Zapoznanie się z działaniem zapory ogniowej Firewall. Poznanie konfiguracji Internet Security and Acceleration Server.

Transkrypt

1 Str. 1 Ćwiczenie 8 SBS, ISA Server (Firewall) Cel ćwiczenia: Zapoznanie się z działaniem zapory ogniowej Firewall. Poznanie konfiguracji Internet Security and Acceleration Server. Przed przystąpieniem do ćwiczenia uczeń powinien umieć: - poruszać się po systemie Windows 2000, - zarządzać kontami użytkowników i grup, - zarządzać zabezpieczeniami folderów i plików, - konfigurować sieć i protokół TCP/IP w Windows 2000, - zainstalować modem i skonfigurować połączenie telefoniczne. Po wykonaniu ćwiczenia uczeń będzie umiał: - zainstalować SBS 2000 i ISA Server, - zarządzać elementami zabezpieczeń serwera ISA, - korzystać z reguł lokalizacji i zawartości i z reguł protokołów, - filtrować pakiety IP, - skonfigurować klienta ISA, - zarządzać pamięcią podręczną serwera ISA, - udostępnić połączenie dial-up w serwerze ISA, - tworzyć reguły wykorzystania pasma i reguły publikowania, - załączyć wykrywanie intruzów, - wykorzystać alarmy administracyjne i raporty, - korzystać z usług terminalowych. Uwagi o realizacji ćwiczenia: Ćwiczenie podzielone jest na rozdziały. Rozdział zbudowany jest z opisu teoretycznego omawiającego wybrane zagadnienie i zadania do wykonania. Zadania umieszczone są w ramkach. Po wykonaniu zadania uczeń zobowiązany jest do przeprowadzenia samooceny, korzystając z punktacji 1-5. Nauczyciel może skorygować ocenę ucznia. W czasie tego ćwiczenia uczniowie pracują na oddzielnych komputerach, przy czym dwie osoby korzystają z 3 komputerów. Dokładną konfigurację stanowisk przedstawiają rysunki Przed przystąpieniem do ćwiczenia uczeń powinien odświeżyć swój komputer z obrazu Windows 2000 Server i dodatkowy komputer z obrazu Windows 2000 Professional. W czasie ćwiczenia uczeń ma do dyspozycji: płytę z obrazem Windows 2000 Server i Professional, płyty instalacyjne Small Business Server 2000.

2 Str. 2 G03 LAN CKP - Fast Ethernet Brama DNS G01 Koncentrator (Hub) - 5 portowy P5 P4 P3 P2 P1 G02 IP IP IP IP RS232 / COM1 IP IP RS232 / COM1 stanowisko 03 k srv03.ckp.pl k lan03.srv03.ckp.pl T02 nr tel. 52 Modem analogowy U.S.Robotics 56K IP x ip10x.ckp.pl stanowisko 02 k lan01.srv01.ckp.pl k lan03.srv03.ckp.pl nr tel. 92 Internet nr tel. 91 IP x ip10x.ckp.pl Modem analogowy U.S.Robotics 56K stanowisko 01 k srv01.ckp.pl k lan01.srv01.ckp.pl T01 nr tel. 51 Rys. 8.1 Konfiguracja stanowisk 1, 2, 3 G06 LAN CKP - Fast Ethernet Brama DNS G04 Koncentrator (Hub) - 5 portowy P5 P4 P3 P2 P1 G05 IP IP IP IP RS232 / COM1 IP IP RS232 / COM1 stanowisko 06 k srv06.ckp.pl k lan06.srv06.ckp.pl Modem analogowy U.S.Robotics 56K IP x ip10x.ckp.pl stanowisko 05 k lan04.srv04.ckp.pl k lan06.srv06.ckp.pl IP x ip10x.ckp.pl Modem analogowy U.S.Robotics 56K stanowisko 04 k srv04.ckp.pl k lan04.srv04.ckp.pl T04 T03 nr tel. 54 nr tel. 94 Internet nr tel. 93 nr tel. 53 Rys. 8.2 Konfiguracja stanowisk 4, 5, 6

3 Str. 3 G09 LAN CKP - Fast Ethernet Brama DNS G07 Koncentrator (Hub) - 5 portowy P5 P4 P3 P2 P1 G08 IP IP IP IP RS232 / COM1 IP IP RS232 / COM1 stanowisko 9 k srv09.ckp.pl k lan09.srv09.ckp.pl T6 Modem ISDN AVM FRITZ!X PC IP x ip10x.ckp.pl stanowisko 8 k lan07.srv07.ckp.pl k lan09.srv09.ckp.pl IP x ip10x.ckp.pl Modem ISDN AVM FRITX!X PC stanowisko 7 k srv07.ckp.pl k lan07.srv07.ckp.pl T5 nr tel nr tel. 96 Internet nr tel. 95 nr tel Rys. 8.3 Konfiguracja stanowisk 7, 8, 9 G12 LAN CKP - Fast Ethernet Brama DNS G10 Koncentrator (Hub) - 5 portowy P5 P4 P3 P2 P1 G11 IP IP IP IP RS232 / COM1 IP IP RS232 / COM1 stanowisko 12 k srv12.ckp.pl k lan12.srv12.ckp.pl T08 Modem ISDN AVM FRITZ!X PC IP x ip10x.ckp.pl stanowisko 11 k lan10.srv10.ckp.pl k lan12.srv12.ckp.pl IP x ip10x.ckp.pl Modem ISDN AVM FRITX!X PC stanowisko 10 k srv10.ckp.pl k lan10.srv10.ckp.pl T07 nr tel nr tel. 98 Internet nr tel. 97 nr tel Rys. 8.4 Konfiguracja stanowisk 10, 11, 12

4 Str. 4 G15 LAN CKP - Fast Ethernet Brama DNS G13 Koncentrator (Hub) - 5 portowy P5 P4 P3 P2 P1 G14 IP IP IP IP RS232 / COM1 IP IP RS232 / COM1 stanowisko 15 k srv15.ckp.pl k lan15.srv15.ckp.pl Terminal HiS IP ip110.ckp.pl stanowisko 14 k lan13.srv13.ckp.pl k lan15.srv15.ckp.pl IP ip109.ckp.pl Terminal HiS stanowisko 13 k srv13.ckp.pl k lan13.srv13.ckp.pl T10 Internet T09 Rys. 8.5 Konfiguracja stanowisk 13, 14, 15 G18 LAN CKP - Fast Ethernet Brama DNS G16 Koncentrator (Hub) - 4 portowy P5 P4 P3 P2 P1 G17 IP IP IP IP RS232 / COM1 IP IP RS232 / COM1 stanowisko 18 k srv18.ckp.pl k lan18.srv18.ckp.pl Terminal HiS IP ip112.ckp.pl stanowisko 17 k lan16.srv16.ckp.pl k lan18.srv18.ckp.pl IP ip111.ckp.pl Terminal HiS stanowisko 16 k srv16.ckp.pl k lan16.srv16.ckp.pl T12 Internet T11 Rys. 8.6 Konfiguracja stanowisk 16, 17, 18

5 Str Konfiguracja TCP/IP pod ćwiczenie Zadanie 8.1 Konfiguracja TCP/IP dla serwera 1. W sali 309 zmień nazwę połączenia: Połączenie lokalne na Internet i Połączenie lokalne 2 na LAN. 2. W sali 111 zmień nazwę połączenia: Połączenie lokalne 2 na Internet i Połączenie lokalne na LAN. 3. Połączeniu Internet przypisz: - adres IP xx, gdzie xx to numer twojego komputera, - maskę , - bramę domyślną , - DNS , - sufiks DNS - srvxx.ckp.pl, gdzie xx to numer twojego serwera np.01, - wyłącz opcję - Zarejestruj adres tego połączenia w DNS, 4. Połączeniu LAN przypisz: - adres IP xx.1, gdzie xx to numer twojego komputera, - maskę , - sufiks DNS - lanxx.srvxx.ckp.pl, gdzie xx to numer twojego serwera np. 01, - pozostaw załączoną opcję - Zarejestruj adres tego połączenia w DNS. 5. Wprowadź zmiany w identyfikacji sieciowej: - ustaw nazwę komputera na k309-xx, gdzie xx to numer twojego serwera np. 01, - ustaw sufiks podstawowej domeny DNS lanxx.srvxx.ckp.pl, gdzie xx to numer twojego serwera np. 01, - ustaw grupę roboczą SRVXX, gdzie xx to numer twojego serwera np SBS 2000 Small Business Server a Wstęp Microsoft Small Business Server (serwer dla małych firm) to kompletne rozwiązanie sieciowe dla małych firm, posiadających nie więcej niż 50 komputerów. Small Business Server oparty jest na technologii systemu Microsoft Windows 2000 Server i udostępnia funkcje obsługi witryn internetowych, poczty elektronicznej, faksów, baz danych oraz dostępu do Internetu. 8.2.b Komponenty wchodzące w skład pakietu SBS 2000 Microsoft Windows 2000 Server - sieciowy system operacyjny zapewniający obsługę plików, drukowania, sieci Web, aplikacji. Microsoft Exchange 2000 Server - program do komunikacji i współpracy grupowej, gwarantujący dostęp do osób, a także informacji takich, jak kalendarze i inne zasoby przedsiębiorstwa o każdej porze i z dowolnego miejsca.

6 Str. 6 Microsoft Internet Security and Acceleration Server rozszerzalna zapora ogniowa (firewall), rozbudowana o technologię magazynowania danych z odwiedzanych stron WWW. Microsoft SQL Server skalowalny serwer zarządzania relacyjnymi bazami danych, a jednocześnie platforma dla całej gamy oprogramowania biznesowego. Microsoft FrontPage narzędzie do tworzenia i zarządzania witrynami internetowymi z pakietu Microsoft Office. Microsoft Outlook 2000 wchodzący w skład pakietu Microsoft Office program do wysyłania i odbierania poczty elektronicznej , z kalendarzem osobistym, kontaktami i zadaniami. Pozwala na komunikację, lepszą organizację czasu i wspólną pracę nad dokumentami i projektami. Microsoft Shared Fax Service - usługa ta umożliwia wysyłanie i odbieranie faksów z komputera osobistego za pośrednictwem współużytkowanych faksów podłączonych do serwera. Microsoft Shared Modem Service - funkcja ta pozwala pracownikom na wspólne użytkowanie modemów w celu skorzystania z zewnętrznych usług informacyjnych. Microsoft Health Monitor zbiera i przesyła informacje o stanie serwera i ostrzeżenia o potencjalnych problemach. 8.2.c Licencjonowanie serwera i klientów Microsoft Windows 2000 Server zawarty w SBS 2000 przechowuje informacje o wszystkich informatycznych zasobach przedsiębiorstwa w katalogu Active Directory. Tworzy on również jedną, główną domenę będącą podstawą lasu usługi katalogowej Microsoft Active Directory. Z tego powodu nie można zestawić relacji zależności z żadną inną domeną, co powoduje, że w tej samej sieci komputerowej nie mogą wspólnie pracować dwa serwery Small Business Server. Nie wpływa to jednak na możliwość dodawania dowolnych innych serwerów Microsoft do sieci, w której jest Small Business Server i w ten sposób rozszerzania potencjału informatycznego przedsiębiorstwa. Każdy serwer Small Business Server 2000 zawiera standardowo 5 licencji dostępowych CAL (Client License Add-On). Dodatkowe licencje można nabywać w pakietach po 5 lub 20 licencji dostępowych CAL. Licencje te dostarczane są w postaci dyskietki 3.5. Maksymalnie można zainstalować 50 licencji dostępowych CAL do każdego serwera Small Business Server Licencje są niezbędne dla każdego komputera PC podłączonego do serwera. Natomiast liczba kont użytkowników Small Business Server 2000 jest nielimitowana. Oznacza to, że z danego komputera PC, który posiada licencję dostępową do serwera Small Business Server 2000 może korzystać wiele osób. 8.2.d Wymagania sprzętowe dla serwera Procesor Pentium II 300 MHz lub szybszy (zalecany Pentium III 500 MHz) 128 MB RAM (zalecane 256 MB RAM) 4 GB wolnego miejsca na twardym dysku (zalecane dwa lustrzane dyski 4 GB) Napęd CD-ROM Napęd dysków 3,5" (musi być skonfigurowany jako dysk A) Aby móc korzystać z faksu, konieczny jest faks-modem w standardzie Class 1 oraz co najmniej jeden dodatkowy modem do obsługi RAS, Proxy, dial-up. Karta sieciowa Ethernet.

7 Str ISA - Internet Security and Acceleration Server 8.3.a Wstęp ISA Server, to zapora internetowa (firewall) zapewniająca ochronę połączeń internetowych. ISA, to także serwer pełniący rolę NAT lub Proxy, udostępniający połączenie internetowe sieci LAN. ISA umożliwia buforowanie stron WWW, co podnosi efektywność korzystania z sieci oraz zwiększa szybkość pobierania informacji z często używanych stron internetowych. Administrator serwera ISA może określić zasady bezpieczeństwa, na bazie których będzie działał serwer. Należą do nich: Reguły lokalizacji i zawartości określają strony internetowe dostępne dla użytkowników sieci lokalnej. Reguły protokołów określają, które protokoły mogą być dostępne dla użytkowników, w celu uzyskania połączenia z siecią zewnętrzną. Filtrowanie pakietów IP zezwala lub zabrania na komunikowanie się serwera z konkretnymi adresami IP przy wykorzystaniu określonych protokołów IP. Reguły wykorzystania pasma określają szerokość pasma przeznaczonego dla określonego połączenia; bazują na technologii QoS (Quality of Service) systemu Windows Reguły publikowania pozwalają na publikowanie usług sieci prywatnej w Internecie. Tworząc reguły, system korzysta z elementów zabezpieczeń następujących typów: Terminarze (Schedules) określają czas, kiedy użytkownik może otrzymać dostęp do Internetu. Priorytety pasma (Bandwidth Priorities) mogą być przypisywane do połączeń przychodzących i wychodzących, w celu jak najlepszego wykorzystania pasma. Docelowe lokalizacje (Destination Sets) definiują internetowe adresy IP lub nazwy witryn. Adresy klientów lokalnych (Client Address Set) określają adresy IP komputerów lokalnych. Definicje protokołów (Protocol Definitions) określają wybrany protokół IP lub grupę protokołów IP. Grupy zawartości (Contens Groups) definiują logicznie powiązane pliki określonych typów. Konta użytkowników i grup 8.3.b Instalacja ISA z SBS 2000 ISA Server można kupić jako dodatkowy produkt do Windows W małych sieciach (do 50 komputerów) można także wykorzystać pakiet SBS 2000, w skład którego wchodzi ISA Server. Aby zainstalować SBS 2000: 1. Po włożeniu pierwszej płyty instalacyjnej, w oknie Instalator programu Microsoft SBS 2000 należy wybrać Zainstaluj program SBS.

8 Str W pierwszym oknie kreatora instalacji pojawią się informacje o wymaganiach pakietu. UWAGA: po czystej instalacji Windows 2000 Server system pracuje w grupie roboczej GRUPA_ROBOCZA; nazwa ta zawiera znak _, który nie może występować w nazwach internetowych. Zatem przed przystąpieniem do instalacji, należy zmienić grupę roboczą. 3. Kolejny krok, to zatwierdzenie Umowy licencyjnej. 4. Następne okno, to podanie Nazwy, Organizacji, Nazwy komputera oraz Kodu produktu SBS i Outlook (numery znajdują się na opakowaniach płyt instalacyjnych). 5. W czasie instalacji SBS system wymaga restartu. W kolejnym kroku można wybrać Zaloguj automatycznie i podać hasło dla administratora. System automatycznie zaloguje się, w celu kontynuacji instalacji. 6. Kolejne okna, to podanie informacji o firmie takich, jak adres, numery telefonu. 7. W oknie Informacje o lokalnej karcie sieciowej należy wskazać kartę sieciową wykorzystywaną przy połączeniu z siecią lokalną. 8. Następnie podać Adres IP, maskę. Rys. 8.7 Wybór karty sieciowej dla LAN Rys. 8.8 Parametry IP 9. Kolejny krok, to podanie Pełnej nazwy DNS dla nowej domeny i nazwy NetBIOS (zazwyczaj pierwszy człon z lewej strony pełnej nazwy DNS). 10. Następne okno, to podanie hasła przywracania usług katalogowych. 11. Po zapoznaniu się ze składnikami bazowymi scenariusza, instalator przejdzie do konfiguracji systemu. Zainstaluje usługę Active Directory i DNS. 12. Po ponownym uruchomieniu, systemu wyświetli okno Wybór składnika, w którym można określić jakie składniki pakietu SBS system ma zainstalować. Przy minimalnej instalacji serwera SBS - jedynie z serwerem ISA można wyłączyć: SQL Server 2000 Microsoft Outlook 2000 i Internet Explorer z SBS -> Konfiguracja klienta Udostępniany faks Usługa udostępniania modemu Microsoft Exchange 2000.

9 Str Kolejne okno, to określenie wielkości i lokalizacji pamięci podręcznej dla ISA serwera. Wielkość pamięci cache www zależy od szybkości łącza internetowego, zasobów serwera. Optymalna wartość, to zazwyczaj 1-2 GB. 14. Następne dwa okna, to Tworzenie tabeli adresów lokalnych serwera ISA (LAT). Można wybrać Załaduj z wewnętrznej tabeli routingu dla wybranej karty sieciowej lub podać przedział Od: Do:. LAT określa adresy komputerów, które będą traktowane jako adresy lokalne. Będą one mogły wydostać się przez ISA Server do Internetu. Rys. 8.9 Tworzenie tabeli adresów lokalnych serwera ISA Rys Konfiguracja tabeli adresów lokalnych serwera ISA 15. Kolejny krok kreatora, to określenie lokalizacji udostępnianych folderów: Foldery udostępnione użytkowników, Foldery udostępnione firmy, Lokalizacja aplikacji klienckich. 16. Po zatwierdzeniu okna Podsumowanie instalacji, system przejdzie do instalacji wybranych elementów.

10 Str c Instalacja pakietu ISA Po uruchomieniu programu instalacyjnego setup.exe, system poprosi o klika informacji: 1. Na początku o kod produktu. 2. Następnie o przeczytanie i zatwierdzenie umowy licencyjnej. 3. Kolejny krok, to określenie folderu, w którym ma zostać zainstalowany pakiet i wybór typu instalacji Full Installation zainstaluje wszystkie składniki. 4. W następnym oknie należy wybrać tryb pracy serwera ISA. Do wyboru jest: - Firewall zapora z filtrami pakietów. - Cache mode obsługa jedynie pamięci cache ruchu http i ftp. - Integrated mode firewall i cache. 5. Kolejne okno, to określenie wielkości i lokalizacji pamięci podręcznej dla ISA serwera. Wielkość pamięci cache www zależy od szybkości łącza internetowego, zasobów serwera. Optymalna wartość, to zazwyczaj 1-2 GB. 6. Następne okna, to tworzenie tabeli adresów lokalnych serwera ISA (LAT). LAT określa adresy komputerów, które będą traktowane jako adresy lokalne. Będą one mogły wydostać się przez ISA Server do Internetu. Rys Tabela adresów lokalnych Zadanie Instalacja ISA Server 1. Zainstaluj pakiet ISA Server.

11 Str Konfiguracja ISA 8.4.a Zarządzanie serwerem ISA Za zarządzanie serwerem ISA odpowiedzialna jest przystawka MMC, dostępna w Menu Start Programy Microsoft ISA Server ISA Management. Rys Przystawka ISA 8.4.b Tworzenie elementów zabezpieczeń Administrator ustalając zasady bezpieczeństwa, tworzy reguły, które korzystają z elementów zabezpieczeń. Elementy te można zdefiniować w gałęzi Policy Elements przez wybranie z podręcznego menu opcji Nowy. Schedules (Terminarze) określają czas, kiedy użytkownik może otrzymać dostęp do Internetu. W oknie nowego terminarza należy podać nazwę i ustalić godziny aktywności (Active). Bandwidth Priorities (Priorytety pasma) mogą być przypisywanie do połączeń przychodzących i wychodzących w celu jak najlepszego wykorzystania pasma. W oknie nowego priorytetu pasma należy podać nazwę oraz priorytet dla pasma wyjściowego (Outbound bandwidth) i wejściowego (Inbound bandwidth). Rys Nowy priorytet pasma

12 Str. 12 Rys Nowy terminarz Destination Sets - (Docelowe lokalizacje) definiują internetowe adresy IP lub nazwy witryn. W oknie nowych lokalizacji należy podać nazwę docelowych lokalizacji i po wybraniu Add dodać lokalizację przez podanie nazwy domeny lub adresy IP. Można także podać nazwę folderu lub pliku w definiowanej lokalizacji. Rys Nowa docelowa lokalizacja Client Address Set (Adresy klientów lokalnych) określają adresy IP komputerów lokalnych. W oknie nowych adresów lokalnych należy podać nazwę i przez wybranie Add dodać określone adresy lub przedziały adresów. Protocol Definitions (Definicje protokołów) określają wybrany protokół IP lub grupę protokołów IP. Serwer ISA ma domyślnie zdefiniowane najpopularniejsze protokoły IP. Jeżeli jednak żądanego protokołu nie będzie w liście, można zdefiniować nowy, przez wybranie opcji Nowy i podanie typu, portu i kierunku. Grupy zawartości (Contens Groups) definiują logicznie powiązane pliki określonych typów. W oknie nowej grupy zawartości należy podać nazwę i przez wybranie Add, utworzyć listę typów plików.

13 Str c Reguły lokalizacji i zawartości Reguły lokalizacji i zawartości określają zasoby sieci Internet, dostępne dla klientów ISA Server. Aby zdefiniować nową regułę, z menu podręcznego gałęzi Access Policy -> Site and Content Rules należy wybrać Nowy -> Rule, następnie: 1. W pierwszym oknie kreatora należy podać nazwę reguły. 2. Następnie określić, czy reguła ma zezwalać na dostęp (Allow) do określonych zasobów sieci, czy zabraniać (Deny). Przy blokadzie dostępu można określić, gdzie użytkownik ma zostać przeniesiony, gdy będzie chciał uzyskać dostęp do zablokowanej strony (np. do pliku z informacją o blokadzie strony). 3. Po wybraniu Allow, w kolejnym oknie należy wybrać typ reguły: Allow access based on destination zezwól na dostęp do określonej lokalizacji. Po akceptacji w oknie Destination sets (ustawienia miejsca docelowego) można wybrać: - All destinations dowolne miejsce docelowe. - All internal destinations dowolne miejsce sieci lokalnej. - All external destinations dowolne miejsce sieci zewnętrznej. - Specified destination set określona lokalizacja, zdefiniowana w elementach zabezpieczeń. - All destinations except selected set dowolne miejsce docelowe, z wyjątkiem określonej lokalizacji, zdefiniowanej w elementach zabezpieczeń. Allow access only at certain times zezwól na dostęp jedynie w określonym czasie. Po akceptacji w oknie Schedule (Terminarz) można wybrać jeden z terminarzy, zdefiniowany w elementach zabezpieczeń. Allow some clients access to all external sites zezwól wybranym klientom na dostęp do całej zewnętrznej sieci. Po akceptacji w oknie Client Type (Typ klienta), można wybrać: - Any request dowolne żądanie. - Specific computers (client address sets) określone komputery wybierane z adresów klientów lokalnych, zdefiniowanych w elementach zabezpieczeń. - Specific users and groups określonych użytkowników lub grupy. Custom ustawienia specjalne z możliwością wyboru miejsca docelowego, terminarza, typu klienta i grup zawartości. Po wybraniu Deny, w kolejnym oknie należy wybrać typ reguły: - Deny access based on destination zabroń dostępu jedynie do określonej lokalizacji. - Deny access only at certain times zabroń dostępu jedynie w określonym czasie. - Deny selected clients access to all external sites zabroń wybranym klientom dostępu do wszystkich zewnętrznych lokalizacji. - Custom ustawienia specjalne z możliwością wyboru miejsca docelowego, terminarza, typu klienta i grup zawartości.

14 Str. 14 Po utworzeniu reguły, w dowolnym momencie można wybrać właściwości, przez podwójne kliknięcie i dowolnie zmienić ustawienia reguły. Dostępne będą wszystkie opcje związane z regułami lokalizacji i zawartości. Rys Okna właściwości reguły lokalizacji i zawartości

15 Str d Reguły protokołów Reguły protokołów określają, które protokoły mogą być dostępne dla klientów ISA w celu uzyskania połączenia z siecią zewnętrzną. Aby zdefiniować nową regułę, z menu podręcznego gałęzi Access Policy -> Protocol Rules należy wybrać Nowy -> Rule, następnie: 1. W pierwszym oknie kreatora należy podać nazwę reguły. 2. Następnie określić, czy reguła ma zezwalać (Allow), czy zabraniać (Deny) na wykorzystanie określonego protokołu. 3. W kolejnym oknie należy wybrać określone protokoły: - All IP traffic cały ruch IP - Selected protocols - wybrane protokoły - All IP traffic except selected cały ruch IP, z wykluczeniem wskazanego. 4. Następnie należy wybrać terminarz. 5. Na koniec podać typ klienta. Po utworzeniu reguły, w dowolnym momencie można wybrać właściwości, przez podwójne kliknięcie i odpowiednio zmienić ustawienia reguły. Dostępne będą wszystkie opcje związane z regułami protokołów. Rys Okna właściwości reguły protokołów

16 Str. 16 Rys Okna właściwości reguły protokołów Zadanie 8.4.a - ISA reguły lokalizacji i zawartości. 1. Usuń wszystkie reguły lokalizacji i zawartości. 2. Usuń wszystkie reguły protokołów. 3. Utwórz nową regułę lokalizacji i zawartości Cały Internet, zezwalającą na dostęp do całego Internetu. 4. Utwórz nową regułę protokołów Strony WWW, zezwalającą na wykorzystanie protokołu HTTP i HTTP-S. 5. Zrestartuj usługi Firewall i Web proxy w Monitoring -> Services. 6. Sprawdź, czy na serwerze z IE masz dostęp do strony 7. Ustaw w Opcjach internetowych -> Połączenia lokalne -> Ustawienia sieci LAN korzystanie z serwera proxy: xx.1, port 8080, gdzie xx to numer serwera. 8. Sprawdź, czy masz dostęp do strony 9. Zablokuj stronę czat.onet.pl i próbę połączenia przekieruj na - Utwórz element zabezpieczeń (docelowa lokalizacja) o nazwie Czat onet, wskazującą na stronę czat.onet.pl - Utwórz regułę lokalizacji i zawartości o nazwie Blokada Czat onet, blokującą dostęp do Czat onet, z przekierowaniem próby dostępu na - Zrestartuj usługi Firewall i Web proxy w Monitoring -> Services. 10. Sprawdź, czy masz dostęp do strony czat.onet.pl 11. Utwórz regułę o nazwie Podstawowe usługi internetowe, zezwalającą na dostęp do protokołów: FTP, NNTP, POP3, POP3S, SMTP. 12. Zrestartuj usługi Firewall i Web proxy w Monitoring -> Services. 13. Sprawdź, czy masz dostęp do ftp.wp.pl (np. Start - > Uruchom -> ftp ftp.wp.pl). Odpowiedz na pytanie: dlaczego nie masz dostępu?

17 Str e Filtrowanie pakietów IP Filtrowanie pakietów IP zezwala lub zabrania na komunikowanie się serwera z konkretnymi adresami IP przy wykorzystaniu określonych protokołów IP. Ustawienia filtrów decydują o ochronie serwera ISA, zatem należy udostępniać jedynie te protokoły, z których korzystają usługi serwera i te, z których ma korzystać serwer. Domyślnie definiowane są jedynie poniższe filtry zezwalające: - DHCP Client wyłączony - ICMP source quench - DNS filter - ICMP timeout in - ICMP outbound - ICMP unreachable in - ICMP ping response(in) Aby zdefiniować nowy filtr, z menu podręcznego gałęzi Access Policy -> IP Packet Filters należy wybrać Nowy -> Filter, następnie: 1. W pierwszym oknie kreatora należy podać nazwę filtru. 2. Następnie określić, czy filtr ma zezwalać (Allow packet transmission), czy blokować (Block packet transmission) transmisję wybranego protokołu. 3. W kolejnym oknie można wybrać predefiniowane protokoły (Predefined) lub wybrać Custom i w następnym kroku dokładnie zdefiniować ustawienia filtru. 4. W oknie ustawienia można wybrać: IP Protocol - typ protokołu IP: - Custom protocol protokół o zadanym numerze, - Any dowolny, - ICMP, - TCP, - UDP. Direction kierunek: - Both oba, - Inbound przychodzący - Outbound wychodzący Local port port lokalny - All ports wszystkie porty - Fixed port ustalony port, w polu Port number - Dynamic dynamicznie przyznawany Remote port - All ports wszystkie porty - Fixed port ustalony port, w polu Port number 5. W następnym kroku należy określić, do jakich adresów IP serwera filtr ma mieć zastosowanie. Można wybrać: - Default IP address for each external interface on the ISA Server computer domyślny adres IP dla każdego zewnętrznego interfejsu. - This ISA server s external IP address wskazany adres IP. - This computer adres IP wybrany przez opcję przeglądaj. 6. W ostatnim kroku należy określić, czy filtr ma zostać zastosowany do wszystkich zdalnych komputerów (All remote computers), czy tylko do wskazanego adresu (Only this remote computer). Po utworzeniu filtru, w dowolnym momencie można wybrać właściwości (przez podwójne kliknięcie) i dowolnie zmienić ustawienia reguły. Dostępne będą wszystkie opcje związane z filtrem pakietu.

18 Str. 18 Rys Okna właściwości filtru IP Zadanie 8.4.b - ISA filtry pakietów 1. Sprawdź, czy komputer sąsiada odpowiada na polecenie ping. 2. Dodaj filtr pakietów przychodzących ICMP Type 8 Code 0, zrestartuj usługę Firewall. 3. Sprawdź, czy komputer sąsiada odpowiada na polecenie ping. 4. Wyłącz w opcjach internetowych na serwerze korzystanie z serwera proxy. 5. Sprawdź, czy masz dostęp do stron www. 6. Utwórz filtr zezwalający na dostęp do www, przez podanie dokładnych danych IP. 7. Zrestartuj usługę Firewall i sprawdź, czy masz dostęp do stron www. 8. Odblokuj porty usług FTP, NNTP, POP3, POP3S, SMTP. 9. Zrestartuj usługę Firewall i sprawdź, czy zadziałały filtry (np. ftp ftp.wp.pl, telnet ckp.pl 25, telnet ckp.pl 110).

19 Str f Klienci ISA Server Klienci ISA serwer mogą korzystać z dwóch sposobów komunikacji z serwerem ISA: SecureNAT Secure Network Address Translation umożliwia bardzo szybką konfigurację klienta. Wystarczy podać bramę domyślną wskazującą na serwer ISA. Cały ruch kierowany będzie wówczas do firewalla. Do klientów SecureNAT stosowana jest większość reguł zabezpieczeń, za wyjątkiem autentykacji na poziomie użytkownika. Klientem może być komputer z dowolnym systemem operacyjnym. ISA Firewall Client specjalne oprogramowanie klienckie, instalowane na stacji roboczej umożliwi stosowanie reguł zabezpieczeń nie tylko na adresy IP, ale także na konta użytkowników. Klient musi pracować pod systemem Microsoft Windows 9x/ME/NT/2000/XP. 8.4.g Konfiguracja klienta SecureNAT Aby stacja robocza mogła wykorzystać serwer ISA do komunikacji ze światem zewnętrznym, wystarczy we właściwościach TCP/IP podać domyślną bramę wskazującą na serwer ISA. Zadanie 8.4.c - Konfiguracja klienta serwera ISA 1. Załącz routing i zdalny dostęp. W kreatorze wybierz Serwer konfigurowany ręcznie. 2. Skonfiguruj stację roboczą na korzystanie z serwera ISA. 3. Sprawdź za pomocą tracert, czy stacja robocza przedostaje się do Internetu przez twój serwer. 8.4.h Konfiguracja ISA Firewall Client Na serwerze w udziale sieciowym \\nazwa_serwera\mspclnt udostępniony jest klient ISA. Po wybraniu setup.exe, system rozpocznie instalację. Po zainstalowaniu klienta, w Panelu sterowania pojawi się ikona Firewall Client, za pomocą której można wywołać okno konfiguracji. Opcja Enable Firewall Client załącza korzystanie z serwera ISA podanego w polu Use this ISA Server. Podczas instalacji w Opcjach internetowych załączane jest korzystania z serwera proxy. Rys Okna konfiguracja klienta ISA Server

20 Str. 20 Zadanie 8.4.d - Konfiguracja klienta serwera ISA c.d. 1. Zainstaluj klienta ISA Server na stacji roboczej. 2. Sprawdź, czy działa klient ISA. 3. Do reguły protokołów Podstawowe usługi internetowe dołącz protokoły HTTP i HTTPS. Ustaw, aby jedynie Administrator mógł korzystać z tej reguły. 4. Usuń regułę protokołów Strony WWW. 5. Utwórz regułę protokołów Poczta , zezwalającą na korzystanie z protokołów SMTP, POP3, POP3S użytkownikowi sekretarka. 6. Zrestartuj usługi Firewall i WebProxy. 7. Sprawdź na stacji roboczej, czy Administrator ma dostęp do podstawowych usług internetowych. 8. Sprawdź na stacji roboczej, czy sekretarka ma dostęp jedynie do poczty (np. telnet ckp.pl 25). 8.4.i Cache serwera ISA Serwer ISA pełni rolę serwera buforującego strony internetowe. Po otrzymaniu żądania od klienta korzystającego z serwera proxy, ISA Server sprawdza, czy strona dostępna jest w pamięci podręcznej i czy jest ważna (każda strona zapamiętana w pamięci cache otrzymuje TTL Time To Live czas ważności). Jeżeli strona jest dostępna w pamięci podręcznej i jest ważna, wówczas serwer nie pobiera strony z sieci, odsyła użytkownikowi lokalną kopię. Wykorzystanie pamięci cache znacznie poprawia dostęp do stron www przy wolnym łączu do Internetu. Cache serwera ISA działa z protokołami HTTP i FTP Read. Cache ISA konfigurowany jest automatycznie w czasie instalacji. Po wybraniu właściwości gałęzi Cache Configuration, w przystawce ISA Management można zmodyfikować ustawienia. Na zakładce HTTP można załączyć pamięć podręczną dla HTTP Enable HTTP caching i ustawić parametry ustalania TTL. Można wybrać: Frequently najważniejsza jest aktualność przechowywanych stron, TTL definiowany jest na 0. Normally istotna jest równowaga pomiędzy częstotliwością odświeżania stron i ograniczeniem ruchu sieciowego. TTL definiowany jest na 20% czasu od ostatniej aktualizacji lub utworzenia pliku, jednak nie mniej niż 15 minut i nie więcej niż 1 dzień. Less frequently najważniejsze jest ograniczenie ruchu sieciowego. TTL definiowany jest na 40% czasu od ostatniej aktualizacji lub utworzenia pliku, jednak nie mniej niż 30 minut i nie więcej niż 2 dni. Set TTL możliwość ręcznego ustawienia parametrów TTL. Na zakładce Advanced można zdefiniować zaawansowane ustawienia cache: Do not cache objects larger then xxx KB nie keszuj obiektów większych niż zadaną wielkość. Cache objects that have an unspecified last modification time keszuj obiekty, które nie mają zdefiniowanego czasu ostatniej modyfikacji. Cache dynamic content keszuj obiekty tworzone dynamicznie, ze znakami pytań w adresach URL.