Mettre en place le NETWORK ACCESS QUARANTINE CONTROL

Network Access Quarantine Control est un outil Microsoft Windows Server 2003 Resource Kit dont le mécanisme permet d’exécuter des scripts côté client, qui remplissent des fonctions du genre : vérifier les correctifs à chaud installés, mettre à jour le logiciel antivirus, ou vérifier le paramétrage du pare-feu. Lors de la connexion des clients VPN, on peut effectuer toute tâche du ressort d’un fichier batch, d’un script ou d’un exécutable.

 La mise en place d’un Network Access Quarantine Control est constituée d’un ou plusieurs clients d’accès distants exécutant un profil de connexion client que vous avez créé à l’aide du Windows 2003 Connection Manager Administration Kit (CMAK) ; un point de connexion, comme un serveur Windows 2003 exécutant RRAS ; et, si vous avez besoin de l’authentification RADIUS (Remote Authentication Dial-In User Service), d’un serveur RADIUS Network Access Quarantine Control-complaint tel que Windows 2003 utilisant IAS (Internet Authentication Service). Il faut aussi exécuter une composante d’écoute, comme le service Remote Access Quarantine Agent (rqs.exe), sur le serveur RRAS et une composante de notification, comme le service Remote Access Quarantine Client (rqc.exe) sur le client à distance. Le kit de ressources Windows 2003 contient ces deux outils.

Quand un client distant s’authentifie auprès d’un serveur RRAS armé pour la quarantaine, RRAS envoie un message RADIUS Access Request au serveur IAS. Celui-ci vérifie les références de l’utilisateur et, si la connexion est conforme à la règle d’accès à distance que vous avez établie, il l’accepte mais avec des restrictions de quarantaine. IAS envoie à RRAS un message Access-Accept avec les attributs MS-Quarantine- IPFilter et MS-Quarantine-Session-Timeout. RRAS établit la connexion mais n’accorde au client distant qu’un accès au réseau limité.

A ce stade, le client distant exécute le script de quarantaine, qui fait partie du profil client-connection. Le script vérifie si la configuration du client observe la règle de sécurité du réseau. Dans l’affirmative, le script notifie le service agent sur le serveur RRAS. Le service agent vérifie ensuite la version du script que le client indique, pour s’assurer qu’il s’agit de la version la plus récente. Si la version du script est valide, RRAS lève toutes les restrictions de quarantaine sur la connexion et le client peut donc utiliser celle-ci sans aucune restriction de quarantaine.

En revanche, si le script client signale que la machine n’est pas conforme à la règle du réseau, ou si le client indique une version ancienne du script, les restrictions de quarantaine restent en vigueur. Le client ne pourra alors accéder qu’aux ressources réseau que vous indiquez, comme une page Web avec des instructions et des téléchargements destinés à mettre le client en conformité, jusqu’à ce que le temps spécifié par l’attribut MS-Quarantine-Session-Timeout soit écoulé. A l’expiration de la limite de temps, le serveur RRAS déconnecte le client. Le script peut aussi prendre des mesures qui mettront automatiquement la machine en conformité.