1. TRUNG TÂM ĐÀO TẠO
QUẢN TRỊ MẠNG VÀ AN NINH MẠNG QUỐC TẾATHENA
BÁO CÁO
THỰC TẬP TỐT NGHIỆP
TÊN ĐỀTÀI
Nghiên cứu và triễn khai hệ thống tƣờng lửa ISA 2006
Giáo viên hƣớng dẫn:Võ Đỗ Thắng
Sinh viên thực hiện:Trần Đình Hiệu
Lớp:11CTCI2
MSSV:11CTCI2012
Khóa:2011-2014
TP.HCM tháng 3 năm 2014
2. Mục Lục
Mục Lục.........................................................................................................................................................2
Lời mởđầu.....................................................................................................................................................4
CHƯƠNG I: TỔNG QUAN VỀISA SERVER 2006 ...............................................................................................5
1. Giới thiệu về ISA server 2006................................................................................................................5
2. Các phiên bản của ISA server 2006.......................................................................................................5
3. Tính năng chính của ISA server 2006 ....................................................................................................5
CHƯƠNG II:CẤU HÌNH MÁY DC SERVER VÀ ISA SERVER.................................................................................7
1.Mô hình:.................................................................................................................................................7
2.Cấu hình chuẩn bị :................................................................................................................................7
3.Cấu hình máy DC Server: .......................................................................................................................8
4.Join(gia nhập)máy ISA Server vào Domain ..........................................................................................23
CHƯƠNG III: PHÂN LOẠI VÀ CẤU HÌNH ISA SERVER CLIENTS .......................................................................35
1. Phân loại .............................................................................................................................................35
2. Cấu hình..............................................................................................................................................36
2.1. SecureNAT Client .........................................................................................................................36
2.2. Web Proxy Client..........................................................................................................................37
2.3. Firewall Client...............................................................................................................................38
CHƯƠNG IV.TRIỄN KHAI ISA SERVER...........................................................................................................42
1. Tạo Rule ..............................................................................................................................................42
2.Server Publishing – HTTP-HTTPS..........................................................................................................61
2.1.Publishing-HTTP ............................................................................................................................61
2.2.Publishing-HTTPS ..........................................................................................................................80
3.Publish Mail Exchange .......................................................................................................................102
4. VPN Clients to Gateway ....................................................................................................................114
5.Caching...............................................................................................................................................126
CHƯƠNG V: MỘT SỐMÔ HÌNH ISA FIREWALL THƯỜNG GẶP......................................................................139
1. Edge Firewall.....................................................................................................................................139
2. 3-Leg Perimeter.................................................................................................................................139
3. Front/Back Firewall...........................................................................................................................140
3. CHƯƠNG VI. TỔNG KẾT...............................................................................................................................141
4. Lời mở đầu
Trong thời đại ngày này Internet đã không ngừng phát triển và vươn xa, đáp
ứng các nhu cầu của người sử dụng, những vấn đề như giáo dục từ xa, tư vấn Y tế,
mua hàng trực tuyến,…vv…. Không còn là những khái niệm trừu tượng nữa.Với
Internet mọi thứ “trong mơ” đã trở thành hiện thực.Trong những năm gần đây vài
trò của Công nghệ thông tin (CNTT) đã và đang được khẳng định một cách rõ nét.
Sự phát triển của CNTT đã tác động tích cực đến mọi mặt của đời sống chính trị,
kinh tế, văn hóa, xã hội của loài người, tạo ra sự phát triển vượt bậc chưa từng có
trong lịch sử. Ưng dụng CNTT có hiệu quả và bền vững đang là tiêu chí hàng đầu
của nhiều quốc gia. CNTT giúp con người xích lại gần nhau hơn, khiến cho
khoảng cách địa lý không còn tồn tại là lực đẩy cho mọi hoạt động trên mọi lĩnh
vực của Quốc gia.
Xét theo bình diện là một doanh nghiệp thì hiểu quả là điều bắt buộc và bền vững
cũng là tất yếu. Dưới góc nhìn của một chuyên gia về bảo mật hệ thống, khi triển
khai một hệ thống thông tin và xây dựng được cơ chế bảo vệ chặt chẽ, an toàn, như
vậy là góp phần duy trì tính “bền vững” cho hệ thống thông tin của doanh nghiệp
đó. Và tất cả chúng ta đều hiểu rằng giá trị thông tin của doanh nghiệp là tài sản vô
giá. Không chỉ thuần túy về vật chất, những giá trị khác không thể đo đếm được
như uy tín của họ với khách hàng sẽ ra sao, nếu những thông tin giao dịch với
khách hàng bị đánh cắp, rồi sau đó bị lợi dụng với những mục đích khác
nhau..Hacker, attacker, virus, worm, phishing, những khái niệm này giờ đây không
còn xa lạ, và thực sự là mối lo ngại hàng đầu của tất cả các hệ thống thông tin
(PCs, Enterprise Networks, Internet, vv..). Và chính vì vậy, tất cả những hệ thống
này cần trang bị những công cụ đủ mạnh, am hiểu cách xử lý để đối phó với những
thế lực đen tối đó. Trước hết với vai trò của một quản trị viên chúng ta cần xây
dựng ý thức sử dụng máy tính cho các nhân viên trong tổ chức doanh nghiệp mình.
Tiếp theo là cần một công tụ đắc lực đủ mạnh để cùng chúng ta chống lại các thế
lực trên. Đó là các Firewall, từ Personal Firewall bảo vệ cho từng Computer cho
đến các Enterprise Firewall có khả năng bảo vệ toàn hệ thống Network của một Tổ
chức. Và Microsoft ISA Server 2006 là một Enterprise Firewall như thế ! Một sản
phẩm tốt và là người bạn tin cậy để bảo vệ an toàn cho các hệ thống thông tin.
5. CHƢƠNG I: TỔNG QUAN VỀ ISA
SERVER 2006
1. Giới thiệu về ISA server 2006
Microsoft Internet Security and Acceleration Sever (ISA Server) là phần
mềm xây dựng bức tường lửa (Firewall) khá nổi tiếng và được sử dụng khá phổ
biến của hãng phần mềm Microsoft. Có thể nói đây là một phần mềm share
internet khá hiệu quả, ổn định, dễ cấu hình, firewall tốt, nhiều tính năng cho phép
bạn cấu hình sao cho tương thích với mạng LAN của bạn. Tốc độ nhanh nhờ chế
độ cache thông minh, với tính năng lưu Cache vào RAM (Random Access
Memory), giúp bạn truy xuất thông tin nhanh hơn, và tính năng Schedule Cache
(Lập lịch cho tự động download thông tin trên các WebServer lưu vào Cache và
máy con chỉ cần lấy thông tin trên các Webserver đó bằng mạng LAN). Ngoài ra
còn rất nhiều các tính năng khác nữa
2. Các phiên bản của ISA server 2006
Standard : ISA Server 2006 Standard đáp ứng nhu cầu bảo vệ và chia sẻ
băng thông cho các công ty có quy mô trung bình.
Enterprise : ISA Server 2006 Enterprise được sử dụng trong các mô hình
mạng lớn, đáp ứng nhiều yêu cầu truy xuất của người dùng bên trong và
ngoài hệ thống. Ngoài những tính năng đã có trên ISA Server 2006, bản
Enterprise còn cho phép thiết lập hệ thống mảng các ISA Server cùng sử
dụng một chính sách, điều này giúp dễ dàng quản lý và cung cấp tính năng
Load Balancing (cân bằng tải).
3. Tính năng chính của ISA server 2006
ISA server là một trong các phần mềm máy chủ thuộc dòng .NET Enterprise
Server. Các sản phẩm thuộc dòng .NET Enterprise Server là các serverứng dụng
toàn diện của Microsoft trong việc xây dựng, triển khai, quản lý, tích hợp, các giải
pháp dựa trên web và các dịch vụ. ISA server mang lại một số các lợi ích cho các
tổ chức cần kết nối Internet nhanh, bảo mật, dễ quản lý
6. Truy cập Web nhanh với cache hiệu suất cao:
o Người dùng có thể truy cập web nhanh hơn bằng cácđối tượng tại chỗ
trong cache so với việc phải kết nối vào Internet lúc nào cũng tiềm
tàng nguy cơ tắc nghẽn.
o Giảm giá thành băng thông nhờ giảm lưu lượng internet
o Phân tán nội dung của các Web server và cácứng dụng thương
mạiđiện tử một cách hiệu quả,đápứngđược nhu cầu khách hàng trên
toàn cầu (khả năng phân phối nội dung web chỉ có trên phiên bản ISA
server Enterprise)
Kết nối Internet an toàn nhờ nhiều lớp
o Bảo vệ mạng trước các truy nhập bất hợp pháp bằng cánh giám sát lưu
lượng mạng tại nhiều lớp.
o Bảo vệ các máy chủ web, email và các ứng dụng khác khỏi sự tấn
công từ bên ngoài bằng việc sử dụng web và server quảng bá để xử lý
một cách an toàn các yêu cầu đến
o Lọc lưu lượng mạngđi vàđến để đảm bảo an toàn.
o Cung cấp truy cập an toan cho người dùng hợp lệ từ Internet tới mạng
nội tại nhờ sử dụng mạng riêngảo (VPN)
Quản lý thống nhất với sự quản trị tích hợp
o Điều khiển truy cập tập trung để đảm bảo tính an toàn và phát huy
hiệu lực của các chính sách vận hành
o Tăng hiệu xuất nhờ việc giới hạn truy cập tới internet của một số các
ứng dụng và đích đến
o Cấp phát băng thông để phù hợp với các ưu tiên
o Cung cấp các công cụ giám sát để chỉ ra các kết nối internet được sử
dụng như thế nào
o Tự động hóa các dịch vụ nhờ sử dụng script
Khả năng mở rộng
o Chú trọng tới an toàn và thi hành nhờ sử dụng ISA server software
development kit (SDK) với các thành phần bổ sung
o Chưc năng mở rộng an toàn cho các sản xuất thứ ba
7. CHƢƠNG II:CẤU HÌNH MÁY DC
SERVER VÀ ISA SERVER
1.Mô hình:
2.Cấu hình chuẩn bị:
15. Chọn Pemissions compatible only with….-->Next
Đặt password cho tài khoản admin,ở đây ta có thể để trống và Next được nhưng để
bảo mật hơn thi ta nên đặt Password.
20. Tiếp tục chọn UserNewUser tạo User
Đặt Password cho UserNext
21. Nhấn Finish để kết thúc qua1 trình tạo User.
Sau khi đã tạo xong Group & User thi ta sẽ add User vào trong Group.
22. Chuột phải vào tên Group mình vừa tạo chọn Properties
Chọn Tab MemberAdd
23. Nhập tên User vừa tạoCheck NamesOK.
4.Join(gia nhập)máy ISA Server vào Domain
24. Chuột phải vào My ComputerProperties
Chọn Computer NameChanger
25. Ở Tab Member of check vào Domain nhập tên Domain đã tạo vàoOK.
26. Nhập User name:administrator,Password để trống(do khi tạo domain mình
không có Password)OK
Máy ISA Server đã gia nhập vào Domain thành công
Restart lại máy
27. Log on vào Domain.
Sau khi Join thành công máy ISA vào Domain chúng ta vào Computer Name
sẽ có thêm những thông số như hinh dưới.
28. 5. Cài đặt ISA Server
Trước tiên cài đặt ISA thì yêu cầu máy ISA phải có ít nhất 2 card mạng, một card
nối với mạng bên trong (Internal) và card mang còn lại nối ra Internet (External)
Cho đĩa ISA server 2006 vào và chọn Install ISA server 2006
30. Chọn Custom để cài đặt bằng tay
Sau đó chúng ta nhấp Next
31. Tại cửa sổ Internal Network nhấp Add
Chọn tiếp Add Range…
32. Ở đây ta ghi địa chỉ IP mà máy ISA cấp cho các máy trong mang nội bộ
(Internal) ok
Check vào Allow non-encrypted……….. để cho phép máy Client có thể kết nối
tới ISA Server và ngược lại Next
33. Quá trình Setup ISA Server 2006 lên máy bắt đầu:
Check Finsh để kết thúc.
34. Đây là giao diện khi chúng ta cài đặt ISA Server 2006 thành công
35. CHƢƠNG III: PHÂN LOẠI VÀ CẤU
HÌNH ISA SERVER CLIENTS
1. Phân loại
Có 3 loại ISA Server 2006 client:
SecureNAT clientlà máy tính được cấu hình với thông số chính Default
gateway giúp định tuyến ra Internet thông qua ISA Server 2006 firewall.
Nếu SecureNAT client nằm trên Mạng trực tiếp kết nối đến ISA Server 2006
firewall, thông số default gateway của SecureNAT client chính là IP address
của network card trên ISA Server 2006 firewall gắn với Network đó . Nấu
SecureNAT client nằm trên một Network ở xa ISA Server 2006 firewall, khi
đó SecureNAT client sẽ cấu hình thông số default gateway là IP address của
router gần nó nhất, Router này sẽ giúp định tuyến thông tin từ SecureNAT
client đến ISA Server 2006 firewall ra Internet.
Web Proxy client là máy tính có trình duyệt internet (vd:Internet Explorer)
được cấu hình dùng ISA Server 2006 firewall như một Web Proxy server
của nó. Web browser có thể cấu hình để sử dụng IP address của ISA Server
2006 firewall làm Web Proxy server của nó cấu hình thủ công, hoặc có thể
cấu hình tự động thông qua các Web Proxy autoconfiguration script của ISA
Server 2006 firewall. Các autoconfiguration script cung cấp mức độ tùy biến
cao trong việc điều khiển làm thế nào để Web Proxy clients có hể kết nối
Internet. Tên của User (User name) được ghi nhận trong các Web Proxy logs
khi máy tính được cấu hình như một Web Proxy client.
Firewall client là máy tính có cài Firewall client software. Firewall client
software chặn tất cả các yêu cầu thuộc dạng Winsock application (thông
thường, là tất cả các ứng dụng chạy trên TCP và UDP) và đẩy các yêu cầu
này trực tiếp đến Firewall service trên ISA Server 2006 firewall. User names
sẽ tự động được đưa vào Firewall service log khi máy tình Firewall client
thực hiện kết nối Internet thông qua ISA Server 2006 firewall.
Dươi đây là bảng so sánh các dạng ISA server 2006 Client:
36. Tính Năng SecureNAT
client
Firewall client Web Proxy
client
Cần phải cài đặt Không, chỉ cần
xác lập thông số
default gateway
Yes. Cần cài đặt
software
Không, chỉ cần
cấu hình các
thông số phù hợp
tại trình duyệt
Web- Web
browser
Hỗ trợ Hệ điều hành
nào
Bất cứ OS nào hỗ
trợ TCP/IP
Chỉ Windows Bất kì OS nào có
hỗ trợ các Web
application
Hỗ trợ Protocol Nhờ có bộ lọc
ứng dụng
Application
filters có thể hỗ
trợ các ứng dụng
chạy kết hợp
nhiều protocols –
multiconnectionp
rotocols
Hầu hết các ứng
dụng trên
Internet hiện nay
HTTP,Secure
HTTP(HTTPS)và
FTP
Có hỗ trợ xác thực
người dùng hay không
.Nhằm kiểm soát việc
User truy cập ra ngoài
có, nhưng chỉ
dành cho VPN
clients
có có
2. Cấu hình
2.1. SecureNAT Client
ại máy CLIENT, chuột phải vào My Network Places icon trên desktop và
click Properties.
Trong Network and Dial-up Connections,chuột phải vào Local Area
Connection và click Properties.
37. Trong Local Area Connection Properties dialog box, click Internet
Protocol (TCP/IP) , click Properties.
Trong Internet Protocol (TCP/IP) Properties dialog box, chúng ta khai
báo IP, Subnet mask, DNS, quan trọng nhất là khai báo Default Gateway sao
cho mọi thông tin hướng ra internet phải được định tuyến đến ISA server(ở
đây Default Gateway chính là địa chỉ IP của máy ISA Server ).
2.2. Web Proxy Client
Chúng ta cấu hình trên Internet Explorer
Trên máy CLIENT, chuột phải vào Internet Explorer icon nằm trên
desktop,clickProperties.
Trong Internet Properties dialog box, click Connections tab. trên
Connections tab, click LAN Settings button.
38. Trong Local Area Network (LAN) Settings dialog box. Tại Proxy server
chúng ta điền IP or tên của ISA server và port 8080ok
2.3. Firewall Client
Vào thư mục Client trong đĩa ISA 2006 chạy file setup.exe .
42. CHƢƠNG IV.TRIỄN KHAI ISA
SERVER
1. Tạo Rule
Tạo Rule cho phép người quản trị có thể cho phép hay cấm bất kỳ máy nào trong
mạng hay toàn bộ mạng.
* Default Rule đã cấm mọi traffic ra vào thong qua ISA Server .Như
vậy,đểcác máy trong Internal có thể truy cập Internet ta cần phải tạo 1 Rule
có DNS Server phân giải tên miền.
Chạy chương trình ISA bằng các click chuột vào ISA server Management
Chuột phải vào Firewall Policy chọnNew chọn Access Rule
43. Sau đó của sổ New Access Rule wizard hiện ra chúng ta gõ tên cho Rule
chẳng hạn nhưDNS Query vào ô Access Rule Name Next
Chọn AllowNext
44. Sau đó chúng ta sẽ chọn Protocol cho rule,chúng ta chỉ chọn giao thức
DNSAddNext
45. Bước tiếp theo chúng ta chọn Source cho rule click Add sau đó chon cái bạn
muốn Add ở đây tôi chọn Internal và Local Host.
Tiếp theo chúng ta sẽ chon Destination click Add chọn điểm đếnNext
46. Chọn Next sau đó chúng ta chọn User cho rule or nếu ta muốn cho phép
tất cả User ra Internet thì ta để mặc địnhNext
Nhấn Finish để kết thúc.
*Allow to Internet:Cho phép Group Lãnh Đạo truy cập Internet không giới
hạn
47. Chuột phải vào Firewall Policy chọnNew chọn Access Rule
Access rule name:AllowLanh Dao to internetNext
Chọn AllowNext
52. Như vậy User gd đã truy cập Internet thành công.
*Deny Web:Cho phép Phòng Nhân Sự truy cập Web ngoại trừ trang
Wnexpress.net trong giờ làm việc(từ thứ 27,sáng từ 7h11h,chiều
từ 13h17h )
Access rule name:Deny Web trong gio lam viecNext
53. Chọn AllowNext
Chọn Selected protocols &Add 2 giao thức HTTP và HTTPS(vì ở
đây mình chỉ cho phép Group Nhân Sự truy cập Web)Next
56. Việc còn lại của chúng ta là tạo Schedule giờ làm việc và URL Sets
của trang Vnexpress.net.
Chuột phải lên Rule vừa tạo chọn Properties chọn Tab
ScheduleNew..
58. Tiếp theo ta Click New chọn URL Set tạo trang Vnexpress.net mà
chúng ta cần Deny.
Làm theo thứ tựOK
59. Bây giờ ta sẽ them trang Vnexpress cần Deny vào Rule
Chuột phải vào Rule chọn Properties
Add URL Sets:Vnexpress vào phần ExceptionApplyOK
60. Rule hoàn chỉnh của chúng ta.
Log on vào User của Phòng Nhân Sự để kiểm tra:
Ta thấy User của có thể truy cập Web
61. Nhưng không thể truy cập vào trang Vnexpress.net
2.Server Publishing – HTTP-HTTPS
Cho phép máy ngoài Internet có thể truy cập được trang web thuctap.com
2.1.Publishing-HTTP
Tại máy DC Server ta vào:
62. Đây là giao diện của trình tạo Web Server:
Tiếp theo ta chuột phải vào Web SitesNewWeb Site…
67. Finish để kết thúc việc tạo Web Server.
Nhƣ vậy ta đã tạo thành công trang web thuctap.com
Chuyển qua máy ISA Server bật chƣơng trình ISA lên tiếp tục trong
Firewall Policytạo một Rule mới bằng cách chọnNew -> Web Site
Publishing Rule
68. Đặt tên cho Rule này là Publish WebNext
Chọn AllowNext
69. Chọn Publish a single….-->Next
Với Rule này tôi sẽ Publish dịch vụ HTTP trước nên trong Server
Connection Sercurity tôi chọn lựa chọn Use non-secured connections to
conect the published Web server or server farm.
70. Internal site name bạn nhập Domain name của hệ thống (chính là Domain
của DC Server) và check vào mục Use a compute name….-->nhập địa chỉ
IP của máy DC Server vào khung IP AddressNext
72. Nhập Domain name mà bạn mua từ nhà cung cấp dịch vụ vào ô Public
name trong Public Name DetailsNext
73. Trong cửa sổ Select Web Listener chưa tồn tại các Web Listener nào cả vì
vậy ta phải tạo các Listener mới cho nó. Nhấp New
74. Đặt tên cho Web Listener này là Publish Port 80Next
Tiếp tục chọn tùy chọn là Do not require SSL secured connections with
clients để chỉ Publish dịch vụ HTTP mà thôi.
77. Trở lại màn hình Select Web Listener sẽ thấy xuất hiện Web Listener là
Publish Port 80 vừa tạo chọn Publish Port 80
Chọn tùy chọn No delegation, and cliecnt cannot authenticate directly
trong Authentication DelegationNext
80. Qua máy Internet kiểm tra:
Nhập http://www.thuctap.com.vn/ vào máy Internet và thành công.
2.2.Publishing-HTTPS
81. *Cài đặt CAtrên máy DC
StartSettingControl PanelDouble click Add or
Remove…..Add/Remove…..Check vào Certificate Services
Chọn Yes để tiếp tụcNext
Check Enterprise root CANext
82. Gõ tên bất kỳ vào Common name for this CANext
83. Check vào Store configuration…….gõ đƣờng dẫn thuc mục vào ô
Shared folderNext
84. Tiếp theo ta mở IIS lên chuột phải vào thuctap.com.vn chọn
Properties
Click vào Tab Directoryclick vào Server certificate…Next
86. Gõ www.thuctap.com.vn vào Comomn
nameNextNextFinish
Tiếp ta sẽ lưu file Certificate để máy ISA có thể Add Import click
vào Server certificate…..NextCheck vào Export……Next
92. Bung mục CertificateChuột phải vào Personal chọn All Tasks
chọn tiếp Import….-->Next
Copy file Export từ máy DC qua máy ISA tại đây chọn Browse..tới
file ExportNext
102. Qua máy Internet test thấy Client có thể truy cập tới Web Server
3.Publish Mail Exchange
*Tại máy ISA ta sẽ tạo 1 Rule cho phép Internal có thể gữi Mail ra
bên ngoài.
Chuột phải vào Firewall policyNewAccess Rule…
Access rule name:Allow seen mailNext
113. Sau đó chúng ta sẽ gữi 1 Email cho User:ns
Check vào Create Mail
To :gõ tên tài khoản muốn gữi tới
Subject :gõ tiêu đềSend
114. 4. VPN Clients to Gateway
Nhƣ bạn đã biết các máy Client từ bên ngoài muốn truy cập vào mạng
chúng ta phải có đƣợc IP Public của mạng chúng ta trong môi trƣờng
mạng chúng ta có ISA Server, IP Public này còn gọi là IP mặt ngoài và
thƣờng đƣợc xuất ra bởi External DNS mà ta đã biết đến trong bài
Server Publising.
Trong môi trƣờng mạng chúng ta đã có ISA Server các Clients muốn
truy cập vào bên trong Internal Network phải nhờ một NAT Server dẫn
đƣờng đến ISA Server, sau khi đƣợc xác nhận tính hợp lệ từ ISA Server
thì các yêu cầu này mới đƣợc tiếp tục vào Internal Network.
Tại máy DC Server bật Active Directory Users and Computers lên.
Double click vào User kt chọn Tab Dial-in
Check tùy chọn Allow Access trong Remote Access PermissionApply
115. Tại máy ISA Server bạn chọn Virtual Private Networks (VPN) chọn tiếp
Tab VPN Clients
116. Click vào Configure Address Assignment Method
Tại Tab Address Assignment bạn nhập một dãy IP để gán cho các máy
VPN Client trong Static address pool ở ví dụ này là dãy
số10.0.0.110.0.0.200
Nếu hệ thống mạng của bạn đã có DHCP rồi thì bạn chọn tùy chọn thứ 2 là
Dynamic Host Configuration Protocol (DHCP) bên dưới.
117. Mặc định khi cài đặt hoàn tất ISA Server sẽ không bật VPN Clients lên nên
bạn tiếp tục chọn Enable VNP Client Access trong bước cài đặt thứ 1 để bật
tính năng này.
118. Check vào tùy chọn Enable VPN client access
Lưu ý là giá trị trong ô Maximum number of VPN clients allowed phải
nhỏ hơn dãy số IP mà ta gán cho các VPN Clients
Tiếp tục bạn chọn mục Firewall Policy để tạo một Rule mới cho phép các
VPN Clients được phép truy cập vào bên trong Internal Network
Tôi đặt tên cho Rule này là VPN Client to Gateway1
119. Rule Action: Allow
Protocol: All outbound traffic
Trong Access Rule Sources bạn chọn một giao thức duy nhất đó là VPN
Clients
Vì các máy Client từ bên ngoài truy cập vào bên trong Internal Network
nên trong Access Rule Destinations ta chọn là InternalNext
120. Màn hình sau khi hoàn tất
Mặc định trong ISA Server đã tạo sẵn một Network Rule trong Networks
của phần Configuration cho phép các máy VPN Clients từ bên ngoài truy
cập vào Internal, tuy nhiên đây chỉ là con đường đi của của các VPN
Clients mà thôi và đi được hay không là do Access Rule mà ta vừa tạo lúc
nãy quyết định.
Như vậy để cho các VPN Clients truy cập được Internal Network trong
ISA Server phải tồn tại song song cả 2 Network Rule và Access Rule
121. Như vậy chúng ta đã hoàn tất cấu hình VPN Clients to Gateway trên máy
ISA Server
Tiếp theo ta cấu hình VPN tại máy Clients
Bạn vào Network Connections của máy Client chọn Create a new
ConnectionNext
Chọn tiếp Connect to the network at my workplaceNext
123. Nhập IP mặt ngoài của mạng cần kết nối VPN trong bài chính là
192.168.1.10Next
Trong cửa sổ Network Connections của VPN Client xuất hiện thêm icon
vpn với giao thức PPTP.
124. Sau đó nhập tài khoản mà bạn đã tạo trước đó tại DC
Server(Username/Password:kt/123) và nhấp Connect
Màn hình thông báo kết nối thành công
125. Tại máy Client ping thử IP của máy DC Server sẽ thấy kết quả rất tốt
Truy cập vào các Shared Folder cũng rất tốt
126. 5.Caching
ISA Server ngoài tính năng bảo mật hệ thống ra còn là công cụ Cache
(lƣu trữ các bản sao) Web rất hiệu quả nhằm đem lại khả năng lƣớt
Web cho toàn bộ hệ thống mạng với tốc độ nhanh hơn.
Nghĩa là khi các Clients truy cập vào một trang Web nào đó ISA Server
sẽ tự động lƣu trữ toàn bộ nội dung trang Web này trong Cache của
mình, khi đó một Client 02 khác cũng truy cập trang Web trên thay vì
phải kết nối đến Internet để tải cả trang Web đó về thì ISA Server nhận
thấy trong Cache của mình có thông tin về trang Web mà Client 02 yêu
cầu lập tức nó truyền toàn bộ nội dung trang này cho Client 02 nên tại
Client 02 sẽ đƣợc lợi là không phải tốn nhiều thời gian để tải nguyên
trang Web ấy từ Internet.
Tuy nhiên vì mặc định ISA Server Cache nội dung các trang Web là 20
phút nên nếu trong thời gian này tạo trang Web trên có sự cập nhật mới
thì phía Client sẽ không xem đƣợc nội dung mới này, nhƣng so ra bất
lợi này là không đáng kể vì thực tế rất hiếm khi gặp trƣờng hợp này
hơn nữa nội dung tại đa số Website không phải luôn luôn là thay đổi.
127. Mặc định sau khi cài đặt hoàn tất ISA Server sẽ tắt Cache đi, để Enable
Cache bạn chọn Cache trong mục Configuration
Tại ISA Server trong màn hình bên phải chọn Tab Cache Drivers tiếp
tục nhấp phải vào Cache Driver chọn Properties
Bạn Set giá trị Cache cho ISA trong bài vì đơn giản nên tôi Set là
100MB tuy nhiên trên thực tế bạn nên Set giá trị này càng cao càng tốt
cỡ độ 5Gb trở lênApply
128. Chọn Save the changes and restart the servicesOK
Tiếp tục ta vào phần Cache Ruletạo một Cache Rule mới .
129. Chuột phải vào CacheNewCache Rule… đặt tên là Cache All
Next
138. Kiểm tra thấy máy Client 2 truy cập vào trang http://bongdaso.com
nhanh hơn
139. CHƢƠNG V: MỘT SỐ MÔ HÌNH ISA
FIREWALL THƢỜNG GẶP
1. Edge Firewall
Đây là mô hình mạng với 1 ISA Server nối trực tiếp với mạng bên trong Internal
.Do dó nếu hệ thống bị bên ngoài tấn công vào và ISA Server bị dánh sập thì chúng
có thể truy cập vào tất cả các máy tính trong mạng Internal Network. Với mô
hình này tuy hệ thống vẫn được bảo mật nhưng còn ở tầm rất hạn chế.
2. 3-Leg Perimeter
Với mô hình này trong Internal Network chúng ta sẽ chia ra làm 2 nhóm
Nhóm thứ 1 là các máy như Mail Server, Web Server... để người dùng từ
External Network có thể truy cập vào
Nhóm thứ 2 là các máy nội bộ cần được bảo mật kỹ càng hơn nhóm thứ 1
140. Tại máy ISA Server ta cần đến 3 Card Lan
Card thứ 1 nối với các máy thuộc nhóm thứ 2 trong Internal Network.
ISA Server sẽ mở các Port Outbound tại Card này
Card thứ 2 nối với các máy thuộc nhóm thứ 1 trong Internal Network.
ISA Server sẽ mở các Port Outbound/Inbound tại Card này
Card thứ 3 nối với các máy trong External Network. ISA Server sẽ mở
các Port Inbound tại Card này
Như vậy nếu một Hacker từ External Network tấn công vào mạng chúng ta, sau
khi đánh sập được ISA Server chúng có thể truy cập vào tất cả các máy tính thuộc
nhóm thứ 1 trong mạng Internal Network.Với mô hình này tuy hệ thống vẫn được
bảo mật nhưng còn chưa được chặt chẽ lắm.
3. Front/Back Firewall
Mô hình này thực chất là một mở rộng của mô hình 3-Leg Perimeter tại mô hình
này người ta sẽ dựng nhiều ISA Server trong Local Host
Khi đó nếu Hacker tấn công mạng chúng ta chúng phải liên tiếp đánh sập nhiều
ISA Server trong Local Host, tuy nhiên khi một vài ISA Server của chúng ta bị
tấn công thì phía chúng ta đã được báo động và có biện pháp phòng thủ, củng cố
lại hệ thống an toàn hơn.
Mô hình này tuy là có độ an toàn cao nhưng bù lại chi phí đầu tư cho nó là rất tốn
kém.
141. CHƢƠNG VI. TỔNG KẾT
Hiện nay bảo mật hệ thống mạng đang là vấn đề nhức nhối của các quản trị
viên. Mỗi ngày làm việc lại có thêm một nguy cơ tấn công mới, tinh vi, hiện đại
hơn với những hình thức phức tạp và quy mô hơn. Sự đe dọa hệ thống luôn “rình
rập” và dù chỉ một sai lầm nhỏ cũng dẫn đến hậu quả khó lường. Vì vậy chúng ta
với vai trò là một quản trị viên cần có một trình độ nhất định, luôn luôn cập nhật
công nghệ bên cạnh đó là xây dựng một server đủ mạnh, một firewall vững
chắc..vv.vv.
Hiểm họa luôn luôn tiềm ẩn, đó có thể là bên ngoài hệ thống mạng của mình
hay chính từ bên trong tổ chức.Thực tế ở các công ty, hay một tổ chức nào đó thì
nhu cầu trao đổi, tìm hiểu thông tin là điều thiết yếu và bắt buộc không những ở
trong mạng cục bộ mà còn ra ngoài Internet nữa. Như vậy cần có sự quản lý chặt
chẽ, kiểm soát mọi truy cập của local hay Internal ra ngoài Internet và ngược lại.
ISA server 2006 xứng đáng là một sự lựa chọn tin cậy. Không những đáp
ứng hai điều kiện trên ISA server còn có giao diện thân thiện dễ sử dụng và quản
lý.
Và với một vai trò là quản trị viên chúng ta cần nâng cao kiến thức liên tục
cập nhật công nghệ… đưa ra những lựa chọn đúng đắn nhất nhằm bảo vệ tốt nhất,
an toàn nhất cho hệ thống mạng của tổ chức hay công ty mình đảm nhiệm./.
