0 2 B i s D i n h T i e n H o a n g S t r e e t , D a k a o W a r d , D i s t r i c t 1 , H C M

2013

Báo cáo thực tập

ATHENA INTERNATIONAL NETWORK ADMINISTRATION & SECURITY TRAINING

LỜI MỞ ĐẦU

---ooOOoo---

Trước tiên em xin ch}n th{nh c|m ơn trung t}m Đ{o Tạo & Quản Trị Mạng

Athena đ~ tạo điều kiện cho em thực tập. Sau đ}y l{ b|o c|o về đề tài của em khi

thực tập ở đ}y.

ISA Server 2006 là hệ thống tường lửa được sử dụng trong hầu hết các hệ thống

mạng doanh nghiệp vừa và nhỏ, phiên bản ISA Server 2006 có những điểm cải

tiến so với phiên bản 2004, dưới đ}y l{ b|o c|o qu| trình thực hiện của em trên

nền máy ảo VMWare WorkStation.

Trong qu| trình thưc hiện không thể tránh khỏi sai sót, kính mong thầy cô góp ý,

em xin chân thành cảm ơn!

Mục lục

I. Giới thiệu.................................................................................................................. 3

A. Mục đích phải sử dụng ISA ................................................................................ 3

B. Ưu điểm và hạn chế của ISA ............................................................................. 3

1. Ưu điểm: ......................................................................................................... 3

2. Hạn chế: ......................................................................................................... 4

C. So sánh các phiên bản ISA ................................................................................ 4

II. Cài đặt ISA Server 2006 .......................................................................................... 5

III. Access Rule .......................................................................................................... 8

A. Access Rule( DNS Query).................................................................................. 9

B. Tình huống 2 .................................................................................................... 17

C. Tình huống 3 .................................................................................................... 25

D. Tình huống 3 .................................................................................................... 37

E. Tình huống 4 .................................................................................................... 44

IV. Application & web filter ........................................................................................ 50

V. Server Publishing ................................................................................................... 55

D. Publish Web server ........................................................................................ 103

VI. VPN ................................................................................................................... 109

VII. CACHING .......................................................................................................... 123

I. Giới thiệu

Microsoft Internet Security and Acceleration Server (ISA Server) là phần mềm

chia sẻ Internet của hãng Microsoft.

Đ}y l{ một trong những phần mềm tường lửa (Firewall) được ưa chuộng trên thị

trường hiện nay nhờ vào khả năng bảo vệ hệ thống mạnh mẽ cùng với cơ chế

quản lý linh hoạt.

A. Mục đích phải sử dụng ISA

Nếu máy tính của một c| nh}n không được bảo vệ bởi Firewall thì khi máy

tính đó kết nối Internet, tất cả các giao thông ra vào mạng đều được cho phép.

Vì vậy hacker, trojan, virus... có thể truy cập và lấy cắp thông tin trên máy tính

đó.

Ngoài ra Hacker còn có thể c{i đặt c|c đoạn m~ để tấn công file dữ liệu trên

m|y tính cũng như có thể sử dụng m|y tính đó để tấn công các máy tính khác.

Điều này là cực kỳ huy hiểm với các máy tính trong một tổ chức.

Vì vậy hầu hết các tổ chức đều có một hệ thống Firewall để bảo vệ hệ thống

mạng của tổ chức đó.

B. Ưu điểm và hạn chế của ISA

1. Ưu điểm:

Firewall được dùng để ngăn chặn các trang web xấu vào một quốc gia, tổ

chức, doanh nghiệp. Ngăn chặn các truy cập tr|i phép cũng như c|c cuộc tấn

công lấy cắp dữ liệu, đ|nh sập mạng máy tính của hacker.

Firewall có thể bảo vệ cho dữ liệu, máy tính, mạng máy tính một cách khá

chắc chắn. Bảo vệ chống lại những kẻ tấn công từ bên ngoài bằng cách chặn

các mã nguy hiểm hoặc lưu lượng Internet không cần thiết vào máy tính hay

mạng.

Firewall có thể được cấu hình để khóa dữ liệu từ các vị trí cụ thể trong khi vẫn

đảm bảo cho dữ liệu cần thiết có thể đi qua.

2. Hạn chế:

Firewall không đủ thông minh như con người để có thể đọc hiểu từng loại

thông tin và phân tích nội dung tốt hay xấu của nó. Do đó Firewall chỉ có thể

ngăn chặn sự xâm nhập của những nguồn thông tin không mong muốn nhưng

phải x|c định rõ các thông số địa chỉ.

Firewall không thể ngăn chặn một cuộc tấn công nếu cuộc tấn công này không

đi qua nó. Một cách cụ thể, Firewall không thể chống lại một cuộc tấn công từ

một đường dial-up, hoặc sự dò rỉ thông tin do dữ liệu bị sao chép bất hợp

ph|p lên đĩa mềm.

Firewall cũng không thể chống lại các cuộc tấn công bằng dữ liệu (data-

drivent attack). Khi có một số chương trình được chuyển theo thư điện tử,

vượt qua Firewall vào trong mạng được bảo vệ và bắt đầu hoạt động ở đ}y.

Một ví dụ là các virus máy tính. Firewall không thể làm nhiệm vụ rà quét virus

trên các dữ liệu được chuyển qua nó, do tốc độ làm việc, sự xuất hiện liên tục

của các virus mới và do có rất nhiều c|ch để mã hóa dữ liệu, thoát khỏi khả

năng kiểm soát của Firewall

C. So sánh các phiên bản ISA

ISA Server 2006 là phiên bản tiếp theo của sản phẩm Microsoft ISA Server. Có

một số tính năng mới so với phiên bản ISA 2004 như :

+ Phát triển hỗ trợ OWA, OMA , ActiveSync và RPC/HTTP publishing.

+ Hổ trợ SharePoint Portal Server.

+ Hổ trợ cho việc kết nối nhiều certificates tới 1 Web listener.

+ Hỗ trợ việc chứng thực LDAP cho Web Publishing Rules.

Hiện nay ISA 2006 có 2 phiên bản Standard và Enterprise.

- Phiên bản ISA Standard Edition là phiên bản sử dụng cho các hệ thống mạng

vừa và nhỏ.

- Phiên bản ISA Enterprise Edition là phiên bản sử dụng cho các hệ thống mạng

lớn, đ|p ứng được nhu cầu trao đổi thông tin lớn giữa mạng nội bộ và bên

ngoài. Ngoài những tính năng đ~ có trên ISA Standard Edition, ưu điểm chính

của Enterprise là hỗ trợ CPU không giới hạn, quản lý tập trung cấu hình và cân

bằng tải tối đa 32 Server.

Những chức năng được thực hiện:

- C{i đặt ISA 2006

- Access rule

- Application & web filter

- Server Publishing

- VPN

- Caching

II. Cài đặt ISA Server 2006

Chúng ta sẽ xây dựng và sử dụng 3 máy tính ảo theo mô hình sau :

Máy tên ISA Server sẽ cài đặt ISA Server 2006, máy này sẽ có 2 interface. Ta đặt tên

cho 2 interface này như sau :

LAN : kết nối tới các traffict trong Internal.

WAN : kết nối tới các traffict ở External.

Cấu hình thông số Ip trên 2 interface này :

Máy tên DC là máy đại diện cho các traffic từ Internal đến máy ISA. Tại máy này ta sẽ

nâng

cấp thành Domain Controller, Mail Server, Web Server . Cấu hình thông số Ip trên máy

này.

- Nâng cấp m|y DC lên Domain Controller v{ đặt tên domain: athena.com.vn

- Join máy ISA server vào domain.

Sau đó chúng ta sẽ kiểm tra kết nối từ m|y DC đến máy ISA, từ ISA đến DC, từ ISA

đến internet.

Tiếp theo, trên máy DC ta sẽ tạo c|c đối tượng sau :

Cài đặt ISA server 2006:

- Trên m|y c{i đặt ISA server: Log on vào máy ISA2k6 với User Administrator

vào chạy chương trình Setup ISA Server -> chọn Install ISA Server 2006

- Chọn Add Adapter . . .

- Kế tiếp ta check vào card mạng mà ta muốn ISA Server quản lý -> chọn OK.

Chú ý:

Sau qu| trình c{i đặt, ISA sẽ khóa tất cả cổng ra vào của hệ thống mạng. Vì vậy

máy DC và Client không thể truy cập Internet v{ ping m|y ISA server được. Tuy

nhiên từ máy ISA Server ping tới các máy phía trong vẫn bình thường.

III. Access Rule

Quy định những traffict nào sẽ được đi qua ISA Server. Đ}y l{ th{nh phần quan trọng

của ISA Server. Chúng ta sẽ tìm hiểu về Access Rule thông qua những tình huống

được nêu ra ở các mục bên dưới .

Default Rule đ~ cấm mọi traffic ra vào thông qua ISA Server. Như vậy, để các

máy trong Internal truy cập ra ngoài bằng domain name, cần phải có DNS Server

phân giải các domain name này. Ở đây ta sẽ sử dụng DNS Server của ISP .

Nếu chúng ta không sử dụng DNS sever của ISP thì cúng ta có thể tạo Access

Rule cho phép chúng ta phân giải tên miền bên ngoài không cần đến DNS sever của

ISP

Chúng ta cấu hình như sau:

A. Access Rule( DNS Query)

Tại máy ISA Server, mở ISA Server Management, phải chuột vào Firewall Policy,

chọn New chọn Access Rule

Hộp thoại Access Rule Names, đặt tên rule là: DNS Query

Hộp thoại Rule Action, chọn Allow

Hộp thoại Protocols, chọn Selected Protocols và nhấn Add

Trong hộp thoại Add Protocols, bung mục Common Protocols, chọn DNS, nhấn

Add, nhấn Next

Hộp thoại Access Rule Sources, Add : Internal và Local Host. Thực tế thì ta không

nên chọn Local Host

Hộp thoại Access Rule Destinaton, Add : External, nhấn Next

Hộp thoại User Sets, chọn All Users, nhấn Next

Hộp thoại Completing the New Access Rule Wizard, kiểm tra lại thông tin về

Rule lần cuối, sau đó nhấn Finish. Nhấn chọn Apply, Ok .

B. Tình huống 2

Công ty Athena cho phép các nhân viên thuộc nhóm Maketing được phép

truy cập Internet không hạn chế.

Group Maketing đ~ được tạo trước trên máy DC ở phần trước, tiếp theo ta chỉ

việc định nghĩa c|c đối tượng n{y trên m|y ISA. Để quản lý được các domain user ta

phải joint máy ISA vào domain athena.edu.vn.

Trong cửa sổ ISA Server Management, tại cửa sổ thứ 3, chọn tab Toolbox, bung mục

Users, chọn New, hộp thoại User set name, đặt tên là Maketing rồi nhấn Next

Hộp thoại Users, nhấn Add, chọn Windows users and groups…

Add 2 users Man1 và Man2 vào hộp thoại Users

Trong hộp thoại Completing, chọn Finish. Nhấn Apply .

Thực hiện tương tự cho c|c đối tượng còn lại.

Bước tiếp theo ta sẽ tạo access rule theo yêu cầu trên. Chuột phải Firewall Policy,

chọn New, chọn Access Rule

Hộp thoại Access Rule Names, đặt tên rule là: Allow Maketing – Full Access

Hộp thoại Rule Action, chọn Allow

Hộp thoại Protocols, chọn All outbound traffic

Hộp thoại Access Rule Sources, add Internal, chọn Next

Hộp thoại Access Rule Destinaton, add External, chọn Next

Hộp thoại User Sets, remove group All Users, và add group Maketing vào, chọn Next

Hộp thoại Completing the New Access Rule Wizard, chọn Finish

Nhấn chọn Apply, chọn OK

Kiểm tra kết quả

Logon user athena\Ma1

Mở Command Prompt gõ lệnh nslookup. Phân giải các tên miền ở External.

C. Tình huống 3

Để tăng tính hiệu quả trong giờ làm việc, cty Athena yêu cầu các nhân viên

trong giờ làm việc chỉ được truy cập một số trang Web như :

http://athena.edu.vn, http://forum.athena.edu.vn, http://www.nhatrang-

itt.vn

Giờ làm việc được quy định : 8h-12h sáng và 14h – 18h chiều.

Ta sẽ định nghĩa c|c trang Web được phép truy cập như sau:

Trong cửa sổ ISA Server Management, chọn Firewall Policy, qua cửa sổ thứ 3, tại

tab Toolbox, bung mục Network Objects, nhấn New, chọn URL Set

Trong hộp thoại New URL Set. Ô Name , nhập tên: Allow Web, nhập các trang web

mà bạn cho phép.

Tương tự như vậy, ta định nghĩa luôn c|c trang Web không cho phép với tên là

Restrict Web.

Tiếp theo, ta sẽ định nghĩa khoảng giờ làm việc của cty như sau :

Trong cửa sổ ISA Server Management, chọn Firewall Policy, qua cửa sổ thứ 3, tại tab

Toolbox, bung mục Schedules, chọn New

Trong ô Name, nhập tên Work Time. Bên dưới chọn từ (8h - 12h) và từ (2h – 6h)

Tương tự, chúng ta tạo thêm Rest time từ 12h-2h

Cuối cùng, ta sẽ định nghĩa rule cho tình huống này.

Chuột phải Firewall Policy, chọn New, chọn Access Rule. Hộp thoại Access Rule

Names, đặt tên rule là: Users on Work Time.

Hộp thoại Rule Action, chọn Allow

Hộp thoại Protocols, chọn Selected Protocols và nhấn Add. Trong hộp thoại Add

Protocols, bung mục Common Protocols, chọn HTTP và HTTPS, nhấn Add. Nhấn

Next .

Hộp thoại Access Rule Sources, add Internal

Hộp thoại Access Rule Destinaton, nhấn Add. Bung URL Sets, chọn Allow Web. Nhấn

Next .

Hộp thoại User Sets, chọn All Users, nhấn Next

Hộp thoại Completing the New Access Rule Wizard, nhấn Finish. Chuột phải lên rule

Users on Work Time, chọn Properties

Kiểm tra kết quả.

Log user athena\t1 kiểm tra

Truy cập trang http://www.vnexpress.net

D. Tình huống 3

Trong giờ giải lao, các nhân viên được truy cập mọi trang Web ngoại trừ

trang: http://24h.com.vn . Ta thiết lập như sau:

Trong cửa sổ ISA Server Management, chuột phải Firewall Policy, chọn New, chọn

Access Rule. Hộp thoại Access Rule Names, đặt tên rule là: Users on Rest Time

Hộp thoại Rule Action, chọn Allow.

Hộp thoại Protocols, chọn Selected Protocols và nhấn Add. Trong hộp thoại Add

Protocols, bung mục Common Protocols, chọn HTTP và HTTPS, nhấn Add. Nhấn

Next

Hộp thoại Access Rule Sources, add Internal, nhấn Next

Hộp thoại Access Rule Destinaton, add External, nhấn Next

Hộp thoại User Sets, chọn All Users, nhấn Next

Hộp thoại Completing the New Access Rule Wizard, nhấn Finish

Chuột phải lên rule Users on Rest Time, chọn Properties

Qua Tab Schedule, trong mục Schedule, chọn Rest Time. Qua tab To, khung

Exceptions, nhấn Add. Bung mục URL Sets, chọn Restrict Web

Nhấn Apply, chọn OK

Tương tự qua tab Schedule chọn Rest time

Kiểm tra kết quả .

Log on user athena\man1 kiểm tra

Truy cập các trang http://24h.com.vn/ và http://bongdaso.com; http://google.com

E. Tình huống 4

Công ty cho phép các nhân viên được phép gởi mail trong giờ làm việc.

Ta thiết lập rule như sau :

Trong cửa sổ ISA Server Management, chuột phải Firewall Policy, chọn New, chọn

Access Rule. Hộp thoại Access Rule Names, đặt tên rule là: Allow Send Mail on Work

Time

Hộp thoại Rule Action, chọn Allow

Hộp thoại Protocols, chọn Selected Protocol, nhấn Add .

Trong hộp thoại Add Protocols, bung mục Mail, chọn SMTP, POP3, SMTPS, POP3S,

IMAP4, IMAPS nhấn Add . Nhấn Next

Hộp thoại Access Rule Sources, Add Internal, nhấn Next

Hộp thoại Access Rule Destinaton, add External, nhấn Next

Hộp thoại User Sets, bạn chọn All Users

Hộp thoại Completing the New Access Rule Wizard, Finish

Nhấn chọn Apply, nhấn OK

Chuột phải lên rule Allow send mail on Work Time, chọn Properties. Qua Tab

Schedule, trong mục Schedule, chọn Work Time

Nhấn Apply, chọn OK

User dùng Outlook Express gởi mail để kiểm tra kết quả.

IV. Application & web filter

Application Filter là phần mở rộng của Microsoft cho phép các hãng thứ 3 có thể

phát triển các ứng dụng tích hợp vào ISA Server. Một trong các hãng phát triển Add‐

in cho ISA Server là GFI. Tham khảo GFI tại trang web : www.gfi.com. GFI hỗ trợ

ISA Server phần HTTP Filtering khá tốt. Web Filter cho phép ISA Server quản lý

được Packet Data ở tầng Application. Web Application Filter được sử dụng nhiều

nhất trên c|c Application Firewall vì liên quan đến Web Traffic.

Yêu cầu của cty Athena đặt ra cho các nhân viên của phòng ban Maketing trong

giờ làm việc không được nghe nhạc trực tuyến, không được down load các file

có phần mở rộng là *.mp3, *.exe, *.avi. Ngoài ra, cũng không được chat bằng

Yahoo Messenger. Ta sẽ thiết lập yêu cầu này như sau :

Tại máy ISA Server, trong cửa sổ ISA Server Management, chuột phải lên rule

Maketing, chọn Configure HTTP.

Qua tab Extensions, trong khung Specify the action taken for HTTP methods, chọn

Block specified methods (allow all others)

Nhập vào những định dạng file mà bạn muốn cấm : *.mp3, *.exe, *.avi.

Chuột phải lên rule Maketing, chọn Properties, qua tab Content Types, khung This

rule applies to, chọn Selected content types

Trong khung Content Types bỏ dấu chọn ô Audio v{ Video (để user không nghe

nhạc trực tuyến). Nhấn Apply, chọn OK .

Đối với Yahoo Messenger, ta sẽ chặn bằng Signatures. Chuột phải lên rule Maketing,

chọn Configure HTTP Qua tab Signatures, nhấn Add. Ở khung Name, nhập tên: Deny

Yahoo Messenger

Khung Search in, chọn tùy chọn: Request headers

Khung HTTP Header, nhập: Host:

Khung Signature, nhập: msg.yahoo.com. chọn OK

Nhấn Apply, chọn OK

V. Server Publishing

Publising Rule cho phép các Clients từ Internet có thể kết nối vào Web Server, Mail

Server, Application Server, … trong mạng Internal, có thể sử dụng DNS Name hoặc

sử dụng địa chỉ IP Public. Hay chúng ta có thể hiểu l{ thông thường để các Clients từ

Internet truy cập vào mạng Internal thông qua NAT – inbound, thì bây giờ chúng ta

sẽ l{m điều đó qua c|c Publising Rule. Việc đầu tiên là chúng ta cần cấu hình thêm

dịch vụ DNS ở máy ISA Server cho mô hình.

Máy DC tạo send & receive connector, star services : POP3, tạo 2 mailbox u1 & u2.

Cho u1 quyền “ logon locally “. Dịch vụ DNS đ~ được cấu hình tương ứng với

mạng 172.16.1.0/24 .

- Máy ISA : logon athena/administrator cài thêm dịch vụ DNS tại đ}y.

Tại Forward lookup zone, tạo New Zone, chọn Primary Zone với tên athena.edu.vn

Cửa sổ Dynamic update chọn “ do not allow …”

Xóa host được tạo ra ứng với interface Local

Tương tự tại mục Reverse lookup zone tạo New Zone, chọn Primary Zone

Chỉnh DNS trên máy ISA chỉ lắng nghe về phía card Lan. Bằng cách phải chuột lên

PC ISA, chọn properties

Chọn only the following IP …, v{ Remove ip 192.168.2.111

Sau đó Restar lại dịch vụ DNS

Kiểm tra phân giải DNS trên máy ISA

Tiếp theo, trên máy ISA tạo rule publish DNS

Chọn non-web server …, đặt tên rule l{ “ publish DNS “

Điền Ip trên card Lan

Mục Select Protocol, chọn DNS server

Mục Network Listener Ip Address, chọn External

Kiểm tra trên máy Internet

Chỉnh Preferer DNS về IP của card ngoài máy ISA

Vào Run gõ cmd kiểm tra bằng nslookup

Publish Mail Exchange Server :

Trên ISA tạo rule “ Allow send mail “ cho phép Internal được phép gởi mail ra

ngoài

External

Chọn protocol : POP3, POP3S, IMAP, IMAPS, SMTP, SMTPS .

Mục Access Rule Source chọn Internal

Mục Access Rule Source chọn External

Mục Users set chọn All users. Nhấn Next, kiểm ta và chọn Finish .

Tại ISA Management, chuột phải vào Firewall Policy chọn mail server publishing

rule.

Tại giao diện Welcome, đặt tên publish Exchange

Giao diện Select Access Type, chọn Client access ….

Mục Select Services, chọn standard & secure port như hình .

Điền IP của máy DC

Mục Network Listener Ip Address, chọn external

Nhấn Next, kiểm tra lại và nhấn Finish

Trên máy DC , vào All Program chọn OE , phải chuột chọn Run as …

Logon với tên u1, Display Name điền vào tên u1

Nhập vào Email Address : u1@athena.edu.vn

Incoming & outgoing : mail.athena.edu.vn

Nhập User & pass đ~ tạo trên máy DC. Rồi nhấn Next

Account mail của u1 vừa tạo, chọn properties

Tab server, check vào mục “ My Server Require …. “

Tab advanced, check vào 2 mục Outgoing và Incoming, mục “ Leave a … “

Nhấn Send & Receive kiểm tra

Nhấn Create Mail, tạo mail gởi cho u2

Mail đ~ gởi thành công .

Tại máy Internet mở OE tạo tài khoản u2 .

Tài khoản mail : u2@athena.edu.vn

Incoming & outgoing : mail.athena.edu.vn

Nhập vào Tên và Pass của user u2 đ~ tạo trên máy DC

Tab Server

Reply mail lại cho u1

Đ~ gởi thành công

U1 nhận được mail từ u2

Publish OWA

Tại máy DC. Mở IIS và bỏ check “ require secure channel SSL “

Tại máy ISA 1 tạo rule để publish OWA, chuột phải vào Firewall Policy chọn

Exchange

Web Client ….

Chọn phiên bản là exchange 2007, check vào mục OutLook Web Access.

Mục Publishing Type, chọn Publish a single web

Mục Server Publishing Security, chọn use non secure …

Mục Internal Publishing Detail, điền tên internal site và ip của m|y DC như hình

Điền tên public name như hình. Đ}y chính l{ tên m{ Client từ bên ngoài sẽ sử dụng

để truy cập.

Nhấn Next để tạo web listener với tên “ web port 80 “ ứng với port 80

Mục select Web listener, chọn do not require SSL

Mục Web Listener Ip Address, chọn external

Mục Authentication, chọn no authentication

Mục Authentication Delegate, chọn no delegation

Mục User Sets chọn All user. Nhấn Next rồi chọn Finish. Apply rồi Ok.

Kiểm tra tại máy Internet. Mở Browser, nhập http://mail.athena.edu.vn/owa

Gởi mail thành công

Tại máy DC truy cập bằng OWA và logon u1

Thấy đ~ nhận được mail của u2

D. Publish Web server

Trên máy PC2 tạo trang web index.htm với nội dung tùy ý. Mở IIS và tạo thêm web

site tên “Web”

Chuột phải vào Web và chọn Properties, tại tab Website chọn port 8080

Tab Home Directory trỏ về nơi chứa source web .

Chuột phải vào mục Web chọn Browse, để kiểm tra

Trên IE nhập địa chỉ : http://athena.edu.vn:8080

Tương tự trên máy ISA tạo 1 rule để publish website với tên l{ “ Publish web “

Điền tên site internal v{ ip m|y DC như hình .

Tạo Web listener ứng với port 8080

Tên publish site : www.athena.edu.vn

Đường dẫn gõ vào : /*

Ta cần phải Bridge port 8080

Kiểm tra trên máy Internet. Nhập địa chỉ : http://www.athena.edu.vn:8080

VI. VPN

VPN (Virtual Private Network) là giải pháp hữu hiệu để kết nối các hệ thống mạng

của doanh nghiệp có nhiều chi nhánh và vị trí địa lý xa nhau, hoặc doanh nghiệp của

bạn có nhiều nhân viên phải thường xuyên đi công t|c xa v{ họ cos nhu cầu truy cập

vào tài nguyên mạng nội bộ.

ISA Server có khả năng cấu hình thành một VPN Server cho phép Clients từ xa truy

cập (Client to Site) hoặc cấu hình làm một Gateway để kết nối đến một hệ thống chi

nhánh (Site to Site). VPN Server của chi nh|nh được khuyến cáo nên là một ISA

Server , nhưng thực tế thì ISA Server có thể kết nối VPN rất tốt với các thiết bị VPN

của các hãng khác.

Clients hoặc VPN Server khi quay VPN vào ISA Server sẽ được cấp một địa chỉ IP

Private sử dụng trong VPN Tunnel. ISA và Clients sẽ sử dụng địa chỉ IP này cho

phần Routing trên VPN. Private IP đựơc cấp phát có thể lấy từ DHCP Server hoặc lấy

từ dịch vụ Routing and Remote Access trên Windows 2003.

ISA Server thực ra sử dụng dịch vụ Routing and Remote Access của Windows 2003

làm VPN và Routing, ngòai ra ISA Server có thêm những phần Filtering và

Application Filter . Trên ISA Server, IP Address Pool được quy định là một khỏang

địa chỉ IP. Địa chỉ IP đầu tiên được ISA Server sử dụng cho chính mình khi bật tính

năng VPN trên ISA Server lên. Những địa chỉ IP tiếp theo sẽ cấp phát cho Clients

hoặc VPN Server khi quay VPN vào ISA Server.

Cấu hình VPN Client to Site

Để cấu hình cấp phát IP cho VPN Clients, vào ISA Server Management Console. Chọn

mục Virtual Private Network

Chọn mục Verify VPN Properties and Remote Access Còniguration, chọn Tab

Address Assignment

Ở đ}y ta không sử dụng DHCP để cấp Ip cho clients. Chọn Use Static Address Pool,

nhấn Add để thêm khỏang IP vào Pool. Khỏang IP bắt đầu từ 172.30.1.1 đến

172.30.1.50 hỗ trợ cho 49 Clients kết nối vào ISA Server bằng VPN. Nhấn Ok và

kiểm tra khỏang IP .

Tiếp theo ta chọn Tab Authentication. Check mục Microsoft Encrypted

authentication ( MS-CHAP )

Mở Computer Managemet, chọn mục Local Users and Groups. Mục User, chọn New

User . Tạo User có tên là VPN1/123abc!!!

Chuột phải vào user VPN1 chọn Properties. Chọn Tab Dial-in. Mục Remote Access

Permission chọn Allow Access

Phải chụột vào Groups chọn New Group

Group Name gõ VPN Clients. Nhấn Add để thêm Member vào Group này

Tại ISA Server Management Console, Chọn mục Virtual Private Network. Chọn mục

Specify Window Users or Select a Radius Server

Giao diện VPN Clients Properties, tại Tab Groups nhấn Add . Nhập v{o nhóm đ~ tạo.

Chuyển qua tab General. Check vào Enable VPN Client Access. Số lượng Clients là 40.

Nhấn Apply và Ok.

Vào mục Network Rules trên ISA Management Console

Chọn Tab Network Rules và chú ý Rule VPN Clients to Internal Network có mối quan

hệ là kiểu Route .

VPN Clients và External sẽ sử dụng NAT để giao tiếp với nhau .

Chú ý : ta cần phải tạo thêm 1 Access Rule tại mục Firewall Policy để cho phép VPN

Client được phép truy cập vào mạng Internal .

Giao diện Welcome nhấn Next .

Chọn mục Connect to a Network at my workplace

Mục Network Connection, chọn Virtual Private Network Connection

Mục Company Name nhập tên : athena .

Nhấn Next. Mục VPN Server Selection nhập Ip ứng card WAN của máy ISA

Kiểm tra lại và nhấn Finish .

Phải chuột vào Connection mới tạo chọn Connect

Giao diện Connection, nhập Username/Password là vpn1/123abc!!!

Kiểm ta kết nối.

VII. CACHING

Cơ chế Cache giúp ISA Server tăng tốc Internet khi User truy cập. Mọi trang web đi

bằng HTTP hoặc file đi bằng FTP được ISA Server Cache lại (RAM hoặc HDD). Khi

có một Clients thứ 2 truy cập, ISA Server sẽ sử dụng Cache sẵn có để cung cấp cho

Clients.

ISA Server Cache trong RAM v{ sau đó chuyển xuống bộ nhớ. Mặc định ISA Server sử

dụng 10% RAM cho việc Cache. Chúng ta có thể cấu hình lại số phần trăm RAM sử

dụng này sau khi cài ISA Server. Trong lần sử dụng sau, nếu có Clients nào truy cập

v{o đúng trang web đ~ nằm trong Cache, ISA Server sẽ lấy nội dung từ trong Cache

ra.

Mặc định ISA Server đ~ l{ một Proxy Server lắng nghe trên Port 8080 nhưng

không Cache cố định lại nội dung của web trên ổ cứng mà Cache vào RAM. Do đó, sau

khi Server khởi động lại, những Cache này sẽ mất. Để cấu hình ISA Server thành

proxy, ta có thể định lại số Port m{ Proxy Server đang sử dụng (có thể đổi thành

3128 hoặc 6667…) v{ thiết lập lưu trữ Cache trên ổ cứng .

Để định lại Port của Proxy Server ISA, ta vào ISA Server Management Console, chọn

mục Configuration, tab Network, phải chuột vào Network Internal và chọn

Properties

Thiết lập dung lượng lưu trữ cache trên ổ cứng

Vào ISA Server chọn mục Configuration, chọn mục Cache và chú ý mục Cache đang ở

trạng thái Disable .

Trong cửa sổ Task Pane chọn Define Cache Drive .

Chọn ổ cứng G: để chứa Cache, điền dung lượng chứa vào mục Maximum cache size,

rồi nhấn Set

Chọn OK , chú ý phần Cache đ~ trở thành Enabled. Rồi nhấn Apply và Ok .

Một số lưu ý về Cahe :

• Nơi chứa cache phải là ổ đĩa cục bộ (local drive) .

• Đĩa chứa cache phải được định dạng NTFS

• Nên lưu cache trên một đĩa vật lý khác với đĩa hệ thống.

• Sau khi xác lập dung lượng cache, trên ổ đĩa D:\ đ~ chỉ định sẽ tồn tại thư

mục urlcache chứa tập tin dir1.cdat có dung lượng bẳng dung lượng chỉ định. Đ}y

chính là tập tin chứa nội dung cache. Tập tin chứa nội dung cache chỉ có thể có dung

lượng tối đa l{ 64 GB. Nếu muốn có dung lượng cache lớn hơn, ta có thể chỉ định

đồng thời nhiều ổ đĩa luận lý .

• Mặc định ISA không hỗ trợ kh~ năng quan s|t v{ điều chỉnh nội dung cache. Tuy

nhiên, Microsoft cung cấp thêm công cụ "Cache Directory Tool for Internet Security

and Acceleration ISA Server".

Thiết lập dung lượng RAM

Phải chuột vào mục Cache trên ISA Server và chọn Properties.

Chọn Tab Advanced, nhấn vào phần trăm RAM sử dụng, mặc định đang l{ 10%, ta

nhập là 60% . Mỗi đối tượng khi lưu trên RAM của ISA Server có dụng lượng không

qu| 12,8KB. Dung lượng này càng nhỏ thì tốc độ truy cập càng nhanh vì RAM xử lý

sẽ tốt hơn.

Thiết lập Cache rule

Mặc định có Default Cache Rule cho phép Cache lại tòan bộ các nội dung đi bằng

HTTP và FTP qua ISA Server. Cho dù Clients có sử dụng Proxy hay không nhưng nội

dung HTTP và FTP vẫn được lưu lại trên ISA Server nhờ vào Application Protocol

Web Proxy Filter. Chức năng của Cache Rule giúp cho ISA Server có thể Cache Web,

nội dung Cache có dung lượng tối đ~ l{ bao nhiêu, khi n{o thì Cache v{ trang n{o

không cần Cache nội dung …

Để tạo Cache Rule, chọn Cache trong mục Configuration

Phải chuột vào Cache chọn Create a Caching Rule bên cửa sổ Task Pane

Mục Name nhập : Cache all Microsoft Content

Nhấn Next, mục Cache rule Destination x|c định đối tượng nào sẽ tác dụng Rule

này. Destination có thể là một Network, hoặc có thể là một trang Web, Server IP

…nhấn Add để thêm Destination

Tiếp theo ta tạo một Component URL Set với nội dung là trang web của

Microsoft.com.

Chọn Menu New và chọn URL Set

Mục Name tên hiển thị là Microsoft Web Site và nhấn Add, nhập URL

http://microsoft.com

Nhấn OK và bung URL Sets vào Microsoft Web Site trong phần Component

Nhấn Close , kiểm tra Destination vừa thêm. Nhấn Next

Mục Content Retrieval quy định thời gian lấy Cache từ Internet (Cache Retrieval). Để

bảo đảm thông tin luôn luôn mới .

• Only if a valid version of the object exists in cache. If no valid version exists,

route the request: chỉ cung cấp nội dung lưu trữ còn hợp lệ cho client. Nếu nội dung

quá hạn thì ISA sẽ truy cập web server để tải về. Cấu hình này bảo đảm cho client có

được nội dung mới nhất (trong một thời hạn nhất định.)

• If any version of the object exists in cache. If none exists, route the request: cung

cấp nội dung lưu trữ cho client bất kể thời hiệu. Chỉ khi không có lưu trữ thì mới tải

về. Cấu hình này bảo đảm cho client luôn luôn có được nội dung cần thiết, bất kể tính

cập nhật.

• If any version of the object exists in cache. If none exists, drop the request: cung

cấp nội dung lưu trữ cho client bất kể thời hiệu. Nếu không có lưu trữ thì bỏ qua yêu

cầu của client. Nói một cách khác, cấu hình này chỉ cung cấp nội dung lưu trữ sẵn cho

client, ISA không bao giờ truy cập web server theo yêu cầu của client.

Nhấn Next. Mục Cache Content quy định nội dung nào sẽ được Cache. Lựa chọn mặc

định là cho ISA Server lấy Cache và không cần lấy nội dung của những Dynamic

Web Site (Logon Session)

• Dynamic content: nội dung loại này sẽ thường xuyên thay đổi và vì thế được đ|nh

dấu là không thể được cahe (not cacheable). Tuy nhiên, nếu chọn phương thức này

trong rule thì nội dung động sẽ vẫn được lưu cho dù nó đ~ được đ|nh dấu là không

thể cache.

• Content for offline browsing: nội dung có thể truy cập khi không kết nối đến web

server. Nếu chọn phương thức này trong rule thì ISA sẽ lưu mọi nội dung trang web,

kể cả phần đ~ được đ|nh dấu là không thể cache.

• Content requiring user authentication for retrieval: lưu c|c nội dung mà trang web

yêu cầu chứng thực trước khi cho phép truy cập.

Nhấn Next. Mục Cache Advanced Configuration này mặc định sẽ cho phép ISA

Server Cache lại những nội dung đi bằng SSL.

Nhấn Next, mục HTTP Caching mặc định cho phép ISA Server Cache nội dung của

HTTP và thời gian TTL cho Cache là 1 ngày.

Nhấn Next, mục FTP Caching cho phép ISA Server Cache lại nội dung của đối tượng

FTP khi download từ những trang web của Microsoft.

Nhấn Next, xem lại nội dung Rule đ~ cấu hình, nhấn Finish .

Thiết lập Content download job

Content download job cho phép ISA Server tự động Download và cập nhật thông tin

trong Cache . Content download job sẽ tự động khởi tạo một Connection đến trang

web n{o đó do admin quy định và download toàn bộ nội dung của trang web đó về

v{ lưu v{o Cache .

Đến thời gian quy định, ISA Server sẽ lấy nội dung trang web. Content download job

có thể được thực hiện duy nhất một lần hoặc lặp lại nhiều lần. Trên ISA Server chúng

ta sẽ cấu hình thông qua các giao diện Wizard được xây dựng rất trực quan.

Lưu ý : Content download job sẽ không thể hoàn tất nếu trang web mục tiêu đòi hỏi

chứng thực người dùng. Để cấu hình Content download job thì ISA Server cần phải

bật tính năng Proxy trên Local Host v{ Enable System Policy cho phép ISA Server sử

dụng tính năng n{y . V{o mục Network, chọn Tab Network, phải chuột vào Local

Host, chọn Properties, chọn Tab Web Proxy, check dấu Enanable HTTP Proxy, Port

mặc định là 8080.

Chuột phải vào Firewall Policy chọn Edit System Policy.

Check vào mục Enable this configuration group .

Kích hoạt system rule thứ 29.

Để tạo Content download job ta vào mục Cache trong Configuration, chọn Tab

Content Download Jobs

Phần Name gõ Download Vnexpress.net

Nhấn Next, chọn Download hàng ngày

Nhấn Next, x|c định thời gian thực hiện task này, ngày nào bắt đầu, thời gian bắt

đầu.

Giao diện Content Download tại mục “ download content from thí URL “ gõ v{o

http://vnexpress.net và chú ý phải có http:// nếu không ISA Server sẽ báo lỗi. Job

này sẽ không Download những trang web hoặc đường Link nào ngòai trang

http://vnexpress.net v{ độ sâu của mối liên kết không quá 4 lần. Nhấn Next .

Giao diện tiếp theo quy định Cache Rule cho riêng Job này. ISA Server mặc định chỉ

Cache những Object này có Cache Header. Những đối tượng Download bằng Job này

có thể cấu hình theo một Cache Rule cho riêng mình, hoặc sử dụng Cache Rule mặc

định có sẵn của Windows.

Kiểm tra lại quá trình cấu hình và nhấn Finish .