ISA Server 2006 sicher über RADIUS mit NPS kommunizieren lassen

[Pylon 10]

Hallo Community,

 

ich habe bei mir folgende Konstellation:

 

Unsere User nutzen einen ISA Server 2006 Standard als Webproxy, um im Internet zu surfen. Der Server steht in unserer DMZ (da er hier auch andere Aufgaben wahrnehmen muss) und ist somit kein Domänenmitglied in unserem internen LAN.

 

Beim Zugriff auf das Web müssen sich die User anhand ihres Domänenaccounts authentifzieren. Damit der ISA-Server den Zugriff aus der DMZ gewähren kann, habe ich in unserem internen LAN einen NPS-Server als RADIUS-Server aufgesetzt, der die Anfragen des ISA Servers aus der DMZ annimmt und für ihn prüft.

 

Der ganze Ablauf funktioniert. Allerdings erlaubt der ISA Server als Webproxyclient nur die Verwendung von PAP, um mit dem sich authentifizierenden Host zu kommunizieren. Da hier die Anmeldeinformationen im Klartext übermittelt werden, empfinde ich diese Lösung jedoch als nicht befriedigend.

 

Welche Möglichkeiten bestehen, den Ablauf sicherer zu gestalten? Ist das mit dem ISA Server in der DMZ überhaupt vernünftig lösbar oder sollte besser ein zweiter ISA im internen LAN aufgesetzt werden, der dann auch Domänenmitglied ist und direkt mit dem DC über Kerberos kommunizieren kann.

 

Bin gespannt auf eure Antworten :wink2:

 

Gruß

Pylon