triển khai cấu hình ISA Server Firewall 2004 phần 10 pps

Trang 212 Triển khai ISA Server Firewall 2004 Tiến hành các bước sau để tạo VPN clients Access Rule: 1. Trongn Microsoft Internet Security and Acceleration Server 2004 management console, mở rộng server name và click Firewall Policy node. Right click Firewall Policy node, chọn New và click Access Rule. 2. Trong Welcome to the New Access Rule Wizard page, đặt tên cho rule trong Access Rule name text box. Trong vd này, chúng ta sẽ đặt tên cho rule là VPN Client to Internal. Click Next. 3. Trên Rule Action page, chọn Allow và click Next. 4. Trên Protocols page, chọn All outbound protocols từ danh sách This rule applies to. Click Next. 5. Trên Access Rule Sources page, click Add. Trong Add Network Entities dialog box, click Networks folder và double click trên VPN Clients. Click Close. 6. Click Next trên Access Rule Sources page. 7. Trên Access Rule Destinations page, click Add. Trên Add Network Entities dialog box, click Networks folder và double click trên Internal. Click Close. 8. Trên User Sets page, chấp nhận xác lập mặc định là, All Users, và click Next. 9. Click Finish trên Completing the New Access Rule Wizard page. Trang 213 Triển khai ISA Server Firewall 2004 10. Click Apply để lưu những thay đổi và cập nhật firewall policy. 11. Click OK trong Apply New Configuration dialog box. Enable truy cập quay số -Dial-in Access cho Administrator Account Trong Active Directory domains không phải ở chế độ native mode (Native mode: Ở chế độ này tất cả các Domain Controllers trong domain ấy phải là Windows Server 2000/2003), Tất cả các tài khoản User đều bị disabled quyền quay số truy cập theo mặc định-dial-in access by default. Trong tình huống này, bạn phải enable dial-in access trên mỗi tài khoản cơ bản. Ngược lại, thì Active Directory domains ở chế độ native mode có dial-in access được tập trung điều khiển bởi Remote Access Policy trong RRAS Server. Windows NT 4.0 dial-in access luôn được điều khiển căn cứ trên từng User account Trong ví dụ này, Active Directory ở dạng Windows Server 2003 mixed mode, và vì thế cần thay đổi thủ công các xác lập quyền quay số trên user account. Tiến hành các bước sau trên domain controller để enable Dial-in access cho riêng Administrator account: 1. Click Start và chọn Administrative Tools. Click Active Directory Users and Computers. 2. Trong Active Directory Users and Computers console, click trên Users node trong khung trái. Double click trên Administrator account trong khung phải. 3. Click trên Dial-in tab. Trong khung Remote Access Permission (Dial-in or VPN), chọn Allow access. Click Apply và click OK. Trang 214 Triển khai ISA Server Firewall 2004 4. Đóng Active Directory Users and Computers console. Kiểm tra kết nối VPN ISA Server 2004 VPN server giờ đây đã chấp nhận các kết nối VPN client. Tiến hành các bước sau để kiểm tra VPN Server: 1. Trên Windows 2000 external client, right click My Network Places icon trên desktop và click Properties. 2. Double click Make New Connection icon trong Network and Dial-up Connections window. 3. Click Next trên Welcome to the Network Connection Wizard page. 4. Trên Network Connection Type page, chọn Connect to a private network through the Internet option và click Next. 5. Trên Destination Address page, điền IP address 192.168.1.70 trong Host name or IP address text box. Click Next. 6. Trên Connection Availability page, chọn For all users option và click Next. 7. Không thay đổi trên Internet Connection Sharing page. và click Next. Trang 215 Triển khai ISA Server Firewall 2004 8. Trên Completing the Network Connection Wizard page, điền vào tên của VPN connection trong Type the name you want to use for this connection text box. Trong vd này, chúng ta sẽ đặt tên kết nối là ISA VPN. Click Finish. 9. Trong Connect ISA VPN dialog box, điền vào user name MSFIREWALL\administrator và password của administrator user account. Click Connect. 10. VPN client sẽ thiết lập một kết nối với ISA Server 2004 VPN server. Click OK trong Connection Complete dialog box nhận được thông báo rằng kết nối đã được thiết lập. 11. Double click trên Connection icon trong system tray và click Details tab. Bạn có thể thấy chế độ mã hóa 128 bits dùng giao thức MPPE- MPPE 128 encryption được sử dụng để bảo vệ data và thấy IP address được cấp phát cho VPN client. Trang 216 Triển khai ISA Server Firewall 2004 12. Click Start và Run command. Trong Run dialog box, điền vào \\EXCHANGE2003BE trong Open text box, và click OK. Các folder shares trên domain controller xuất hiện. 13. Right click Connection icon trong system tray và click Disconnect. Kết luận: Trong chương này, chúng ta đã thảo luận làm thế nào để enable ISA Server 2004 VPN server và làm thế nào để cấu hình VPN server. Chúng ta cũng đã kiểm tra các chức năng VPN server khi tạo một kết nối từ VPN client và truy cập vào các tài nguyên trên Internal network. Ở chương tới, Sẽ nói về việc triển khai VPN Site-to- Site Trang 217 Triển khai ISA Server Firewall 2004 Chương16: Tạo kết nối VPN Site-to-Site vời ISA Server 2004 Firewalls Một kết nối VPN site-to-site đó là sự kết nối hai hay nhiều networks sử dụng một VPN link qua Internet. Cấu hình VPN site-to-site làm việc tương tự như LAN router; Các packets được gửi tới từ các remote site đến những IP addresses xác định sẽ được định tuyến thông qua ISA Server 2004 machine. ISA Server 2004 firewall machine đóng vai trò như một VPN gateway kết nối hai networks lại với nhau qua Internet. Mỗi một liên kết site-to-site có thể dùng một trong các VPN protocols sau: • PPTP • L2TP/IPSec • IPSec tunnel mode PPTP -Point-to-Point Tunneling Protocol. PPTP cung cấp mức độ bảo mật tốt d ựa trên mức độ phức tạp của password được dùng để tạo PPTP connection. Bạn có thể tăng cường mức độ bảo mật được áp dụng cho liên kết PPTP thông qua sử dụng các phương thức xác thực EAP/TLS based-authentication. L2TP/IPSec VPN protocol cung cấp mức độ bảo mật cao hơn bởi vì có sử dụng giao thức mã hóa IPSec để bảo mật kết nối. Cũng có thể dùng computer và user certificates để cung cấp mức độ b ảo mật cao hơn nữa khi thực hiện kết nối dùng L2TP/IPSec. Nếu bạn chưa sẵn sàng triễn khai hạ tầng cung cấp chứng chỉ xác thực số- certificate infrastructure, có thể sử dụng các khóa chia sẽ - pre-shared key để thực hiện kết nối L2TP/IPSec VPN site-to-site. Trong ISA Server 2004 hỗ trợ IPSec ở chế độ kênh ngầm- tunnel mode cho site-to- site VPN connections. Bạn chỉ nên dùng IPSec tunnel mode khi bạn cần tạo ra một site-to-site link với một VPN Server Gateway của hãng khác -third-party VPN gateways. tunnel mode của Third-party IPSec gateways có thể không h ỗ trợ cấp độ bảo mật cao mà L2TP/IPSec dùng, vì vậy có thể sẽ dung một VPN protocol yếu hơn. IPSec tunnel mode siteto-site links có ưu điểm cho các văn phòng chi nhánh, khi văn phòng chính vẫn sử dụng ISA Server 2004 firewall làm VPN gateways. Tiến hành các thủ tục sau để tạo site-to-site link giữa hai ISA Server 2004 firewall. ISALOCAL machine sẽ giả lập làm firewall tại văn phòng chính, và REMOTEISA sẽ làm firewall của văn phòng chi nhánh. Chúng ta sẽ dùng L2TP/IPSec VPN protocol để tạo site-to-site link, và một pre-shared key được sử dụng để hỗ trợ IPSec encryption protocol. Hoàn thành các thủ tụ c sau để thiết lập kết nối site to site VPN: • Tạo Remote Site tại văn phòng chính • Tạo Network Rule tại Văn phòng chính • Tạo Access Rules văn phòng chính • Tạo tài khoản quay số Dial-in Account đến VPN Gateway tại văn phòng chính • Xác lập Shared Password trong RRAS Console tại văn phòng chính • Tạo Remote Network Văn phòng chi nhánh • Tạo Network Rule tại văn phòng chi nhánh • Tạo các Access Rules tại văn phòng chi nhánh Trang 218 Triển khai ISA Server Firewall 2004 • Tạo VPN Gateway Dial-in Account tại văn phòng chính • Xác lập Shared Password trong RRAS Console tại văn phòng chi nhánh • Kích hoạt kết nối Site-to-Site Tạo Remote Site tại Văn Phòng chính Chúng ta sẽ bắt đầu cấu hình ISA Server 2004 firewall ở văn phòng chính. Trước hết Remote Site Network in the Microsoft Internet Security and Acceleration Server 2004 management console. Tạo Remote Site Network trên Văn phòng chính: 1. Mở Microsoft Internet Security and Acceleration Server 2004 management console và mở rộng server name. Click trên Virtual Private Networks (VPN) node. 2. Click trên Remote Sites tab trong khung Details. Click trên Tasks tab trong khung Task Pane. Click Add Remote Site Network. 3. Trên Welcome to the New Network Wizard page, điền vào tên cho remote network trong Network name text box. Trong vd này, tên của remote network là Branch. Click Next. 4. Trên VPN Protocol page, chọn Layer Two Tunneling Protocol (L2TP) over IPSec, và click Next. Trang 219 Triển khai ISA Server Firewall 2004 5. Trên Remote Site Gateway page, điền vào IP address của external interface trên remote ISA Server 2004 firewall machine. Trong vd này, , IP address là 192.168.1.71, vì thế chúng ta sẽ điền giá trị này vào text box. Click Next. 6. Trên Remote Authentication page, đánh dấu check vào trong Local site can initiate connections to remote site using these credentials check box. Điền vào tên của account mà bạn sẽ tạo trên remote ISA Server 2004 firewall computer để cho phép truy cập VPN gateway Văn phòng chính. ở Vd này, trong User name text box, tên của user account Main (user account phải cùng với demand-dial interface đã tạo trên remote site). Tên Domain là tên của remote ISA Server 2004 firewall computer, teong vd này, chính là REMOTEISA (Nếu remote ISA Server 2004 firewall là một domain controller, bạn có thể dùng domain name thay cho computer name). Điền vào một password cho account và xác nhận lại the password. Ghi nhớ tài kho ản này, khi chúng ta tạo tài khoản sau này trên remote ISA Server 2004 firewall. Click Next. Trang 220 Triển khai ISA Server Firewall 2004 7. Đọc thông tin trên Local Authentication page, và click Next. 8. Trên L2TP/IPSec Authentication page, đánh dấu check vào Allow pre-shared key IPSec authentication as a secondary (backup) authentication method check box. Điền vào một key trong Use pre-shared key for authentication text box.Trong vd này, key là 123. Click Next. Trang 221 Triển khai ISA Server Firewall 2004 9. Click Add trên Network Addresses page. Trong IP Address Range Properties dialog box, điền vào 10.0.1.0 trong Starting address text box. Điền vào 10.0.1.255 trong Ending address text box. Click OK. [...]... điền vào 123 Click Apply và click OK 4 Close Routing and Remote Access console 5 Restart ISA Server 2004 firewall machine tại Văn phòng chi nhánh Trang 233 Triển khai ISA Server Firewall 2004 Kích hoạt liên kết Site to Site Giờ đây cả hai ISA Server 2004 firewalls của Văn phòng chi nhánh và VP Chính đã được cấu hình trở thành các VPN routers, và bạn có thể kiểm tra các kết nối site-tosite Tiến hành... ping 10. 0.1.2 Kết luận: Trong chương này chúng ta đã đề cập đến ISA Server 2004 firewall đóng vai trò một VPN gateway nhằm cho phép thcu75 hiện kết nối VPN site-to-site Chúng ta cũng đã cấu hình hai ISA Server 2004 firewalls, một tại Văn phòng chính và một tại Văn phòng chi nhánh Chúng ta cũng đã kiểm tra kết nối VPN site-to-site dùng lệng ping từ clients trên mỗi site Trang 234 Triển khai ISA Server Firewall. .. account phải có cùng tên như demand-dial interface trên Computer Văn phòng chính Lát sau chúng ta sẽ cấu hình ISA Server 2004 của Văn phòng chi nhánh để sử dụng tài khoản này khi nó quay số đến kết nối VPN site-to-site link Trang 226 Triển khai ISA Server Firewall 2004 Để tạo account cho remote ISA Server 2004 firewall có thể dùng để connect đến VPN gateway của Văn phòng chính: 1 Right click My Computer... account mà bạn sẽ tạo trên remote ISA Server 2004 firewall computer nhằm cho phép truy cập vào VPN gateway của Văn phòng chính Trong ví dụ này, user account sẽ là Branch (user account phải gặp tên của demand-dial interface đã tạo trên remote site) Tên Domain chính là tên của remote ISA Server 2004 firewall computer, Trong ví dụ này, là ISALOCAL (nếu remote ISA Server 2004 firewall là một domain controller,... OK Trang 232 Triển khai ISA Server Firewall 2004 Xác lập Shared Password trong RRAS Console tại Văn phòng chi nhánh Pre-shared key mà bạn đã cấu hình trong Microsoft Internet Security và Acceleration Server 2004 management console sẽ không tự động được copy vào Routing and Remote Access service Phải thủ công cấu hình Routing and Remote Access service dể sử dụng preshared key đã cấu hình trong Network... trên server name Click Properties 3 Trong server Properties dialog box, click Security tab Trên Security tab, đánh dấu check vào Allow custom IPSec policy for L2TP connection check box Trong Pre-shared Key text box, điền vào 123 Click Apply và OK Trang 227 Triển khai ISA Server Firewall 2004 4 Close Routing and Remote Access console 5 Restart ISA Server 2004 firewall machine tại Văn phòng chính Tạo... trong Details Pane Click Tasks tab trong Task Pane Click Enable VPN Client Access 3 Click OK trong ISA Server 2004 dialog box nhận được thông báo rằng Routing and Remote Access service must be restarted Trang 231 Triển khai ISA Server Firewall 2004 4 Click Apply để lưu lại những thay đổi và cập nhật cho firewall policy 5 Click OK trong Apply New Configuration dialog box Tạo tài khoản quay số Dial-in... box Trong ví dụ này,chúng ta sẽ đặt tên remote network là Main Click Next Trang 228 Triển khai ISA Server Firewall 2004 4 Trên VPN Protocol page, chọn Layer Two Tunneling Protocol (L2TP) over IPSec và click Next 5 Trên Remote Site Gateway page, điền vào IP address trên external interface của remote ISA Server 2004 firewall machine Trong ví dụ này, IP address là 192.168.1.70, vì thế điền vào giá trị... Acceleration Server 2004 management console sẽ không tự động copy vào Routing and Remote Access service Bạn phải cấu hình Routing and Remote Access service để dùng preshared key mà bạn đã cấu hình khi tạo Network của Remote Site Để cấu hình L2TP/IPSec pre-shared key: 1 Click Start, Administrative Tools Click Routing và Remote Access 2 Trong Routing và Remote Access console, right click trên server name... nhánh Bây giờ thì Văn phòng chính đã sẵn sàng, chúng ta sẽ cấu hình tiếp ISA Server 2004 firewall thuộc Văn phòng chi nhánh Trước hết hãy tạo Remote Site Network tại Văn phòg chi nhánh: Tiến hành các bước sau để tạo Remote Site Network tại Văn phòng chi nhánh: 1 Mở Microsoft Internet Security và Acceleration Server 2004 management console và mở rộng server name Click trên Virtual Private Networks (VPN) . Sẽ nói về việc triển khai VPN Site-to- Site Trang 217 Triển khai ISA Server Firewall 2004 Chương16: Tạo kết nối VPN Site-to-Site vời ISA Server 2004 Firewalls Một. chúng ta sẽ cấu hình ISA Server 2004 của Văn phòng chi nhánh để sử dụng tài kho ản này khi nó quay số đến kết nối VPN site-to-site link. Trang 227 Triển khai ISA Server Firewall 2004 Để tạo. chính vẫn sử dụng ISA Server 2004 firewall làm VPN gateways. Tiến hành các thủ tục sau để tạo site-to-site link giữa hai ISA Server 2004 firewall. ISALOCAL machine sẽ giả lập làm firewall tại