Tài liệu Site VNP bang ISA 2006 Firewall Branch Office Connection Wizard pdf

Tạo Site to Site VNP bằng ISA 2006 Firewall Branch Office Connection Wizard Trong phần hai loạt bài giới thiệu cách cấu hình một mạng riêng ảo (VPN) site to site bằng cách sử dụng Branch Office Connectivity Wizard trong ISA 2006 Firewall, chúng tôi sẽ giới thiệu cho các bạn về các vấn đề DNS cần thiết để giải pháp làm việc, thêm vào đó là việc cài đặt CSS và tạo các mảng ISA Firewall cho văn phòng chính và văn phòng chi nhánh. Trong phần đầu tiên của loạt bài này, chúng tôi đã giới thiệu cho các bạn về cơ sở hạ tầng mạng ví dụ và đã thảo luận về một số khái niệm trong việc tạo các VPN site to site. Tạo Site to Site VNP bằng ISA 2006 Firewall Branch Office Connection Wizard – Phần 1 Trong phần hai của loạt bài này, chúng tôi sẽ giới thiệu cho các bạn về các vấn đề DNS cần thiết để giải pháp làm việc, thêm vào đó là việc cài đặt CSS và tạo các mảng ISA Firewall cho văn phòng chính và văn phòng chi nhánh. Cấu hình máy chủ DNS văn phòng chính để từ chối các nâng cấp động, add các entry DNS tĩnh (Host (A) Record) cho các mảng và ISA Firewall văn phòng chi nhánh. Trước khi bắt đầu cài đặt CSS tại văn phòng chính và các mảng ISA Firewall, bước đầu tiên chúng ta cần thực hiện là cấu hình DNS server trên mạng công ty để từ chối các nâng cấp động. Chúng ta cần thực hiện điều đó để khi ISA Firewall chi nhánh kết nối với ISA Firewall văn phòng chính nó sẽ sử dụng địa chỉ IP ảo không được đăng ký trong DNS để thay thế cho địa chỉ IP bên trong có thực của ISA Firewall văn phòng chi nhánh. Điều này cũng tránh được việc ISA Firewall văn phòng chính đăng ký địa chỉ IP ảo của nó trong DNS. Đây là một vấn đề hay xảy ra với các kết nối VPN site to site. Cho ví dụ, giả dụ bạn sử dụng Web proxy và Firewall client trên mạng văn phòng chính và các máy khách đó được cấu hình sử dụng tên của ISA Firewall để kết nối đến các dịch vụ Firewall và Web proxy của ISA Firewall. Mọi thứ làm việc tốt cho tới khi có kết nối site to site. Sau khi kết nối site to site được thiết lập, địa chỉ IP ảo của văn phòng chính sẽ tự đăng ký trong DDNS (Dynamic DNS). Lúc này khi Web proxy và Firewall client cố gắng kết nối đến ISA Firewall văn phòng chính, chúng sẽ cố gắng kết nối đến địa chỉ IP ảo của ISA Firewall văn phòng chính (địa chỉ RAS interface) và các kết nối từ Web proxy và Firewall client sẽ thất bại. Một kịch bản khác khi đăng ký địa chỉ RAS interface ảo (IP ảo) nảy sinh vấn đề là khi ISA Firewall văn phòng chi nhánh cố gắng kết nối với CSS văn phòng chính. Khi kết nối site to site được thiết lập, ISA Firewall văn phòng chi nhánh sẽ đăng ký địa chỉ RAS interface ảo của nó trong CSS. CSS cố gắng truyền thông với mảng Firewall văn phòng chi nhánh bằng cách sử dụng địa chỉ này và kết nối sẽ thất bại. Chúng ta có thể tránh được các vấn đề này bằng cách vô hiệu hóa DDNS trên DNS server. Bạn có thể đặt ra câu hỏi “Liệu chúng ta có cần thực hiện điều này vĩnh viễn không hay chỉ cần có một cách có thể cấu hình demand-dial interface để không cần đăng ký trong DDNS?” Câu trả lời là “có thể”. Chúng ta cần tạo các Host (A) record trong DNS tích hợp Active Directory với các máy dưới đây: • isa2006se.msfirewall.org (10.0.0.1) • isa2006branch.msfirewall.org (10.0.1.1) • main.msfirewall.org (10.0.0.1) • branch.msfirewall.org (10.0.1.1) Không cần nhập vào các bản ghi cho máy CSS hoặc domain controller là vì các máy này đã được cài đặt và được đăng ký trong DNS bằng DDNS. Chúng ta không phải lo lắng về các máy đó vì thông tin địa chỉ IP của chúng sẽ không thay đổi theo trạng thái kết nối của kết nối VPN site to site. Trước khi tạo Host (A) record, bạn cần tạo một vùng tra cứ ngược cho network ID văn phòng chi nhánh. Trong ví dụ hiện hành của chúng tôi, network ID của văn phòng chi nhánh là 10.0.1.0/24. Thực hiện theo các bước dưới đây để tạo vùng tra cứu ngược: 1. Trong Domain controller, kích Start, sau đó trỏ đến Administrative Tools. Kích DNS. 2. Trong giao diện điều khiển DNS management, mở máy chủ và kích nút Reverse Lookup Zones. 3. Kích phải vào nút Reverse Lookup Zone và kích New Zone. 4. Trong trang Welcome to the New Zone Wizard, kích Next. 5. Trong trang Zone Type, chọn tùy chọn Primary Zone và kích Next. Hình 1 6. Trong trang Active Directory Zone Replication Scope, chọn tùy chọn To all DNS servers in the Active Directory domain msfirewall.org. Chúng ta chọn tùy chọn này vì chỉ có một miền (domain) trong tổ chức. Nếu có nhiều domain, bạn có thể tạo bản sao của vùng tra cứu ngược này cho tất cả các máy chủ DNS trong forest. Kích Next. Hình 2 7. Trong trang Reverse Lookup Zone Name, chọn tùy chọn Network ID và nhập vào network ID cho văn phòng chi nhánh trong hộp văn bản. Trong ví dụ này, network ID của văn phòng chi nhánh là 10.0.1.0/24, vì vậy chúng ta sẽ nhập vào 10.0.1 và kích Next. Hình 3 8. Trong trang Dynamic Update, chọn tùy chon Allow only secure dynamic updates (recommend for Active Directory). Kích Next. Hình 4 9. Kích Finish trong trang Completing the New Zone Wizard. 10. Bạn sẽ thấy vùng mới trong phần panel bên trái của giao diện DNS management. Hình 5 Giờ đây chúng ta đã sẵn sàng cho việc tạo Host (A) record. Sử dụng thủ tục dưới đây để add các Host (A) record vào DNS: 1. Trong máy Domain controller, kích Start, trỏ đến Administrative Tools và kích DNS. 2. Trong giao diện DNS management, mở máy chủ, sau đó kích nút Forward Lookup Zones. Kích vào nút msfirewall.org. 3. Kích phải vào nút msfirewall.org và kích lệnh New Host (A). 4. Trong hộp thoại New Host, nhập vào tên của máy chủ trong phần Name (uses parent domain name if blank). Trong ví dụ này, chúng tôi sẽ nhập vào tên của ISA Firewall văn phòng nhánh, đó là isa2006branch. FQDN sẽ xuất hiện trong hộp Fully qualified domain name (FQDN). Nhập vào địa chỉ IP bên trong của ISA Firewall văn phòng chi nhánh trong hộp văn bản IP address. Trong ví dụ này, địa chỉ IP của ISA Firewall văn phòng chi nhánh là 10.0.1.1, vì vậy chúng ta sẽ nhập địa chỉ đó vào hộp văn bản. Kích Add Host. Hình 6 5. Để mở hộp thoại Add Host để cho phép bạn nhập thêm các entry Host (A). Nhập tên và thông tin địa chỉ IP cho các entry được lưu ý trong danh sách ở trên cho ISA Firewall nội bộ, cũng như mảng. 6. Sau khi nhập vào các bản ghi, kích Cancel trong hộp thoại New Host. 7. Danh sách của bạn cần phải giống như hình bên dưới. Hình 7 8. Lúc này chúng ta cần load các entry này vào cơ sở dữ liệu DNS. Có thể thực hiện điều này bằng cách khởi động lại máy chủ DNS. Trong DNS console, kích phải vào tên máy chủ và trỏ đến All Tasks, kích Restart. Hình 8 Để kết thúc việc cấu hình DNS, chúng ta cần vô hiệu hóa các nâng cấp động (tối thiểu là tạm thời). Trong phần panel bên trái của giao diện DNS, kích entry msfirewall.org trong nút Forward Lookup Zones. Kích phải vào nút msfirewall.org và kích Properties. Trong hộp thoại Properties, kích tab General. Trong tab General, chọn tùy chọn None từ danh sách sổ xuống Dynamic updates. Kích OK. Không cần khởi động lại dịch vụ DNS để tùy chọn này có hiệu lực. Tối thiểu cửa sổ giao diện DNS. Hình 9 . khái niệm trong việc tạo các VPN site to site. Tạo Site to Site VNP bằng ISA 2006 Firewall Branch Office Connection Wizard – Phần 1 Trong phần hai của. Tạo Site to Site VNP bằng ISA 2006 Firewall Branch Office Connection Wizard Trong phần hai loạt bài giới thiệu cách cấu hình một mạng riêng ảo (VPN) site