isa server for the enterprise. clients client overview internet isa server securenat client do not...
TRANSCRIPT
ISA Server for the ISA Server for the EnterpriseEnterprise
ClientsClients
Client OverviewClient Overview
InternetInternet
ISA ServerISA Server
SecureNAT ClientDo not require you to deploy client
software or configure client computers.
SecureNAT ClientDo not require you to deploy client
software or configure client computers.
Firewall ClientAllow Internet access only for
authenticated users.
Firewall ClientAllow Internet access only for
authenticated users.
Web Proxy ClientImprove the performance of Web requests for
internal clients.
Web Proxy ClientImprove the performance of Web requests for
internal clients.
Configuring Web Proxy ClientsConfiguring Web Proxy Clients
Select the Use a proxy server check box.
Type the port number in the Port box, and then click OK.
1133
Local Area Network (LAN) Settings
Automatic configuration
OK Cancel
Automatic configuration may override manual settings. To ensurethe use of manual settings, disable automatic configuration.
Automatically detect settings
Use automatic configuration script
192.168.1.200 8080
Proxy Server
Use a proxy server
Address: Port:
Bypass proxy server for local addresses
Type the IP address or name of the ISA Server computer in the Address box.
22
Installing and Configuring Installing and Configuring Firewall ClientsFirewall Clients
MSPClnt\Setup.exeMSPClnt\Setup.exe
Client ComputerClient Computer
Webinst/default.htmWebinst/default.htm
ISA ServerISA Server
Group PolicyGroup Policy
Client typesClient types
SecureNATSecureNAT Nessun client software nè configurazioneNessun client software nè configurazione Gestito dal firewall serviceGestito dal firewall service
Richieste HTTP ridirezionate al web proxy service Richieste HTTP ridirezionate al web proxy service se è abilitato il servizio redirectorse è abilitato il servizio redirector
Firewall clientFirewall client Gestito dal firewall serviceGestito dal firewall service
Richieste HTTP ridirezionate al web proxy service Richieste HTTP ridirezionate al web proxy service se è abilitato il servizio redirectorse è abilitato il servizio redirector
Web proxy clientWeb proxy client Gestito dal web proxy serviceGestito dal web proxy service
AuthenticationAuthentication
SecureNATSecureNAT Nessuna user authentication; posso usare Nessuna user authentication; posso usare
solo l’indirizzo IP per gestire gli utentisolo l’indirizzo IP per gestire gli utenti
Firewall clientFirewall client Inoltra le credenziali utenteInoltra le credenziali utente Si autentica per tutti i protocolliSi autentica per tutti i protocolli C’è un’eccezioneC’è un’eccezione
Web proxy clientWeb proxy client Inoltra le credenziali utenteInoltra le credenziali utente
Firewall client authenticationFirewall client authentication
ExemptionExemption ScenarioScenario
Utente è SOLO FW clientUtente è SOLO FW client HTTP redirector filter è attivatoHTTP redirector filter è attivato
Manda le richieste HTTP dei FW client al web Manda le richieste HTTP dei FW client al web proxyproxy
Le credenziali Utente sono perseLe credenziali Utente sono perse Firewall service non le inoltraFirewall service non le inoltra Nei Logs vedo “anonymous ID”Nei Logs vedo “anonymous ID”
SoluzioneSoluzione Configurare redirector perchè rifiuti richieste Configurare redirector perchè rifiuti richieste
HTTP da FW e SecureNAT clientHTTP da FW e SecureNAT client
Firewall clientFirewall client
Intercetta tutte le chiamate WinSock: le Intercetta tutte le chiamate WinSock: le chiamate a un indirizzo esterno sono chiamate a un indirizzo esterno sono ridirezionate a ISA Serverridirezionate a ISA Server
Layered service provider; lavora con tutti i Layered service provider; lavora con tutti i protocolli IPprotocolli IP
Supporta l’autenticazione utente; puo Supporta l’autenticazione utente; puo settare permission per protocollo e portasettare permission per protocollo e porta Non è necessario gestire gli indirizziNon è necessario gestire gli indirizzi
Firewall client operationFirewall client operation
Establishing a connectionEstablishing a connection
InternetServer
77.1.1.2
WS app
WSPWinsockProvider
ISAServer
10.1.1.2
connect to 77.1.1.2:23
[OK - 10.1.1.2:1200]
WinSock
connect {77.1.1.2:23}
connect {10.1.1.2:1200}
Firewall client operationFirewall client operation
Porte usatePorte usate 1745/TCP: refresh della configurazione1745/TCP: refresh della configurazione
MSPCLNT.INI e MSPLAT.TXTMSPCLNT.INI e MSPLAT.TXT
1745/UDP: controllo della connessione1745/UDP: controllo della connessione Negoziazione del data channelNegoziazione del data channel
Porta: data connectionPorta: data connection
Risoluzione DNSRisoluzione DNS
SecureNATSecureNAT Deve accedere al server DNS server — ISA Deve accedere al server DNS server — ISA
Server non “proxa” la risoluzione DNSServer non “proxa” la risoluzione DNS E’ necessaria una protocol rule DNSE’ necessaria una protocol rule DNS
Firewall clientFirewall client La risoluzione DNS è effettuata da ISA Server La risoluzione DNS è effettuata da ISA Server
o dal cliento dal client Depende dalle impostazioni in MSPCLNT.INIDepende dalle impostazioni in MSPCLNT.INI
Web proxy clientWeb proxy client La risoluzione DNS è effettuata da ISA ServerLa risoluzione DNS è effettuata da ISA Server
Configurazione del DNSConfigurazione del DNS
E’ necessario E’ necessario configurare correttamente il configurare correttamente il DNSDNS Sulla scheda esterna di ISA Server se non Sulla scheda esterna di ISA Server se non
abilito il DNS forwardingabilito il DNS forwarding Sulla scheda interna se un DNS server Sulla scheda interna se un DNS server
interno (LAT) può forwardare in Internetinterno (LAT) può forwardare in Internet La scheda con impostato il DNS deve essere La scheda con impostato il DNS deve essere
“Bindata” come prima “Bindata” come prima
I Firewall clients sono “speciali”…I Firewall clients sono “speciali”…
DNS configurationDNS configuration
Firewall clientFirewall client La risoluzione dipende dalle impostazioni per ogni La risoluzione dipende dalle impostazioni per ogni
applicazione in MSPCLNT.INI o in applicazione in MSPCLNT.INI o in Wspcfg.iniWspcfg.ini Locale o proxiedLocale o proxied Wspcfg.ini, è messo nella cartella Wspcfg.ini, è messo nella cartella
dell’applicazione e NON viene sovrascritta da dell’applicazione e NON viene sovrascritta da ISAISA
““Common configuration” è localeCommon configuration” è locale Come il SecureNATCome il SecureNAT
Error 14120Error 14120 Avviene se il FW client accede un server pubblicato:Avviene se il FW client accede un server pubblicato:
Il traffico esce e rientra in ISA ServerIl traffico esce e rientra in ISA Server
Demo: gestione di un ArrayDemo: gestione di un Array
Benefici di ISA Server Benefici di ISA Server Enterprise EditionEnterprise Edition
ScalabilitàScalabilità Permette di scalare le funzionalità di ISA Server usando gli array, Network Load Balancing, e CARP. Permette di scalare le funzionalità di ISA Server usando gli array, Network Load Balancing, e CARP.
Cache Distribuita e gerarchica
Cache Distribuita e gerarchica
Aumenta le performance e la fault tolerance della cache. Aumenta le performance e la fault tolerance della cache.
Active DirectoryActive Directory
Policy Policy
Contiene la configurazione e le informazioni sulle policy e viene usata per applicare i controlli di accesso a utenti e gruppi.
Contiene la configurazione e le informazioni sulle policy e viene usata per applicare i controlli di accesso a utenti e gruppi.
Permette di creare policy a livello di array e enterprise. Permette di creare policy a livello di array e enterprise.
Installazione di ISA Server in un Installazione di ISA Server in un Array Array
Run Setup + modifica dello Schema di ADRun Setup + modifica dello Schema di AD
Installa ISA Server come ArrayInstalla ISA Server come Array
Crea l’ArrayCrea l’Array
Seleziona l’impostazione delleEnterprise Policy Setting Seleziona l’impostazione delleEnterprise Policy Setting
Seleziona l’impostazione delle Custom PolicySeleziona l’impostazione delle Custom Policy FinishFinishFinishFinish
StartStartStartStart
Demo: gestione di un ArrayDemo: gestione di un Array
Gestione delle Network Gestione delle Network ConnectionConnection Overview del RoutingOverview del Routing Configurazione del Routing per le Configurazione del Routing per le
richieste dai Web Proxy Clientrichieste dai Web Proxy Client Configurazione del Routing per le Configurazione del Routing per le
richieste dai Firewall Client e SecureNAT richieste dai Firewall Client e SecureNAT ClientClient
Automatic DiscoveryAutomatic Discovery
Routing OverviewRouting Overview
Corporate OfficeCorporate Office
Overseas Branch OfficeOverseas Branch Office
ISA ServerISA Server
Overseas ISPOverseas ISP
Array 1Array 1
Array 2Array 2
Array 3Array 3
Local Requests
Demo: gestione delle regole Demo: gestione delle regole di Routingdi Routing
Automatic DiscoveryAutomatic Discovery
Client contatta il DNS o il DHCP per ottenere informazionei su ISA.
11Una entry WPAD sul DHCP o sul DNS Server punta a ISA Server.
22
Il Client ritrova le informazioni di configurazione da ISA Server.
33
DNS or DHCPServer
DNS or DHCPServer
Il Client inoltra le richieste Internet a ISA Server basandosi sulle informazioni di configurazione.
44
Alias Name FQDNWPAD isa.domain.msft
ISA Serverisa.domain.msft
ISA Serverisa.domain.msft
ClientClient
Understanding CARPUnderstanding CARP
InternetInternet
array.dll?Get.Info.v1
Web Proxy ClientWeb Proxy Client
Server 2Server 2
Server 1Server 1
Server 3Server 3
Server 4Server 4
Server 5Server 5
Server 1Server 2Server 3Server 4Server 5
Array Membership ListArray Membership List
Configuring CARPConfiguring CARPLONDON Properties
OK Cancel
Add…Add…
Apply
General Outgoing Web Requests Incoming Web RequestsPolicies Auto Discovery Performance Security
Use the same listener configuration for all internal IP addresses.
Configure listeners individually per IP address
Identification
Enable SSL listeners
Server IP Address Display N… Authentic… Server C…LONDON <All inter… Integrated
RemoveRemove Edit…Edit…
TCP port: 8080
SSL port: 8443
Configure…Ask unauthenticated users for identification
Resolve requests within array before routing
ConnectionsConnection settings
Select to enable CARP.
LONDON Properties
OK Cancel Apply
General Array Memberships
Use this IP address for intra-array communication:Intra-array communication
131 . 107 . 3 . 1 Find…
Specify the load factor for this server. This number indicates the relative cache availability of this server compared to the rest of the array members:
Load Factor
100
Type a number to set the load factor.
Understanding Understanding Network Load Network Load Balancing Balancing
InternetInternet
Cache
Cache
ISA Server ArrayISA Server Array
Published ServerPublished Server
Cache
Connettere una Rete Connettere una Rete Remota a Remota a una Rete Locale una Rete Locale
VPN Tunnel
ISA MILANO
Remote NetworkRemote Network
InternetInternet
Local NetworkLocal Network
ISA TORINO
131.0.0.80131.0.0.180
172.16.0.200
172.16.0.0
10.4.100.200