Décrouvrez Network Acces Protection : NAP Accueil > Articles > Système
Auteur  Alexandre VILLOING LABORATOIRE SUPINFO DES TECHNOLOGIES MICROSOFT  Tous les articles de cet auteur Alexandre WETTA LABORATOIRE SUPINFO DES TECHNOLOGIES MICROSOFT Etudiant  Tous les articles de cet auteur		3,8/5 Bien 56659 74/287

3. Fonctionnement de NAP

La technologie NAP permet de filtrer les machines provenant :

• se connectant au réseau local (DHCP)
• se connectant à distance (VPN : Virtual Private Network)
• se connectant au réseau local avec ou sans DHCP, par l'intermédiaire de certificat d'état (IPSec)

- Les trois modes gérés par NAP -

Dans les parties suivantes, nous allons étudier le fonctionnement de NAP dans le cas d'une connexion DHCP, puis d'une connexion VPN et enfin dans le cas d'utilisation d'une autorité de certification.

Listes de abréviations utilisés ci-après :

• NAP : Network Access Protection
• DHCP : Dynamic Hosts Configuration Protocol
• VPN : Virtual Private Network
• IAS : Internet Authentification Service
• QEC : Quarantine Enforcement Client
• QES : Quarantine Enforcement Server
• SHA : System Health Agent
• SHV : System Health Validator

3.1 NAP en DHCP

Fonctionnement du DHCP avec la technologie NAP :

Lorsqu'un client NAP essaye de se connecter au réseau local de l'entreprise, il crée une liste de SoH à l'aide de l'agent de quarantaine puis de chaque SHA. Il émet ensuite une requête DHCP pour obtenir une proposition de configuration IP.
Le QEC DHCP du serveur NAP reçoit cette demande accompagné de la liste de SoH puis la transmet au serveur IAS (RADIUS) qui la retransmet au serveur de quarantaine. Le serveur de quarantaine distribue chaque SoH de la liste aux SHV appropriés.
En retour, les SHV renvoient leurs réponses au Serveur de quarantaine qui crée une liste de SoHResponse. Cette liste est transmise au serveur IAS qui l'analyse et compare les données du client à la stratégie d'accès réseau. Selon cette analyse, le serveur IAS transmet au QES DHCP sa réponse concernant ou non la mise en quarantaine du client.
Selon cette réponse, le serveur DHCP (QES DHCP) crée une configuration d'adresse IP puis la transmet au client (QEC DHCP). Le client reçoit alors la proposition et prévient le serveur DHCP de son acceptation. Le serveur DHCP lui renvoi un accusé.

Mais alors comment un client NAP peut-il être bloqué dans le réseau restreint par le protocole DHCP ?

En fait, l'accès au réseau restreint ou au réseau global de l'entreprise par le client va dépendre de la configuration renvoyée par le serveur DHCP.

Prenons tout d'abord le cas d'un client NAP qui répond aux exigences du réseau :
Le client demande une adresse, il y'a vérification de son état de santé puis le serveur DHCP reçoit la décision positive du serveur IAS. Il va donc simplement crée une configuration d'adresse IP standard et qui fonctionne donc par conséquent sur tout le réseau.

Supposons maintenant que le client NAP ne soit pas au niveau requis par l'administrateur :
Il demande une adresse mais cette fois, le serveur IAS n'autorise par le serveur DHCP a l'admettre sur la totalité du réseau de l'entreprise. Le serveur DHCP lui crée donc une règle particulière : une adresse vers le routeur de 0.0.0.0 et un masque de sous-réseau de 255.255.255.255. Le client NAP ne peut donc pas communiquer avec la passerelle ni avec le sous-réseau.
Le client NAP ne peut donc pas communiquer avec le réseau de l'entreprise. Pour tout de même l'autoriser à accéder aux serveurs de remède (serveurs de stratégie) le serveur DHCP crée des itinéraires statiques vers les serveurs nécessaires à sa mise à jour.
Dans ce cas, notre client NAP n'a donc accès à aucune autre ressource que celle définie par le serveur DHCP dans les itinéraires statiques.

Cependant, cette méthode présente un inconvénient. En effet, si un client paramètre lui-même sa configuration IP (notamment le masque de sous-réseau et la passerelle), il aura accès à la totalité du réseau même si son état ne réponds pas aux exigences requises.

Schéma représentant le fonctionnement de NAP avec DHCP

Ci-dessous deux tableaux. Le premier présente la communication entre le client NAP et le serveur NAP lors de l'établissement de la connexion. Le second évoque le cas où le client s'est mis à jour et veut accéder à la totalité du réseau.

Si le client doit se mettre à jour avant de pouvoir adhérer à la totalité du réseau de l'entreprise, il aura donc accès aux ressources nécessaires. Lorsque cette mise en conformité aura été effectuée, le client NAP réitérera sa demande.

3.2 NAP en VPN

Pour rappel, le VPN permet à un utilisateur distant de se connecteur au réseau de son entreprise en utilisant sa connexion Internet. Cela lui permet d'avoir accès aux ressources locales (imprimantes, serveurs de fichier, messagerie, …) comme ci il était physiquement branché sur le réseau de l'entreprise.

La connexion VPN par NAP comporte deux parties :

• initialisation de la connexion VPN (étapes 1 à 6 du tableau)
• vérification de l'état de santé du client et prise de décision (étapes 7 à 19 du tableau)

Pour bloquer un utilisateur dans la zone réseau restreint, le serveur VPN met en place un système de filtres VPN qui permettent d'autoriser la communication uniquement vers les serveurs de remède.

Lorsque le client NAP s'est mis à jour, il peut alors refaire une demande pour supprimer les filtres appliqués.

3.3 NAP avec utilisation d’un certificat d’état

A la différence de la quarantaine DHCP et VPN, la quarantaine IPsec permet d'être appliquée sur chaque ordinateur du réseau. La quarantaine IPsec permet d'ignorer, sur les postes ayant un certificat d'état valide, les communications entrantes envoyées par des postes qui n'ont pas un certificat d'état valide.

La quarantaine IPsec divise le réseau en trois zones. Un ordinateur est membre d'une seule zone à la fois.

Voici une explication des différentes zones :

•  La zone sécurisée : cette zone comprend les ordinateurs qui ont un certificat d'état valide. Les ordinateurs de cette zone exigent que les communications entrantes utilisent IPsec.

•  La zone frontière : cette zone comprend les ordinateurs qui ont un certificat d'état valide. Cependant, les ordinateurs de cette zone n'exigent pas obligatoirement que les communications entrantes utilisent IPsec.

•  La zone de quarantaine : cette zone comprend les ordinateurs qui n'ont pas de certificats d'état. Il s'agit d'ordinateurs qui n'ont pas effectués de contrôles d'état, qui sont invités sur le réseau ou encore qui ne sont pas compatibles NAP.

Les différentes zones communiquent de la façon suivante :

•  Les ordinateurs de la zone sécurisée peuvent communiquer avec les ordinateurs des trois zones. Cependant ils n'accepteront pas les communications établies à partir d'ordinateur de la zone de quarantaine. Prenons un exemple, un ordinateur de la zone sécurisée peut demander un page web située sur un ordinateur qui appartient à la zone de quarantaine mais un ordinateur qui appartient à celle-ci n'aura pas cette possibilité.

•  Les ordinateurs de la zone frontière peuvent aussi communiquer avec les ordinateurs des trois zones et acceptent les communications qui n'utilisent pas IPsec. Généralement, les membres de la zone de frontière incluront seulement le serveur de certificats d'état et les serveurs de stratégie NAP. Les serveurs de la zone frontière doivent être accessibles à partir des clients NAP de la zone de quarantaine, pour exécuter les fonctions correctives et obtenir les certificats d'état, et à partir des ordinateurs sains pour exécuter les fonctions correctives permanentes, renouveler les certificats d'état et gérer les ordinateurs de la zone frontière.

•  Les ordinateurs de la zone de quarantaine peuvent communiquer seulement avec les ordinateurs de la zone frontière et de quarantaine. Cependant, ils acceptent tout de même les communications entrantes des ordinateurs de la zone de sécurité.

Ce schéma résume les différentes façons de sécurité entre les trois zones :

Ci-dessous deux tableaux. Le premier présente la communication entre le client NAP et le serveur NAP lors de l'établissement de la connexion.

Le schéma suivant montre la communication entre le client NAP et le serveur NAP lors de l'établissement de la connexion :

Le deuxième tableau représente un client qui est a jour et qui veut appartenir aux ordinateurs de la zone de sécurité.

Introduction

1. Présentation de NAP
     1.1 Qu'est-ce que NAP ?
     1.2 Exemples de solutions
     1.3 Partenaires et collaborations

2. Architecture d'un réseau utilisant NAP
     2.1 Architecture du réseau
     2.2 Composition du serveur NAP
     2.3 Composition du client

3. Fonctionnement de NAP
     3.1 NAP en DHCP
     3.2 NAP en VPN
     3.3 NAP avec utilisation d’un certificat d’état

Conclusion

En Savoir Plus

Evaluez cet article  0 1 2 3 4 5 Pour afficher ou poster un commentaire, cliquez sur ce lien : Forum-Microsoft