La nuova funzionalità di La nuova funzionalità di quarantena in Windows 2003quarantena in Windows 2003

III Workshop sulle problematiche di Calcolo e Reti nell’INFN

Castiadas (CA), 24-29 Maggio 2004

Francesca Del Corso – INFN Sez. Firenzedelcorso@fi.infn.it

Francesca Del Corso – INFN Firenze

ACCESSO VPN

ActiveActiveDirectoryDirectory

PPTP o L2TP/IPSEC PPTP o L2TP/IPSEC

Autenticazione Windows o RADIUS (Windows Server 2003 IAS)Autenticazione Windows o RADIUS (Windows Server 2003 IAS)

Active Directory per la gestione degli utentiActive Directory per la gestione degli utenti

Remote Access Policies su RRAS o IASRemote Access Policies su RRAS o IAS

InternetInternet IntranetIntranet Web ServerWeb Server

RRAS RRAS ServerServer

RAS ClientRAS Client

Windows Server 2003 IASWindows Server 2003 IAS

Francesca Del Corso – INFN Firenze

Processo di Quarantena

ConnessioneConnessione

Autenticazione Autenticazione

AutorizzazioneAutorizzazioneTimeout e FiltriTimeout e Filtri

Policy Check Policy Check ResultResult

Rimozione della QuarantenaRimozione della Quarantena

Accesso in Accesso in QuarantenaQuarantena

Accesso CompletoAccesso Completo

RAS ClientRAS Client

RRAS ServerRRAS Server

Windows Server 2003Windows Server 2003Internet Authentication ServiceInternet Authentication Service

QuarantenaQuarantena

InternetInternet

Francesca Del Corso – INFN Firenze

Architettura della QuarantenaArchitettura della Quarantena

Profilo CMProfilo CM• Esegue script in Esegue script in

modalità post modalità post connect connect

• Esegue RQC ed Esegue RQC ed invia il risultato al invia il risultato al listener listener

ListenerListener• RQS riceve risultatoRQS riceve risultato• Confronta il risultato Confronta il risultato ai possibili risultatiai possibili risultati• Rimuove time-out Rimuove time-out • Rimuove i filtri di Rimuove i filtri di quarantenaquarantena

Quarantine VSAQuarantine VSA• notifica del limite notifica del limite

temporale prima temporale prima dell’auto dell’auto sconnessionesconnessione

• Insieme di Q-filter Insieme di Q-filter temporanei per un temporanei per un accesso in accesso in quarantenaquarantena

RAS ClientRAS Client RRAS ServerRRAS Server

IAS IAS ServerServer

QuarantenaQuarantena

InternetInternet

Francesca Del Corso – INFN Firenze

Network Access Quarantine ControlNetwork Access Quarantine Control

Definizione delle risorse di quarantenaDefinizione delle risorse di quarantena

Configurazione RRAS server ed installazione Configurazione RRAS server ed installazione Rqs.exeRqs.exe

Creazione script o programma che valida la configurazione script o programma che valida la configurazione clientclient

Installazione Windows Server 2003 CMAK e creazione profili Installazione Windows Server 2003 CMAK e creazione profili CM di quarantenaCM di quarantena

Distribuzione profilo CM per installazione su RAS clientDistribuzione profilo CM per installazione su RAS client

Configurazione Remote Access Policies di quarantena sul Configurazione Remote Access Policies di quarantena sul server IAS o RRASserver IAS o RRAS

Francesca Del Corso – INFN Firenze

Risorse di quarantenaRisorse di quarantena

Definizione risorse e server: DNS, WINS, file server, web server

Default Input packet filter:

Rqs ed Rqc: TCP porta 7250 (destination)

Ras DHCP: UDP porta 68 (source), porta 67 (destination)

Rqs DNS: UDP porta 53 (destination)

WINS: UDP porta 137 (dest)

HTTP: TCP porta 80 (dest)

File sharing NetBIOS over TCP/IP: TCP porta 139 (dest)

ConfigurazioneConfigurazione RRAS serverRRAS server

Francesca Del Corso – INFN Firenze

Installazione Rqs.exe su RRAS serverInstallazione Rqs.exe su RRAS server

– Installare MS Windows Resource Kit 2003 Installare MS Windows Resource Kit 2003 su RRAS serversu RRAS server– Modificare lo scriptModificare lo script::

%ProgramFiles%\Windows Resource Kits\Tools>rqs_setup.bat %ProgramFiles%\Windows Resource Kits\Tools>rqs_setup.bat reg add %ServicePath% /v AllowedSet /t REG_MULTI_SZ /d reg add %ServicePath% /v AllowedSet /t REG_MULTI_SZ /d

Version1Version1– Installare Rqs:Installare Rqs:%ProgramFiles%\Windows Resource Kits\Tools>rqs_setup.bat /install%ProgramFiles%\Windows Resource Kits\Tools>rqs_setup.bat /install – HKLM\System\CurrentControlSet\Services\RqsHKLM\System\CurrentControlSet\Services\Rqs

• Aggiungere la chiave AllowedSet, tipo Aggiungere la chiave AllowedSet, tipo REG_MULTI_SZ, valore REG_MULTI_SZ, valore Version1Version1

– Far partire il servizio Remote Access Quarantine AgentFar partire il servizio Remote Access Quarantine Agent• 'net start rqs‘'net start rqs‘

– La componente listener può essere sviluppata utilizzando le API La componente listener può essere sviluppata utilizzando le API MprAdminConnectionRemoveQuarantine() per rimuovere le restrizioni di MprAdminConnectionRemoveQuarantine() per rimuovere le restrizioni di quarantena (quarantena (Microsoft Developer Network http://msdn.microsoft.com/))

Francesca Del Corso – INFN Firenze

• .exe, .cmd, .bat• Serie di test per la verifica della policy di network da parte del RAS client• rqc <ConnName> <TunnelConnName> <Port> <Domain> rqc <ConnName> <TunnelConnName> <Port> <Domain>

<Username> <ScriptVersion><Username> <ScriptVersion>

ConnName: nome connessione di accesso remoto - %DialRasEntry%

TunnelConnName: nome connessione del tunnel - %TunnelRasEntry%

Port: porta TCP - 7250 Domain: dominio utente che si connette - %Domain%

Username: username utente - %UserName% ScriptVersion: versione dello script – Version1

Creazione scriptCreazione script

Creazione profili CM di quarantenaCreazione profili CM di quarantena

Configurazione Remote Access PoliciesConfigurazione Remote Access Policies

Francesca Del Corso – INFN Firenze

Ambiente di testAmbiente di test

ActiveActiveDirectoryDirectory

InternetInternet IntranetIntranet

Web Server WWWWeb Server WWW

VPN / VPN / RRAS RRAS ServerServer

RAS ClientRAS Client

QuarantenaQuarantena

Francesca Del Corso – INFN Firenze

@echo offrem Network quarantine script - INF Sez. Firenze. Se i controlli hanno successo il test è considerato positivamente ed il RRAS Server lascia la quarantena.echo RAS Connection = %1echo Tunnel Connection = %2echo Domain = %3echo User Name = %4echo Service Directory = %5rem %1 = %DialRasEntry%rem %2 = %TunnelRasEntry%rem %3 = %Domain%rem %4 = %UserName%rem %5 = %ServiceDir%set rqcloc=%5\rqc.exe

Script di quarantenaScript di quarantena

Francesca Del Corso – INFN Firenze

REM *********** Controllo Symantec Norton Antivirus Corporate Edition *********:AVCHKreg query "HKLM\Software\Symantec\InstalledApps" >nul 2>&1if errorlevel=0 goto VPTrayCHKset msg=Symantec Norton Antivirus non è installato.goto TESTFAIL

:VPTrayCHK%5\pslist VPTray >nulif errorlevel=0 goto SIGNCHKset msg=Norton Virus Checker non è in esecuzione.goto TESTFAIL

:SIGNCHKfor /F %l in ('find "CurDefs" "%ProgramFiles%\Common Files\Symantec Shared\VirusDefs\definfo.dat"') do set CurDefCli=%lfor /F %l in ('find "CurDefs" "%5\definfo.dat“’) do set CurDefSrv=%lif %curDefCli% == %CurDefSrv% goto ICFCHKset msg=Definizioni dei virus non aggiornate. Scaricare gli aggiornamenti da

http://www.symantec.comgoto TESTFAIL

REM ********** Verifica attivazione Internet Connection Firewall ******************:ICFCHKnet start|find "Internet Connection Firewall" >nulif not errorlevel=1 goto OSCHKset msg=Microsoft Internet Connection Firewall deve essere attivato per potersi connettere.goto TESTFAIL

Francesca Del Corso – INFN Firenze

REM ************Verifica installazione critical security patch ed Hotfix ***************

:OSCHKver|find "5.1." >nulif not errorlevel=1 goto HFXPCHKver|find "5.2." >nulif not errorlevel=1 goto HFW2003CHKset msg=Questa connessione remota richiede Windows XP o Windows 2003 Server.goto EOF

: HFXPCHKreg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP2\Q318684” >nul 2>&1if not errorlevel=1 goto QUARANTENAset msg=Windows XP Hotfix (SP2) Q318684 non trovato; scaricare l’hotfix dal sito

http://windowsupdate.microsoft.comgoto TESTFAIL

:HFW2003CHKreg query "HKLM\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP1\KB819696“ >nul 2>&1if not errorlevel=1 goto QUARANTENAset msg= Windows 2003 Hotfix KB819696 non trovato; scaricare l’hotfix dal sito http://

windowsupdate.microsoft.comgoto TESTFAIL

Francesca Del Corso – INFN Firenze

:QUARANTENA%rqcloc% %1 %2 7250 %3 %4 Version1If "%ERRORLEVEL%" == "0" (set MYERRMSG=Success!) Else If "%ERRORLEVEL%" == "1" (set MYERRMSG=Impossibile contattare il remote access gateway. Il supporto alla

quarantena verrà disabilitato.) Else If "%ERRORLEVEL%" == "2" (set MYERRMSG=Accesso negato. Scaricare l’ultima versione del profilo Connection

Manager direttamente da http://www.fi.infn.it/calcolo/vpn/ e provare a riconnettersi.

) Else (set MYERRMSG=Fallimento sconosciuto. Il client rimarrà in quarantena.)Echo %MYERRMSG%PauseGoto :EOF:TESTFAILEcho Il tuo computer ha fallito i controlli di sicurezza.Echo Per informanzioni contattare il Servizio Calcolo e Reti: servcal@fi.infn.it Pause:EOF

Francesca Del Corso – INFN Firenze

Esempio di script Esempio di script .exe.exe

int main(void)int main(void){{……………………char patches[1][200] = {"\"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\ char patches[1][200] = {"\"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\

Updates\\Windows XP\\SP2\\Q318684\\\""};Updates\\Windows XP\\SP2\\Q318684\\\""};…………......execlp("/cygdrive/c/WINDOWS/system32/reg", execlp("/cygdrive/c/WINDOWS/system32/reg",

"/cygdrive/c/WINDOWS/system32/reg", "query", patches[i], (char *)0); "/cygdrive/c/WINDOWS/system32/reg", "query", patches[i], (char *)0); ……… ……… while(fgets(qstring,80,qstream)) {while(fgets(qstring,80,qstream)) { if(strstr(qstring,"Error: ")) {if(strstr(qstring,"Error: ")) {

patchn=strstr(patches[i],"SP2\\");patchn=strstr(patches[i],"SP2\\");strncpy(patchnstr,patchn,strlen(patchn));strncpy(patchnstr,patchn,strlen(patchn));printf("la patch %s non e\' stata installata\n", strtok(patchnstr+4,"\\"));printf("la patch %s non e\' stata installata\n", strtok(patchnstr+4,"\\"));return -1;return -1;

}} }} printf("controllo patch di sistema effettuato con successo!\n");printf("controllo patch di sistema effettuato con successo!\n"); return 0;return 0;}}

Connection Manager VPN-INFN sez. FirenzeConnection Manager VPN-INFN sez. Firenze

Collegamento dalla rete privata 172.16.1.xCollegamento dalla rete privata 172.16.1.x

Successo del comando tracert Successo del comando tracert

Security policy non soddisfattaSecurity policy non soddisfatta

MS-Quarantine-IPFilter: fallimento del comando tracertMS-Quarantine-IPFilter: fallimento del comando tracert

MS-Quarantine-Session-Timeout: disconnessioneMS-Quarantine-Session-Timeout: disconnessione

Collegamento dalla rete pubblica via ISPCollegamento dalla rete pubblica via ISP

Risultato del comando ipconfigRisultato del comando ipconfig

Francesca Del Corso – INFN Firenze

Sviluppi futuriSviluppi futuri

Virtual Private Networking Virtual Private Networking

Utilizzo di Utilizzo di L2TP/IPSecL2TP/IPSec (certificato macchina sul VPN (certificato macchina sul VPN server e sul VPN client)server e sul VPN client)

Logon securityLogon security

EAP/TLSEAP/TLS (certificato utente sul VPN client e certificato (certificato utente sul VPN client e certificato macchina sul server IAS) macchina sul server IAS)

Cisco VPN Concentrator 3000 Cisco VPN Concentrator 3000

Francesca Del Corso – INFN Firenze

DocumentazioneDocumentazione

Microsoft Windows Server 2003 deployment kit: Microsoft Windows Microsoft Windows Server 2003 deployment kit: Microsoft Windows Server 2003 deploying network services - Microsoft CorporationServer 2003 deploying network services - Microsoft Corporation

Microsoft Windows Server 2003 Network Access Quarantine Control - Microsoft Windows Server 2003 Network Access Quarantine Control - http://www.microsoft.com/windowsserver2003/techinfo/overview/quarantine.mspx

Arrest Suspect Clients with Windows 2003’s New Quarantine Feature - Arrest Suspect Clients with Windows 2003’s New Quarantine Feature - Allen Jones, Ottobre 2003Allen Jones, Ottobre 2003

Step-by-Step Guide for Creating and Testing Connection Manager Step-by-Step Guide for Creating and Testing Connection Manager Profiles in a Test Lab - Microsoft Corporation, Aprile 2003 Profiles in a Test Lab - Microsoft Corporation, Aprile 2003

Step-by-Step Guide for Setting Up Network Quarantine and Remote Step-by-Step Guide for Setting Up Network Quarantine and Remote Access Certificate Provisioning in a Test Lab - Microsoft Corporation, Access Certificate Provisioning in a Test Lab - Microsoft Corporation, Luglio 2003Luglio 2003

www.microsoft.com/windowsserver2003/technologies/networking