Самоучитель системного администратора. 5-е издание

Глава 9 
С
ОВЕТ
Ни в коем случае не используйте пароль администратора предприятия для входа на 
рабочие станции пользователей. Существует достаточное число утилит, которые, не 
обнаруживая себя в системе, протоколируют нажатия клавиш. При необходимости 
включите при помощи групповой политики какую-либо учетную запись в число адми-
нистраторов рабочих станций и используйте эту учетную запись для их администри-
рования. 
Токены и смарт-карты 
Существуют различные технические решения, которые позволяют аутентифициро-
вать пользователя, не прибегая ко вводу пароля, — например, по каким-либо био-
метрическим показателям. Но наиболее используемым на практике методом явля-
ется аутентификация на основе 
смарт-карты
. 
Смарт-карта представляет собой устройство, на которое можно с помощью специ-
альных считывателей записывать (и считывать) информацию. Обычно на смарт-
карте сохраняется сертификат пользователя, предназначенный для аутентификации 
его в системе. Чтобы сертификат не мог быть использован злоумышленником, он 
защищается специальным PIN-кодом. PIN-код — это не пароль пользователя в сис-
теме, а лишь защита на случай утери или кражи смарт-карты. Он не передается по 
сети (поэтому не может быть перехвачен анализаторами трафика) и служит для 
доступа к сертификату только локально. Поэтому он может быть достаточно корот-
ким и удобным для запоминания. 
Однако использование смарт-карт предполагает установку на всех компьютерах 
специальных устройств для их считывания, что не всегда удобно или возможно. 
Например, компьютеры могут быть на гарантии, а решение о внедрении смарт-карт 
принимается после их приобретения. 
Конечно, проблему считывателей смарт-карт решить можно, но есть способ более 
эффективный, — использование 
токенов
. Токен (он же аппаратный токен, USB-
ключ, криптографический токен) — небольшое устройство, предназначенное для 
идентификации его владельца и обеспечения информационной безопасности поль-
зователя (рис. 9.1). 
Рис. 9.1. 
Аппаратный токен eToken 
При желании токены можно создать и из обычных флешек, но лучше все же при- 
обрести настоящие — стоят они не так уж и дорого, особенно для предприятия. 
Стоимость токена соизмерима со стоимостью считывателя смарт-карт, но если на 

---

Безопасность 
435 
предприятии необходимо обеспечить повышенный уровень безопасности для ка-
ких-либо отдельных пользователей, это решение будет экономически оправдан-
ным. 
Подключение токена в USB-порт воспринимается системой как вставка смарт-
карты, однако перед использованием токена нужно установить на систему допол-
нительный драйвер этого устройства. 
Rainbow-таблицы 
Операционные системы используют не пароли, а их 
хэши
, созданные по известным 
правилам. Параметры вычислительной техники настолько выросли, что у хакеров 
появилась возможность не перебирать пароли, а составить базу данных хэшей
паролей и затем просто выбирать из нее по полученным данным необходимые зна-
чения. В результате им достаточно узнать (например, перехватить по сети) хэш
пароля, выполнить запрос к подобной базе, называемой Rainbow-таблицей, и полу-
чить значение пароля практически сразу. 
Программы для использования Rainbow-таблиц доступны в Интернете и единст-
венная проблема их использования заключается в объеме таблиц. В зависимости от 
набора символов и длины предполагаемого пароля вам придется закачать из Ин-
тернета до нескольких десятков гигабайт данных. Хотя стоит заметить, что с появ-
лением безлимитных тарифов эти объемы стали доступны многим пользователям. 
При желании можно создать подобную таблицу и самостоятельно. Так, генератор 
таблиц Rainbow из состава программы Cain & Abel (
www.oxid.it
) позволяет по-
строить таблицу хэшей для паролей, состоящих из всех букв латинского алфавита и 
цифр, длиной до восьми символов включительно менее чем за полтора дня. Эта 
программа была обновлена разработчиком в 2014 году и теперь поддерживает 
Windows 8. О поддержке Windows 10 на официальном сайте, к сожалению, ничего 
не сказано. 
Блокировка учетной записи пользователя 
Самый эффективный способ борьбы с подбором пароля — блокировка учетной
записи пользователя после некоторого числа неудачных попыток входа. Эта опция 
включается через групповую политику предприятия с помощью Active Directory 
или настраивается посредством PAM-модулей при использовании Linux. 
Блокировать учетную запись рекомендуется после 3–5 неудачных попыток ввода 
пароля. Полагаем, этого количества попыток должно хватить пользователю, кото-
рый просто ошибся при вводе пароля, — например, выбрал неправильную расклад-
ку клавиатуры, просто нажал не ту клавишу и т. п. Для сложных паролей можно 
увеличить количество неправильных попыток ввода до семи. Лучше пусть будут 
чаще учетные записи блокироваться, и чаще администраторы отвлекаться на до-
пуск в систему слишком много раз ошибшегося, но «своего» пользователя, чем кто-
то подберет чей-то пароль. При этом период, в течение которого считаются попыт-
ки входа, а также время, через которое произойдет автоматическая разблокировка 
заблокированной учетной записи пользователя, можно установить порядка одного 

---

436 
Глава 9 
часа. Другими словами, если пользователь установленное количество раз (допус-
тим, пять) ввел неправильный пароль, его учетная запись будет заблокирована.
Если администратор недоступен, и разблокировать эту учетную запись некому, она 
будет автоматически разблокирована через час. После чего у пользователя опять 
будет пять попыток ввода пароля. 
П
РИМЕЧАНИЕ
Если к учетной записи предъявляются особые требования безопасности, то можно ос-
тавить только вариант ее ручного разблокирования администратором, хотя это и при-
ведет к увеличению нагрузки на него, в том числе потребует и расследования каждого 
такого инцидента. 
Блокировка учетных записей достаточно часто может возникать вследствие тех или 
иных неверных настроек, ошибок сохраненных паролей и т. п. Для расследования 
таких ситуаций можно загрузить комплект утилит 
ALTools.exe
(Account Lockout and 
Management Tools)
1
, позволяющий проанализировать причины блокировки учетных 
записей. В комплект входят программы, предназначенные для анализа систем, вы-
зывающих блокировки, средства просмотра параметров учетных записей и поиска 
данных на контроллерах домена. 
Восстановление пароля администратора 
Существует несколько утилит, позволяющих сменить пароль администратора 
(в том числе и администратора домена). Среди коммерческих вариантов едва ли не 
самая популярная — это программа ERD Commander (сегодня входит в состав 
Microsoft Desktop Optimization Pack). Программа позволяет создать загрузочный 
компакт-диск, с помощью которого можно не только заменить пароль администра-
тора, но и отредактировать настройки реестра системы. 
Существуют и бесплатные решения, наподобие Offline NT Password Editor
2
. Не-
смотря на присутствие в названии обозначения NT, последняя версия программы 
поддерживает все версии Windows, начиная с NT3.5 до Windows 10. Поддержива-
ются и серверные версии: 2003, 2008 и 2012. К сожалению, версия 2016 этим про-
дуктом пока не поддерживается, но, учитывая, что поддержка Windows 10 имеется, 
полагаем, в скором времени разработчики добавят поддержку и Windows Ser-
ver 2016. 
В случае утери пароля от Linux-сервера для его восстановления можно исполь- 
зовать системные средства. Порядок восстановления пароля root будет примерно
таким: 
1.
Перезагрузить систему и передать ядру (используя средства загрузчика) пара-
метр 
single
. Если система при загрузке в однопользовательском режиме запро-
сит пароль root (запросит или нет — зависит от настроек системы), опять пере-
загрузить систему и передать ядру параметр 
init=/bin/bash
. 
1
См. 
http://www.microsoft.com/downloads/details.aspx?familyid=7af2e69c-91f3-4e63-8629-
b999adde0b9e&displaylang=en
. 
2
См. 
http://pogostick.net/~pnh/ntpasswd/
. 

---

Безопасность 
437 
2.
Перемонтировать корневую файловую систему в режиме 
rw
. 
3.
Установить пароль root командой 
passwd
. 
4.
Перезагрузить систему командой 
reboot
. 
Если редактирование конфигурации загрузчика запрещено, порядок восстановле-
ния пароля будет следующим: 
1.
Загрузить компьютер, используя любой Live-носитель: LiveCD, LiveDVD или 
LiveUSB. 
2.
Получить права root. Обычно для этого нужно просто ввести команду 
su
—
пароль на Live-дисках не требуется. 
3.
Выполнить команду 
chroot
для изменения корневой файловой системы. Корне-
вой должна стать файловая система установленного на жестком диске дистрибу-
тива Linux. 
4.
Ввести команду 
passwd
для изменения пароля root. 
5.
Перезагрузить систему командой 
reboot
. 
Методы социальной инженерии 
В связи с постоянно совершенствующимися техническими мерами обеспечения 
безопасности злоумышленники все активнее начинают использовать для получения 
данных об информационной системе методы так называемой 
социальной инже- 
нерии
. 
Например, злоумышленник может представиться ничего не подозревающему со-
труднику предприятия новым специалистом службы техподдержки, коммерческим 
агентом или интервьюером и попытаться получить у него сведения о структуре
сети и расположении информационных сетевых служб, о действующих мерах обес-
печения безопасности данных и т. п. 
Если от одного сотрудника будет получено недостаточно информации, злоумыш-
ленник легко может обратиться ко второму, третьему и т. д. Широко распростране-
ны попытки использования в целях социальной инженерии различных анкет, за-
просов по электронной почте и пр. 
Сотрудники предприятия должны четко придерживаться следующих правил: 
не давать никакой информации в ответ на любые обращения по телефону, по 
электронной почте, при личных контактах каким бы то ни было лицам, если нет 
четкой уверенности в правомочности таких запросов; 
не сообщать никакой информации как личного, так и служебного характера
в различных анкетах на страницах информационных сервисов Интернета или 
пришедших по электронной почте; 
не отвечать на любые не ожидаемые рассылки по электронной почте, даже если 
в письме содержится указание на возможность прекращения подписки. Не пере-
сылать писем, содержащих служебную информацию, по почте в незашифрован-
ном виде; 

---

438 
Глава 9 
при работе в Интернете внимательно следить за интернет-адресами (URL) сай-
тов, чтобы быть уверенными в работе с конкретной и нужной организацией, а не 
с сайтом, созвучным по написанию с реальной организацией, — например 
имеющим адрес 
<организация>.org
вместо 
<организация>.net
; 
не посещать сайты, предоставляющие сертификат (по протоколу HTTPS), к ко-
торому у операционной системы компьютера нет доверия (высвечивается жел-
тый знак предупреждения); 
при контактах с сотрудником той или иной фирмы, впервые представившемся 
вам по электронной почте, принять меры к проверке его данных. При этом не 
следует пользоваться контактными данными, опубликованными в Интернете, — 
проверьте данные об этой фирме иными путями, например, через справочные 
службы. 
Меры защиты от внешних угроз 
Первое, с чего нужно начать, — это ограничить доступ к информационной системе 
как физически, так и по каналам связи. Физическое ограничение доступа начинает-
ся с охраны помещений, а защита каналов связи осуществляется с помощью межсе-
тевых экранов и систем предотвращения/обнаружения вторжений (IPS/IDS). 
Физическая безопасность 
Физический доступ к системе очень опасен. Например, ранее было показано, как 
легко можно изменить пароль администратора Linux-сервера (пароль пользователя 
root). Всего лишь был нужен физический доступ к серверу. Если бы у злоумыш-
ленника не было физического доступа, то у него бы ничего не вышло, — во всяком 
случае, приведенный сценарий не сработал бы, — это уж точно. 
В Windows с безопасностью в случае физического доступа дела обстоят не лучше. 
Злоумышленник не только получит разовый доступ к информации, но и сможет 
произвести такую замену служебных файлов системы, что в дальнейшем сможет 
получать доступ к любым данным в любое время (например, сможет обойти запре-
ты файловой системы NTFS или отключить контроль записи на сменные устройст-
ва). При этом его действия останутся незамеченными для администратора и для 
пользователей. 
Ограничение доступа к рабочим станциям 
Что можно сделать для ограничения доступа к рабочим станциям? Пакет «мини-
мум» должен включать в себя набор следующих мероприятий: 
установить пароль на вход в BIOS SETUP (не на загрузку ОС, а именно на вход 
в SETUP); 
запретить загрузку со сменных носителей — система должна загружаться только 
с собственного жесткого диска; 

---

Безопасность 
439 
поскольку стереть параметры BIOS можно, отключив батарейку материнской 
платы или использовав на ней специальный джампер (при этом все запреты 
снимаются), нужно предусмотреть либо специальные замки, препятствующие 
открытию корпуса системного блока, либо использовать систему пломбирова-
ния. Взломать можно любой замок, однако это не окажется незамеченным, рав-
но как и распломбирование системного блока; 
на всех ПК переименовать стандартную учетную запись 
Администратор
, уста-
новив для нее сложный пароль, а также создать ложную учетную запись 
Адми-
нистратор
с правами обычного пользователя; 
для входа в систему использовать сложный пароль. Не использовать гостевые 
учетные записи и учетные записи без пароля. 
С одной стороны, это минимум, а с другой — максимум. Ведь тот же замок при 
желании можно взломать бесследно и точно так же закрыть после сброса парамет-
ров BIOS. Пломбы также можно восстановить. А узнаете ли вы об этом только 
лишь тогда, когда ваш пароль к BIOS SETUP не подойдет. 
И даже если отключить все USB-порты (что довольно проблематично при исполь-
зовании множества нужных USB-устройств: мыши, клавиатуры, принтеры и пр.) и 
приводы CD/DVD, все равно останется вероятность того, что кто-либо принесет 
внешний DVD-привод или внешний жесткий диск и воспользуется этими устройст-
вами для кражи информации. Да и мобильные смартфоны сейчас оснащены карта-
ми памяти по 64 Гбайт, чего вполне достаточно для «слива» информации, не говоря 
уже о возможности передачи файлов по Интернету. 
Можно, конечно, установить программу блокировки доступа к сменным устройст-
вам (например, DeviceLock от SmartLine) или вообще пойти по пути максимального 
сопротивления и использовать электронный замок — тот же «Соболь» от фирмы 
«Код безопасности»
1
. Но все равно останутся способы обойти и эти решения. Дру-
гое дело, что на такой «обход» понадобится гораздо больше времени, и у админи-
стратора будет возможность заметить попытку несанкционированного доступа. 
Полностью ограничить физически можно разве что серверы, которые размещаются 
в отдельных помещениях, в специальных шкафах под замком и под видеонаблюде-
нием. 
Уровень физической защиты зависит от конкретных условий. Авторы встречали 
ситуации, когда в небольшом предприятии сервер просто устанавливался в сейф. 
Более крупные предприятия размещают серверное оборудование в охраняемом по-
мещении, устанавливая особые правила доступа в него. Существуют возможности 
оборудования кроссовых шкафов датчиками проникновения, «фирменные» серверы 
фиксируют каждый случай открытия крышек корпуса и т. п. 
Не следует забывать, что для извлечения конфиденциальной информации могут 
быть использованы и данные резервного копирования. Например, можно провести 
1
См. 
http://www.securitycode.ru/products/pak_sobol/
. 

---

440 
Глава 9 
восстановление папок контроллера домена в новое место и получить доступ ко 
всем защищенным данным. Поэтому меры защиты серверов резервного копирова-
ния (устройств, на которые осуществляется копирование данных) должны быть не 
менее жесткими, чем применяемые к защите контроллеров домена. 
Межсетевые экраны 
Для ограничения доступа к системе по каналам связи традиционно применяются 
межсетевые экраны (брандмауэры). Использование их мы подробно обсуждали 
в
главе 5
. 
Обратим только еще раз внимание читателя, что, во-первых, нужно контролировать 
как входящий, так и исходящий трафики. Во-вторых, межсетевой экран не препят-
ствует использованию злоумышленником разрешенных протоколов для доступа
к системам (пример доступа извне через межсетевой экран также приведен в
главе 5
). 
И, в-третьих, межсетевые экраны должны быть задействованы как на периметре 
информационной системы, так и на каждой рабочей станции и на каждом сервере. 
Ограничения подключения нового оборудования 
Сегодня пользователям доступно множество компактных USB-устройств: 3G/4G-мо-
демы, адаптеры Wi-Fi, внешние жесткие диски и пр. Подключение 3G/4G-модема
к компьютеру делает последний частью Интернета, и брандмауэр, установленный 
на корпоративном шлюзе, уже не будет этот компьютер защищать. А внешние
жесткие диски сейчас таких размеров, что на них могут поместиться все данные 
сервера. 
Поэтому доступ к внешним устройствам нужно ограничивать. Первый вариант — 
это использование групповой политики Windows, позволяющей контролировать 
USB-устройства. Подробно этот способ описан в статье KB555324 на сайте 
Microsoft. 
Второй вариант — сторонние программные продукты, например, уже упоминав-
шийся DeviceLock. Опциями контроля доступа к съемным носителям оснащены и 
программные комплексы защиты узла. Типичный пример такого комплекса — 
Symantec EndPoint Protection. 
При выборе варианта защиты следует учитывать: 
позволяет ли продукт контролировать различные классы устройств (не только 
USB-устройства, но и, например, модемы, видеокамеры и т. п.); 
можно ли обойти защиту простыми средствами (например, отключив службу 
или загрузившись в безопасном режиме и т. п.); 
имеется ли возможность, запретив устройства по их классу, разрешить исполь-
зование исключений по серийному номеру (реально всегда необходимо обеспе-
чить такие исключения для администраторов, служебных устройств и т. п.). 

---

Безопасность 
441 
Обеспечение сетевой безопасности
информационной системы 
Внешний доступ к информационной системе может быть получен и по каналам 
связи. Соответственно, администратор должен обеспечить такую защиту, чтобы
к сети нельзя было подключить чужое устройство, и чтобы попытки взлома ин-
формационной системы по используемым каналам не оказались успешными. 
Контроль проходящего трафика 
По каналам связи могут осуществляться попытки взлома информационной системы 
с использованием как известных, так и неизвестных на текущий момент уязвимо-
стей. Обычно средствами предотвращения вторжений оснащаются системы защиты 
хоста. Но существуют способы и контроля всего трафика предприятия — специа-
лизированные 
средства обнаружения вторжений
(IDS, Intrusion Detection System). 
Решения по обнаружению попыток взлома могут быть как программными, так и 
аппаратными. Поскольку для такой работы нужна очень высокая скорость вычис-
лений, то обычно используются специализированные аппаратные устройства, 
позволяющие обновлять алгоритмы поиска зловредного кода. 
Системы IDS ведут анализ трафика, фиксируют предполагаемые отклонения и 
формируют соответствующие предупреждения администратору. Существуют так-
же и активные системы — Intrusion Prevention System (IPS) — они в режиме реаль-
ного времени могут блокировать трафик при обнаружении подозрительных кодов. 
Примеров IDS/IPS можно привести достаточно много — как коммерческих, так и 
бесплатных: Check Point IPS, LIDS (Linux IDS), TippingPoint Next-Generation IPS
1
, 
Security Studio Endpoint Protection (сертифицированная система, содержащая IPS) 
и др. 
Контроль устройств по MAC-адресам 
Самый простой и самый бесполезный способ контроля подключаемых к сети уст-
ройств — это проверка MAC-адреса устройства. Такой контроль поддерживается 
всеми управляемыми коммутаторами. Когда включен режим контроля MAC-
адресов, коммутатор запоминает MAC-адрес из первого пришедшего пакета и в 
дальнейшем пропускает данные только с этого устройства (конечно же, только по 
тому порту, к которому подключено устройство). 
Включение проверки MAC-адреса позволяет защититься от уязвимости, называе-
мой ARP-spoofing
2
, при реализации которой злоумышленник может «расположить-
ся» между двумя компьютерами, обменивающимися данными, и перехватывать 
весь трафик. 
1
Разработка HP, см. 
http://www8.hp.com/ru/ru/software-solutions/ips-intrusion-prevention-system/
. 
2
Эта атака использует особенности реализации протокола разрешения имен (ARP) и не зависит от 
реализации программного обеспечения. 

---

442 
Глава 9 
Недостаток способа контроля путем проверки MAC-адреса заключается в том, что 
коммутатор блокирует порт до явного вмешательства. Именно поэтому админист-
раторы не любят включать эту функцию — ведь тогда им приходится перенастраи-
вать коммутатор. Бесполезность же этого способа в том, что MAC-адрес устройства 
очень просто изменить, — как в Windows (рис. 9.2), так и в Linux. Опытный 
взломщик может воспользоваться такой возможностью и подключиться к порту 
коммутатора. 
Рис. 9.2. 
Изменение MAC-адреса путем редактирования свойств адаптера 
П
РИМЕЧАНИЕ
Если настройки сетевого адаптера не содержат возможности смены MAC-адреса, его 
можно изменить через реестр системы — параметр 
NetworkAddress
ключа 
HKLM\ 
SYSTEM\CurrentControlSet\Control\Class\
сетевого адаптера>
. После из-
менения MAC-адреса желательно перезапустить сетевой интерфейс: отключить его и 
снова включить. 
Проверку MAC-адреса устройства часто используют интернет-провайдеры для 
контроля своих клиентов. При изменении MAC-адреса (замена сетевой карты, под-
ключение другого компьютера или установка роутера) требуется звонить провай-
деру и сообщать новый MAC-адрес. Провайдер перенастраивает коммутатор,
и только после этого становится возможно подключиться к Интернету. 
На наш взгляд, это бесполезно. Например, представьте себе ситуацию: подключи-
лись вы к Интернету, маршрутизатора Wi-Fi у вас не было, и сотрудники провайде-
ра записали MAC-адрес вашего компьютера. Спустя время вы купили маршрутиза-

---

Безопасность 
443 
тор или новый компьютер — MAC-адреса у них другие, и надо дозваниваться до 
службы поддержки, а там как обычно: «все операторы заняты». Гораздо проще
изменить MAC-адрес своего устройства программно, благо, эта возможность есть
в прошивке практически любого маршрутизатора. Поэтому в такой защите смысла 
нет — от квалифицированных взломщиков вы не защититесь, а лишь создадите
неудобства и себе, и самым обычным пользователям. 
Протокол 802.1
х
Наиболее безопасным средством контроля подключения к сети в настоящее время 
является использование протокола 802.1
х
, предназначенного для аутентификации 
устройства, подключаемого к локальной сети. Первоначально он был разработан 
для беспроводных сетей, но впоследствии стал применяться и для контроля уст-
ройств, подключаемых к проводным сегментам. 
Принципы подключения, описываемые в стандарте, достаточно просты (рис. 9.3). 
Первоначально порт, к которому подключается устройство, находится в отключен-
ном состоянии и может пропускать 
только
пакеты процесса аутентификации (эти 
пакеты передаются между подключаемым устройством и службой аутентифика-
ции). Подключаемое устройство можно идентифицировать (1) как по его парамет-
рам (например, по заранее известному MAC-адресу или сохраненному сертифика- 
Рис. 9.3. 
Последовательность подключения клиента по протоколу 802.1
х

---

444 
Глава 9 
ту), так и по данным пользователя (в этом случае порт будет открыт после входа 
пользователя в операционную систему). В качестве службы аутентификации ис-
пользуется сервер RADIUS (2). В сетях с централизованным каталогом сервер 
RADIUS проверяет параметры подключения на сервере каталогов (3), от которого 
получает данные аутентификации пользователя (4) и передает на коммутатор раз-
решение на открытие порта (5). После получения подтверждения от RADIUS порт 
коммутатора открывается для передачи информации в обоих направлениях (6). При 
этом RADIUS-сервер может сообщить коммутатору и номер VLAN, в которую 
должен быть помещен клиент. 
В процессе аутентификации могут быть использованы различные технологии под-
тверждения устройства. Наиболее безопасным считается идентификация на основе 
сертификатов. Настройки этого варианта мы далее и рассмотрим. 
Особенности применения протокола 802.1
х 
Протокол 802.1
х
следует использовать только на портах подключения 
конечных
устройств. Применить его на уровне распределения и выше невозможно. 
Стандарт предусматривает открытие порта после получения подтверждения иден-
тификации устройства. Но если к порту коммутатора подключить небольшой сете-
вой концентратор с несколькими компьютерами, то после открытия порта аутенти-
фицированным компьютером другие компьютеры, подключенные к этому концен-
тратору, также смогут беспрепятственно работать в локальной сети. 
Для предупреждения такой опасности можно применить несколько решений. Во-
первых, включить на портах хотя бы тот же контроль по МАС-адресам — такую 
возможность поддерживает большинство коммутаторов: обнаружение на порту 
второго устройства с другим MAC-адресом заблокирует порт. Вторая возможность 
предусматривает контроль за подключенными устройствами — этот режим реали-
зован не для всех моделей коммутаторов. Например, коммутаторы Cisco поддержи-
вают режим single-host — когда через порт может работать только одно устройство, 
а описанный же в стандарте режим — multiple-hosts — допускает подключение
к одному порту нескольких устройств, от чего и приходится дополнительно защи-
щаться. 
Если предприятие использует IP-телефонию, то подключение телефонных аппара-
тов и компьютера обычно осуществляется к 
одному 
порту коммутатора (использу-
ется коммутатор на два порта в телефоне). Как правило, настраивать аутентифика-
цию для IP-телефонов не имеет смысла, поскольку, во-первых, при правильном
администрировании подключение аппарата сопровождается вводом соответствую-
щего пароля с консоли телефона, во-вторых, данные аудиопотока выделяются
в отдельную VLAN. Поэтому многие модели коммутаторов имеют настройки,
позволяющие включить необходимость аутентификации по протоколу 802.1
х
для 
всего трафика, 
кроме
IP-телефонии. 
Есть ряд устройств, которые не поддерживают этот протокол: во-первых, это ком-
пьютеры, на которых установлены старые версии операционных систем, во-вто-
рых, — сетевые принтеры и аналогичные устройства. В таких случаях на соответ-

---

Безопасность 
445 
ствующих портах следует использовать иные методы контроля подключенных уст-
ройств (например, по MAC-адресам). 
Настройка протокола 802.1
х 
Самый безопасный вариант настройки этого протокола — использование сертифи-
катов при аутентификации компьютеров и пользователей. 
В этом случае администратор должен обеспечить следующие настройки: 
настройку Центра сертификации; 
настройку службы каталогов; 
настройку службы RADIUS; 
настройку клиентского компьютера; 
настройку коммутатора. 
Для аутентификации по протоколу 802.1
х
вам необходимо, чтобы, во-первых, кли-
енты имели соответствующие сертификаты, во-вторых, сертификат должен полу-
чить RADIUS-сервер. 
Выдача сертификатов компьютерам 
Для компьютеров, входящих в домен, удобно организовать автоматическую выдачу 
сертификатов. Это делается с помощью настройки групповой политики по сле-
дующему пути: 
Конфигурация компьютера | Конфигурация Windows | Пара-
метры безопасности | Политики открытого ключа | Параметры автоматиче-
ского запроса сертификатов | Создать необходимый автоматический запрос
. 
RADIUS-серверу также необходим специальный сертификат, который можно ис-
пользовать при аутентификации по протоколу 802.1
х
. Этот сертификат могут вы-
дать только центры сертификации, установленные на Enterprise-версии Windows-
сервера. Их необходимо сначала опубликовать в центре сертификации
1
, а затем на 
сервере, где запущена служба IAS (реализация службы RADIUS в Windows), от-
крыть оснастку управления сертификатами 
локального
компьютера
с правами со-
ответствующей учетной записи и запросить сертификат этого типа. После выпол-
нения операции следует проверить наличие сертификата в соответствующем кон-
тейнере (рис. 9.4). 
Настройка службы каталогов 
При подключении по протоколу 802.1
х
аутентифицироваться могут как компьюте-
ры (их учетные записи в домене), так и сами пользователи. Политики подключения 
RADIUS-сервера проверяют членство соответствующих учетных записей в группах 
безопасности. Поэтому для предоставления права доступа создайте в службе ка- 
талогов соответствующие группы безопасности и включите в них требуемые объ-
екты. 
1
Если данная оснастка у вас недоступна, инструкции по ее установке можно получить на сайте Micro-
soft: 
https://docs.microsoft.com/ru-ru/windows-server/networking/core-network-guide/cncg/server-certs/ 
install-the-certification-authority

---

446