Trao đổi với tôi

www.hdphim.info

11/25/09

[MCSA] MCSA - Part 35 - ISA Server - Access Rule (2)

Như vậy chúng ta đã hoàn tất các bước cài đặt ISA Server và cấu hình cho tất cả các máy từ Internal Network có thể truy cập ISA Server (Local Host) bằng Firewall Client. Và như chúng đã biết sau khi cài đặt xong ISA Server lập tức ngăn cách giữa Internal NetworkExternal Network bởi chính nó, khi đó các máy trong Internal Network không thể truy cập được ra ngoài (mạng Internet) và ngược lại. Hay nói một cách khác ISA Server đã khóa tất cả mọi Port ra vào hệ thống.

Như vậy trong bài này chúng ta sẽ tìm hiểu cách thức mở các Port để có thể truy cập Internet. Tuy nhiên chúng ta không mở một cách tùy tiện các Port này mà chỉ mở khi nào thực sự cần thiết mà thôi.

Để cho đơn giản tôi sử dụng mô hình 2 máy và mạng tôi đã lên Domaingccom.net

Cấu hình IP các máy như sau:

Máy Đặc tính PC01 PC02
Tên
isa server

Card Lan

IP Address 192.168.1.2
Subnet Mask 255.255.255.0
Default gateway 192.168.1.1
Preferred DNS


Card Cross IP Address 172.16.2.1 172.16.2.2
Subnet Mask 255.255.255.0 255.255.255.0
Default gateway
172.16.2.1
Preferred DNS 172.16.2.2 172.16.2.2
Card Lan: nối gián tiếp 2 máy PC01 & PC02 với nhau thông qua Switch
Card Cross: nối trực tiếp các cặp máy PC01 với PC02

- Card Lan 192.168.1.2/24 là Card nối vào Router ADSL để ra Internet

- Máy PC01 chính là máy ISA Server đã Join vào domain

- Máy PC02 đóng vừa đóng vai trò là máy DC Server vừa là máy Client thuộc mạng 172.16.2.0/24

Tại máy PC02 bật Active Directory Users and Computers lên và tạo một GroupKinh Doanh và một Usergccom1. Tiến hành Add gccom1 vào Group Kinh Doanh

2009-01-02_152338_GF

Đầu tiên để các máy trong Internal Network có thể truy cập được Local Host và ngược lại ta phải tạo một Access Rule (tương tự đã làm ờ bài Installation) và trong bài này tôi đặt tên cho Rule này là Internal VS Local Host

2009-01-02_152339_GF

Chọn Allow

2009-01-02_152340_GF

Chọn tiếp All outbound traffic

2009-01-02_152341_GF

Trong Access Rule Sources chọn 2 thuộc tính là InternalLocal Host

Vì cho đơn giản trong bài học tôi chọn luôn Local Host tuy nhiên trên thực tế vì lý do bảo mật chúng ta không chọn Local Host mà chỉ chọn duy nhất Internal mà thôi. Nhằm tránh tình trạng các máy trong Intrenal Network truy cập trực tiếp lên máy ISA Server

2009-01-02_152342_GF

Tương tự trong Access Rule Destinations chọn 2 thuộc tính là InternalLocal Host

2009-01-02_152343_GF

Trong User Sets chọn All User

2009-01-02_152344_GF

Màn hình Rule Internal VS Local Host sau khi được tạo xong như vậy với Rule này chúng ta có thể hiểu như sau:

Đồng ý cho tất cả các giao thức (mọi Port) từ Internal sang Local Host và ngược lại, quyền này được gán lên mọi User có trong mạng Internal

2009-01-02_152345_GF

Tiếp theo để các máy trong Internal Network truy cập ra Internet được bằng domain name của một trang Web nào đó ví dụ như google.com.vn chẳng hạn thì đòi hỏi phải có một DNS Server nào đó phân giải giúp ta tên miền này, mà trong này chính là DNS Server của nhà cung cấp dịch vụ ISP mà ta đang sử dụng

Như vậy sẽ tạo tiếp một Access Rule có thuộc tính sao cho các máy trong Internal Network có quyền truy vấn đến các DNS Server bên ngoài và giả sử tôi đặt tên cho Rule này là DNS Query

2009-01-02_152346_GF

Tại cửa sổ Protocol ta không chọn All outbound traffic nữa mà chỉ mở duy nhất một Port 53 để truy vấn DNS mà thôi nên ta giữ nguyên chế độ Selected protocols chọn Add

2009-01-02_152347_GF

Nhấp chọn DNS trong Folder Common Protocols

2009-01-02_152348_GF

Trong Access Rule Sources chọn duy nhất 1 thuộc tính là Internal

2009-01-02_152349_GF

Tương tự trong Access Rule Destinations chọn duy nhất 1 thuộc tính là External

2009-01-02_152350_GF

Trong User Sets chọn All User

Như vậy với Rule DNS Query này chúng ta có thể hiểu như sau:

Đồng ý cho giao thức DNS (duy nhất Port 53) theo một chiều từ Internal sang External, quyền này được gán lên mọi User có trong mạng Internal

Như vậy khi các máy trong Internal Network truy cập một trang web nào đó đầu tiên nó sẽ hỏi DNS Server của hệ thống chúng ta (tức là PC02) và tất nhiên DNS Server chúng ta không thể hiểu được Domain name này và ngay lập tức DNS Server này sẽ hỏi tiếp các DNS Server bên ngoài nhờ ISA đã mở Port 53

Tuy nhiên thực chất cho đến lúc này các máy trong Internal Network vẫn chưa truy cập được các trang Web mình mong muốn vì thực tế ISA Server chỉ mở duy nhất một Port 53 mà thôi trong khi đó để truy cập Web chúng ta cần mở tiếp các Port 80 (http), Port 443 (https), Port 21 (ftp)…

Tiếp đến tôi sẽ tạo một Access Rule sao cho các User trong Group Kinh Doanh được phép truy cập Internet nhưng sẽ bị giới hạn về thời gian và chỉ được phép truy cập một số trang Web nào đó mà thôi.

Giả sử tôi đặt tên cho Rule này là Web Group KD

2009-01-02_153513_GF

Tại cửa sổ Protocol ta chỉ mở 3 Port là Port 80,Port 443,Port 21 để truy cập các dịch vụ HTTP, HTTPS, FTP mà thôi nên ta giữ nguyên chế độ Selected protocols chọn Add

Lần lượt Add 3 giao thức FTP, HTTP, HTTPS trong Folder Web vào.

2009-01-02_153514_GF

Tiếp tục chọn Next

2009-01-02_153536_GF

Trong Access Rule Sources chọn duy nhất 1 thuộc tính là Internal

Tuy nhiên trong Access Rule Destinations ta không chọn thuộc tính là External nữa vì như thế các User có thể truy cập mọi trang Web mà vấn đề đặt ra ở đây là ta cần giới hạn lại và chỉ cho phép truy cập một số trang Web mà thôi. Nên bạn chọn Add

2009-01-02_153600_GF

Trong cửa sổ Add Network Entities chọn New -> URL Set

2009-01-02_153615_GF

Trong cửa sổ Allow Web Properties đặt tên cho URL set này ví dụ là Allow Web

Tiếp tục bên dưới bạn Add các trang Web cho phép người dùng truy cập vào theo cú pháp:

http://*./*

http:///*

Như vậy với mỗi trang Web chúng ta cần phải nhập 2 dòng theo cú pháp trên. Trong này ví dụ tôi cho phép User có quyền truy cập 2 trang gccom.net google.com mà thôi.

2009-01-02_153714_GF

Trở lại cửa sổ Add Network Entities chọn URL Set -> Allow Web

2009-01-02_153738_GF

Vì tôi muốn Rule này chỉ tác động lên Group Kinh Doanh mà thôi nên trong User Sets chọn All User Remove nó đi. Sau đó nhấp Add để thêm Group mới

2009-01-02_153759_GF

Trong cửa sổ Add Users chọn New

2009-01-02_153820_GF

Đặt tên cho Users Set này là Group KD

2009-01-02_153857_GF

Trong cửa sổ Users nhấp Add -> Windows users and groups

2009-01-02_153911_GF

Vì đối tượng mà ta muốn tác động là Group Kinh Doanh trên máy DC Server (PC02) nên tại đây ta phải chọn Entire Directory để truy cập Users Database trên DC Server

Trong Select this users or groups chọn Locations

2009-01-02_153934_GF

Chọn Entire Directory -> gccom.net

2009-01-02_154013_GF

Tiếp tục Add Group Kinh Doanh vào

2009-01-02_154050_GF

Trở lại màn hình Add Users chọn Group KD

2009-01-02_154219_GF

Màn hình sau khi hoàn tất

2009-01-02_154257_GF

Như vậy với Rule Web Group KD này ta có thể hiểu như sau:

Đồng ý cho các giao thức HTTP, HTTPS, FTP (các Port 80,443,21) theo một chiều từ Internal sang danh sách Allow Web, quyền này được gán lên mọi User có trong Group Kinh Doanh của mạng Internal

Tiếp theo ta cần giới hạn thời gian sử dụng của Group này bằng cách Double click lên Rule Web Group KD và chọn Tab Schedule

2009-01-02_154339_GF

Nhấp New để tạo một Schedule mới và đặt tên là Set Times

Tiếp tục chọn Active như hình bên dưới

2009-01-02_154449_GF

Màn hình sau khi hoàn tất

2009-01-02_154525_GF

Như vậy với tùy chọn này các User thuộc Group Kinh Doanh chỉ được truy cập các trang Web thuộc danh sách Allow Web vào cột mốc thời gian là từ 8h->12h & 14h->18h của các ngày thứ 2->thứ 6 mà thôi

Bây giờ tại máy PC02 tôi đăng nhập với user gccom1 và tiến hành test thử xem thế nào.

Đầu tiên tôi vào trang Web kythuatvien.com sẽ nhận thấy thông báo từ ISA là “ISA Server đã từ chối yêu cầu này”, vì gccom1 thuộc Group Kinh Doanh và truy cập trang Web không nằm trong danh sách Allow Web

2009-01-02_155034_GF

Tuy nhiên nếu tôi truy cập các trang gccom.net & google.com.vn thì rất tốt vì các trang này thuộc danh sách Allow Web

2009-01-04_112817_GF

Logoff gccom1 và Logon lại với Administrator sẽ thấy không truy cập được bất cứ trang Web nào

Điều này hiển nhiên vì cho đến thời điểm này ta chỉ cho phép các User thuộc Group Kinh Doanh truy cập Web mà thôi còn với các User khác thì vẫn chưa được phép.

Như vậy tôi sẽ tạo một Rule mới sao cho các Users thuộc Group Sep sẽ truy cập được mọi trang Web mọi giao thức

Tại Active Directory Users and Computers tạo một GroupSep. Tiến hành Add Administrator vào Group Sep

2009-01-04_113012_GF

Tại PC01 bật ISA Server lên tạo tiếp một Access Rule mới đặt tên là Sep

2009-01-04_113026_GF

Và có thuộc tính như sau:

Rule Action: Allow

Protocol: All outbound traffic

Access Rule Sources: Internal

Access Rule Destinations: External

User Sets: Group Sep

(Thao tác tương tự như tạo Web Group KD)

Màn hình sau khi hoàn tất

2009-01-04_161246_GF

Như vậy với Rule Sep này ta có thể hiểu như sau:

Đồng ý cho mọi giao thức (tất cả các Port) theo một chiều từ Internal sang danh sách External, quyền này được gán lên mọi User có trong Group Sep của mạng Internal

Tại máy PC02 Logon với Administrator sẽ thấy truy cập được mọi trang Web

2009-01-04_161539_GF

Vậy là từ nãy đến giờ ta chỉ tìm hiểu về các thức tạo các Rule nhưng với ActionAllow mà thôi bây giờ ta sẽ tạo các Rule nhưng với ActionDeny

Tạo một Access Rule mới với tên là Cam KD truy cap Web den

2009-01-04_161839_GF

Tại Rule Action không chọn Allow nữa mà chọn Deny

2009-01-04_161852_GF

Tại cửa sổ Protocol ta chỉ mở 3 Port là Port 80,Port 443,Port 21 để truy cập các dịch vụ HTTP, HTTPS, FTP mà thôi.

Trong Access Rule Sources chọn duy nhất 1 thuộc tính là Internal

Tiếp đến trong Access Rule Destinations ta không chọn thuộc tính là External mà tạo một URL Set mới đặt tên là Deny Web

Và tạo một danh sách các trang Web mà bạn cấm các User truy cập vào đây trong ví dụ này giả sử tôi định nghĩa trang google.com.vn Web đen và tôi muốn ngăn chặn nó.

2009-01-04_162037_GF

Trong User Sets chọn Group KD

Màn hình sau khi hoàn tất

2009-01-04_162108_GF

Như vậy với Rule Cam KD truy cap Web den này ta có thể hiểu như sau:

Ngăn cấm các giao thức HTTP, HTTPS, FTP (các Port 80,443,21) theo một chiều từ Internal sang danh sách Deny Web, quyền này được gán lên mọi User có trong Group Kinh Doanh của mạng Internal

Như vậy đến đây ta nhận thấy có sự mâu thuẫn trong Group Kinh Doanh:

- Bị cấm truy cập trang google.com.vn trong Rule Cam KD truy cap Web den

- Được phép truy cập trang google.com.vn trong Rule Web Group KD

Tuy nhiên trong ISA Server các Rule nào có thuộc tính Order càng nhỏ thì được ưu tiên cao hơn hay nói cách khác các Rule nào nằm trên sẽ được ưu tiên hơn là các Rule nằm bên dưới.

Như vậy trong này do Rule Cam KD truy cap Web den có độ ưu tiên cao hơn Rule Web Group KD nên các Users trong Group Kinh Doanh sẽ không truy cập được trang google.com.vn

Bạn có thể thay đổi thứ tự các Rule này bằng cách chọn Move up/Move down, trên thực tế ngoài Rule DNS Query được nằm trên cùng các Rule Deny ta nên cho quyền được ưu tiên cao hơn các Rule Allow

Tại máy PC02 Logon vào gccom1 sẽ thấy không thể truy cập trang google.com.vn được nữa

2009-01-04_162213_GF

Màn hình Web Browser sẽ hiện lên trang Web thông báo từ ISA Server cho biết nội dung mà bạn không thể truy cập Web được. Tuy nhiên trang này chỉ có các chuyên viên IT thì mới hiểu là gì, trên thực tế với người dùng bình thường họ không biết là chúng ta đã ngăn cấm việc truy cập này.

Như vậy để cho đơn giản hơn khi người dùng truy cập những trang Web cấm ta nên Redirect đến một trang Web khác mà nội dung sẽ thông báo chi tiết hơn cho người dùng hiểu rõ vấn đề.

Giả sử tại máy PC01 tôi đã cài IIS và tạo một trang Web Default có nội dung như hình bên dưới

2009-01-04_162607_GF

Trở lại màn hình ISA Server nhấp phải vào Rule Cam KD truy cap Web den và chọn Properties

2009-01-04_162645_GF

Chọn tiếp Tab Action -> Deny

Nhấp chọn Redirect HTTP requests to this Web page và nhập địa chỉ máy ISA Server vào

2009-01-04_162723_GF

Trở lại máy PC02 Logon với gccom1 và truy cập lại trang google.com.vn sẽ thấy Web Browser không hiển thị trang báo lỗi mặc định của ISA Server nữa mà đã tự chuyển về trang Web mà ta tạo lúc nãy

2009-01-04_162755_GF

Tiếp theo ta sẽ Modify Rule Sep sao cho các User trong Group Sep được phép truy cập mọi trang Web (đã làm lúc nãy) nhưng không được xem ảnh, video, file… mà chỉ được xem văn bản Text thuần túy mà thôi.

Tại PC01 nhấp phải vào Rule Sep chọn Properties

2009-01-04_162843_GF

Chọn Tab Content types

Chọn tiếp Selected content types và chọn 3 tùy chọn trong này là:

- Documents

- HTML Documents

- Text

2009-01-04_163333_GF

Màn hình sau khi hoàn tất

2009-01-04_163407_GF

Trở lại PC02 Logon với Administrator vào một trang Web tùy ý sẽ thấy hình ảnh, video… không được hiển thị mà chỉ có thuần túy Text mà thôi

2009-01-04_163447_GF

Như vậy đến đây chúng ta đã cơ bản hoàn thành việc tạo các Rule (Allow/Deny) cho các máy trong Internal Network có thể truy cập External Network

Bây giờ ta sẽ khảo sát một số tính năng khác của ISA Server

Tại Firewall Policy nhập vào Icon Show/Hide Firewall Policy sẽ thấy tất cả các Rule của ISA Server. Như vậy ngoài các Rule ta tạo thêm mặc định ISA Server đã tạo sẵn một số Rule cho riêng mình. Trên thực tế ta không nên tác động đến các Rule mặc định này.

2009-01-04_163553_GF

OK mình vừa trình bày xong phần Access Rule - ISA Server trong 70-351 của MCSA.