Май - Xakep Online

ХАКЕР.PRO
Выбор типа публикации Установка расписания
Публикация ресурсов
Для разрешения доступа к внутренним
ресурсам извне их необходимо опубликовать
в ISA. Публикуются веб-серверы или веб-фермы,
сайты SharePoint, веб-клиенты Exchange,
почтовые серверы; есть отдельный мастер для
публикации не веб-ресурсов.
Мы для примера опубликуем веб-ресурс.
Определяем, что именно требуется опубликовать.
Затем выбираем «Политика межсетевого
экрана» и на вкладке «Задачи» щелкаем «Опубликовать
веб-узлы».
Появляется мастер создания веб-публикации,
в котором сначала указываем имя
правила и действие. В следующем окне нам
предлагают определиться с типом публикации.
Это может быть один веб-узел или
сервер балансировки нагрузки, ферма
веб-узлов или публикация нескольких узлов.
В последнем случае новое правило будет
создано для каждого узла. В следующем окне
указываем тип подключения ISA-сервера к
опубликованному ресурсу. В случае выбора
протокола SSL на каждом сервере необходимо
установить SSL-сертификат. Далее вводим
внутреннее имя веб-узла и в следующем поле
опционально указываем каталог, к которому
будет применено правило. Таким образом,
можно разрешить доступ из внешней сети к
строго указанным ресурсам, а пользователи
внутренней сети будут подключаться к вебсерверу
без ограничений.
Далее следует страница «Параметры внешнего
имени», на которой определяется, какие
домены или IP-адреса должны применять пользователи
для соединения с опубликованным
ресурсом с помощью правила публикации.
Не стоит упрощать задачу, указывая «Любое
доменное имя», поскольку в этом случае все
обращения на опубликованный порт будут пересылаться
на узел, который теперь становится
уязвим для некоторых атак. Следует выбрать
«Доменное имя» и указать его в поле «Внешнее
имя», опционально вводится и путь. В окне
«Выбрать веб-прослушиватель» определяется
прослушиватель, который будет ожидать
подключения на указанном порту и проверять
подлинность входящих веб-запросов. Нажимаем
кнопку «Создать» и следуем указаниям еще
одного мастера, в котором опять же выясняется
необходимость использования SSL, сетей,
для которых будут прослушиваться входящие
запросы, сжатия содержимого. В «Параметры
проверки подлинности» выбирается способ
аутентификации при доступе к серверу. Предлагается
несколько вариантов: от отсутствия
проверки как таковой до проверок средствами
Active Directory, RADIUS, в том числе и с
применением одноразовых паролей. При
указании варианта «Проверка подлинности на
основе HTML-форм» будет доступна возможность
единого входа, когда пользователь при
доступе к ресурсам регистрируется только
один раз. Если сервер публичный, выбираем
«Без проверки подлинности» и возвращаемся
к мастеру публикации, в котором отмечаем
созданный прослушиватель. После проверки
учетных данных ISA Server 2006 делегирует
проверку подлинности опубликованным серверам
несколькими способами. В следующем
окне указываем, будет ли разрешено сквозное
делегирование. Наконец, определяем самих
пользователей. Для публичного доступа
оставляем значение, предлагаемое по умолчанию,
— «Все пользователи». Итак, ресурс
опубликован.
В его свойствах можно задать расписание.
Кроме того, доступен веб-фильтр преобразования
ссылок, позволяющий создать словарь
определений внутренних имен компьютеров
и сопоставить их с публичными именами, то
есть заменять одни слова в запросе другими. Во
вкладке «Использование моста» можно указать
номера портов, на которые ISA будет перенаправлять
запросы.
Постскриптум
Это далеко не все возможности ISA Server
2006. Мы не рассмотрели вопросы работы с
VPN, создание и использование сертификатов,
кэширование и многое другое. Как видишь,
это довольно мощный продукт, позволяющий
надежно защитить любую сеть. z
Фильтры приложений в ISA Server 2006
Присутствует еще один момент, о котором
нельзя не упомянуть. Кроме правил доступа,
в ISA Server 2006 используются фильтры
приложений, которые обеспечивают дополнительный
уровень защиты и выполняют
задания, специфические для конкретных
протоколов или систем (проверка подлинности
и проверка на вирусы). Встроенные
фильтры приложений можно настраивать и
применять к правилам политики межсетевого
экрана (вкладка «Конфигурация
Надстройки»).
Расширяемая архитектура сервера позволяет
использовать фильтры, созданные сторонними
производителями:
• большинство антивирусных компаний
выпускает фильтры приложений для ISA
• существуют фильтры веб-содержимого
(например, www.collectivesoftware.com);
• программа Internet Access Monitor
(www.internetaccessmonitor.com/rus) позволяет
вести учет трафика и контролировать
эффективность использования интернетканала
организации (аналогичную функцию
выполняет ProxyInspector for ISA Server,
www.advsoft.ru/ru).
xàêåð 05 /101/ 07
/
149