báo cáo thực tập isa server 2006

0 2 B i s D i n h T i e n H o a n g S t r e e t , D a k a o W a r d , D i s t r i c t 1 , H C M
2013
Báo cáo thực tập
ATHENA INTERNATIONAL NETWORK ADMINISTRATION & SECURITY TRAINING
LỜI MỞ ĐẦU
ooOOoo
Trước tiên em xin ch}n th{nh c|m ơn trung t}m Đ{o Tạo & Quản Trị Mạng
Athena đ~ tạo điều kiện cho em thực tập. Sau đ}y l{ b|o c|o về đề tài của em khi
thực tập ở đ}y.
ISA Server 2006 là hệ thống tường lửa được sử dụng trong hầu hết các hệ thống
mạng doanh nghiệp vừa và nhỏ, phiên bản ISA Server 2006 có những điểm cải
tiến so với phiên bản 2004, dưới đ}y l{ b|o c|o qu| trình thực hiện của em trên
nền máy ảo VMWare WorkStation.
Trong qu| trình thưc hiện không thể tránh khỏi sai sót, kính mong thầy cô góp ý,
em xin chân thành cảm ơn!

Mục lục
I. Giới thiệu 3
A. Mục đích phải sử dụng ISA 3
B. Ưu điểm và hạn chế của ISA 3
1. Ưu điểm: 3
2. Hạn chế: 4
C. So sánh các phiên bản ISA 4
II. Cài đặt ISA Server 2006 5
III. Access Rule 8
A. Access Rule( DNS Query) 9
B. Tình huống 2 17
C. Tình huống 3 25
D. Tình huống 3 37
E. Tình huống 4 44
IV. Application & web filter 50

V. Server Publishing 55
D. Publish Web server 103
VI. VPN 109
VII. CACHING 123


I. Giới thiệu
Microsoft Internet Security and Acceleration Server (ISA Server) là phần mềm
chia sẻ Internet của hãng Microsoft.
Đ}y l{ một trong những phần mềm tường lửa (Firewall) được ưa chuộng trên thị
trường hiện nay nhờ vào khả năng bảo vệ hệ thống mạnh mẽ cùng với cơ chế
quản lý linh hoạt.
A. Mục đích phải sử dụng ISA
Nếu máy tính của một c| nh}n không được bảo vệ bởi Firewall thì khi máy
tính đó kết nối Internet, tất cả các giao thông ra vào mạng đều được cho phép.
Vì vậy hacker, trojan, virus có thể truy cập và lấy cắp thông tin trên máy tính
đó.
Ngoài ra Hacker còn có thể c{i đặt c|c đoạn m~ để tấn công file dữ liệu trên
m|y tính cũng như có thể sử dụng m|y tính đó để tấn công các máy tính khác.
Điều này là cực kỳ huy hiểm với các máy tính trong một tổ chức.
Vì vậy hầu hết các tổ chức đều có một hệ thống Firewall để bảo vệ hệ thống
mạng của tổ chức đó.
B. Ưu điểm và hạn chế của ISA
1. Ưu điểm:
 Firewall được dùng để ngăn chặn các trang web xấu vào một quốc gia, tổ
chức, doanh nghiệp. Ngăn chặn các truy cập tr|i phép cũng như c|c cuộc tấn
công lấy cắp dữ liệu, đ|nh sập mạng máy tính của hacker.
 Firewall có thể bảo vệ cho dữ liệu, máy tính, mạng máy tính một cách khá
chắc chắn. Bảo vệ chống lại những kẻ tấn công từ bên ngoài bằng cách chặn
các mã nguy hiểm hoặc lưu lượng Internet không cần thiết vào máy tính hay

mạng.
 Firewall có thể được cấu hình để khóa dữ liệu từ các vị trí cụ thể trong khi vẫn
đảm bảo cho dữ liệu cần thiết có thể đi qua.
2. Hạn chế:
 Firewall không đủ thông minh như con người để có thể đọc hiểu từng loại
thông tin và phân tích nội dung tốt hay xấu của nó. Do đó Firewall chỉ có thể
ngăn chặn sự xâm nhập của những nguồn thông tin không mong muốn nhưng
phải x|c định rõ các thông số địa chỉ.
 Firewall không thể ngăn chặn một cuộc tấn công nếu cuộc tấn công này không
đi qua nó. Một cách cụ thể, Firewall không thể chống lại một cuộc tấn công từ
một đường dial-up, hoặc sự dò rỉ thông tin do dữ liệu bị sao chép bất hợp
ph|p lên đĩa mềm.
 Firewall cũng không thể chống lại các cuộc tấn công bằng dữ liệu (data-
drivent attack). Khi có một số chương trình được chuyển theo thư điện tử,
vượt qua Firewall vào trong mạng được bảo vệ và bắt đầu hoạt động ở đ}y.
Một ví dụ là các virus máy tính. Firewall không thể làm nhiệm vụ rà quét virus
trên các dữ liệu được chuyển qua nó, do tốc độ làm việc, sự xuất hiện liên tục
của các virus mới và do có rất nhiều c|ch để mã hóa dữ liệu, thoát khỏi khả
năng kiểm soát của Firewall
C. So sánh các phiên bản ISA
ISA Server 2006 là phiên bản tiếp theo của sản phẩm Microsoft ISA Server. Có
một số tính năng mới so với phiên bản ISA 2004 như :
+ Phát triển hỗ trợ OWA, OMA , ActiveSync và RPC/HTTP publishing.
+ Hổ trợ SharePoint Portal Server.
+ Hổ trợ cho việc kết nối nhiều certificates tới 1 Web listener.
+ Hỗ trợ việc chứng thực LDAP cho Web Publishing Rules.
Hiện nay ISA 2006 có 2 phiên bản Standard và Enterprise.
- Phiên bản ISA Standard Edition là phiên bản sử dụng cho các hệ thống mạng
vừa và nhỏ.
- Phiên bản ISA Enterprise Edition là phiên bản sử dụng cho các hệ thống mạng

lớn, đ|p ứng được nhu cầu trao đổi thông tin lớn giữa mạng nội bộ và bên
ngoài. Ngoài những tính năng đ~ có trên ISA Standard Edition, ưu điểm chính
của Enterprise là hỗ trợ CPU không giới hạn, quản lý tập trung cấu hình và cân
bằng tải tối đa 32 Server.

Những chức năng được thực hiện:
- C{i đặt ISA 2006
- Access rule
- Application & web filter
- Server Publishing
- VPN
- Caching
II. Cài đặt ISA Server 2006
Chúng ta sẽ xây dựng và sử dụng 3 máy tính ảo theo mô hình sau :


Máy tên ISA Server sẽ cài đặt ISA Server 2006, máy này sẽ có 2 interface. Ta đặt tên
cho 2 interface này như sau :
 LAN : kết nối tới các traffict trong Internal.
 WAN : kết nối tới các traffict ở External.
Cấu hình thông số Ip trên 2 interface này :

Máy tên DC là máy đại diện cho các traffic từ Internal đến máy ISA. Tại máy này ta sẽ
nâng
cấp thành Domain Controller, Mail Server, Web Server . Cấu hình thông số Ip trên máy
này.

- Nâng cấp m|y DC lên Domain Controller v{ đặt tên domain: athena.com.vn
- Join máy ISA server vào domain.

Sau đó chúng ta sẽ kiểm tra kết nối từ m|y DC đến máy ISA, từ ISA đến DC, từ ISA
đến internet.
Tiếp theo, trên máy DC ta sẽ tạo c|c đối tượng sau :

Cài đặt ISA server 2006:
- Trên m|y c{i đặt ISA server: Log on vào máy ISA2k6 với User Administrator
vào chạy chương trình Setup ISA Server -> chọn Install ISA Server 2006

- Chọn Add Adapter . . .

- Kế tiếp ta check vào card mạng mà ta muốn ISA Server quản lý -> chọn OK.
Chú ý:
Sau qu| trình c{i đặt, ISA sẽ khóa tất cả cổng ra vào của hệ thống mạng. Vì vậy
máy DC và Client không thể truy cập Internet v{ ping m|y ISA server được. Tuy
nhiên từ máy ISA Server ping tới các máy phía trong vẫn bình thường.
III. Access Rule
Quy định những traffict nào sẽ được đi qua ISA Server. Đ}y l{ th{nh phần quan trọng
của ISA Server. Chúng ta sẽ tìm hiểu về Access Rule thông qua những tình huống
được nêu ra ở các mục bên dưới .
Default Rule đ~ cấm mọi traffic ra vào thông qua ISA Server. Như vậy, để các
máy trong Internal truy cập ra ngoài bằng domain name, cần phải có DNS Server
phân giải các domain name này. Ở đây ta sẽ sử dụng DNS Server của ISP .
Nếu chúng ta không sử dụng DNS sever của ISP thì cúng ta có thể tạo Access
Rule cho phép chúng ta phân giải tên miền bên ngoài không cần đến DNS sever của
ISP
Chúng ta cấu hình như sau:
A. Access Rule( DNS Query)
Tại máy ISA Server, mở ISA Server Management, phải chuột vào Firewall Policy,
chọn New chọn Access Rule

Hộp thoại Access Rule Names, đặt tên rule là: DNS Query

Hộp thoại Rule Action, chọn Allow

Hộp thoại Protocols, chọn Selected Protocols và nhấn Add
Trong hộp thoại Add Protocols, bung mục Common Protocols, chọn DNS, nhấn
Add, nhấn Next

Hộp thoại Access Rule Sources, Add : Internal và Local Host. Thực tế thì ta không
nên chọn Local Host

Hộp thoại Access Rule Destinaton, Add : External, nhấn Next

Hộp thoại User Sets, chọn All Users, nhấn Next

Hộp thoại Completing the New Access Rule Wizard, kiểm tra lại thông tin về
Rule lần cuối, sau đó nhấn Finish. Nhấn chọn Apply, Ok .


B. Tình huống 2
Công ty Athena cho phép các nhân viên thuộc nhóm Maketing được phép
truy cập Internet không hạn chế.
Group Maketing đ~ được tạo trước trên máy DC ở phần trước, tiếp theo ta chỉ
việc định nghĩa c|c đối tượng n{y trên m|y ISA. Để quản lý được các domain user ta
phải joint máy ISA vào domain athena.edu.vn.


Trong cửa sổ ISA Server Management, tại cửa sổ thứ 3, chọn tab Toolbox, bung mục
Users, chọn New, hộp thoại User set name, đặt tên là Maketing rồi nhấn Next

Hộp thoại Users, nhấn Add, chọn Windows users and groups…


Add 2 users Man1 và Man2 vào hộp thoại Users

Trong hộp thoại Completing, chọn Finish. Nhấn Apply .

Thực hiện tương tự cho c|c đối tượng còn lại.

Bước tiếp theo ta sẽ tạo access rule theo yêu cầu trên. Chuột phải Firewall Policy,
chọn New, chọn Access Rule
Hộp thoại Access Rule Names, đặt tên rule là: Allow Maketing – Full Access

Hộp thoại Rule Action, chọn Allow

Hộp thoại Protocols, chọn All outbound traffic

Hộp thoại Access Rule Sources, add Internal, chọn Next

Hộp thoại Access Rule Destinaton, add External, chọn Next

Hộp thoại User Sets, remove group All Users, và add group Maketing vào, chọn Next

Hộp thoại Completing the New Access Rule Wizard, chọn Finish

Nhấn chọn Apply, chọn OK
Kiểm tra kết quả
Logon user athena\Ma1