Tài liệu Thực thi và khắc phục sự cố triển khai chứng chỉ trong ISA Server 2006 – Phần 2 doc

Thực thi và khắc phục sự cố triển khai chứng chỉ trong ISA Server 2006
– Phần 2
Trong phần hai này chúng tôi sẽ hướng dẫn các bạn cách sử dụng các chứng
chỉ số trong các kịch bản web chain và reverse publish.
Giới thiệu
Chúng ta sẽ bắt đầu bằng một giới thiệu vắn tắt về các kiểu chứng chỉ được
sử dụng trong kịch bản publish an toàn và sau đó sẽ giới thiệu về chức năng
mà các chứng chỉ SAN (SAN = Subject Alternate Name) cung cấp cũng như
những điểm khác biệt của chúng với các chứng chỉ cổ điển, chẳng hạn như
các chứng chỉ wildcard.
Các kiểu chứng chỉ
Có ba kiểu chứng chỉ thường được sử dụng:

Chứng chỉ thông thường

Chứng chỉ wildcard

Chứng chỉ SAN (Subject Alternate Name)
Chứng chỉ thông thường
Một chứng chỉ thông thường là một chứng chỉ “classic”. Kiểu chứng chỉ này
được sử dụng cho một FQDN (Fully Qualified Domain Name) cũng được
biết đến như một DNS hostname giống như owa.it-training-grote.de.
Chứng chỉ Wildcard
Chứng chỉ Wildcard thường được sử dụng khi một công ty cần publish các
hostname khác nhau với cùng một tên miền. Thay vì sử dụng nhiều chứng
chỉ thông thường, chúng ta có thể sử dụng kiểu chứng chỉ này. Ví dụ như
nếu bạn mua một chứng chỉ wildcard cho *.it-training-grote.de, khi đó bạn
hoàn toàn có thể sử dụng chứng chỉ để publish các webserver với nó, với các
tên owa.it-training-grote.de và www.it-training-grote.de.
Chứng chỉ SAN
Các chứng chỉ SAN (Subject Alternate Name) cũng được gọi là chứng chỉ

miền hoặc chứng chỉ Unified Communication (UC). Với sự trợ giúp của các
chứng chỉ SAN, chúng ta hoàn toàn có thể publish nhiều FQDN ới cùng một
hoặc khác tên Top Level Domain (TLD).
Cho ví dụ:
owa.it-training-grote.de
www.it-training-grote.de
Server01
Server01.exchange.internal
Autodiscover.exchange.internal
Autodiscover.it-training-grote.de
Chứng chỉ SAN được sử dụng rộng rãi trong các kịch bản publish của
Exchange Server có hoặc không có ISA Server 2006.
Những nâng cao trong ISA Server 2006 Service Pack 1
ISA Server 2006 Service Pack 1 hỗ trợ sử dụng các chứng chỉ SAN. Trước
ISA Server 2006 Service Pack 1, ISA Server chỉ kiểm tra tên chứng chỉ và
bỏ qua các tên bổ sung trong trường SAN của chứng chỉ.
Sử dụng chứng chỉ tự ký
Có một cách để sử dụng các chứng chỉ cho việc publish ISA Server là sử
dụng công cụ SELFSSL.EXE từ bộ kit của IIS 6. Với sự trợ giúp của công
cụ SELFSSL, các quản trị viên có thể tạo các chứng chỉ cho các Common
Name (CN).

Hình 1: SELFSSL từ IIS 6 Resource Kit
Vì chứng chỉ tự ký không được phát hành bởi một CA Root tin cậy nên
người dùng phải tự đặt chứng chỉ tự ký trong kho lưu trữ CA Root tin cậy
trên ISA Server nội bộ.

Hình 2: Snap-In bổ sung chứng chỉ
Tiếp đến, chọn tài khoản máy tính nội bộ với tư cách kho lưu trữ chứng chỉ
để thấy tất cả các chứng chỉ đã được cài đặt, đây là các chứng chỉ mà ISA

Server sẽ sử dụng cho các kịch bản publish và webchain.

Hình 3: Hiển thị chứng chỉ trong kho lưu trữ
Các chứng chỉ Root CA tin cậy
ISA Server bảo đảm cho mỗi chứng chỉ được sử dụng có thể được thẩm định
đối với CA phát hành. ISA Server kiểm tra chuỗi chứng chỉ đối với Root
CA. Danh sách các CA root tin cậy có thể được tìm thấy trong kho lưu trữ
máy tính nội bộ trên máy ISA Server 2006.

Hình 4: Các chứng chỉ Root CA tin cậy
Các chứng chỉ được sử dụng trong kịch bản Web chain
Một trong những tính năng kém được sử dụng trong ISA Server 2006 là việc
sử dụng các chứng chỉ trong kịch bản web chain. Web chain được sử dụng
để xâu chuỗi lưu lượng web từ ISA Server với Webproxy khác giống ISA
Server. Để sử dụng một chứng chỉ trong kịch bản webchain, người dùng
phải có các điều kiện tiên quyết dưới đây:

Có một chứng chỉ thẩm định máy khách

Được tin tưởng bởi một CA root

Có khóa riêng được cài đặt trong kho lưu trữ chứng chỉ máy tính nội
bộ

Kho lưu trữ chứng chỉ cá nhân Được cài đặt trong tài khoản dịch vụ
tường lửa

Hình 5: Chọn các chứng chỉ trong kịch bản Web chain
Exchange Remote Connectivity Analyzer
Microsoft Exchange Remote Connectivity Analyzer là một công cụ rất hữu

dụng cho việc test các kiểu publish khác nhau có hoặc không có ISA Server,
không sử dụng các công cụ yêu cầu như Microsoft Outlook. Exchange
Remote Connectivity Analyzer cũng rất hữu dụng cho việc thẩm định việc
triển khai đúng các chứng chỉ trên Exchange Client Access Server (CAS)
hoặc trên ISA Server.

Hình 6: Exchange Remote Connectivity Analyzer
ISA Server 2006 Best Practice Analyzer
Một tiện ích khắc phục sự cố hữu dụng nữa với các vấn đề của chứng chỉ
cho ISA Server 2006 là ISA Server 2006 Best Practice Analyzer, đây là bộ
phân tích cài đặt ISA Server với cơ sở dữ liệu bằng các thực hành tốt nhất từ
Microsoft để tìm ra các lỗi cấu hình có thể hoặc các vấn đề có liên quan. Với
mục đích khắc phục sự cố chứng chỉ, ISABPA kiểm tra cấu hình ISA Server
và tìm kiếm xem liệu các chứng chỉ có được sử dụng trong các kịch bản
publish và web chain hay không, thêm vào đó là các chứng chỉ tương ứng có
được tìm thấy trong kho lưu trữ chứng chỉ máy tính nội bộ hay không.

Hình 7: ISA Server Best Practices Analyzer
Để cung cấp thêm cho các bạn một số thông tin về cách ISABPA hiển thị
các vấn đề có liên quan đến chứng chỉ, chúng tôi đã xóa tất cả các chứng chỉ
từ kho lưu trữ máy tính nội bộ.
Kết luận
Trong phần hai này, chúng tôi đã cung cấp cho các bạn thêm một số thông
tin về triển khai và khắc phục sự cố chứng chỉ ISA Server 2006. Thêm vào
đó chúng tôi cũng giới thiệu một số tính năng mới của ISA Server 2006
Service Pack 1 có thể mở rộng khả năng của ISA Server 2006 trong việc sử
dụng các chứng chỉ SAN trong kịch bản webserver publish.