V. Cấu hình ISA Server
V.3. Cấu hình Web proxy cho ISA
Trong phần này ta sẽ khảo sát nhanh các bước làm sao để cấu hình ISA Firewall cung cấp dịch vụ Web Proxy để chia sẻ kết nối Internet cho mạng nội bộ.
Hình 5.14: System Policy Editor.
- Mặc định ISA Firewall cho phép tất cả mạng nội bộ chỉ cĩ thể truy xuất Internet Web thơng qua giao thức HTTP/HTTPS tới một số site được chỉ định sẳn trong Domain Name Sets được mơ tả dưới tên là "system policy allow sites" bao gồm:
- *.windows.com
- *.windowsupdate.com - *.microsoft.com
Do đĩ khi ta muốn cấu hình cho mạng nội bộ cĩ thể truy xuất đến bất kỳ một Internet Web nào bên ngồi thì ta phải hiệu chỉnh lại thơng tin trong System Policy Allowed Sites hoặc hiệu chỉ lại System Policy Rule cĩ tên
+ Hiệu chỉnh System Policy Allowed Sites bằng cách Chọn Firewall Policy trong ISA
Management Console, sau đĩ chọn cột Toolbox, chọn Domain Name Sets, nhấp đơi vào item System Policy Allowed Sites để mơ tả một số site cần thiết cho phép mạng nội bộ truy xuất theo cú pháp *.domain_name.
- Nếu ta muốn cho mạng nội bộ truy xuất bất kỳ Internet Website nào thì ta phải Enable luật 18 cĩ
tên "Allow HTTP/HTTPS requests from ISA Server to selected servers for connectivity verifiers" (tham khảo Hình 5.15), sau đĩ ta chọn nút Apply trong Firewall Policy pannel để áp đặt sự thay đổi vào hệ thống.
Hình 5.15: Mơ tả System Policy Sites. Chú ý:
- Nếu ISA Firewall kết nối trực tiếp Internet thì ta chỉ cần cấu hình một số thơng số trên, ngược lại nếu ISA Firewall cịn phải thơng qua một hệ thống ISA Firewall hoặc Proxy khác thì ta cần phải mơ tả thêm tham số Uptream Server để chuyển yêu cầu truy xuất lên Proxy cha để nhờ Proxy cha lấy thơng tin từ Internet Web Server.
+ Để cấu hình Uptream Server cho ISA Server nội bộ ta chọn Configuration panel từ ISA
Management Console, sau đĩ chọn item Network , chọn Web Chaining Tab, Nhấp đơi vào Rule Set cĩ tên Last default rule, chọn Action Tab, chọn tùy chọn Redirecting them to specified upstream server, chọn tiếp nút Settings...Chỉ định địa chỉ của upstream server.
Hình 5.16: Chỉ định Upstream server.
+ Ta cần chỉ định DNS Server cho ISA Server để khi ISA cĩ thể phân giải Internet Site khi cĩ yêu cầu, ta cĩ thể sử dụng DNS Server nội bộ hoặc Internet DNS Server, tuy nhiên ta cần lưu ý rằng phải cấu hình ISA Firewall để cho phép DNS request và DNS reply.
- Để cho phép Client cĩ thể sử dụng Web Proxy ta cấu hình Proxy Server cĩ địa chỉ là địa chỉ của Internal interface của ISA Firewall trong trình duyệt Web cho từng Client, hoặc ta cài ISA Client Share trên từng Client để Client đĩng vai trị lài ISA Firewall Client.
- Chỉ định địa chỉ của Web Proxy trong textbox Address. - Chỉ Web Proxy Port trong Textbox Port là 8080.
Hình 5.16: Chỉ định Client sử dụng Proxy Server. V.4. Tạo Và Sử Dụng Firewall Access Policy.
- Access Policy của ISA Firewall bao gồm các tính năng như: Web Publishing Rules, Server Publishing Rules và Access Rules.
+ Web Publishing Rules và Server Publishing Rules được sử dụng để cho phép inbound access. o Access rules dùng để điều khiển outbound access.
- ISA Firewall kiểm tra Access Rules trong Access Policy theo cơ chế top down (Lưu ý rằng System Policy được kiểm tra trước Access Policy do user định nghĩa), nếu packet phù hợp với một luật nào đĩ thì ISA Firewall thì ISA Firewall sẽ thực thi action (permit/deny) tùy theo luật, sau đĩ ISA Firewall sẽ bỏ qua tất cả các luật cịn lại. Nếu packet khơng phù hợp với bất kỳ System Access Policy và User-Defined Policy thì ISA Firewall deny packet này.
- Một số tham số mà Access Rule sẽ kiểm tra trong connection request: + Protocol: Giao thức sử dụng.
+ From: Địa chỉ nguồn.
+ Schedule: Thời gian thực thi luật. + To: Địa chỉ đích.
+ Users: Người dùng truy xuất.
+ Content type: Loại nội dung cho HTTP connection. V.4.1 Tạo một Access Rule.
Access Rules trên ISA Firewall luơn luơn áp đặt luật theo hướng ra (outbound). Ngược lại, Web Publishing Rules, Server Publishing Rules áp đặt theo hướng vào (inbound). Access Rules điều khiển truy xuất từ source tới destination sử dụng outbound protocol. Một số bước tạo Access Rule:
3. Kích hoạt Microsoft Internet Security and Acceleration Server 2004 management console, mở rộng server name, nhấp chuột vào Firewall Policy panel, chọn Tasks tab trong Task Pane,
nhấp chuột vào liên kết Create New Access Rule.
4. Hiển thị hộp thoại "Welcome to the New Access Rule Wizard". Điền vào tên Access Rule name, nhấp chuột vào nút Next để tiếp tục.
5. Hiển thị hộp thoại Rule Action cĩ hai tùy chọn: Allow hoặc Deny. Tùy chọn Deny được đặt mặc định, tùy vào loại Rule ta cần mơ tả mà chọn Allow hoặc Deny cho phù hợp, chọn Next để tiếp tục.
6. Hiển thị hộp thoại "Protocols" (tham khảo Hình 5.17). Ta sẽ chọn giao thức (protocol) để cho phép/cấm outbound traffic từ source đến destination. Ta cĩ thể chọn ba tùy chọn trong danh sách This rule applies to.
- All outbound traffic: Để cho phép tất cả các protocols outbound. Tầm ảnh hưởng của tùy chọn này phụ thuộc vào loại Client (client type) sử dụng để truy xuất luật. đối với Firewall clients, thì tùy chọn này cho phép tất cả các Protocol ra ngồi (outbound), bao gồm cả secondary
protocols đã được định nghĩa hoặc chưa được định trong ISA firewall. Tuy nhiên đối với SecureNAT client kết nối ISA Firewall thì outbound access chỉ cho phép các protocol mà đã được định nghĩa trong Protocols list của ISA firewall, nếu SecureNAT client khơng thể truy xuất tài nguyên nào đĩ bên ngồi bằng một protocol nào đĩ thì ta phải mơ tả protocol vào Protocol Panel được cung cấp trên ISA firewall để nĩ cĩ thể hỗ trợ kết nối cho SecureNAT client. - Selected protocols: Tùy chọn này cho phép ta cĩ thể lựa chọn từng protocols để áp đặt vào luật (rule). Ta cĩ thể lựa chọn một số protocol cĩ sẵn trong hộp thoại hoặc cĩ thể tạo mới một Protocol Definition.
- All outbound traffic except selected: Tùy chọn này cho phép tất cả các protocol cho luật mà khơng được định nghĩa trong hộp thoại.
Hình 5.17: Lựa chọn protocol để mơ tả cho Rule.
Nếu ta chọn tùy chọn Selected Protocols ta sẽ chọn danh sách các protocol cần mơ tả cho luật (tham khảo hình 5.18).
Hình 5.18: Lựa chọn protocol để mơ tả cho Rule.
1. Hiển thị hộp thoại Access Rule Sources, chọn địa chỉ nguồn (source location) để áp đặt vào luật bằng cách chọn nút Add, hiển thị hộp thoại Add Network Entities, sau đĩ ta cĩ thể chọn địa chỉ nguồn từ hộp thoại này (tham khảo hình), chọn Next để thực hiện bước tiếp theo.
Hình 5.19: Chọn địa chỉ nguồn.
2. Hiển thị hộp thoại Access Rule Destinations cho phép chọn địa chỉ đích (destination) cho luật bằng cách chọn nút Add sau đĩ xuất hiện hộp thoại Add Network Entities, trong hộp thoại này cho phép ta chọn địa chỉ đích (Destination) được mơ tả sẳn trong hộp thoại hoặc cĩ thể định nghĩa một destination mới, thơng thường ta chọn External network cho destination rule, sau khi hồn tất quá trình ta chọn nút Next để tiếp tục.
3. Hiển thị hộp thoại User Sets cho phép ta lựa chọn User truy xuất cho access Rule. Mặc định luật sẽ áp đặt cho tất cả user (All Users), ta cĩ thể hiệu chỉnh thơng số này bằng cách chọn Edit hoặc thêm user mới vào rule thơng qua nút Add, chọn Next để tiếp tục
4. Chọn Finish để hồn tất.
V.4.2 Thay đổi thuộc tính của Access Rule.
Trong hộp thoại thuộc tính của Access Rule chứa đầy đủ các thuộc tính cần thiết để thiết lập luật, cĩ một số thuộc tính chỉ cĩ thể cấu hình trong hộp thoại này mà khơng thể cấu hình trong quá trình tạo Access Rule, thơng thường ta truy xuất hộp thoại thuộc tính của luật khi ta muốn kiểm tra hoặc thay đổi các điều kiện đã đặt trước đĩ. Để truy xuất thuộc tính của Access Rule ta nhấp đơi chuột vào tên luật trong Firewall Policy Panel.
Một số Tab thuộc tính của Access Rule:
- General tab: Cho phép ta cĩ thể thay đổi tên Access rule, Enable/Disable Access rule. - Action tab: Cung cấp một số tùy chọn để hiệu chỉnh luật như (Tham khảo hình 5.20):
- Allow: Tùy chọn cho phép các kết nối phù hợp (matching) với các điều kiện được mơ tả trong Access rule đi qua ISA firewall.
- Deny: Tùy chọn cấm các kết nối phù hợp (matching) với các điều kiện được mơ tả trong Access rule đi qua ISA firewall.
- Redirect HTTP requests to this Web page: Tùy chọn được cấu hình để chuyển hướng HTTP requests (phù hợp với điều kiện của Access rule) tới một Web page khác.
- Log requests matching this rule Cho phép ghi nhận lại tất cả các request phù hợp với Access Rule.
Hình 5.20: Thuộc tính của Access Rule.
- Protocols tab: Cung cấp các tùy chọn để cho phép ta hiệu chỉnh giao thức (protocol) cho Access rule.
- From tab: Cung cấp các tùy chọn để hiệu chỉnh địa chỉ nguồn cho Access rule. - To tab: Cung cấp các tùy chọn để hiệu chỉnh địa chỉ đích cho Access rule.
- Users tab: Cung cấp các tùy chọn để hiệu chỉnh thơng tin User trong Access rule. - Schedule tab: Hiệu chỉnh thời gian áp đặt (apply) luật.
- Content Types tab: Cho phép hiệu chỉnh Content Type chỉ áp đặt HTTP connection. V.5. Publishing Network Services.
V.5.1 Web Publishing and Server Publishing.
Publishing services là một kỹ thuật dùng để cơng bố (publishing) dịch vụ nội bộ ra ngồi mạng Internet thơng qua ISA Firewall. Thơng qua ISA Firewall ta cĩ thể publish các dịch vụ SMTP, NNTP, POP3, IMAP4, Web, OWA, NNTP, Terminal Services,,,.
- Web publishing: Dùng để publish các Web Site và dịch vụ Web. Web Publishing đơi khi được gọi là 'reverse proxy' trong đĩ ISA Firewall đĩng vai trị là Web Proxy nhận các Web request từ bên ngồi sau đĩ nĩ sẽ chuyển yêu cầu đĩ vào Web Site hoặc Web Services nội bộ xử lý (tham khảo hình 5.21), Một số đặc điểm của Web Publishing:
- Cung cấp cơ chế truy xuất ủy quyền Web Site thơng qua ISA firewall. - Chuyển hướng theo đường dẫn truy xuất Web Site (Path redirection) - Reverse Caching of published Web Site.
- Cho phép publish nhiều Web Site thơng qua một địa chỉ IP.
- Cĩ khả năng thay đổi (re-write) URLs bằng cách sử dụng Link Translator của ISA firewall. - Thiết lập cơ chế bảo mật và hỗ trợ chứng thực truy xuất cho Web Site (SecurID
authentication, RADIUS authentication, Basic Authentication) - Cung cấp cơ chế chuyển theo Port và Protocol.
Hình 5.21: Mơ hình Web Publishing.
- Server publishing: Tương tự như Web Publishing, Server publishing cung cấp một số cơ chế cơng bố (publishing) các Server thơng qua ISA Firewall.
V.5.2 Publish Web server.
Để publish một Web Services ta thực hiện các bước sau:
1. kích hoạt màn hình "Microsoft Internet Security and Acceleration Server 2004 management console", mở rộng mục chọn Server Name, chọn nút Firewall policy, chọn Tasks tab.
2. Trên Tasks tab, chọn liên kết "Publish a Web Server", hiển thị hộp thoại "Welcome to the New Web Publishing Rule Wizard" yêu cầu nhập tên Web publishing rule, chọn Next để tiếp tục. 3. Chọn tùy chọn Allow trong hộp thoại "Select Rule Action", chọn Next.
4. Cung cấp một số thơng tin về Web Site cần được publish trong hộp thoại "Define Website to Publish" (tham khảo hình 5.22):
- "Computer name or IP address": chỉ định địa chỉ của Web Server nội bộ.
- "Forward the original host header instead of the actual one (specified above)": Chỉ định cơ chế chuyển yêu cầu vào Web Server nội bộ theo dạng host header name, tùy chọn này được sử dụng trong trường hợp ta muốn publish Web hosting cho một Web Server.
- "Path": Chỉ định tên tập tin hoặc thư mục ta muốn truy xuất vào Web Server nội bộ. - "Site": Chỉ định tên Web Site được publish.
1. Chỉ định một số thơng tin về FQDN hoặc IP addresses được phép truy xuất tới publish Web Site thơng qua Web Publishing Rule (tham khảo hình 5.23). Các tùy chọn cần thiết:
- Accept requests for: Chỉ định tên publish được Web listener chấp nhận. - Path (optional): Chỉ định đường dẫn Web Site cho phép truy xuất
- Site: Tên Web Site được phép truy xuất Web Site nội bộ. Hình 5.23: Chỉ định tên domain được truy xuất publish site.
2. Chọn Web Listener cho Web Publishing Rule (là một Network Object được sử dụng cho Web Publishing Rule để listen các kết nối đi vào interface (incoming connection) theo port được định nghĩa trước), ở bước này ta cĩ thể lựa chọn Web Listener đã tạo trước đĩ hoặc ta cĩ thể tạo mới Web Listener. Sau đây là một số bước tạo mới Web Listener.
- Từ hộp thoại "Seclect Web Listener" bằng cách nhấp chuột vào nút New..., cung cấp tên Web Listener trong hộp thoại "Welcome to the New Web Listener Wizard", chọn Next.
- Chọn tên Interface cho phép chấp nhận kết nối Incoming Web, sau đĩ ta cĩ thể chọn nút Address để chỉ định địa chỉ IP cụ thể trên interface đã lựa chọn, Chọn nút Add> (tham khảo hình 5.24), cuối cùng ta chọn nút OK để chấp nhận quá trình tạo mới Web Listener, chọn Next để tiếp tục.
Hình 5.24: Chọn địa chỉ chấp nhận incoming web request.
3. Chỉ định HTTP port và SSL port trong hộp thoại Port Specification cho phép ISA Server sử dụng để chấp nhận incoming web requests, chọn Next.
4. Chọn Finish để hồn tất quá trình. V.5.3 Publish Mail Server.
Các bước tiến hành publish Mail server:
1. Kích hoạt màn hình "Microsoft Internet Security and Acceleration Server 2004 management console", mở rộng mục chọn Server Name, chọn nút Firewall policy, chọn Tasks tab.
2. Trên Tasks tab, chọn liên kết "Publish a Mail Server", hiển thị hộp thoại "Welcome to the New Mail Server Publishing Rule Wizard" yêu cầu nhập tên Mail Server Publishing Rule, chọn Next để tiếp tục.
3. Chọn các tùy chọn về loại truy xuất cho Client trong hộp thoại "Select Client Type" (Tham khảo hình 5.25).
- Web client access: Outlook Web Access (OWA), Outlook Mobile Access, Exchange Server ActiveSync: Publish Web Mail Server để cho phép client cĩ thể truy xuất E-Mail qua Web thơng qua OWA, OMA, ESA,..
- Client access: RPC, IMAP, POP3, SMTP: Publish các giao thức IMAP, POP3, SMTP cho Mail Server.
- Server-to-server communication: SMTP, NNTP: Cho phép Server Mail bên ngồi cĩ thể giao tiếp với Server Mail nội bộ thơng qua giao thức SMTP, NNTP.
Hình 5.25: Chọn Client Type.
1. Ví dụ trong bước 3 ta chọn tùy chọn Web Client Access, chọn Next, sau đĩ xuất hiện hộp thoại "Select Services" cho phép ta chọn các dịch vụ Exchange Web Services bao gồm: Outlook Web Access, Outlook Mobile Access, Exchange ActiveAsync (tham khảo hình 5.26), chọn Next để tiếp tục.
Hình 5.26: Chọn Exchange Web Services.
2. Chỉ định địa chỉ Web Mail Server trong hộp thoại "Specify the Web Mail Server", chọn Next. Hình 5.27: Chỉ định địa chỉ Web Mail Server.
3. Chỉ định Publish Name được Web Listener chấp nhận trong hộp thoại "Public Name Details", chọn Next.
Hình 5.28: Chỉ định Publish Name. 4. Chọn Finish để hồn tất quá trình. V.5.4 Tạo luật để publish Server.
Tạo luật để publish một Server thực chất các thao tác cũng tương tự như ta publish một Web hoặc Mail chỉ cĩ điều ta được phép lựa chọn protocol cần được publish, khi ta publish một Server ta cần
chuẩn bị một số thơng số sau:
- Protocol mà ta cần publish là protocol gì?
- Địa chỉ IP trên ISA firewall chấp nhận incoming connection.
- Địa chỉ IP address của Publish Server nội bộ (Protected Network server). Hình 5.29: Mơ hình tạo luật để publish server.
Các bước tạo một Publish Server:
1. Kích hoạt màn hình "Microsoft Internet Security and Acceleration Server 2004 management console", mở rộng mục chọn Server Name, chọn nút Firewall policy, chọn Tasks tab.
2. Trên Tasks tab, chọn liên kết "Create New Server Publishing Rule", hiển thị hộp thoại "Welcome to the New Server Publishing Rule Wizard" yêu cầu nhập tên Server Publishing Rule, chọn Next để tiếp tục.
3. Chỉ định địa chỉ của server nội bộ cần để publish, chọn Next để tiếp tục. Hình 5.30: Chỉ định địa chỉ của Server để publish.
4. Chọn Protocol cần để Publish, chọn Next. Hình 5.31: Chọn protocol.
5. Chọn tên Interface cho phép chấp nhận kết nối Incoming Web, sau đĩ ta cĩ thể chọn nút Address để chỉ định địa chỉ IP cụ thể trên interface đã lựa chọn, Chọn nút Add> (tham khảo hình 5.24), cuối cùng ta chọn nút OK để chấp nhận quá trình tạo mới Web Listener, chọn Next để tiếp tục.
6. Chọn Finish để hồn tất quá trình.
V.6. Kiểm tra trạng thái và bộ lọc ứng dụng.