのサーバー、クライアント証明書の発行出来れば運用まで
よければ教えてください

ほとんどスタート地点で止まってしまってますがよろしくお願いします
試験問題作成委員会
ベテラン
会議室デビュー日: 2009/01/04
投稿数: 54
投稿日時: 2009-02-18 11:12
Active Directoryを構築していないとエンタープライズ証明機関はインストールできません。
スタンドアロンルート証明機関としてインストールすることになります。
クライアントより、
http://＜サーバ名>/certsrv
とWEBブラウザを開いて、発行された証明書を手動でインストールすることになると思います。
Windows Server 2008 の証明機関のインストールについてはしたなどのページを参照してください。また信頼おける書籍を一読してみてください。
http://technet.microsoft.com/ja-jp/library/cc731916.aspx

どこのベンダーの802.1x NAPか書かれていないのですがたとえばしたのようなページにも手順書があります。
http://www.ctc-g.co.jp/MungoBlobs/914/722/NAP_stepbystep_802.1x_RC1.pdf


[ メッセージ編集済み 編集者: 試験問題作成委員会 編集日時 2009-02-18 11:55 ]
Detonator
会議室デビュー日: 2009/02/18
投稿数: 3
投稿日時: 2009-02-20 12:01
試験問題作成委員会様
回答ありがとうございます

色々と説明不足でしたので捕捉させていただきます

今回構築しようとしている環境は
一台のWindows2008Serverに
　ネットワークポリシーサーバーサービス（NPS）
　スタンドアロンルート証明機関（CA）
　Syslogサーバ
　DHCP（必要なのか？）を構築
　さらに出来ればHyper-V を使用して仮想マシンで検疫用のマシンを構築したいです

RADIUS クライアントとして
　Allied Telesis のAT-TQ2403を使用
認証方法はEAP-TLS方式

接続台数は約２０台（WINdowsXP）

現在の社内LANにはL3スイッチ経由で認証後接続可能とする。
証明書はスタンドアロンルート証明機関を使用し、管理者が有効期限３か月程度の証明書を作成し外部記憶媒体で配布する方法を取ろうと考えています。
週一か月一程度でシスログを確認し不正なアクセスがないかを調査できる。

上記環境を構築したいのですが・・・
最初の証明書発行の段階で詰まってしまっています
試験問題作成委員会さんの貼っていただいたURLはどちらも見てはいたのですが
スタンドアロンの証明書についてはよくわからなくて
無線LANをEAP-TLSで接続するにはどうすればいいのかが分かっていません

もしお勧めの書籍でもあれば教えてください
現在参考にしている書籍はWindows2003/2008ネットワーク管理ガイドです

合わせてこの構成だとまずいとかあれば教えてください

私の知識不足は否めないのですがよろしくお願いします
試験問題作成委員会
ベテラン
会議室デビュー日: 2009/01/04
投稿数: 54
投稿日時: 2009-02-20 13:45
Windows Server 2003とWindows XPの例ですが、たとえばしたのページにも書かれています。
http://itpro.nikkeibp.co.jp/article/Windows/20060209/228886/?ST=win&P=2

Active Directoryを構築していないと、グループポリシーでワイヤレスネットワークポリシーを一括設定できないし、インターネット認証サービス（IAS）もActive Directory無しでは難しいと思います。

NPS、スタンドアロン証明機関(CA)、無線LANのEAP-TLSについては翔泳社の書籍に書いてあったような気がします。検証はしたことがないのでご了承願います。
【Windows Server 2008 Active Directory 編】
http://www.seshop.com/detail.asp?pid=9457
【Windows Server 2008 Network編】
http://www.seshop.com/detail.asp?pid=9463

まず、納得できる書籍を一読なさることをお勧めします。

http://www.sophia-it.com/content/EAP-TLS
http://enterprise.watch.impress.co.jp/cda/special/2005/01/28/4234.html
http://itpro.nikkeibp.co.jp/members/NBY/techsquare/20021122/2/
http://support.microsoft.com/kb/814394/ja

情報検索するとうえのようなページがでてくるのですが
PKI（公開鍵基盤）の仕組みをよく理解していないとご要望は難しそうですね。




[ メッセージ編集済み 編集者: 試験問題作成委員会 編集日時 2009-02-22 01:52 ]
Detonator
会議室デビュー日: 2009/02/18
投稿数: 3
投稿日時: 2009-02-25 09:00
試験問題作成委員会様
迅速な回答ありがとうございます
インフルエンザで倒れていました
とりあえず今回Active Directoryを使用して試してみたいと思います
ありがとうございました。
1

スキルアップ／キャリアアップ（JOB@IT）