V. Cấu hình ISA Server
V.4.2 Thayđổi thuộc tính của Access Rule
Trong hộp thoại thuộc tính của Access Rule chứa đầy đủ các thuộc tính cần thiết để thiết lập luật, cĩ một số thuộc tính chỉ cĩ thể cấu hình trong hộp thoại này mà khơng thể cấu hình trong quá trình tạo Access Rule, thơng thường ta truy xuất hộp thoại thuộc tính của luật khi ta muốn kiểm tra hoặc thay đổi các điều kiện đã đặt trước đĩ. Để truy xuất thuộc tính của Access Rule ta nhấp đơi chuột vào tên luật trong Firewall Policy Panel.
Một số Tab thuộc tính của Access Rule:
- General tab: Cho phép ta cĩ thể thay đổi tên Access rule, Enable/Disable Access rule. - Action tab: Cung cấp một số tùy chọn để hiệu chỉnh luật như (Tham khảo hình 5.20):
- Allow: Tùy chọn cho phép các kết nối phù hợp (matching) với các điều kiện được mơ tả trong Access rule đi qua ISA firewall.
- Deny: Tùy chọn cấm các kết nối phù hợp (matching) với các điều kiện được mơ tả trong Access rule đi qua ISA firewall.
- Redirect HTTP requests to this Web page: Tùy chọn được cấu hình để chuyển hướng HTTP requests (phù hợp với điều kiện của Access rule) tới một Web page khác.
- Log requests matching this rule Cho phép ghi nhận lại tất cả các request phù hợp với Access Rule.
Hình 5.20: Thuộc tính của Access Rule.
- Protocols tab: Cung cấp các tùy chọn để cho phép ta hiệu chỉnh giao thức (protocol) cho Access rule.
- From tab: Cung cấp các tùy chọn để hiệu chỉnh địa chỉ nguồn cho Access rule. - To tab: Cung cấp các tùy chọn để hiệu chỉnh địa chỉ đích cho Access rule.
- Users tab: Cung cấp các tùy chọn để hiệu chỉnh thơng tin User trong Access rule. - Schedule tab: Hiệu chỉnh thời gian áp đặt (apply) luật.
- Content Types tab: Cho phép hiệu chỉnh Content Type chỉ áp đặt HTTP connection. V.5. Publishing Network Services.
V.5.1 Web Publishing and Server Publishing.
Publishing services là một kỹ thuật dùng để cơng bố (publishing) dịch vụ nội bộ ra ngồi mạng Internet thơng qua ISA Firewall. Thơng qua ISA Firewall ta cĩ thể publish các dịch vụ SMTP, NNTP, POP3, IMAP4, Web, OWA, NNTP, Terminal Services,,,.
- Web publishing: Dùng để publish các Web Site và dịch vụ Web. Web Publishing đơi khi được gọi là 'reverse proxy' trong đĩ ISA Firewall đĩng vai trị là Web Proxy nhận các Web request từ bên ngồi sau đĩ nĩ sẽ chuyển yêu cầu đĩ vào Web Site hoặc Web Services nội bộ xử lý (tham khảo hình 5.21), Một số đặc điểm của Web Publishing:
- Cung cấp cơ chế truy xuất ủy quyền Web Site thơng qua ISA firewall. - Chuyển hướng theo đường dẫn truy xuất Web Site (Path redirection) - Reverse Caching of published Web Site.
- Cho phép publish nhiều Web Site thơng qua một địa chỉ IP.
- Cĩ khả năng thay đổi (re-write) URLs bằng cách sử dụng Link Translator của ISA firewall. - Thiết lập cơ chế bảo mật và hỗ trợ chứng thực truy xuất cho Web Site (SecurID
authentication, RADIUS authentication, Basic Authentication) - Cung cấp cơ chế chuyển theo Port và Protocol.
Hình 5.21: Mơ hình Web Publishing.
- Server publishing: Tương tự như Web Publishing, Server publishing cung cấp một số cơ chế cơng bố (publishing) các Server thơng qua ISA Firewall.
V.5.2 Publish Web server.
Để publish một Web Services ta thực hiện các bước sau:
1. kích hoạt màn hình "Microsoft Internet Security and Acceleration Server 2004 management console", mở rộng mục chọn Server Name, chọn nút Firewall policy, chọn Tasks tab.
2. Trên Tasks tab, chọn liên kết "Publish a Web Server", hiển thị hộp thoại "Welcome to the New Web Publishing Rule Wizard" yêu cầu nhập tên Web publishing rule, chọn Next để tiếp tục. 3. Chọn tùy chọn Allow trong hộp thoại "Select Rule Action", chọn Next.
4. Cung cấp một số thơng tin về Web Site cần được publish trong hộp thoại "Define Website to Publish" (tham khảo hình 5.22):
- "Computer name or IP address": chỉ định địa chỉ của Web Server nội bộ.
- "Forward the original host header instead of the actual one (specified above)": Chỉ định cơ chế chuyển yêu cầu vào Web Server nội bộ theo dạng host header name, tùy chọn này được sử dụng trong trường hợp ta muốn publish Web hosting cho một Web Server.
- "Path": Chỉ định tên tập tin hoặc thư mục ta muốn truy xuất vào Web Server nội bộ. - "Site": Chỉ định tên Web Site được publish.
1. Chỉ định một số thơng tin về FQDN hoặc IP addresses được phép truy xuất tới publish Web Site thơng qua Web Publishing Rule (tham khảo hình 5.23). Các tùy chọn cần thiết:
- Accept requests for: Chỉ định tên publish được Web listener chấp nhận. - Path (optional): Chỉ định đường dẫn Web Site cho phép truy xuất
- Site: Tên Web Site được phép truy xuất Web Site nội bộ. Hình 5.23: Chỉ định tên domain được truy xuất publish site.
2. Chọn Web Listener cho Web Publishing Rule (là một Network Object được sử dụng cho Web Publishing Rule để listen các kết nối đi vào interface (incoming connection) theo port được định nghĩa trước), ở bước này ta cĩ thể lựa chọn Web Listener đã tạo trước đĩ hoặc ta cĩ thể tạo mới Web Listener. Sau đây là một số bước tạo mới Web Listener.
- Từ hộp thoại "Seclect Web Listener" bằng cách nhấp chuột vào nút New..., cung cấp tên Web Listener trong hộp thoại "Welcome to the New Web Listener Wizard", chọn Next.
- Chọn tên Interface cho phép chấp nhận kết nối Incoming Web, sau đĩ ta cĩ thể chọn nút Address để chỉ định địa chỉ IP cụ thể trên interface đã lựa chọn, Chọn nút Add> (tham khảo hình 5.24), cuối cùng ta chọn nút OK để chấp nhận quá trình tạo mới Web Listener, chọn Next để tiếp tục.
Hình 5.24: Chọn địa chỉ chấp nhận incoming web request.
3. Chỉ định HTTP port và SSL port trong hộp thoại Port Specification cho phép ISA Server sử dụng để chấp nhận incoming web requests, chọn Next.
4. Chọn Finish để hồn tất quá trình. V.5.3 Publish Mail Server.
Các bước tiến hành publish Mail server:
1. Kích hoạt màn hình "Microsoft Internet Security and Acceleration Server 2004 management console", mở rộng mục chọn Server Name, chọn nút Firewall policy, chọn Tasks tab.
2. Trên Tasks tab, chọn liên kết "Publish a Mail Server", hiển thị hộp thoại "Welcome to the New Mail Server Publishing Rule Wizard" yêu cầu nhập tên Mail Server Publishing Rule, chọn Next để tiếp tục.
3. Chọn các tùy chọn về loại truy xuất cho Client trong hộp thoại "Select Client Type" (Tham khảo hình 5.25).
- Web client access: Outlook Web Access (OWA), Outlook Mobile Access, Exchange Server ActiveSync: Publish Web Mail Server để cho phép client cĩ thể truy xuất E-Mail qua Web thơng qua OWA, OMA, ESA,..
- Client access: RPC, IMAP, POP3, SMTP: Publish các giao thức IMAP, POP3, SMTP cho Mail Server.
- Server-to-server communication: SMTP, NNTP: Cho phép Server Mail bên ngồi cĩ thể giao tiếp với Server Mail nội bộ thơng qua giao thức SMTP, NNTP.
Hình 5.25: Chọn Client Type.
1. Ví dụ trong bước 3 ta chọn tùy chọn Web Client Access, chọn Next, sau đĩ xuất hiện hộp thoại "Select Services" cho phép ta chọn các dịch vụ Exchange Web Services bao gồm: Outlook Web Access, Outlook Mobile Access, Exchange ActiveAsync (tham khảo hình 5.26), chọn Next để tiếp tục.
Hình 5.26: Chọn Exchange Web Services.
2. Chỉ định địa chỉ Web Mail Server trong hộp thoại "Specify the Web Mail Server", chọn Next. Hình 5.27: Chỉ định địa chỉ Web Mail Server.
3. Chỉ định Publish Name được Web Listener chấp nhận trong hộp thoại "Public Name Details", chọn Next.
Hình 5.28: Chỉ định Publish Name. 4. Chọn Finish để hồn tất quá trình. V.5.4 Tạo luật để publish Server.
Tạo luật để publish một Server thực chất các thao tác cũng tương tự như ta publish một Web hoặc Mail chỉ cĩ điều ta được phép lựa chọn protocol cần được publish, khi ta publish một Server ta cần
chuẩn bị một số thơng số sau:
- Protocol mà ta cần publish là protocol gì?
- Địa chỉ IP trên ISA firewall chấp nhận incoming connection.
- Địa chỉ IP address của Publish Server nội bộ (Protected Network server). Hình 5.29: Mơ hình tạo luật để publish server.
Các bước tạo một Publish Server:
1. Kích hoạt màn hình "Microsoft Internet Security and Acceleration Server 2004 management console", mở rộng mục chọn Server Name, chọn nút Firewall policy, chọn Tasks tab.
2. Trên Tasks tab, chọn liên kết "Create New Server Publishing Rule", hiển thị hộp thoại "Welcome to the New Server Publishing Rule Wizard" yêu cầu nhập tên Server Publishing Rule, chọn Next để tiếp tục.
3. Chỉ định địa chỉ của server nội bộ cần để publish, chọn Next để tiếp tục. Hình 5.30: Chỉ định địa chỉ của Server để publish.
4. Chọn Protocol cần để Publish, chọn Next. Hình 5.31: Chọn protocol.
5. Chọn tên Interface cho phép chấp nhận kết nối Incoming Web, sau đĩ ta cĩ thể chọn nút Address để chỉ định địa chỉ IP cụ thể trên interface đã lựa chọn, Chọn nút Add> (tham khảo hình 5.24), cuối cùng ta chọn nút OK để chấp nhận quá trình tạo mới Web Listener, chọn Next để tiếp tục.
6. Chọn Finish để hồn tất quá trình.
V.6. Kiểm tra trạng thái và bộ lọc ứng dụng.
ISA firewall cĩ thể thực thi được hai chức năng quan trọng stateful filtering và stateful application layer inspection. stateful filtering kiểm tra và thiết lập bộ lọc tại tầng network, transport. Stateful filtering thường được gọi là bộ kiểm tra trạng thái packet (stateful packet inspection). Trái ngược với phương thức packet filtering dựa trên hardware firewalls, ISA firewall cĩ thể kiểm tra thơng tin tại tầng ứng dụng (stateful application layer inspection). stateful application layer inspection yêu cầu Firewall cĩ thể kiểm tra đầy đủ thơng tin trên tất cả các tầng giao tiếp bao gồm hầu hết các tầng qua trọng và application layer trong mơ hình tham chiếu OSI.
V.6.1 Lập bộ lọc ứng dụng.
ISA firewall thiết lập bộ lọc ứng dụng (Application filters) với mục đích bảo vệ các publish server chống lại một số cơ chế tấn cơng bất hợp pháp từ bên ngồi mạng, để hiệu chỉnh bộ lọc ta chọn mục Add-ins trong Configuration Panel, sau đĩ ta nhấp đơi chuột vào tên bộ lọc cần hiệu chỉnh,...Một số các bộ lọc ứng dụng cần tham khảo như:
- SMTP filter and Message Screener: SMTP filter và Message Screener được sử dụng để bảo vệ publish SMTP server chống lại cơ chế tấn cơng làm tràn bộ nhớ (buffer overflow attacks), SMTP Message Screener bảo vệ mạng nội bộ ngăn một số E-mail messages khơng cần thiết. - Dùng SMTP filter để ngăn chặn địa chỉ Mail hoặc domain truy xuất Publish STMP Server (tham khảo hình 5.32)
Hình 5.32: ngăn chặn Users/domain sử dụng SMTP.
- Dùng SMTP filter để ngăn chặn gởi file đính kèm (tham khảo hình 5.33), ta cĩ thể xĩa, lưu giữ message, chuyển message đối với file đính kèm cĩ tên file giống với tên được mơ tả trong Attachment name:, hoặc file đính kèm cĩ phần mở rộng được mơ tả trong Textbox Attachment Extensions, hoặc file đính kèm cĩ kích thước lớn hơn hay bằng kích thước mơ tả trong textbox Attachment size limit (bytes):,
Hình 5.33: ngăn chặn Users/domain sử dụng SMTP.
- DNS filter: Được sử dụng để bảo vệ Publish DNS Server để ngăn, chống lại một số cơ chế tấn cơng từ bên ngồi vào dịch vụ DNS.
- POP Intrusion Detection filter: Được sử dụng để bảo vệ Publish POP Server để ngăn, chống lại
một số cơ chế tấn cơng từ bên ngồi vào dịch vụ POP.
- SOCKS V4 filter: được sử dụng để chấp nhận yêu cầu kết nối SOCKS version 4. SOCKS v4 filter mặc định khơng được kích hoạt. Thơng thường hệ thống Windows khơng cần sử dụng SOCKS filter vì ta cĩ thể cài đặt Firewall client trên các máy mà ta muốn chứng thực trong suốt (transparently authenticate) với ISA firewall. Ta cĩ thể enable SOCK v4 fileter để cung cấp dịch vụ SOCK cho các host khơng thể cài đặt Firewall clients như Linux và Mac hosts. Để enbale SOCK services ta nhấp đơi chuột vào mục SOCK V4 Filter, sau đĩ chọn tùy chọn Enable this filter, chọn Networks Tab để chọn interface trên ISA Firewall cho phép listen tại port 1080. Hình 5.32: Kích hoạt SOCK Service.
V.6.2 Thiết lập bộ lọc Web.
ISA firewall Web filters được sử dụng để ISA firewall lọc các kết nối thơng qua giao thức HTTP, HTTPS, and FTP tunneled (Web proxied). HTTP Security filter: Là một trong những kỹ thuật chính yếu để thiết lập bộ lọc ứng dụng, HTTP Security filter cho phép ISA firewall thực hiện một số cơ chế kiểm tra thơng tin ứng dụng (application layer inspection) dựa trên tất cả các HTTP traffic qua ISA firewall và chặn các kết nối khơng phù hợp với yêu cầu được mơ tả trong HTTP security, để thay đổi HTTP Security Filter ta nhấp đơi chuột vào Web Publishing Rule | Traffic Tab | Filtering | Configure HTTP.
- General Tab: Quy định chiều dài tối đa của HTTP Request Header, URL Length, giới hạn thơng tin trả về cĩ chứa các code thực thi,..
- Methods Tab: Điều khiển các HTTP method như: GET, PUT, POST, HEAD, SEARCH, CHECKOUT,...
- Extensions Tab: Giới hạn file extensions trong các thơng tin request của user, như ta cĩ thể block các user truy xuất file cĩ phần mở rộng là .exe, .com, .zip.
- Headers Tab: Giới hạn HTTP header trong các thơng tin yêu cầu cũng như thơng tin trả lời từ Web client.
- Signatures Tab: Cho phép điều khiển truy xuất dựa vào HTTP signature. Thơng tin chữ ký (signatures) dựa vào chuỗi ký tự cĩ trong HTTP communication.
Hình 5.32: Cấu hình HTTP policy.
ISA Server Link Translator: Link Translator là một trong những kỹ thuật được xây dựng sẵn trong ISA firewall Web filter để thực hiện biến đổi địa chỉ URL cho các kết nối của user bên ngồi truy xuất vào Web publishing nội bộ, Link Translation dictionary được tạo khi ta kích hoạt (enable) link translation cho Web Publishing Rule. Một số Link Translator dictionary mặc định: - Bất kỳ sự kiện nào xảy ra trên Web Site được chỉ định trong Tab To của Web Publishing Rule được thay thế bằng một tên Web Site (hoặc địa chỉ IP). Ví dụ, nếu ta đặt một luật cho Web Publishing là chuyển tất cả các incoming request theo địa chỉ http://www.microsoft.com của Client truy xuất vào ISA Server thì sẽ chuyển tới Web Server nội bộ cĩ tên là SERVER1 (cĩ địa chỉ192.168.1.1), khi đĩ ISA Server sẽ thay thế tất cả các response của http://SERVER1 thành địa chỉ http://www.microsoft.com gởi trả lại cho Client bên ngồi.
- Nếu khơng chỉ định port mặc định trên Web listener, thì port đĩ sẽ được gởi trả lại cho Client. Ví dụ, nếu cĩ chỉ định port mặc định trên Web listener thì thơng số port sẽ được loại bỏ khi thay thế địa chỉ URL trong trang trả về (response page). Nếu Web listener lắng nghe (listening) trên port 88 của giao thức TCP thì thơng tin trả về cho Web Client cĩ chứa giá trị port 88 của giao thức TCP.
- Nếu Client sử dụng HTTPS gởi yêu cầu đến ISA firewall thì firewall sẽ thay thế HTTP thành
HTTPS gởi trả về Client.
- Ví dụ: Giả sử ISA firewall publish một site trên máy cĩ tên là SERVER1. ISA firewall publish site sử dụng tên chính (public name) là www.msfirewall.org/docs. External Web client gởi một request với thơng tin "GET /docs HTTP/1.1Host: www.msfirewall.org" Khi Internet Information Services (IIS) Server nhận request thì nĩ sẽ tự động trả về mã số 302 response với header được mơ tả là http://SERVER1/docs/, đây là tên nội bộ (Internal Name) Web server. Link
Translator của ISA firewall sẽ thay đổi (translates) header trả lời (response header) với giá trị là http://www.msfirewall.org/docs/. Trong ví dụ trên thì một số thơng tin (entries) sẽ tự động thêm vào Link Translation dictionary:
http://SERVER1 --> http://www.msfirewall.org http://SERVER1:80 --> http://www.msfirewall.org https://SERVER1 --> https://www.msfirewall.org https://SERVER1:443 --> https://www.msfirewall.org
- Nếu ISA firewall publish một site sử dụng Web listener khơng phải trên port mặc định
(nondefault ports) ( ví dụ: 85 cho HTTP và 885 cho SSL),thì địa chỉ URL sẽ được thay đổi như sau theo các mục ánh xạ địa chỉ URL như sau:
http://SERVER1 --> http://www.msfirewall.org:85 http://SERVER1:80 --> http://www.msfirewall.org:85 https://SERVER1 --> https://www.msfirewall.org:885 https://SERVER1:443 --> https://www.msfirewall.org:885 V.6.3 Phát Hiện Và Ngăn Ngừa Tấn Cơng.
- Một số phương thức tấn cơng thơng dụng:
Denial-of-Service Attacks: Là kiểu tấn cơng rất lợi hại, với kiểu tấn cơng này ,bạn chỉ cần 1 máy tính kết nối đến internet là đã cĩ thể thực hiện việc tấn cơng đối phương. thực chất của DoS là attacker sẽ chiếm dụng 1 lượng lớn tài nguyên trên Server làm cho Server khơng thể nào đáp ứng yêu cầu của người dùng khác và Server cĩ thể nhanh chĩng bị ngừng hoạt động hay bị