Internet Authentication Service

В то время как штатных средств защиты сервиса Маршрутизации и удалённого доступа (RRAS) достаточно для небольших сетей, крупные компании часто нуждаются в выделенной инфраструктуре аутентификации. В качестве стандартного решения для таких задач используется протокол RADIUS, поддерживающий специализированные серверы аутентификации.

В составе Windows 2000 Server и Windows Server 2003 реализован Internet Authentication Service (IAS) — сервер на основе стандарта RADIUS. IAS поддерживает аутентификацию как для клиентов на базе Windows, так и для сторонних клиентов, совместимых со стандартом RADIUS. Информация об учётных данных пользователей хранится в Active Directory, а управление осуществляется через политики удалённого доступа. Впервые IAS появился для Windows NT 4.0 в комплекте Windows NT 4.0 Option Pack и в составе Microsoft Commercial Internet System (MCIS) версий 2.0 и 2.5.

Хотя использование IAS требует установки дополнительного серверного компонента, по сравнению с аутентификацией на базе RRAS он предоставляет ряд преимуществ: централизованная аутентификация пользователей, возможность аудита и учёта, высокая масштабируемость, а также интеграция с существующими функциями RRAS.

В Windows Server 2008 Internet Authentication Service (IAS) был заменён на сервер политик сети (NPS). NPS выполняет все функции IAS в Windows Server 2003 для VPN, беспроводных и проводных соединений на основе 802.1X, а также осуществляет оценку состояния клиентов Network Access Protection и выдачу неограниченного либо ограниченного доступа.

По умолчанию IAS ведёт журнал в локальные файлы (%systemroot%\LogFiles\IAS\*), однако его можно также сконфигурировать для сохранения событий в базе данных SQL. В этом случае IAS оборачивает данные в формат расширяемой разметки, после чего вызывает хранимую процедуру report_event, передавая XML как текст; далее эта процедура может разобрать XML и сохранить данные в желаемом для пользователя виде.

Первая версия Internet Authentication Service была включена в комплект Windows NT 4.0 Option Pack.

В Windows 2000 Server появилась поддержка более интеллектуального разрешения имён пользователей, входящих в домен Windows Server, поддержка ведения журнала в кодировке UTF-8 и повышенная безопасность^[1]. Добавлена также поддержка аутентификации на основе протокола EAP для сетей IEEE 802.1X. Позднее внедрена поддержка PEAP (начиная с Service Pack 4).

В Windows Server 2003 появилась возможность вести журнал в базе данных Microsoft SQL Server, реализована поддержка межлесной аутентификации (для учётных записей Active Directory из других лесов, с которыми лес сервера IAS имеет доверительные отношения; не путать с междоменным доверием, реализованным ещё с версии NT4), а также поддержка портовой аутентификации IEEE 802.1X и ряд других функций^[2].

Все версии IAS поддерживают работу в мультидоменной среде. Межлесная аутентификация реализована только в Windows Server 2003. В версии для NT4 входил прокси-сервер RADIUS, тогда как в Windows 2000 эта функция была временно отсутствующей. В Windows Server 2003 прокси вновь внедрён и способен выполнять интеллектуальную маршрутизацию, балансировку нагрузки и работу в условиях сбоев или недоступности серверов бэкэнда.