1. TRƢỜNG CĐ NGHỀ CÔNG NGHỆ KỸ THUẬT LADEC
CƠ SỞ ĐÀO TẠO:Trƣờng CĐ Công Nghệ Thông Tin TP.HCM
BÁO CÁO
THỰC TẬP TỐT NGHIỆP
TÊN ĐỀ TÀI
Nghiên cứu và triễn khai hệ thống tƣờng lửa ISA 2006
Giáo viên hƣớng dẫn:Ths.Nguyễn Trần Tuấn Anh
Sinh viên thực hiện:Trần Đình Hiệu
Lớp:11CTCI2
MSSV:11CTCI2012
Khóa:2011-2014
TP.HCM tháng 3 năm 2014
2. Lời mở đầu
Trong thời đại ngày này Internet đã không ngừng phát triển và vươn xa, đáp
ứng các nhu cầu của người sử dụng, những vấn đề như giáo dục từ xa, tư vấn Y tế,
mua hàng trực tuyến,…vv…. Không còn là những khái niệm trừu tượng nữa.Với
Internet mọi thứ “trong mơ” đã trở thành hiện thực.Trong những năm gần đây vài
trò của Công nghệ thông tin (CNTT) đã và đang được khẳng định một cách rõ nét.
Sự phát triển của CNTT đã tác động tích cực đến mọi mặt của đời sống chính trị,
kinh tế, văn hóa, xã hội của loài người, tạo ra sự phát triển vượt bậc chưa từng có
trong lịch sử. Ưng dụng CNTT có hiệu quả và bền vững đang là tiêu chí hàng đầu
của nhiều quốc gia. CNTT giúp con người xích lại gần nhau hơn, khiến cho
khoảng cách địa lý không còn tồn tại là lực đẩy cho mọi hoạt động trên mọi lĩnh
vực của Quốc gia.
Xét theo bình diện là một doanh nghiệp thì hiểu quả là điều bắt buộc và bền vững
cũng là tất yếu. Dưới góc nhìn của một chuyên gia về bảo mật hệ thống, khi triển
khai một hệ thống thông tin và xây dựng được cơ chế bảo vệ chặt chẽ, an toàn, như
vậy là góp phần duy trì tính “bền vững” cho hệ thống thông tin của doanh nghiệp
đó. Và tất cả chúng ta đều hiểu rằng giá trị thông tin của doanh nghiệp là tài sản vô
giá. Không chỉ thuần túy về vật chất, những giá trị khác không thể đo đếm được
như uy tín của họ với khách hàng sẽ ra sao, nếu những thông tin giao dịch với
khách hàng bị đánh cắp, rồi sau đó bị lợi dụng với những mục đích khác
nhau..Hacker, attacker, virus, worm, phishing, những khái niệm này giờ đây không
còn xa lạ, và thực sự là mối lo ngại hàng đầu của tất cả các hệ thống thông tin
(PCs, Enterprise Networks, Internet, vv..). Và chính vì vậy, tất cả những hệ thống
này cần trang bị những công cụ đủ mạnh, am hiểu cách xử lý để đối phó với những
thế lực đen tối đó. Trước hết với vai trò của một quản trị viên chúng ta cần xây
dựng ý thức sử dụng máy tính cho các nhân viên trong tổ chức doanh nghiệp mình.
Tiếp theo là cần một công tụ đắc lực đủ mạnh để cùng chúng ta chống lại các thế
lực trên. Đó là các Firewall, từ Personal Firewall bảo vệ cho từng Computer cho
đến các Enterprise Firewall có khả năng bảo vệ toàn hệ thống Network của một Tổ
chức. Và Microsoft ISA Server 2006 là một Enterprise Firewall như thế ! Một sản
phẩm tốt và là người bạn tin cậy để bảo vệ an toàn cho các hệ thống thông tin.
3. CHƢƠNG I: TỔNG QUAN VỀ ISA SERVER 2006
1. Giới thiệu về ISA server 2006
Microsoft Internet Security and Acceleration Sever (ISA Server) là phần
mềm xây dựng bức tường lửa (Firewall) khá nổi tiếng và được sử dụng khá phổ
biến của hãng phần mềm Microsoft. Có thể nói đây là một phần mềm share
internet khá hiệu quả, ổn định, dễ cấu hình, firewall tốt, nhiều tính năng cho phép
bạn cấu hình sao cho tương thích với mạng LAN của bạn. Tốc độ nhanh nhờ chế
độ cache thông minh, với tính năng lưu Cache vào RAM (Random Access
Memory), giúp bạn truy xuất thông tin nhanh hơn, và tính năng Schedule Cache
(Lập lịch cho tự động download thông tin trên các WebServer lưu vào Cache và
máy con chỉ cần lấy thông tin trên các Webserver đó bằng mạng LAN). Ngoài ra
còn rất nhiều các tính năng khác nữa
2. Các phiên bản của ISA server 2006
Standard : ISA Server 2006 Standard đáp ứng nhu cầu bảo vệ và chia sẻ
băng thông cho các công ty có quy mô trung bình.
Enterprise : ISA Server 2006 Enterprise được sử dụng trong các mô hình
mạng lớn, đáp ứng nhiều yêu cầu truy xuất của người dùng bên trong và
ngoài hệ thống. Ngoài những tính năng đã có trên ISA Server 2006, bản
Enterprise còn cho phép thiết lập hệ thống mảng các ISA Server cùng sử
dụng một chính sách, điều này giúp dễ dàng quản lý và cung cấp tính năng
Load Balancing (cân bằng tải).
3. Tính năng chính của ISA server 2006
ISA server là một trong các phần mềm máy chủ thuộc dòng .NET Enterprise
Server. Các sản phẩm thuộc dòng .NET Enterprise Server là các serverứng dụng
toàn diện của Microsoft trong việc xây dựng, triển khai, quản lý, tích hợp, các giải
pháp dựa trên web và các dịch vụ. ISA server mang lại một số các lợi ích cho các
tổ chức cần kết nối Internet nhanh, bảo mật, dễ quản lý
Truy cập Web nhanh với cache hiệu suất cao:
o Người dùng có thể truy cập web nhanh hơn bằng cácđối tượng tại chỗ
trong cache so với việc phải kết nối vào Internet lúc nào cũng tiềm
tàng nguy cơ tắc nghẽn.
o Giảm giá thành băng thông nhờ giảm lưu lượng internet
4. o Phân tán nội dung của các Web server và cácứng dụng thương
mạiđiện tử một cách hiệu quả,đápứngđược nhu cầu khách hàng trên
toàn cầu (khả năng phân phối nội dung web chỉ có trên phiên bản ISA
server Enterprise)
Kết nối Internet an toàn nhờ nhiều lớp
o Bảo vệ mạng trước các truy nhập bất hợp pháp bằng cánh giám sát lưu
lượng mạng tại nhiều lớp.
o Bảo vệ các máy chủ web, email và các ứng dụng khác khỏi sự tấn
công từ bên ngoài bằng việc sử dụng web và server quảng bá để xử lý
một cách an toàn các yêu cầu đến
o Lọc lưu lượng mạngđi vàđến để đảm bảo an toàn.
o Cung cấp truy cập an toan cho người dùng hợp lệ từ Internet tới mạng
nội tại nhờ sử dụng mạng riêngảo (VPN)
Quản lý thống nhất với sự quản trị tích hợp
o Điều khiển truy cập tập trung để đảm bảo tính an toàn và phát huy
hiệu lực của các chính sách vận hành
o Tăng hiệu xuất nhờ việc giới hạn truy cập tới internet của một số các
ứng dụng và đích đến
o Cấp phát băng thông để phù hợp với các ưu tiên
o Cung cấp các công cụ giám sát để chỉ ra các kết nối internet được sử
dụng như thế nào
o Tự động hóa các dịch vụ nhờ sử dụng script
Khả năng mở rộng
o Chú trọng tới an toàn và thi hành nhờ sử dụng ISA server software
development kit (SDK) với các thành phần bổ sung
o Chưc năng mở rộng an toàn cho các sản xuất thứ ba
o Tự động các tác vụ quản trị với các đối tượng script COM (
component object model)
5. Chƣơng II:Cấu hình máy DC Server và ISA Server
1. Mô hình:
2.Cấu hình chuẩn bị:
CARD
MẠNG
INTERNAL EXTERNAL
Máy
DC
Server
IP address:172.16.1.2
Subnet
mask:255.255.255.0
Default
gateway:172.16.1.1
6. Prefer DNS:172.16.1.2
Máy
ISA
Server
IP address: 172.16.1.1
Subnet
mask:255.255.255.0
Default gateway:
Prefer DNS:172.16.1.2
IP đặt cùng lớp với
phòng máy đang sử
dụng để máy ISA có
thể ra Internet hoặc để
chế độ là Brigde nếu sử
dụng máy ảo.
3.Cấu hình máy DC Server:
*Gán địa chỉ IP:
Click chuột phải vào My Network Plance chọn Properties
Chuột phải vào biểu tượng Card mạng chọn Properties
17. Nhập tên Group cần tạo vào dòng Group nameOk
Tiếp tục chọn UserNewUser tạo User
18. Đặt Password cho UserNext
Nhấn Finish để kết thúc qua1 trình tạo User.
19. Sau khi đã tạo xong Group & User thi ta sẽ add User vào trong Group.
Chuột phải vào tên Group mình vừa tạo chọn Properties
20. Chọn Tab MemberAdd
Nhập tên User vừa tạoCheck NamesOK.
4.Join(gia nhập)máy ISA Server vào Domain
21. Chuột phải vào My ComputerProperties
Chọn Computer NameChanger
22. Ở Tab Member of check vào Domainnhập tên Domain đã tạo vàoOK.
23. Nhập User name:administrator,Password để trống(do khi tạo domain mình
không có Password)OK
Máy ISA Server đã gia nhập vào Domain thành công
Restart lại máy
24. Log on vào Domain.
Sau khi Join thành công máy ISA vào Domain chúng ta vào Computer Name
sẽ có thêm những thông số như hinh dưới.
25. 5. Cài đặt ISA Server
Trước tiên cài đặt ISA thì yêu cầu máy ISA phải có ít nhất 2 card mạng, một card
nối với mạng bên trong (Internal) và card mang còn lại nối ra Internet (External)
Cho đĩa ISA server 2006 vào và chọn Install ISA server 2006
27. Chọn Custom để cài đặt bằng tay
Sau đó chúng ta nhấp Next
28. Tại cửa sổ Internal Network nhấp Add
Chọn tiếp Add Range…
29. Ở đây ta ghi địa chỉ IP mà máy ISA cấp cho các máy trong mang nội bộ
(Internal) ok
Check vào Allow non-encrypted……….. để cho phép máy Client có thể kết nối
tới ISA Server và ngược lại Next
30. Quá trình Setup ISA Server 2006 lên máy bắt đầu:
Check Finsh để kết thúc.
31. Đây là giao diện khi chúng ta cài đặt ISA Server 2006 thành công
32. CHƢƠNG III: PHÂN LOẠI VÀ CẤU HÌNH ISA SERVER
CLIENTS
1. Phân loại
Có 3 loại ISA Server 2006 client:
SecureNAT clientlà máy tính được cấu hình với thông số chính Default
gateway giúp định tuyến ra Internet thông qua ISA Server 2006 firewall.
Nếu SecureNAT client nằm trên Mạng trực tiếp kết nối đến ISA Server 2006
firewall, thông số default gateway của SecureNAT client chính là IP address
của network card trên ISA Server 2006 firewall gắn với Network đó . Nấu
SecureNAT client nằm trên một Network ở xa ISA Server 2006 firewall, khi
đó SecureNAT client sẽ cấu hình thông số default gateway là IP address của
router gần nó nhất, Router này sẽ giúp định tuyến thông tin từ SecureNAT
client đến ISA Server 2006 firewall ra Internet.
Web Proxy client là máy tính có trình duyệt internet (vd:Internet Explorer)
được cấu hình dùng ISA Server 2006 firewall như một Web Proxy server
của nó. Web browser có thể cấu hình để sử dụng IP address của ISA Server
2006 firewall làm Web Proxy server của nó cấu hình thủ công, hoặc có thể
cấu hình tự động thông qua các Web Proxy autoconfiguration script của ISA
Server 2006 firewall. Các autoconfiguration script cung cấp mức độ tùy biến
cao trong việc điều khiển làm thế nào để Web Proxy clients có hể kết nối
Internet. Tên của User (User name) được ghi nhận trong các Web Proxy logs
khi máy tính được cấu hình như một Web Proxy client.
Firewall client là máy tính có cài Firewall client software. Firewall client
software chặn tất cả các yêu cầu thuộc dạng Winsock application (thông
thường, là tất cả các ứng dụng chạy trên TCP và UDP) và đẩy các yêu cầu
này trực tiếp đến Firewall service trên ISA Server 2006 firewall. User names
sẽ tự động được đưa vào Firewall service log khi máy tình Firewall client
thực hiện kết nối Internet thông qua ISA Server 2006 firewall.
Dươi đây là bảng so sánh các dạng ISA server 2006 Client:
33. Tính Năng SecureNAT
client
Firewall client Web Proxy
client
Cần phải cài đặt Không, chỉ cần
xác lập thông số
default gateway
Yes. Cần cài đặt
software
Không, chỉ cần
cấu hình các
thông số phù hợp
tại trình duyệt
Web- Web
browser
Hỗ trợ Hệ điều hành
nào
Bất cứ OS nào hỗ
trợ TCP/IP
Chỉ Windows Bất kì OS nào có
hỗ trợ các Web
application
Hỗtrợ Protocol Nhờ có bộ lọc
ứng dụng
Application
filters có thể hỗ
trợ các ứng dụng
chạy kết hợp
nhiều protocols –
multiconnectionp
rotocols
Hầu hết các ứng
dụng trên
Internet hiện nay
HTTP,Secure
HTTP(HTTPS)và
FTP
Có hỗ trợ xác thực
người dùng hay không
.Nhằm kiểm soát việc
User truy cập ra ngoài
có, nhưng chỉ
dành cho VPN
clients
có có
2. Cấu hình
a. SecureNAT Client
Tại máy CLIENT,chuột phải vào My Network Placesicon trên desktop và
click Properties.
Trong Network and Dial-up Connections,chuột phải vào Local Area
Connection và click Properties.
Trong Local Area Connection Properties dialog box, click Internet
Protocol (TCP/IP) , click Properties.
34. Trong Internet Protocol (TCP/IP) Properties dialog box, chúng ta khai
báo IP, Subnet mask, DNS, quan trọng nhất là khai báo Default Gateway sao
cho mọi thông tin hướng ra internet phải được định tuyến đến ISA server(ở
đây Default Gateway chính là địa chỉ IP của máy ISA Server ).
b. Web Proxy Client
Chúng ta cấu hình trên Internet Explorer
Trên máy CLIENT, chuột phải vàoInternet Explorer icon nằm trên
desktop,clickProperties.
Trong Internet Properties dialog box, click Connections tab. trên Connections
tab, click LAN Settings button.
Trong Local Area Network (LAN) Settings dialog box. Tại Proxy server chúng
ta điền IP or tên của ISA server và port 8080ok
38. CHƢƠNG IV: Triển khai ISA server 2006
1. Tạo Rule
Tạo Rule cho phép người quản trị có thể cho phép hay cấm bất kỳ máy nào trong mạng
hay toàn bộ mạng.Sau đây là các bước tạo ra 1 Access Rule.
Chạy chương trình ISA bằng các click chuột vào ISA server Management
Chuột phải vào Firewall Policy chọnNew chọn Access Rule
Sau đó của sổ New Access Rule wizard hiện ra chúng ta gõ tên cho Rule chẳng
hạn như Allow Internal to Internet vào ô Access Rule Name Next
40. Sau đó chúng ta sẽ chọn Protocol cho rule, nếu chúng ta cho máy trạm truy cập
Internet và Email thì chúng ta chỉ chọn các giao thức như DNS, http, https,
POP3,SMTP để chọn rule ta click AddNext
Bước tiếp theo chúng ta chọn Source cho rule click Add sau đó chon cái bạn
muốn add ở đây tôi chọn Internal và Local Host.
41. Tiếp theo chúng ta sẽ chon Destination click Add chọn điểm đếnNext
42. Chọn Next sau đó chúng ta chọn User cho rule or nếu ta muốn cho phép tất cả
User ra Internet thì ta để mặc địnhNext
Nhấn Finish để kết thúc.
43. 2. Server Publishing – HTTP-HTTPS
Tại máy ISA Server bật chương trình ISA lên tiếp tục trong Firewall Policy tạo một
Rule mới bằng cách chọn New -> Web Site Publishing Rule
Đặt tên cho Rule này là Publish WebNext
45. Với Rule này tôi sẽ Publish dịch vụ HTTP trước nên trong Server Connection
Sercurity tôi chọn lựa chọn Use non-secured connections to conect the published
Web server or server farm.
Internal site name bạn nhập Domain name của hệ thống (chính là Domain của
DC Server)Next
47. Nhập Domain name mà bạn mua từ nhà cung cấp dịch vụ vào ô Public name
trong Public Name DetailsNext
48. Trong cửa sổ Select Web Listener chưa tồn tại các Web Listener nào cả vì vậy ta
phải tạo các Listener mới cho nó. Nhấp New
49. Đặt tên cho Web Listener này là Publish Port 80Next
Tiếp tục chọn tùy chọn là Do not require SSL secured connections with
clients để chỉ Publish dịch vụ HTTP mà thôi.
52. Trở lại màn hình Select Web Listener sẽ thấy xuất hiện Web Listener là
Publish Port 80 vừa tạo chọn Publish Port 80
Chọn tùy chọn No delegation, and cliecnt cannot authenticate directly
trong Authentication DelegationNext
