Xây Dựng Hệ Thống Tường Lửa Cho Doanh Nghiệp Với Microsoft ISA Server

Xây Dựng Hệ Thống Tường Lửa Cho Doanh Nghiệp Với Microsoft ISA Server Thế giới trong những thập niên vừa qua, nhất là từ khi thực hiện cuộc cách mạng khoa học – kỹthuật vào thập niên 80 đã có những bước phát triển thần kỳ và thật sự mạnh mẽ với hàng loạt thành tựu về kinh tế, khoa học – kỹ thuật, chính trị, xã hội, an ninh,… Nguyên nhân chính cho sựphát triển đó là sự xuất hiện của Internet. Sự xuất hiện của Internet đã thúc đẩy thế giới tiến nhanh về phía trước và đưa cả thế giới bước sang một kỷ nguyên mới, kỷ nguyên bùng nổ thông tin.

TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 1  ÁN TT NGHIP: XÂY DNG H THNG LA CHO DOANH NGHIP VI MICROSOFT ISA SERVER TP.H  GVHD: Th SVTH: - Trn Th ng. - m. - Phm Gia Nguyên Huy. Chuyên Ngành: Qun Tr Mng Máy Tính. Lp: 01CCHT02. Niên Khóa: 2008  2011. TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 2  Qua quá trình học tập và được sự dẫn dắt nhiệt tình của Giảng Viên Hướng Dẫn tại Trường Cao Đẳng Nghề CNTT iSPACE – Chuyên nghành Quản Trị Mạng Máy Tính. Nhóm Chúng em đã đúc kết được những kinh nghiệm từ các bài học, và đã thực hiện hoàn thành Đồ án: “Xây Dựng Hệ Thống Tường Lửa Cho Doanh Nghiệp Với Microsoft ISA Server”. Với lòng biết ơn sâu sắc, nhóm Chúng em xin gởi lời cảm ơn đến Thầy Dương Minh Trung, thầy hướng dẫn trực tiếp đề tài. Trong quá trình làm đồ án thầy đã tận tình hướng dẫn và giúp đỡ nhóm Chúng em giải quyết khó khăn trong đồ án này. Xin chân thành cảm ơn đến Thầy Trần Văn Tài, Thầy Nguyễn Siêu Đẳng – Giảng viên Trường CĐ Nghề CNTT iSpace đã củng cố kiến thức cho nhóm Chúng em thực hiện đề tài hoàn chỉnh. Xin chân thành cảm ơn đến Anh Nguyễn Văn Vinh, Anh Lưu Tuấn Phát – Bộ phận IT - Công ty Cổ phần Chứng khoán Việt Quốc Security đã trang bị cho nhóm Chúng em về kiến thức áp dụng trong thực tế. Mặc dù đã cố gắng rất nhiều, tuy nhiên nội dung của Đồ án này có thể còn nhiều thiếu sót. Nhóm Chúng em xin chân thành cảm ơn ý kiến đóng góp của các bạn đọc cũng như nhận xét của Giảng Viên để nội dung của Đồ án ngày càng hoàn thiện hơn. Cuối cùng, xin chúc tất cả mọi người sức khỏe và trân trọng cảm ơn!. Trường CĐ Nghề CNTT iSpace – Khoa CNTT Sinh Viên Thực Hiện Đề Tài: Trần Thế Cường Phan Đình Đảm Phạm Gia Nguyên Huy TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 3  1. : 2. : Ging Dn: TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 4  A- M U 7 I- Lu: 7 II- Lý Do Ch Tài 7 III- Mc Tiêu 7 IV- Tng Quan Microsoft ISA Server 8 1. Gii Thiu 8 2.  Client Tham Gia Vào ISA Server 9 3. Mt S a ISA Server 10 4. Cách Thc Làm Vic Ca ISA Server 11 5.  Hong Ca ISA Server 13 6. Chính Sách Bo Mt Trong ISA Server 14 7. Các Mô Hình Trin Khai ISA Server 15 8. ISA Server Bo Mt Truy Cp Internet 18 B- NI DUNG 19 I-  19 II- Yêu C Tài 19 III-  Tài 20 IV- THIT K 22  Lun Lý Tng Quát 22  Lun Lý Chi Tit 23 C- TRIN KHAI 24 I- Hoa Ch IP, Computer Name 24 1. Tr S Chính  Qun 1 24 2. Chi Nhánh  Qun 5 26 II- Xây Dng H Thng Mng 27 1. Trin khai Domain Controller 27 2. Trin Khai ISA Server 28 3. Trin Khai Web Server 33 4. Trin Khai Mail Server 34 5. Trin Khai Web-mail S Dng Port 80 36 TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 5 6. Trin Khai Wildcard Certificate 39 7. Trin Khai FTP Server 57 8. Trin Khai File Server 60 III. Xây Dng H Thng La ISA Server 68 1. Trin Khai Network Loab Balancing 68 2. Access Rule 74 3. Publishing Server Ra Internet 89 4. Trin khai VPN ISA 101 5. Trin Khai Phát Hin Xâm Nhp Vi IDS 114 6. Trin khai Antivirus và Antisyware 119 7. Giám sát hong h thng mng 122 D- NG M RNG 133  Tài 133 nh ng H Th 133 TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 6 TÀI LIU THAM KHO [1] Tô Thanh H Trin khai Firewall vi Microsoft ISA Server 2006 (Quý III/ 2010), Nhà xut bng Xã hi. [2] Giáo trình Trin khai An toàn mng  Khoa CNTT   CNTT iSpace. [3] Dit ngh: http://nhatnghe.com/forum/ [4] MS Open Lab: http://msopenlab.com/ [5] Di thut viên: http://www.kythuatvien.com/forum/ [6] DiNTT: http://diendancntt.vn/ TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 7 A- M U I- Lu: - Th gii trong nhng thp niên va qua, nht là t khi thc hin cuc cách mng khoa hc  k thut vào thp niên 80 c phát trin thn k và tht s mnh m vi hàng lot thành tu v kinh t, khoa hc  k thut, chính tr, xã hi, an ni Nguyên nhân chính cho s phát tri  xut hin ca Internet. S xut hin c  y th gii tin nhanh v c và  th gii c sang mt k nguyên mi, k nguyên bùng n thông tin. - t, bt c vt th tn ti hai mt tích cc và tiêu cc. Chúng ta không th nào ph nhn nhng mt tích cc mà Internet mang li, vn nn lo phát trin ngày càng mnh m và Internet là mt công c hu hiu cho nhng k tn công vào các h thng mng vi mi hay chng t bn thân mình. Chính vì vy, trong th trò bo mt h thng mng là vô cùng quan trng. II- Lý Do Ch Tài - Nhóm chúng tôi nh ch ng h thng la cho Doanh nghip vi Microsoft ISA Server  tài rt thc t, giúp chúng tôi có thêm kinh nghim và ng dng thc ting. III- Mc Tiêu - ng dng la ISA Server qun lý h thng Mng Doang nghip vi mc tiêu: m bo h thng la hong nh. 2. Bo mt và An toàn h thng mng. 3. Giám sát và qun lý h thng mng hiu qu. TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 8 IV- Tng Quan Microsoft ISA Server 1. Gii Thiu - Microsoft Internet Security and Acceleration (ISA) là phn mm Share Internet ca t  Microsoft. -  là mt phn mm thit lp t ng la (Firewall) và cho phép mng ni b truy cp Internet linh hot nh ch  Cache thông minh. - ISA Server 2006 có hai phiên bn Standard và Enterprise, phc v cho nhng môi trng khác nhau. ISA Server 2006 Standard: - ng nhu cu bo v và chia s  công ty có quy mô trung bình. Vi phiên bn này chúng ta có th xây d: - Kim soát các lung d liu vào và ra h thng mng ni b ca công ty. - Kim soát quá trình truy cp ci dùng theo giao thc, thi gian và ni dung nh chn vic kt ni vào nhng trang web có ni dung không thích hp, thi gian không thích hp (ví d  làm vic). - Bên c trin khai h thng VPN site to site hay remote access h tr vic truy cp t xa vào h thng mng ni b ca công ty, hoi d liu gii s. - i vi các công ty có nhng h thng máy ch  cn có nhng chính sách bo mt riêng thì ISA Server 2006 cho phép trin khai vùng DMZ nhm  s c tip gii dùng bên trong và bên ngoài h thng. - o mt thông tin trên, ISA Server 2006 bn standard còn có cho cache cho phép rút ngn tht kt ni internet ca mng ni b. - n phm firewall này có tên gi là Internet Security & Aceleration (bo mt c Internet). ISA Server 2006 Enterprise: - c s dng trong các mô hình mng lng nhiu yêu cu truy xut ci dùng bên trong và ngoài h thng. Ngoài nh 2006, bn Enterprise còn cho phép thit lp h thng mng các ISA Server cùng s dng mt u này giúp d dàng qun lý và cung cng ti). o Tóm li, ISA Server có các chc nng chính:  Chia s kt ni internet  chia s ng truyn internet. TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 9  Lp Firewall Server, kim soát, khng ch các lung d liu truy cp t ngoài vào mng ni b hoc li.  c truy cp Web bng gii pháp Cache trên Server.  H tr thit lp h thng VPN (mng riêng o) vi ISA Server làm VPN Server.   tr gii pháp cân bng ti gia hai hay nhing truyn internet. 2.  Client Tham Gia Vào ISA Server - Client có th tham gia vào ISA Server v   SecureNAT: - SecureNAT Clients có th là mt thit b, có th là mt Host Windows 2000, XP, hoc mt máy tính  dng Linux. Clients s dng SecureNAT không th tn dng ha ISA Server. -  s dng SecureNAT, các máy Clients ch cn cu hình Default Gateway tr v a ch IP ca ISA Server. Cu hình TCP/IP s dng ISA Server làm Gateway là chp nhn làm SecureNAT Clients ca ISA Server. - Hoc s dng DHCP Server  cu hình Default Gateway cho Clients tr v a ch ISA Server. TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 10 S dng DHCP Server cu hình Gateway cho các máy Clients trong LAN . -  SecureNAT không th kim soát và chng thc User, password, trang web, trong h thng mng.  Web Proxy Clients: - ISA Server ho     t tt. Proxy Server cung c    Cache cho Web. Web Caching trên ISA Server s dng rt tt. ISA Server Cache ni dung Web trên RAM nên t ci thi. Tt c các Web Browser h tr  s d Avant Browser có th dùng ISA Server 2006 làm Proxy Server. Các Proxy Clients không cn s d truy cng. - u s dng Web Proxy Clients ch h tr cho HTTP và FTP. Web Proxy Settings có th cu hình bng Policy t Domain hoc cu hình bng tay.  Firewall Clients: - Loi Clients này ct ma ISA Server ch có th cài trên h u hành Windows nên loi Clients này ch c bit dùng cho Windows. - Clients ca ISA Server s to kt n n ISA Server bng mt Tunnel riêng có mã hóa gi là WinSOCKS, tt c các traffic s c chuyn ISA Server và ISA Server s  cho tt c các lot c tn d Single Sign On vi User Account trên Active Directory. Cu hình Firwall Clients ct thêm mt c ly t mc Share trên ISA Server. ISA Server t tc truy cp vào ISA Server ly tài nguyên Share này. 3. Mt S a ISA Server - ISA Server là mt công c hu hiu cho mt k hoch tng th  bo mt cho mng ca t chc. Vai trò ca ISA Server là rt trng yu, bc trin khai tm kt ni gia mng bên trong t chc và Internet. Hu ht các t chc cung cp mt vài m truy cp Internet cho i dùng ca h. ISA Server có th c các chính sách bo mt (security polices phân t s cách thc truy cp Internet mà h ng thi, nhiu t chc [...]... Bastion-Host: - Mô hình mạng Bastion Host với Firewall là ISA Server (có thể là Application họăc Appliance đều được) - Trong mô hình này, ISA Server một mình bảo vệ cho hệ thống mạng LAN và cung cấp Internet cho User trong mạng LAN Trong mạng LAN của ISA Server có thể có Domain Controller, DHCP Server, DNS Server, WINS Server và Web Server, Mail Server Những Server này có thể chỉ sử dụng trong mạng... Internet User - Mô hình Three‐homed với ISA Server làm Firewall DMZ và LAN đều kết nối vào ISA Server, mỗi mạng kết nối với ISA Server bằng một Interface riêng với Network ID khác nhau ISA Server đóng vai trò Router và Firewall cho các mạng này - ISA Server sẽ có 3 Interface kết nối với 3 Network khác nhau: External, Internal và DMZ kết nối với DMZ Network Mô hình này giống với Bastion Host, chỉ có thêm... Các máy member ISA sẽ tham gia vào hệ thống lưu trữ này qua Array đã được tạo tại ISA Storage - Việc triển khai ISA Storage nhằm mục đích xây dựng hệ thống cân bằng tải, giúp chia tải công việc giữa các member ISA, duy trì hoạt động hệ thống liên tục ổn định Triển Khai: - Giả lập xây dựng ISA Storage trên máy DC - Triển khai ISA Storage ở chế độ cài đặt: Install Configuration Storage server - Cài đặt... đối với Web Server và Mail Server, đôi khi Domain Controller cũng được sử dụng để chứng thực cho Internet User).Trong hệ thống LAN của ISA lúc này bao gồm 2 hệ thống LAN (1 là Internal cho User trong công ty và một là hệ thống DMZ chứa các Server được truy cập trực tiếp từ Internet User) Trang 15 TRƯỜNG CĐ NGHỀ CNTT iSPACE - QUẢN TRỊ MẠNG MÁY TÍNH Cấu hình IP và Gateway của hệ thống Bastion Host với. .. cài đặt các system policy mặc định cho phép ISA Server sử dụng các dịch vụ hệ thống như DHCP, RDP, Ping  Network Rule: quy định các mối liên hệ giữa các Networks trong ISA Server Các Networks này được ISA Server kết nối với nhau Giữa hai mạng khi đi qua ISA Server sẽ sử dụng một trong hai cơ chế sau đây: ROUTE hoặc NAT Routing không thay đổi Source IP khi đi qua ISA Server, gói tin được giữ nguyên Source... gán địa chỉ cho 2 máy ISA server Trang 29 TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH 2.2 Cài đặt ISA Array Tổng quan: - ISA Array là một trong các member ISA tham gia vào hệ thống Array để đồng bộ dữ liệu với ISA Storage Ngoài ra, ISA Array được hiểu như một Firewall Server quản lý truy xuất giữa các lớp mạng trong hệ thống qua cấu hình của người quản trị Triển khai: - Triển khai ISA Array lần... trên Internet p dụng chính sách bảo mật dành cho khách hàng truy cập mạng không dây tại Phòng Khách hàng: Khách hàng không được truy cập vào hệ thống mạng nội bộ của công ty nhưng vẫn có thể truy cập Internet Xây dựng hệ thống cân bằng tải cho tường lửa tại tổng công ty đảm bảo hệ thống luôn luôn hoạt động tốt, không bị quá tải khi người dùng kết vào hệ thống mạng Trang 19 TRƯỜNG CĐ NGHỀ CNTT iSPACE... và Server publishing rule 7 Các Mô Hình Triển Khai ISA Server - ISA Server 2006 có thể chạy với nhiều mô hình Nếu chạy với tính năng Firewall thì ISA Server sẽ có 2 Interface hoặc nhiều Interface Một số mô hình có thể kể đến khi sử dụng ISA Server 2006 là Bastion Host, Backend Firewall, và Proxy Server only (chỉ sử dụng ISA Server 2006 làm Proxy Server, không tận dụng tính năng Firewall của sản phẩm... Hackers có thể tấn công tiếp vào trong mạng LAN - ISA Server đóng vai trò Back‐End Server cho một Firewall khác Khu vực giữa Frontend và Backend Firewall là vùng DMZ chứa các Server sẽ được Published cho Internet Users - ISA Server có thể làm FrontEnd Firewall, nhưng trong Version từ 2004 trở đi, Microsoft khuyến cáo nên dùng ISA Server (dạng Application) với vai trò BackEnd là tốt nhất Appliance có Performance... tài, triển khai Mail server để trao đổi mail trong hệ thống Công ty Phugiasc Triển khai: - Tại máy DC, triển khai DNS cho máy chủ Mail với địa chỉ: 172.16.10.10 và tạo Alias (CNAME): mail.phugiasc.vn và trỏ về địa chỉ: 172.16.10.10 với mục đích phân giải tên Mail server Trang 34 TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH - Xây dựng Mail server với chương trình Mail Daemon với FQDN là: mail.phugiasc.vn . nghiệm từ các bài học, và đã thực hiện hoàn thành Đồ án: Xây Dựng Hệ Thống Tường Lửa Cho Doanh Nghiệp Với Microsoft ISA Server . Với lòng biết ơn sâu sắc, nhóm Chúng em xin gởi lời cảm ơn. Quan Microsoft ISA Server 8 1. Gii Thiu 8 2.  Client Tham Gia Vào ISA Server 9 3. Mt S a ISA Server 10 4. Cách Thc Làm Vic Ca ISA Server 11 5.  Hong Ca ISA. Share trên ISA Server. ISA Server t tc truy cp vào ISA Server ly tài nguyên Share này. 3. Mt S a ISA Server - ISA Server là mt