Что такое isa server. isa server простыми словами. настройка isa

Удобство в применении

Упрощенные средства управления и новый интерфейс пользователя обеспечивают единое управление сетью VPN и межсетевым экраном, реализуемое с помощью удобного средства редактирования политик. В ISA Server 2004 предусмотрены также интуитивно понятные сетевые шаблоны, автоматизированные мастера и усовершенствованные средства устранения неполадок. В то же время эти удобные в использовании средства позволяют снизить стоимость владения и избежать ошибок в настройке параметров безопасности. ISA Server 2004 позволяет добиться следующих результатов:

• Сокращение времени подготовки новых администраторов безопасности с помощью простых в использовании средств управления, позволяющих предотвратить появление брешей в защите в результате неправильной настройки межсетевого экрана.
• Уменьшение времени простоев благодаря возможности безопасного удаленного управления службами веб-кэширования и межсетевым экраном.
• Сокращение затрат на передачу данных за счет уменьшения исходящего потока данных в интернет и хранения данных веб- серверов и бизнес- приложений на локальных серверах.
• Усовершенствованная и простая в управлении защита корпоративных приложений, пользователей и данных благодаря интеграции ISA Server 2004 со службой каталогов Active Directory, решениями для VPN от сторонних производителей и другими компонентами инфраструктуры.
• Более доступная информационная поддержка со стороны быстро растущего сообщества партнеров, пользователей и администраторов веб-ресурсов, использующих ISA Server 2004.

Быстрый и надежный доступ

ISA Server обеспечивает быстрый и экономичный доступ пользователей к необходимой им информации. ISA Server позволяет:

• Обеспечить сотрудникам за пределами сети быстрый и безопасный доступ к корпоративным приложениям и данным, например к электронной почте, календарю и сведениям о контактах, хранящихся на сервере Microsoft Exchange Server.
• Создать безопасную, надежную и высокоэффективную инфраструктуру для исходящего и входящего доступа к данным сети интернет.
• Предоставить пользователям возможность единого входа в систему с использованием различных широко используемых механизмов проверки подлинности.
• Повысить безопасность благодаря внедрению единого интегрированного решения, которое может быть реализовано на одном сервере, выносящего за границы защищенного периметра сети только минимально необходимые службы, такие как межсетевой экран, служба VPN и веб-кэширование.
• Масштабировать инфраструктуру безопасности в соответствии с ростом требований к сетевой инфраструктуре, используя преимущества гибкой многосетевой архитектуры ISA Server 2004.
• Повысить производительность сети и сократить затраты на передачу данных за счет веб-кэширования в корпоративных информационных центрах и филиалах.

Развертывание WAP

Те­перь, ког­да служ­ба AD FS работа­ет, можем прис­тупать к уста­нов­ке роли WAP. Вызыва­ем мас­тер, выбира­ем роль Remote Access и на эта­пе выбора служб ролей отме­чаем Web Application Proxy, под­твержда­ем выбор допол­нитель­ных ком­понен­тов и уста­нав­лива­ем.

Ус­танов­ка роли Web Application Proxy

Пос­ле выбора Remote Access может появить­ся ошиб­ка о воз­можном несо­ответс­твии компь­юте­ра, прос­то переза­пус­каем мас­тер, обыч­но вто­рой раз она не появ­ляет­ся.

По окон­чании запус­каем мас­тер нас­трой­ки WAP. В пер­вом окне вво­дим имя и учет­ную запись адми­нис­тра­тора сер­вера AD FS. Далее ука­зыва­ем сер­тификат для WAP и под­твержда­ем нас­трой­ки. В пос­леднем окне мас­тера мож­но уви­деть PowerShell-коман­ду, которая будет выпол­нена.

Нас­трой­ка завер­шена. В про­цес­се на сто­роне служб AD FS соз­дает­ся под­писка на WAP-сер­вер.

Нас­трой­ка Web Application Proxy

В интерне­те мож­но поис­кать готовые PowerShell-скрип­ты, поз­воля­ющие раз­вернуть связ­ку AD FS + WAP в счи­таные минуты.

Про­веря­ем ста­тус. Откры­ваем кон­соль Remote Access Management Console, перехо­дим в Web Application Proxy и смот­рим в Operations Status. Иног­да в кон­соли один и тот же сер­вер показы­вает­ся дваж­ды: для домен­ного име­ни и NETBIOS. Это не ошиб­ка, а, оче­вид­но, такая фича.

Те­перь нич­то не меша­ет опуб­ликовать сер­вис. Нажима­ем Publish и сле­дуем ука­зани­ям визар­да. Пер­вый шаг — выбор метода пре­аутен­тифика­ции, здеcь два вари­анта, о которых мы говори­ли в самом начале: AD FS и Pass-through. Пер­вый вари­ант содер­жит на один шаг боль­ше. Выбира­ем Pass-through.

Вы­бор метода пре­аутен­тифика­ции

Сле­дующий шаг — зада­ем имя пуб­лику­емо­го при­ложе­ния, сер­тификат, внеш­ний URL, который будут исполь­зовать для под­клю­чения кли­енты, и URL при­ложе­ния, на который будут пересы­лать­ся зап­росы. Если бэкенд исполь­зует нес­тандар­тный порт, то его так­же ука­зыва­ем вмес­те с име­нем (https://service.example.org:8080).

Есть еще тон­кий момент. Веб‑прок­си раз­лича­ет и тран­сли­рует име­на хос­тов, но не понима­ет IP и не может изме­нить путь. То есть если внеш­ний URL выг­лядит как https://service.org/app1/, то и URL бэкен­да дол­жен содер­жать app1: https://service.example.org/app1/. Дру­гой путь вро­де https://service.example.org/web-app/ будет неп­равиль­ным.

Пуб­ликация при­ложе­ния окон­чена. Теперь мож­но про­тес­тировать, зай­дя с помощью бра­узе­ра по внеш­нему адре­су, поль­зователь пос­ле успешной аутен­тифика­ции на WAP будет перенап­равлен на внут­ренний сайт.

В слу­чае выбора аутен­тифика­ции средс­тва­ми AD FS появ­ляет­ся допол­нитель­ный шаг, на котором сле­дует ука­зать механизм доверия (Get-ADFSRelyingPartyTrust) — Device Registration Service, WS-Fed, SAML, OAuth.

Для вари­анта с аутен­тифика­цией с AD FS сле­дует соз­дать доверие на сер­вере AD FS. Откры­ваем кон­соль AD FS и перехо­дим в «Отно­шения доверия» (Trust Relationships), нажима­ем «Добавить отно­шения доверия с про­веря­ющей сто­роной, не под­держи­вающей утвер­жде­ния» (Add Non-Claims-Aware Relaying Party Trust).

Ра­бота мас­тера нас­трой­ки отно­шения доверия

Да­лее сле­дуем ука­зани­ям инту­итив­ного мас­тера — ука­зыва­ем имя, добав­ляем иден­тифика­тор доверия (обыч­но исполь­зуют внеш­ний URL, толь­ко имя дол­жно быть со сле­шем в кон­це), нас­тра­иваем мно­гофак­торную аутен­тифика­цию и под­твержда­ем уста­нов­ки. По окон­чании можем отре­дак­тировать пра­вила авто­риза­ции (Authorization Rules). В окне «Edit Claim Rules for …» нажима­ем Add Rule и ука­зыва­ем шаб­лон пра­вила, наибо­лее под­ходящий для ситу­ации (нап­ример, Permit All Users), и на сле­дующем шаге при необ­ходимос­ти его редак­тиру­ем.

Проблема автологина в браузере

Проб­лема, которая может воз­никнуть с любым, как пра­вило, не MS бра­узе­ром. Зак­люча­ется она в том, что авто­логин в некото­рых бра­узе­рах не работа­ет. Для ее решения необ­ходимо раз­решить NTLM-авто­риза­цию в AD FS для опре­делен­ного User-Agent. Здесь три шага. Отклю­чаем Extended Protection TokenCheck:

Про­веря­ем спи­сок под­держи­ваемых User-Agent:

До­бав­ляем наз­вание нуж­ного:

Кста­ти, хорошая воз­можность огра­ничить при­мене­ние бра­узе­ров в орга­низа­ции.Как вари­ант, мож­но прос­то изме­нить User-Agent бра­узе­ра, нап­ример при помощи спе­циаль­ного рас­ширения вро­де User Agent Switcher.

Подготовка к развертыванию

Са­мый боль­шой плюс WAP в том, что это встро­енная роль, а не отдель­ное при­ложе­ние, которое нуж­но уста­новить и нас­тро­ить. Пред­шес­твен­ники TMG и UAG не были прос­тыми в раз­верты­вании, и неред­ко при­ходи­лось серь­езно брать­ся за напиль­ник и читать докумен­тацию, что­бы отыс­кать при­чины выдава­емых оши­бок. Толь­ко под­готов­ка ОС — поиск и уста­нов­ка всех нуж­ных пат­чей и зависи­мос­тей — мог­ла занять более часа. Пос­леду­ющая кон­фигура­ция при­ложе­ний тоже была делом не сов­сем прос­тым и час­то тре­бова­ла как минимум дня, что­бы все зарабо­тало как нуж­но. В этом отно­шении WAP выг­лядит очень прос­тым и дру­желюб­ным.

Веб‑прок­си сле­дует раз­верты­вать в демили­тари­зован­ной зоне (DMZ) меж­ду бран­дма­уэром, выходя­щим в интернет, и кор­поратив­ной сетью. Теоре­тичес­ки мож­но уста­нав­ливать WAP на сер­вере с дру­гими ролями, но это не рекомен­дует­ся, и луч­ше выделить под него отдель­ный сер­вер. Саму ОС луч­ше ста­вить с GUI (хотя желание отклю­чить гра­фику при уста­нов­ке такого сер­вера, конеч­но же, понят­но), при раз­верты­вании будут дос­тупны мас­теры, которые помогут быс­тро про­извести все уста­нов­ки. При под­клю­чении с дру­гого сер­вера быва­ют неувяз­ки (в основном наб­людались в релизе, пос­ле нес­коль­ких пат­чей работа­ет уже нор­маль­но). Хотя, в общем, все воп­росы адми­нис­три­рова­ния мож­но решить при помощи PowerShell.

Сис­темные тре­бова­ния для сер­вера невели­ки, поэто­му подой­дет минималь­ное железо, дос­таточ­ное для раз­верты­вания самой ОС. Перед уста­нов­кой WAP необ­ходимо под­клю­чить сер­веры AD FS и WAP к домену (схе­му нуж­но обя­затель­но повысить до Windows Server 2012 R2), сге­нери­ровать сер­тифика­ты (для каж­дого сер­вера и по одно­му для каж­дого при­ложе­ния) и нас­тро­ить AD FS.

Пред­положим, у нас уже есть SSL-сер­тификат (шаб­лон Web Server впол­не под­ходит), в поле Subject Alternative Name которо­го содер­жится DNS-имя пуб­лику­емой служ­бы AD FS и WAP. Импорти­руем их на сер­веры AD FS и WAP через кон­соль «MMC Сер­тифика­ты».

Дополнительная защита

Встроенные возможности защиты на уровне приложений сервера ISA Server прекрасно подходят для защиты сетей, в которых используются приложения, разработанные корпорацией Майкрософт, например Internet Information Server, сервер Microsoft Office SharePoint Portal Server, служба маршрутизации и удаленного доступа Routing and Remote Access Service, служба каталогов Active Directory и другие. Основные возможности:

• Многоуровневая проверка обеспечивает всестороннее и гибкое управление потоком данных приложений с помощью фильтров приложений, команд и данных. Средства интеллектуальной фильтрации позволяют на основе анализа содержания потока данных позволяют пропускать, блокировать, перенаправлять или изменять данные протоколов VPN, HTTP, FTP, SMTP, POP3, DNS, конференций по протоколу H.323, потокового мультимедиа и удаленного вызова процедур (RPC).
• Дополнительная фильтрация на уровне приложений помогает защитить данные пользователя благодаря выполнению углубленной динамической проверки протокола HTTP, настраиваемой с помощью правил. Такой подход позволяет администраторам устанавливать дополнительные ограничения на входящий и исходящий потоки данных.
• Единое управление политиками межсетевого экрана и VPN, углубленная проверка содержимого и интеграция с режимом «карантина» VPN упрощают обеспечение безопасности входящего потока данных и защищают сеть от внутренних атак с помощью управления доступом для клиентов VPN.
• Встроенные возможности поддержки нескольких сетей, сетевые шаблоны и средства динамической проверки и маршрутизации позволят развертывать ISA Server 2004 в действующих информационных средах в качестве граничного межсетевого экрана, межсетевого экрана отдела или филиала без изменения архитектуры сети.

Возможности сервера ISA Server

ISA Server содержит полнофункциональный межсетевой экран уровня приложений, обеспечивающий защиту организаций любого размера от внутренних и внешних атак. Сервер ISA Server выполняет всестороннюю проверку различных протоколов интернета, в том числе протокола HTTP, позволяющую противостоять угрозам, не обнаруживаемым традиционными межсетевыми экранами.
Сервер ISA Server обеспечивает уникальную защиту для службы Microsoft Outlook Web Access, осуществляемую на нескольких уровнях:

• Правило веб-публикаций, обеспечивающее безопасную проверку подлинности на уровне форм.
• Декодирование протокола SSL (Secure Sockets Layer) позволяет проверять поток данных формата SSL на наличие вредоносного кода.
• Многоэтапная проверка подлинности, гарантирующая подлинность учетных сведений пользователя при удаленном доступе к электронной почте по протоколам RADIUS (Remote Authentication Dial-In User Service) и RSA SecurID.
• Блокировка вложений и завершение сеанса по истечении времени ожидания, благодаря чему сеансы удаленной работы с электронной почтой не остаются открытыми и не могут быть использованы для доступа другими лицами.
• Встроенный межсетевой экран и средства виртуальной частной сети (VPN) сервера ISA Server 2004 поддерживают динамическую фильтрацию, что позволяет проверять весь поток данных VPN. Реализована также проверка клиентов VPN для обеспечения режима «карантина» на базе сервера Windows Server 2003, помогающая защитить сеть от атак при подключении через виртуальные частные сети (VPN).

Кроме того, совершенно новый пользовательский интерфейс, мастера, шаблоны и средства управления упрощают настройку, развертывание и управление системой, позволяя администраторам избежать распространенных ошибок настройки системы безопасности.