báo cáo thực tập - tài liệu học...
TRANSCRIPT
0 2 B i s D i n h T i e n H o a n g S t r e e t , D a k a o W a r d , D i s t r i c t 1 , H C M
2013
Báo cáo thực tập
ATHENA INTERNATIONAL NETWORK ADMINISTRATION & SECURITY TRAINING
LỜI MỞ ĐẦU
---ooOOoo---
Trước tiên em xin ch}n th{nh c|m ơn trung t}m Đ{o Tạo & Quản Trị Mạng
Athena đ~ tạo điều kiện cho em thực tập. Sau đ}y l{ b|o c|o về đề tài của em khi
thực tập ở đ}y.
ISA Server 2006 là hệ thống tường lửa được sử dụng trong hầu hết các hệ thống
mạng doanh nghiệp vừa và nhỏ, phiên bản ISA Server 2006 có những điểm cải
tiến so với phiên bản 2004, dưới đ}y l{ b|o c|o qu| trình thực hiện của em trên
nền máy ảo VMWare WorkStation.
Trong qu| trình thưc hiện không thể tránh khỏi sai sót, kính mong thầy cô góp ý,
em xin chân thành cảm ơn!
Mục lục
I. Giới thiệu.................................................................................................................. 3
A. Mục đích phải sử dụng ISA ................................................................................ 3
B. Ưu điểm và hạn chế của ISA ............................................................................. 3
1. Ưu điểm: ......................................................................................................... 3
2. Hạn chế: ......................................................................................................... 4
C. So sánh các phiên bản ISA ................................................................................ 4
II. Cài đặt ISA Server 2006 .......................................................................................... 5
III. Access Rule .......................................................................................................... 8
A. Access Rule( DNS Query).................................................................................. 9
B. Tình huống 2 .................................................................................................... 17
C. Tình huống 3 .................................................................................................... 25
D. Tình huống 3 .................................................................................................... 37
E. Tình huống 4 .................................................................................................... 44
IV. Application & web filter ........................................................................................ 50
V. Server Publishing ................................................................................................... 55
D. Publish Web server ........................................................................................ 103
VI. VPN ................................................................................................................... 109
VII. CACHING .......................................................................................................... 123
I. Giới thiệu
Microsoft Internet Security and Acceleration Server (ISA Server) là phần mềm
chia sẻ Internet của hãng Microsoft.
Đ}y l{ một trong những phần mềm tường lửa (Firewall) được ưa chuộng trên thị
trường hiện nay nhờ vào khả năng bảo vệ hệ thống mạnh mẽ cùng với cơ chế
quản lý linh hoạt.
A. Mục đích phải sử dụng ISA
Nếu máy tính của một c| nh}n không được bảo vệ bởi Firewall thì khi máy
tính đó kết nối Internet, tất cả các giao thông ra vào mạng đều được cho phép.
Vì vậy hacker, trojan, virus... có thể truy cập và lấy cắp thông tin trên máy tính
đó.
Ngoài ra Hacker còn có thể c{i đặt c|c đoạn m~ để tấn công file dữ liệu trên
m|y tính cũng như có thể sử dụng m|y tính đó để tấn công các máy tính khác.
Điều này là cực kỳ huy hiểm với các máy tính trong một tổ chức.
Vì vậy hầu hết các tổ chức đều có một hệ thống Firewall để bảo vệ hệ thống
mạng của tổ chức đó.
B. Ưu điểm và hạn chế của ISA
1. Ưu điểm:
Firewall được dùng để ngăn chặn các trang web xấu vào một quốc gia, tổ
chức, doanh nghiệp. Ngăn chặn các truy cập tr|i phép cũng như c|c cuộc tấn
công lấy cắp dữ liệu, đ|nh sập mạng máy tính của hacker.
Firewall có thể bảo vệ cho dữ liệu, máy tính, mạng máy tính một cách khá
chắc chắn. Bảo vệ chống lại những kẻ tấn công từ bên ngoài bằng cách chặn
các mã nguy hiểm hoặc lưu lượng Internet không cần thiết vào máy tính hay
mạng.
Firewall có thể được cấu hình để khóa dữ liệu từ các vị trí cụ thể trong khi vẫn
đảm bảo cho dữ liệu cần thiết có thể đi qua.
2. Hạn chế:
Firewall không đủ thông minh như con người để có thể đọc hiểu từng loại
thông tin và phân tích nội dung tốt hay xấu của nó. Do đó Firewall chỉ có thể
ngăn chặn sự xâm nhập của những nguồn thông tin không mong muốn nhưng
phải x|c định rõ các thông số địa chỉ.
Firewall không thể ngăn chặn một cuộc tấn công nếu cuộc tấn công này không
đi qua nó. Một cách cụ thể, Firewall không thể chống lại một cuộc tấn công từ
một đường dial-up, hoặc sự dò rỉ thông tin do dữ liệu bị sao chép bất hợp
ph|p lên đĩa mềm.
Firewall cũng không thể chống lại các cuộc tấn công bằng dữ liệu (data-
drivent attack). Khi có một số chương trình được chuyển theo thư điện tử,
vượt qua Firewall vào trong mạng được bảo vệ và bắt đầu hoạt động ở đ}y.
Một ví dụ là các virus máy tính. Firewall không thể làm nhiệm vụ rà quét virus
trên các dữ liệu được chuyển qua nó, do tốc độ làm việc, sự xuất hiện liên tục
của các virus mới và do có rất nhiều c|ch để mã hóa dữ liệu, thoát khỏi khả
năng kiểm soát của Firewall
C. So sánh các phiên bản ISA
ISA Server 2006 là phiên bản tiếp theo của sản phẩm Microsoft ISA Server. Có
một số tính năng mới so với phiên bản ISA 2004 như :
+ Phát triển hỗ trợ OWA, OMA , ActiveSync và RPC/HTTP publishing.
+ Hổ trợ SharePoint Portal Server.
+ Hổ trợ cho việc kết nối nhiều certificates tới 1 Web listener.
+ Hỗ trợ việc chứng thực LDAP cho Web Publishing Rules.
Hiện nay ISA 2006 có 2 phiên bản Standard và Enterprise.
- Phiên bản ISA Standard Edition là phiên bản sử dụng cho các hệ thống mạng
vừa và nhỏ.
- Phiên bản ISA Enterprise Edition là phiên bản sử dụng cho các hệ thống mạng
lớn, đ|p ứng được nhu cầu trao đổi thông tin lớn giữa mạng nội bộ và bên
ngoài. Ngoài những tính năng đ~ có trên ISA Standard Edition, ưu điểm chính
của Enterprise là hỗ trợ CPU không giới hạn, quản lý tập trung cấu hình và cân
bằng tải tối đa 32 Server.
Những chức năng được thực hiện:
- C{i đặt ISA 2006
- Access rule
- Application & web filter
- Server Publishing
- VPN
- Caching
II. Cài đặt ISA Server 2006
Chúng ta sẽ xây dựng và sử dụng 3 máy tính ảo theo mô hình sau :
Máy tên ISA Server sẽ cài đặt ISA Server 2006, máy này sẽ có 2 interface. Ta đặt tên
cho 2 interface này như sau :
LAN : kết nối tới các traffict trong Internal.
WAN : kết nối tới các traffict ở External.
Cấu hình thông số Ip trên 2 interface này :
Máy tên DC là máy đại diện cho các traffic từ Internal đến máy ISA. Tại máy này ta sẽ
nâng
cấp thành Domain Controller, Mail Server, Web Server . Cấu hình thông số Ip trên máy
này.
- Nâng cấp m|y DC lên Domain Controller v{ đặt tên domain: athena.com.vn
- Join máy ISA server vào domain.
Sau đó chúng ta sẽ kiểm tra kết nối từ m|y DC đến máy ISA, từ ISA đến DC, từ ISA
đến internet.
Tiếp theo, trên máy DC ta sẽ tạo c|c đối tượng sau :
Cài đặt ISA server 2006:
- Trên m|y c{i đặt ISA server: Log on vào máy ISA2k6 với User Administrator
vào chạy chương trình Setup ISA Server -> chọn Install ISA Server 2006
- Chọn Add Adapter . . .
- Kế tiếp ta check vào card mạng mà ta muốn ISA Server quản lý -> chọn OK.
Chú ý:
Sau qu| trình c{i đặt, ISA sẽ khóa tất cả cổng ra vào của hệ thống mạng. Vì vậy
máy DC và Client không thể truy cập Internet v{ ping m|y ISA server được. Tuy
nhiên từ máy ISA Server ping tới các máy phía trong vẫn bình thường.
III. Access Rule
Quy định những traffict nào sẽ được đi qua ISA Server. Đ}y l{ th{nh phần quan trọng
của ISA Server. Chúng ta sẽ tìm hiểu về Access Rule thông qua những tình huống
được nêu ra ở các mục bên dưới .
Default Rule đ~ cấm mọi traffic ra vào thông qua ISA Server. Như vậy, để các
máy trong Internal truy cập ra ngoài bằng domain name, cần phải có DNS Server
phân giải các domain name này. Ở đây ta sẽ sử dụng DNS Server của ISP .
Nếu chúng ta không sử dụng DNS sever của ISP thì cúng ta có thể tạo Access
Rule cho phép chúng ta phân giải tên miền bên ngoài không cần đến DNS sever của
ISP
Chúng ta cấu hình như sau:
A. Access Rule( DNS Query)
Tại máy ISA Server, mở ISA Server Management, phải chuột vào Firewall Policy,
chọn New chọn Access Rule
Hộp thoại Access Rule Names, đặt tên rule là: DNS Query
Hộp thoại Rule Action, chọn Allow
Hộp thoại Protocols, chọn Selected Protocols và nhấn Add
Trong hộp thoại Add Protocols, bung mục Common Protocols, chọn DNS, nhấn
Add, nhấn Next
Hộp thoại Access Rule Sources, Add : Internal và Local Host. Thực tế thì ta không
nên chọn Local Host
Hộp thoại Access Rule Destinaton, Add : External, nhấn Next
Hộp thoại User Sets, chọn All Users, nhấn Next
Hộp thoại Completing the New Access Rule Wizard, kiểm tra lại thông tin về
Rule lần cuối, sau đó nhấn Finish. Nhấn chọn Apply, Ok .
B. Tình huống 2
Công ty Athena cho phép các nhân viên thuộc nhóm Maketing được phép
truy cập Internet không hạn chế.
Group Maketing đ~ được tạo trước trên máy DC ở phần trước, tiếp theo ta chỉ
việc định nghĩa c|c đối tượng n{y trên m|y ISA. Để quản lý được các domain user ta
phải joint máy ISA vào domain athena.edu.vn.
Trong cửa sổ ISA Server Management, tại cửa sổ thứ 3, chọn tab Toolbox, bung mục
Users, chọn New, hộp thoại User set name, đặt tên là Maketing rồi nhấn Next
Hộp thoại Users, nhấn Add, chọn Windows users and groups…
Add 2 users Man1 và Man2 vào hộp thoại Users
Trong hộp thoại Completing, chọn Finish. Nhấn Apply .
Thực hiện tương tự cho c|c đối tượng còn lại.
Bước tiếp theo ta sẽ tạo access rule theo yêu cầu trên. Chuột phải Firewall Policy,
chọn New, chọn Access Rule
Hộp thoại Access Rule Names, đặt tên rule là: Allow Maketing – Full Access
Hộp thoại Rule Action, chọn Allow
Hộp thoại Protocols, chọn All outbound traffic
Hộp thoại Access Rule Sources, add Internal, chọn Next
Hộp thoại Access Rule Destinaton, add External, chọn Next
Hộp thoại User Sets, remove group All Users, và add group Maketing vào, chọn Next
Hộp thoại Completing the New Access Rule Wizard, chọn Finish
Nhấn chọn Apply, chọn OK
Kiểm tra kết quả
Logon user athena\Ma1
Mở Command Prompt gõ lệnh nslookup. Phân giải các tên miền ở External.
C. Tình huống 3
Để tăng tính hiệu quả trong giờ làm việc, cty Athena yêu cầu các nhân viên
trong giờ làm việc chỉ được truy cập một số trang Web như :
http://athena.edu.vn, http://forum.athena.edu.vn, http://www.nhatrang-
itt.vn
Giờ làm việc được quy định : 8h-12h sáng và 14h – 18h chiều.
Ta sẽ định nghĩa c|c trang Web được phép truy cập như sau:
Trong cửa sổ ISA Server Management, chọn Firewall Policy, qua cửa sổ thứ 3, tại
tab Toolbox, bung mục Network Objects, nhấn New, chọn URL Set
Trong hộp thoại New URL Set. Ô Name , nhập tên: Allow Web, nhập các trang web
mà bạn cho phép.
Tương tự như vậy, ta định nghĩa luôn c|c trang Web không cho phép với tên là
Restrict Web.
Tiếp theo, ta sẽ định nghĩa khoảng giờ làm việc của cty như sau :
Trong cửa sổ ISA Server Management, chọn Firewall Policy, qua cửa sổ thứ 3, tại tab
Toolbox, bung mục Schedules, chọn New
Trong ô Name, nhập tên Work Time. Bên dưới chọn từ (8h - 12h) và từ (2h – 6h)
Tương tự, chúng ta tạo thêm Rest time từ 12h-2h
Cuối cùng, ta sẽ định nghĩa rule cho tình huống này.
Chuột phải Firewall Policy, chọn New, chọn Access Rule. Hộp thoại Access Rule
Names, đặt tên rule là: Users on Work Time.
Hộp thoại Rule Action, chọn Allow
Hộp thoại Protocols, chọn Selected Protocols và nhấn Add. Trong hộp thoại Add
Protocols, bung mục Common Protocols, chọn HTTP và HTTPS, nhấn Add. Nhấn
Next .
Hộp thoại Access Rule Sources, add Internal
Hộp thoại Access Rule Destinaton, nhấn Add. Bung URL Sets, chọn Allow Web. Nhấn
Next .
Hộp thoại User Sets, chọn All Users, nhấn Next
Hộp thoại Completing the New Access Rule Wizard, nhấn Finish. Chuột phải lên rule
Users on Work Time, chọn Properties
Kiểm tra kết quả.
Log user athena\t1 kiểm tra
Truy cập trang http://www.vnexpress.net
D. Tình huống 3
Trong giờ giải lao, các nhân viên được truy cập mọi trang Web ngoại trừ
trang: http://24h.com.vn . Ta thiết lập như sau:
Trong cửa sổ ISA Server Management, chuột phải Firewall Policy, chọn New, chọn
Access Rule. Hộp thoại Access Rule Names, đặt tên rule là: Users on Rest Time
Hộp thoại Rule Action, chọn Allow.
Hộp thoại Protocols, chọn Selected Protocols và nhấn Add. Trong hộp thoại Add
Protocols, bung mục Common Protocols, chọn HTTP và HTTPS, nhấn Add. Nhấn
Next
Hộp thoại Access Rule Sources, add Internal, nhấn Next
Hộp thoại Access Rule Destinaton, add External, nhấn Next
Hộp thoại User Sets, chọn All Users, nhấn Next
Hộp thoại Completing the New Access Rule Wizard, nhấn Finish
Chuột phải lên rule Users on Rest Time, chọn Properties
Qua Tab Schedule, trong mục Schedule, chọn Rest Time. Qua tab To, khung
Exceptions, nhấn Add. Bung mục URL Sets, chọn Restrict Web
Nhấn Apply, chọn OK
Tương tự qua tab Schedule chọn Rest time
Kiểm tra kết quả .
Log on user athena\man1 kiểm tra
Truy cập các trang http://24h.com.vn/ và http://bongdaso.com; http://google.com
E. Tình huống 4
Công ty cho phép các nhân viên được phép gởi mail trong giờ làm việc.
Ta thiết lập rule như sau :
Trong cửa sổ ISA Server Management, chuột phải Firewall Policy, chọn New, chọn
Access Rule. Hộp thoại Access Rule Names, đặt tên rule là: Allow Send Mail on Work
Time
Hộp thoại Rule Action, chọn Allow
Hộp thoại Protocols, chọn Selected Protocol, nhấn Add .
Trong hộp thoại Add Protocols, bung mục Mail, chọn SMTP, POP3, SMTPS, POP3S,
IMAP4, IMAPS nhấn Add . Nhấn Next
Hộp thoại Access Rule Sources, Add Internal, nhấn Next
Hộp thoại Access Rule Destinaton, add External, nhấn Next
Hộp thoại User Sets, bạn chọn All Users
Hộp thoại Completing the New Access Rule Wizard, Finish
Nhấn chọn Apply, nhấn OK
Chuột phải lên rule Allow send mail on Work Time, chọn Properties. Qua Tab
Schedule, trong mục Schedule, chọn Work Time
Nhấn Apply, chọn OK
User dùng Outlook Express gởi mail để kiểm tra kết quả.
IV. Application & web filter
Application Filter là phần mở rộng của Microsoft cho phép các hãng thứ 3 có thể
phát triển các ứng dụng tích hợp vào ISA Server. Một trong các hãng phát triển Add‐
in cho ISA Server là GFI. Tham khảo GFI tại trang web : www.gfi.com. GFI hỗ trợ
ISA Server phần HTTP Filtering khá tốt. Web Filter cho phép ISA Server quản lý
được Packet Data ở tầng Application. Web Application Filter được sử dụng nhiều
nhất trên c|c Application Firewall vì liên quan đến Web Traffic.
Yêu cầu của cty Athena đặt ra cho các nhân viên của phòng ban Maketing trong
giờ làm việc không được nghe nhạc trực tuyến, không được down load các file
có phần mở rộng là *.mp3, *.exe, *.avi. Ngoài ra, cũng không được chat bằng
Yahoo Messenger. Ta sẽ thiết lập yêu cầu này như sau :
Tại máy ISA Server, trong cửa sổ ISA Server Management, chuột phải lên rule
Maketing, chọn Configure HTTP.
Qua tab Extensions, trong khung Specify the action taken for HTTP methods, chọn
Block specified methods (allow all others)
Nhập vào những định dạng file mà bạn muốn cấm : *.mp3, *.exe, *.avi.
Chuột phải lên rule Maketing, chọn Properties, qua tab Content Types, khung This
rule applies to, chọn Selected content types
Trong khung Content Types bỏ dấu chọn ô Audio v{ Video (để user không nghe
nhạc trực tuyến). Nhấn Apply, chọn OK .
Đối với Yahoo Messenger, ta sẽ chặn bằng Signatures. Chuột phải lên rule Maketing,
chọn Configure HTTP Qua tab Signatures, nhấn Add. Ở khung Name, nhập tên: Deny
Yahoo Messenger
Khung Search in, chọn tùy chọn: Request headers
Khung HTTP Header, nhập: Host:
Khung Signature, nhập: msg.yahoo.com. chọn OK
Nhấn Apply, chọn OK
V. Server Publishing
Publising Rule cho phép các Clients từ Internet có thể kết nối vào Web Server, Mail
Server, Application Server, … trong mạng Internal, có thể sử dụng DNS Name hoặc
sử dụng địa chỉ IP Public. Hay chúng ta có thể hiểu l{ thông thường để các Clients từ
Internet truy cập vào mạng Internal thông qua NAT – inbound, thì bây giờ chúng ta
sẽ l{m điều đó qua c|c Publising Rule. Việc đầu tiên là chúng ta cần cấu hình thêm
dịch vụ DNS ở máy ISA Server cho mô hình.
Máy DC tạo send & receive connector, star services : POP3, tạo 2 mailbox u1 & u2.
Cho u1 quyền “ logon locally “. Dịch vụ DNS đ~ được cấu hình tương ứng với
mạng 172.16.1.0/24 .
- Máy ISA : logon athena/administrator cài thêm dịch vụ DNS tại đ}y.
Tại Forward lookup zone, tạo New Zone, chọn Primary Zone với tên athena.edu.vn
Cửa sổ Dynamic update chọn “ do not allow …”
Xóa host được tạo ra ứng với interface Local
Tương tự tại mục Reverse lookup zone tạo New Zone, chọn Primary Zone
Chỉnh DNS trên máy ISA chỉ lắng nghe về phía card Lan. Bằng cách phải chuột lên
PC ISA, chọn properties
Chọn only the following IP …, v{ Remove ip 192.168.2.111
Sau đó Restar lại dịch vụ DNS
Kiểm tra phân giải DNS trên máy ISA
Tiếp theo, trên máy ISA tạo rule publish DNS
Chọn non-web server …, đặt tên rule l{ “ publish DNS “
Điền Ip trên card Lan
Mục Select Protocol, chọn DNS server
Mục Network Listener Ip Address, chọn External
Kiểm tra trên máy Internet
Chỉnh Preferer DNS về IP của card ngoài máy ISA
Vào Run gõ cmd kiểm tra bằng nslookup
Publish Mail Exchange Server :
Trên ISA tạo rule “ Allow send mail “ cho phép Internal được phép gởi mail ra
ngoài
External
Chọn protocol : POP3, POP3S, IMAP, IMAPS, SMTP, SMTPS .
Mục Access Rule Source chọn Internal
Mục Access Rule Source chọn External
Mục Users set chọn All users. Nhấn Next, kiểm ta và chọn Finish .
Tại ISA Management, chuột phải vào Firewall Policy chọn mail server publishing
rule.
Tại giao diện Welcome, đặt tên publish Exchange
Giao diện Select Access Type, chọn Client access ….
Mục Select Services, chọn standard & secure port như hình .
Điền IP của máy DC
Mục Network Listener Ip Address, chọn external
Nhấn Next, kiểm tra lại và nhấn Finish
Trên máy DC , vào All Program chọn OE , phải chuột chọn Run as …
Logon với tên u1, Display Name điền vào tên u1
Incoming & outgoing : mail.athena.edu.vn
Nhập User & pass đ~ tạo trên máy DC. Rồi nhấn Next
Account mail của u1 vừa tạo, chọn properties
Tab server, check vào mục “ My Server Require …. “
Tab advanced, check vào 2 mục Outgoing và Incoming, mục “ Leave a … “
Nhấn Send & Receive kiểm tra
Nhấn Create Mail, tạo mail gởi cho u2
Mail đ~ gởi thành công .
Tại máy Internet mở OE tạo tài khoản u2 .
Incoming & outgoing : mail.athena.edu.vn
Nhập vào Tên và Pass của user u2 đ~ tạo trên máy DC
Tab Server
Reply mail lại cho u1
Đ~ gởi thành công
U1 nhận được mail từ u2
Publish OWA
Tại máy DC. Mở IIS và bỏ check “ require secure channel SSL “
Tại máy ISA 1 tạo rule để publish OWA, chuột phải vào Firewall Policy chọn
Exchange
Web Client ….
Chọn phiên bản là exchange 2007, check vào mục OutLook Web Access.
Mục Publishing Type, chọn Publish a single web
Mục Server Publishing Security, chọn use non secure …
Mục Internal Publishing Detail, điền tên internal site và ip của m|y DC như hình
Điền tên public name như hình. Đ}y chính l{ tên m{ Client từ bên ngoài sẽ sử dụng
để truy cập.
Nhấn Next để tạo web listener với tên “ web port 80 “ ứng với port 80
Mục select Web listener, chọn do not require SSL
Mục Web Listener Ip Address, chọn external
Mục Authentication, chọn no authentication
Mục Authentication Delegate, chọn no delegation
Mục User Sets chọn All user. Nhấn Next rồi chọn Finish. Apply rồi Ok.
Kiểm tra tại máy Internet. Mở Browser, nhập http://mail.athena.edu.vn/owa
Gởi mail thành công
Tại máy DC truy cập bằng OWA và logon u1
Thấy đ~ nhận được mail của u2
D. Publish Web server
Trên máy PC2 tạo trang web index.htm với nội dung tùy ý. Mở IIS và tạo thêm web
site tên “Web”
Chuột phải vào Web và chọn Properties, tại tab Website chọn port 8080
Tab Home Directory trỏ về nơi chứa source web .
Chuột phải vào mục Web chọn Browse, để kiểm tra
Trên IE nhập địa chỉ : http://athena.edu.vn:8080
Tương tự trên máy ISA tạo 1 rule để publish website với tên l{ “ Publish web “
Điền tên site internal v{ ip m|y DC như hình .
Tạo Web listener ứng với port 8080
Tên publish site : www.athena.edu.vn
Đường dẫn gõ vào : /*
Ta cần phải Bridge port 8080
Kiểm tra trên máy Internet. Nhập địa chỉ : http://www.athena.edu.vn:8080
VI. VPN
VPN (Virtual Private Network) là giải pháp hữu hiệu để kết nối các hệ thống mạng
của doanh nghiệp có nhiều chi nhánh và vị trí địa lý xa nhau, hoặc doanh nghiệp của
bạn có nhiều nhân viên phải thường xuyên đi công t|c xa v{ họ cos nhu cầu truy cập
vào tài nguyên mạng nội bộ.
ISA Server có khả năng cấu hình thành một VPN Server cho phép Clients từ xa truy
cập (Client to Site) hoặc cấu hình làm một Gateway để kết nối đến một hệ thống chi
nhánh (Site to Site). VPN Server của chi nh|nh được khuyến cáo nên là một ISA
Server , nhưng thực tế thì ISA Server có thể kết nối VPN rất tốt với các thiết bị VPN
của các hãng khác.
Clients hoặc VPN Server khi quay VPN vào ISA Server sẽ được cấp một địa chỉ IP
Private sử dụng trong VPN Tunnel. ISA và Clients sẽ sử dụng địa chỉ IP này cho
phần Routing trên VPN. Private IP đựơc cấp phát có thể lấy từ DHCP Server hoặc lấy
từ dịch vụ Routing and Remote Access trên Windows 2003.
ISA Server thực ra sử dụng dịch vụ Routing and Remote Access của Windows 2003
làm VPN và Routing, ngòai ra ISA Server có thêm những phần Filtering và
Application Filter . Trên ISA Server, IP Address Pool được quy định là một khỏang
địa chỉ IP. Địa chỉ IP đầu tiên được ISA Server sử dụng cho chính mình khi bật tính
năng VPN trên ISA Server lên. Những địa chỉ IP tiếp theo sẽ cấp phát cho Clients
hoặc VPN Server khi quay VPN vào ISA Server.
Cấu hình VPN Client to Site
Để cấu hình cấp phát IP cho VPN Clients, vào ISA Server Management Console. Chọn
mục Virtual Private Network
Chọn mục Verify VPN Properties and Remote Access Còniguration, chọn Tab
Address Assignment
Ở đ}y ta không sử dụng DHCP để cấp Ip cho clients. Chọn Use Static Address Pool,
nhấn Add để thêm khỏang IP vào Pool. Khỏang IP bắt đầu từ 172.30.1.1 đến
172.30.1.50 hỗ trợ cho 49 Clients kết nối vào ISA Server bằng VPN. Nhấn Ok và
kiểm tra khỏang IP .
Tiếp theo ta chọn Tab Authentication. Check mục Microsoft Encrypted
authentication ( MS-CHAP )
Mở Computer Managemet, chọn mục Local Users and Groups. Mục User, chọn New
User . Tạo User có tên là VPN1/123abc!!!
Chuột phải vào user VPN1 chọn Properties. Chọn Tab Dial-in. Mục Remote Access
Permission chọn Allow Access
Phải chụột vào Groups chọn New Group
Group Name gõ VPN Clients. Nhấn Add để thêm Member vào Group này
Tại ISA Server Management Console, Chọn mục Virtual Private Network. Chọn mục
Specify Window Users or Select a Radius Server
Giao diện VPN Clients Properties, tại Tab Groups nhấn Add . Nhập v{o nhóm đ~ tạo.
Chuyển qua tab General. Check vào Enable VPN Client Access. Số lượng Clients là 40.
Nhấn Apply và Ok.
Vào mục Network Rules trên ISA Management Console
Chọn Tab Network Rules và chú ý Rule VPN Clients to Internal Network có mối quan
hệ là kiểu Route .
VPN Clients và External sẽ sử dụng NAT để giao tiếp với nhau .
Chú ý : ta cần phải tạo thêm 1 Access Rule tại mục Firewall Policy để cho phép VPN
Client được phép truy cập vào mạng Internal .
Giao diện Welcome nhấn Next .
Chọn mục Connect to a Network at my workplace
Mục Network Connection, chọn Virtual Private Network Connection
Mục Company Name nhập tên : athena .
Nhấn Next. Mục VPN Server Selection nhập Ip ứng card WAN của máy ISA
Kiểm tra lại và nhấn Finish .
Phải chuột vào Connection mới tạo chọn Connect
Giao diện Connection, nhập Username/Password là vpn1/123abc!!!
Kiểm ta kết nối.
VII. CACHING
Cơ chế Cache giúp ISA Server tăng tốc Internet khi User truy cập. Mọi trang web đi
bằng HTTP hoặc file đi bằng FTP được ISA Server Cache lại (RAM hoặc HDD). Khi
có một Clients thứ 2 truy cập, ISA Server sẽ sử dụng Cache sẵn có để cung cấp cho
Clients.
ISA Server Cache trong RAM v{ sau đó chuyển xuống bộ nhớ. Mặc định ISA Server sử
dụng 10% RAM cho việc Cache. Chúng ta có thể cấu hình lại số phần trăm RAM sử
dụng này sau khi cài ISA Server. Trong lần sử dụng sau, nếu có Clients nào truy cập
v{o đúng trang web đ~ nằm trong Cache, ISA Server sẽ lấy nội dung từ trong Cache
ra.
Mặc định ISA Server đ~ l{ một Proxy Server lắng nghe trên Port 8080 nhưng
không Cache cố định lại nội dung của web trên ổ cứng mà Cache vào RAM. Do đó, sau
khi Server khởi động lại, những Cache này sẽ mất. Để cấu hình ISA Server thành
proxy, ta có thể định lại số Port m{ Proxy Server đang sử dụng (có thể đổi thành
3128 hoặc 6667…) v{ thiết lập lưu trữ Cache trên ổ cứng .
Để định lại Port của Proxy Server ISA, ta vào ISA Server Management Console, chọn
mục Configuration, tab Network, phải chuột vào Network Internal và chọn
Properties
Thiết lập dung lượng lưu trữ cache trên ổ cứng
Vào ISA Server chọn mục Configuration, chọn mục Cache và chú ý mục Cache đang ở
trạng thái Disable .
Trong cửa sổ Task Pane chọn Define Cache Drive .
Chọn ổ cứng G: để chứa Cache, điền dung lượng chứa vào mục Maximum cache size,
rồi nhấn Set
Chọn OK , chú ý phần Cache đ~ trở thành Enabled. Rồi nhấn Apply và Ok .
Một số lưu ý về Cahe :
• Nơi chứa cache phải là ổ đĩa cục bộ (local drive) .
• Đĩa chứa cache phải được định dạng NTFS
• Nên lưu cache trên một đĩa vật lý khác với đĩa hệ thống.
• Sau khi xác lập dung lượng cache, trên ổ đĩa D:\ đ~ chỉ định sẽ tồn tại thư
mục urlcache chứa tập tin dir1.cdat có dung lượng bẳng dung lượng chỉ định. Đ}y
chính là tập tin chứa nội dung cache. Tập tin chứa nội dung cache chỉ có thể có dung
lượng tối đa l{ 64 GB. Nếu muốn có dung lượng cache lớn hơn, ta có thể chỉ định
đồng thời nhiều ổ đĩa luận lý .
• Mặc định ISA không hỗ trợ kh~ năng quan s|t v{ điều chỉnh nội dung cache. Tuy
nhiên, Microsoft cung cấp thêm công cụ "Cache Directory Tool for Internet Security
and Acceleration ISA Server".
Thiết lập dung lượng RAM
Phải chuột vào mục Cache trên ISA Server và chọn Properties.
Chọn Tab Advanced, nhấn vào phần trăm RAM sử dụng, mặc định đang l{ 10%, ta
nhập là 60% . Mỗi đối tượng khi lưu trên RAM của ISA Server có dụng lượng không
qu| 12,8KB. Dung lượng này càng nhỏ thì tốc độ truy cập càng nhanh vì RAM xử lý
sẽ tốt hơn.
Thiết lập Cache rule
Mặc định có Default Cache Rule cho phép Cache lại tòan bộ các nội dung đi bằng
HTTP và FTP qua ISA Server. Cho dù Clients có sử dụng Proxy hay không nhưng nội
dung HTTP và FTP vẫn được lưu lại trên ISA Server nhờ vào Application Protocol
Web Proxy Filter. Chức năng của Cache Rule giúp cho ISA Server có thể Cache Web,
nội dung Cache có dung lượng tối đ~ l{ bao nhiêu, khi n{o thì Cache v{ trang n{o
không cần Cache nội dung …
Để tạo Cache Rule, chọn Cache trong mục Configuration
Phải chuột vào Cache chọn Create a Caching Rule bên cửa sổ Task Pane
Mục Name nhập : Cache all Microsoft Content
Nhấn Next, mục Cache rule Destination x|c định đối tượng nào sẽ tác dụng Rule
này. Destination có thể là một Network, hoặc có thể là một trang Web, Server IP
…nhấn Add để thêm Destination
Tiếp theo ta tạo một Component URL Set với nội dung là trang web của
Microsoft.com.
Chọn Menu New và chọn URL Set
Mục Name tên hiển thị là Microsoft Web Site và nhấn Add, nhập URL
http://microsoft.com
Nhấn OK và bung URL Sets vào Microsoft Web Site trong phần Component
Nhấn Close , kiểm tra Destination vừa thêm. Nhấn Next
Mục Content Retrieval quy định thời gian lấy Cache từ Internet (Cache Retrieval). Để
bảo đảm thông tin luôn luôn mới .
• Only if a valid version of the object exists in cache. If no valid version exists,
route the request: chỉ cung cấp nội dung lưu trữ còn hợp lệ cho client. Nếu nội dung
quá hạn thì ISA sẽ truy cập web server để tải về. Cấu hình này bảo đảm cho client có
được nội dung mới nhất (trong một thời hạn nhất định.)
• If any version of the object exists in cache. If none exists, route the request: cung
cấp nội dung lưu trữ cho client bất kể thời hiệu. Chỉ khi không có lưu trữ thì mới tải
về. Cấu hình này bảo đảm cho client luôn luôn có được nội dung cần thiết, bất kể tính
cập nhật.
• If any version of the object exists in cache. If none exists, drop the request: cung
cấp nội dung lưu trữ cho client bất kể thời hiệu. Nếu không có lưu trữ thì bỏ qua yêu
cầu của client. Nói một cách khác, cấu hình này chỉ cung cấp nội dung lưu trữ sẵn cho
client, ISA không bao giờ truy cập web server theo yêu cầu của client.
Nhấn Next. Mục Cache Content quy định nội dung nào sẽ được Cache. Lựa chọn mặc
định là cho ISA Server lấy Cache và không cần lấy nội dung của những Dynamic
Web Site (Logon Session)
• Dynamic content: nội dung loại này sẽ thường xuyên thay đổi và vì thế được đ|nh
dấu là không thể được cahe (not cacheable). Tuy nhiên, nếu chọn phương thức này
trong rule thì nội dung động sẽ vẫn được lưu cho dù nó đ~ được đ|nh dấu là không
thể cache.
• Content for offline browsing: nội dung có thể truy cập khi không kết nối đến web
server. Nếu chọn phương thức này trong rule thì ISA sẽ lưu mọi nội dung trang web,
kể cả phần đ~ được đ|nh dấu là không thể cache.
• Content requiring user authentication for retrieval: lưu c|c nội dung mà trang web
yêu cầu chứng thực trước khi cho phép truy cập.
Nhấn Next. Mục Cache Advanced Configuration này mặc định sẽ cho phép ISA
Server Cache lại những nội dung đi bằng SSL.
Nhấn Next, mục HTTP Caching mặc định cho phép ISA Server Cache nội dung của
HTTP và thời gian TTL cho Cache là 1 ngày.
Nhấn Next, mục FTP Caching cho phép ISA Server Cache lại nội dung của đối tượng
FTP khi download từ những trang web của Microsoft.
Nhấn Next, xem lại nội dung Rule đ~ cấu hình, nhấn Finish .
Thiết lập Content download job
Content download job cho phép ISA Server tự động Download và cập nhật thông tin
trong Cache . Content download job sẽ tự động khởi tạo một Connection đến trang
web n{o đó do admin quy định và download toàn bộ nội dung của trang web đó về
v{ lưu v{o Cache .
Đến thời gian quy định, ISA Server sẽ lấy nội dung trang web. Content download job
có thể được thực hiện duy nhất một lần hoặc lặp lại nhiều lần. Trên ISA Server chúng
ta sẽ cấu hình thông qua các giao diện Wizard được xây dựng rất trực quan.
Lưu ý : Content download job sẽ không thể hoàn tất nếu trang web mục tiêu đòi hỏi
chứng thực người dùng. Để cấu hình Content download job thì ISA Server cần phải
bật tính năng Proxy trên Local Host v{ Enable System Policy cho phép ISA Server sử
dụng tính năng n{y . V{o mục Network, chọn Tab Network, phải chuột vào Local
Host, chọn Properties, chọn Tab Web Proxy, check dấu Enanable HTTP Proxy, Port
mặc định là 8080.
Chuột phải vào Firewall Policy chọn Edit System Policy.
Check vào mục Enable this configuration group .
Kích hoạt system rule thứ 29.
Để tạo Content download job ta vào mục Cache trong Configuration, chọn Tab
Content Download Jobs
Phần Name gõ Download Vnexpress.net
Nhấn Next, chọn Download hàng ngày
Nhấn Next, x|c định thời gian thực hiện task này, ngày nào bắt đầu, thời gian bắt
đầu.
Giao diện Content Download tại mục “ download content from thí URL “ gõ v{o
http://vnexpress.net và chú ý phải có http:// nếu không ISA Server sẽ báo lỗi. Job
này sẽ không Download những trang web hoặc đường Link nào ngòai trang
http://vnexpress.net v{ độ sâu của mối liên kết không quá 4 lần. Nhấn Next .
Giao diện tiếp theo quy định Cache Rule cho riêng Job này. ISA Server mặc định chỉ
Cache những Object này có Cache Header. Những đối tượng Download bằng Job này
có thể cấu hình theo một Cache Rule cho riêng mình, hoặc sử dụng Cache Rule mặc
định có sẵn của Windows.
Kiểm tra lại quá trình cấu hình và nhấn Finish .
