Seminar NCP VS GovNet – Windows Pre-Logon und Active Directory

Windows Pre-Logon verbindet mehrere zeitkritische Abhängigkeiten: Netz, Connector, Zertifikat, Gateway, DNS und Active Directory müssen bereits vor dem eigentlichen Benutzerdesktop funktionieren. Das Seminar zerlegt diesen Ablauf in klar prüfbare Phasen.

Seminarprofil

Die Übungen betrachten sowohl den Normalbetrieb als auch Sonderfälle wie abgelaufene Kennwörter, neue Benutzerprofile, fehlende Netzverbindung und gesperrte Zertifikate.

Inhaltsübersicht

1. Kapitel 1: PLAP-Ablauf und technische Abhängigkeiten
2. Kapitel 2: Active Directory, DNS und Netzpfade
3. Kapitel 3: Benutzerzertifikat, SmartCard und PIN
4. Kapitel 4: Zentrale Konfiguration und Rollout
5. Kapitel 5: Betriebs- und Sonderfälle
6. Kapitel 6: Fehleranalyse und Wiederherstellung

Zielsetzung

Ziel ist die sichere Planung, zentrale Konfiguration, Bereitstellung und Diagnose des NCP Pre-Logon Access Providers in einer Active-Directory-Umgebung.

Zielgruppe

Windows- und Active-Directory-Administratoren, Client-Management, NCP-Administratoren und IT-Sicherheitsfachkräfte.

Voraussetzungen

Gute Kenntnisse in Windows, Active Directory, Gruppenrichtlinien, DNS, Zertifikaten und NCP VS GovNet Connector-Grundlagen.

Kapitel 1: PLAP-Ablauf und technische Abhängigkeiten

Inhaltsverzeichnis des Kapitels

• Systemstart und Netz
• Pre-Logon Access Provider
• VPN-Authentisierung
• Windows- und Domänenanmeldung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Der vollständige Ablauf wird vom Einschalten bis zum Benutzerdesktop als Sequenz dargestellt.
2. Schritt 2: Jede Phase erhält notwendige Dienste, Identitäten und erwartete Statusmeldungen.
3. Schritt 3: VPN-Authentisierung und Windows-Anmeldung werden als getrennte Vorgänge behandelt.
4. Schritt 4: Fehlerpunkte und Rückfallverhalten werden für jede Phase definiert.

Kapitel 2: Active Directory, DNS und Netzpfade

Inhaltsverzeichnis des Kapitels

• Domänencontroller und DNS
• Kerberos, LDAP und notwendige Dienste
• Routing und Firewall
• Zeitbasis

Schritt-für-Schritt-Anleitung

1. Schritt 1: Domänendienste und DNS-Zonen werden aus Sicht des VPN-Clients ermittelt.
2. Schritt 2: Notwendige Kommunikationsbeziehungen werden in Routing und Firewall freigegeben.
3. Schritt 3: Namensauflösung wird bereits durch den Pre-Logon-Tunnel getestet.
4. Schritt 4: Zeitabweichungen zwischen Client, Gateway und Domäne werden ausgeschlossen.

Kapitel 3: Benutzerzertifikat, SmartCard und PIN

Inhaltsverzeichnis des Kapitels

• Zertifikatsprofil
• SmartCard-Middleware
• Leser und PIN
• Sperr- und Ablaufzustände

Schritt-für-Schritt-Anleitung

1. Schritt 1: Das Benutzerzertifikat wird dem vorgesehenen Domänenbenutzer eindeutig zugeordnet.
2. Schritt 2: Middleware und Kartenleser werden vor dem Windows-Login verfügbar gemacht.
3. Schritt 3: PIN-Eingabe und erfolgreicher Tunnelaufbau werden getestet.
4. Schritt 4: Abgelaufene, gesperrte und falsch zugeordnete Zertifikate werden als Negativfälle geprüft.

Kapitel 4: Zentrale Konfiguration und Rollout

Inhaltsverzeichnis des Kapitels

• PLAP-Aktivierung
• Connectorprofil
• Gruppen und Pilot
• Sperrung lokaler Änderungen

Schritt-für-Schritt-Anleitung

1. Schritt 1: Die Pre-Logon-Funktion wird im zentralen Connectorprofil aktiviert.
2. Schritt 2: Gateway, Routen, DNS und Authentisierung werden vollständig zugewiesen.
3. Schritt 3: Eine Pilotgruppe mit repräsentativen Windows-Systemen wird ausgewählt.
4. Schritt 4: Lokale Änderungen werden gesperrt und Verteilstatus sowie Rückmeldung kontrolliert.

Kapitel 5: Betriebs- und Sonderfälle

Inhaltsverzeichnis des Kapitels

• Erstanmeldung und neues Profil
• Abgelaufenes Kennwort
• Offline-Situation
• Geräte- und Benutzerwechsel

Schritt-für-Schritt-Anleitung

1. Schritt 1: Ein Benutzer ohne lokales Profil meldet sich erstmals über den Tunnel an.
2. Schritt 2: Ein abgelaufenes Kennwort wird über erreichbare Domänendienste geändert.
3. Schritt 3: Verhalten ohne Netz oder ohne erreichbares Gateway wird gegen die Betriebsregel geprüft.
4. Schritt 4: Benutzerwechsel, Kartenwechsel und Gerätewechsel werden auf korrekte Identitätszuordnung getestet.

Kapitel 6: Fehleranalyse und Wiederherstellung

Inhaltsverzeichnis des Kapitels

• Netz und DNS
• VPN und Zertifikat
• Domänendienst
• Windows-Anmeldung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Die Störung wird der frühesten fehlerhaften Phase des Ablaufs zugeordnet.
2. Schritt 2: Netz, DNS und Zeit werden vor Zertifikats- und Domänentests geprüft.
3. Schritt 3: Connector- und Serverprotokolle werden mit Windows-Ereignissen zeitlich korreliert.
4. Schritt 4: Nach der Korrektur werden Pre-Logon, Domänenanmeldung, Richtlinienübernahme und Protokollierung vollständig wiederholt.