Hei! Håper det er noen som har mulighet til å hjelpe en forvirret sjel med ISA...

Jeg er interessert i å bytte ut Linux-boksen som fungerer som gateway på nettet vårt i dag. Som erstatning har jeg lyst til å ha en ISA 2006 kjørende på en maskin som har Windows 2003 Server Enterprise Edition R2 i bånn. Meningen er at den skal kjøre som webproxy og at den skal ta en del uønsket trafikk (type MSN og BitTorrent) som firewall. I ISA 2000 het vel dette "Integrated mode" mener jeg å ha lest et sted. Kanhende det heter det samme her.

Ståa er som følger;

Server installert og patchet opp til siste oppdatering.

2 nettverkskort er konfigurert på boksen, det ene har IP fra internnettet med tilhørende nettverksmaske, ingen gateway. Andre nettverkskortet har fått IP som er i samme range som WAN-interfacet på.  

Har åpnet ISA ved å sette på en nettverksregel OVER den defaulte ”Deny all” regelen som stopper all trafikk fra alle nettverk til alle nettverk for alle brukere, som gjør akkurat det motsatte. Åpne alt for alle, fra alle til alle. Satte så på en maskin som var meldt inn i domenet, og ga den ISA som gateway. Alt fungerer, den bruker muligens et sekund for mye på DNS-oppslagene virker det som, men ellers går alt som det skal.

Så har jeg lyst til å begynne å legge på restriksjoner. Laget en liten testgruppe med medlemmer fra AD. Laget en regel som skal stoppe bruk av for eksempel HTTP og PING, fra internt nettverk til eksternt nett, gjeldende for AD-brukerne mine. Og her stopper det. Det rases gjennom regelsettet til den finner første regel med ”All Users” i, altså "Builtin"-gruppen i regelen som slipper alt igjennom, og fisker altså ikke opp reglene som den burde.

Se vedlagte bilde. Brukergruppen "Admins" inneholder testbrukerne mine fra Active Directory. I dette tilfellet innbiller jeg meg at man ved en test burde kunne logge seg på MSN, mens man ikke får lov til å besøke en webside eller pinge en server.

Nå har jeg ikke brukt lange tiden på dette, men det er kilovis med bøker og guider å lese om ISA, og det er rett og slett for mye å begynne å studere. Vet noen hva jeg gjør feil her? Noe som virker veldig obvious? Jeg vet at det finnes Firewall-klientprogramvare som kan pushes ut på klientene, og det fungerer (har testet) men hvordan beskytter man denne fra at brukerne kan redigere innstillingene, og er man helt avhengig av å bruke den?

Har lett littegranne på nettet etter en smørbrødliste for hvordan man bør konfigurere ISA fra A til Å, men har ikke funnet noe som har hjulpet meg mer enn denne siden. Også på norsk da gitt

Jeg synes ikke det er lett å guide deg gjennom dette via forumet. Se om du ikke finner det du leter etter her? http://download.microsoft.com/downl...roughs.doc

Den må ha forbindelse til AD slik jeg forstår dette, i motsatt fall kan den ikke vurdere brukere, brukergrupper osv. Legger her ved en gude til som gjelder prinsipper og generelt oppsett, herunder konfigurasjon av ISA Branmur. Den tar hele pakken. Har hatt mye glede av denne på grunn av den altomfattende presentasjon.

1) Det gjelder å få utgangspunktet korrekt inkl installasjon før konfigurasjon av selve brannmuren. Dette omfatter også kontakt med AD. Brukere og Sikkerhetsgrupper skal jo fremkomme. Sjekk hele oppsettet før konfigurasjon av brannmuren. Utgangspunktet må være korrekt!

2) Når alt annet er på plass og fungerer så konfigureres brannmuren. Det ligger ved et oppsett for basis konfigurasjon. Deretter så trimmes brannmuren opp ved å ekludere brukere og blokere porter. For denne konfigurasjonen finner du mange tips på http://isaserver.org herunder også i Forumet der.

Ja, ISA Server Firewall Client må benyttes.

ISA Server kan installeres i 3 alternative moduser. Firewall, Proxy Server, Integrated. Integrated består av Firewall og Proxy Server. I ditt tilfelle ønsker du integrated.

En Proxy Server kan du betrakte som en buffer på disk. Når en bruker har hvert på VG trenger ikke ISA Server å laste ned VG en gang til, så lenge det ikke er endringer. All internett trafikk fra klienter blir dirigert til Proxy Server. I Internett Explorer må du angi Proxy serveren for internett tilgang. Dette gjøres på port 8080 av ISA Server Firewall Client når denne installeres. (FW Client skal ikke installeres på ISA Serveren selv!).

Det er FW Client som autentiserer bruker til proxy server og ISA Server. Hvis FWC er slått av så ingen autentisering(!), ergo ingen tilgang ti internett over hode. Det er noen unntak; eksempel på unntak som må legges inn er tilgang til MS Update. MS tillater ikke autentiserte brukere på MS Update. Kun anonyme. Du må derfor lage destinasjon sett her.

Bruken av Proxy Server øker sikkerheten i EDB anlegget betydelig. Dette fordi du da nettopp kan skille brukere og brukergrupper fra hverandre og tilpasse internetttilgangen! Dette kan du slets ikke gjøre i en vanlig brannmur fordi denne ikke kan forholde seg til AD (brukere, brukergrupper osv). Det er altså Firewall Client vil autentisere brukeren mot ISA Server den må derfor installeres på alle maskiner også servere foruten den serveren som kjører ISA Server.

Hvor står du nå da? ISA Server er i domenet og du kan nå finne frem brukere og brukergrupper inne i ISA Server? Installer FW Client på den eneboksen, sjekk Internett Explorer, skal normalt bruke port 8080 på Lan connection til internett. Slå på logging i ISA Server og observer hva som skjer.

Glimrende, godt jobbet!

Ser problemstillingen. Men hvem skal på nett som ikke er i domenet. Vil du gjøre unntak for alle ikke autentiserte brukere? På den annen side, da må det lage et ”destinasjon set” for spesifikke maskiner og eller brukere (det trenger du for MS Update sites). Enten til spesifikke websteder eller til alle. I den grad jeg trenger dette konfigurer jeg det i en fart.

Benytter også gjestenettverk der en Basic Firewall og DHCP foran ISA (typisk for møte rom med en switch). Både kablet og eller trådløst. Når nødvendig flytter jeg noen kabler i patche panelet. Altså, alltid en vei ut, men bak en brannmur. Hvem greier seg uten internett nå om dagen!

En løsning er å putte en hardware firewall foran ISA med noen Lan’s og portforwarde en av dem til den eksterne adressen på ISA server. Tredje løsning er gjeste nettverk i ISA Server med tre NICs. Kristian Nordbø har lagt ut en artikkel om ISA Server gjestenettverk her på smallbizserver.no.

Husk å sjekke opp server hardening av operativsystemet som skal kjøre ISA. MS har en utmerket side på dette med mengder at tips. Et annet tips er å installere FWC med msi og group policy. Det neste er å sperre brukers rett til å konfigurere Internett Explorer. Et unntak må da gjerne gjøres for bærbare PCer. Disse brukerne må også lære seg å slå av FWC når de ikke er i et nettverk med ISA Server. Det blir det alltid support av. Det er forresten noen ulemper med auto discovery. Husker dem bare ikke i farten. Mulig det har å gjøre med trafikkmengden.

Hvis du har mange brukere i domenet bør du muligens sende en tanke til driftssikkerheten på ISA Serveren boksen. Spesielt dersom dette er eneste brannmur. MS bruker kun ISA for å forsvare sitt nettverk. ISA 2000 hadde kun 12 pathcer. Det er verdensrekord jfr sikkerhetsguttene til MS. En fordel som jeg ofte peker på er den innebygde VPN serveren med RADIUS. Slipper da lisenser til hardware leverandør. Et godt produkt alt i alt synes jeg.