Май - Xakep Online

ХАКЕР.PRO
Выбор сценария установки Выбор компонентов ISA Server
Настройки сети
Администрирование Microsoft ISA Server 2006
производится посредством диспетчера ISA
Server, вызываемого через «Пуск Программы
Microsoft ISA Server Управление ISA
Server». Диспетчер ISA Server представляет
собой консоль оснастки в консоли управления
(MMC), которая состоит из трех основных областей:
дерево консоли (дерево MMC), область
сведений (или область результатов) и панель
задач (или область действий).
Как уже говорилось ранее, в версии Enterprise
используются внешние хранилища. Если
хранилище установлено на удаленной системе,
к нему сначала необходимо подключиться,
выбрав в дереве консоли диспетчера «Microsoft
Internet Security and Acceleration Server 2006».
После этого на вкладке «Задачи» справа нажми
кнопку «Установить соединение с сервером
хранилища настроек». Появится мастер
подключения — просто следуй его указаниям.
Во время установки параметры можно указать
только в общем виде, и некоторые из них
требуют уточнения. Выбираем «Массивы
Конфигурация». Тут несколько пунктов, стоит
заглянуть во все. Сейчас нас интересует пункт
«Сети». Сначала следует уточнить топологию.
Если установленная по умолчанию не соответствует
действительности, переходим во вкладку
«Шаблоны» и выбираем наиболее подходящий
вариант. Запускается мастер шаблонов сети,
далее следуем его указаниям. Для подстраховки
можно сохранить предыдущие настройки.
Все известные сети будут доступны во вкладке
«Сеть», при подключении новой карты или при
создании нового маршрута следует добавить
новую сеть в ISA. Для этого нажимаем «Создать
новую сеть» во вкладке «Задачи». Мастер создания
сетевых правил, вызываемый по нажатию
на кнопку «Создать сетевое правило», поможет
определить отношения между сущностями
сети (маршрут или преобразование сетевых
адресов). Перейдя во вкладку «Наборы сетей»,
можно создать предустановленные наборы,
где будут сгруппированы системы или сети с
определенными параметрами. Это позволит
/ 148
xàêåð
затем включать их в правила фильтрации. И,
наконец, правила веб-цепочки определяют, будут
ли маршрутизироваться запросы веб-содержимого
в другую точку назначения, например
на вышестоящий ISA-сервер.
Создаем правила доступа
После установки все соединения в ISA 2006
запрещены, разрешены только системные
политики, разрешающие выборочный трафик с
ISA и на него. Просмотреть их можно так: «Вид
Отображать правила системной политики».
Политики, применяемые по умолчанию (они
всегда будут находиться в конце списка), изменить
нельзя, и чтобы получить доступ к ресурсам
интернета, пользователям внутренней сети
необходимо создать разрешающие правила.
Настройки правил доступа производятся во
вкладках «Политики предприятия» (только для
Enterprise) и «Политика межсетевого экрана»
и включают список элементов правила:
определение протокола, пользователей, типов
содержимого, расписания и сетевые объекты.
Применяются они в таком порядке: системные
политики, политики предприятия, политики
межсетевого экрана, политики предприятия.
Политики предприятия, применяемые до и после
политик межсетевого экрана, отличаются.
Созданные политики можно перемещать вверх
и вниз с помощью меню.
Работа с этими вкладками в общем схожа,
поэтому, чтобы приблизить описание к версии
Standart, будем использовать политики межсетевого
экрана. Многие операции производятся
с помощью контекстного меню или панели «Задачи»,
расположенной в окне справа. Процесс
настроек упрощен наличием мастеров. Так, для
создания новой политики межсетевого экрана
выбираем «Массивы Политика межсетевого
экрана» и в контекстном меню указываем
«Создать Правило доступа». В окне мастера
последовательно вводим название политики,
действие («Разрешить»/«Запретить»), протоколы,
к которым будет применена политика (протокол,
исходящий/входящий трафик), порты,
источник (сеть, подсеть, группа компьютеров
или отдельная машина), направление, пользователей.
После создания всех политик необходимо
нажать кнопку «Применить», чтобы они
вступили в силу.
Не следует упрощать себе работу, открывая
доступ сразу по всем протоколам и направлениям.
В этом случае применение ISA теряет
всякий смысл: пользователи будут бесконтрольно
юзать все сервисы интернета, а хакеры
и вирусы — хозяйничать в сети. Надо открыть
доступ только к тем службам, которые действительно
необходимы. Как правило, это HTTP,
HTTPS, SMTP, POP3 и IMAP (и их защищенные
варианты), FTP, SSH, DNS и ICQ. Все остальное
будет отрезано последним запрещающим
правилом. Воспользовавшись пунктами меню
«Задачи», созданное правило можно изменить,
удалить и временно отключить, а из контекстного
меню — копировать.
В окне, которое открывается при редактировании
политики, находится несколько
вкладок, позволяющих изменить параметры,
установленные с помощью мастера. Кроме
этого, появляется вкладка «Расписание», где
можно указать дни недели и время, когда
правило будет активно. Вторая вкладка «Типы
содержимого» позволяет уточнить, к какому
типу информации относится это правило. По
умолчанию установлены «Все типы содержимого»,
для указания конкретной группы или
групп переключи правило в «Выбранные типы
содержимого» и установи флажки. При задании
параметра «Выбранные типы содержимого»
правило применяется только к HTTP-трафику.
Используя эту вкладку, можно создать правило,
в котором указать запрет загрузки видео,
аудио, файлов приложений и прочих, загружающих
канал и не совпадающих с политикой
безопасности компании.
В контекстном меню доступны еще два пункта:
«Настроить HTTP» и «Настроить FTP». В них
можно более тонко задать работу этих протоколов:
максимальный размер заголовков, длину
полезных данных, защиту URL, блокировку
исполняемых файлов или файлов с указанными
расширениями и прочие параметры.
05 /101/ 07