آموزش نرم‌افزار ISA بخش ۱ ---Internet Security and Acceleration---
نرم افزار ISA (بخش1)
نرم افزار ISA داراي دو قابليت اصلي است.
1- Firewall - 2 Cache
با استفاده از قابليت Caching مي توان Request هاي Http و Ftp کاربران شبکه را Cache کرد تا در هنگام درخواستهاي تکراري با صرفه جويي در زمان و پهناي باند بتوان به آن درخواستها از طريق اطلاعات Cache Server پاسخ گفت.
Cache
بخش Caching خود، داراي قابليتهاي زير است:
1) Automatic & Scheduled Caching : در اين قابليت ISA بطور هوشمندانه در ساعات مشخصي (ساعاتي که ترافيک شبکه کم است) به سراغ سايتهايي که قبلا Cache شده اند اما زمان TTL آنها تمام شده است و Expire شده اند رفته و بطور اتوماتيک آنها را Update مي کند. ISA اين عمل را با اولويت سايتهاي محبوب (سايتهايي که بيش از ساير سايتها توسط کاربران درخواست شده اند) انجام مي دهد. نتيجه اين کار اين است که سايتهاي محبوب کاربران همواره بصورت Update شده در ISA براي تحويل به کاربران فراهم است. ضمن اينکه ما بصورت دستي نيز مي توانيم ساعاتي را براي Update کردن سايتهاي دلخواهمان تعيين کنيم.
2) Reverse Caching : با استفاده از اين قابليت ISA مي تواند اطلاعاتي را که بر روي Web Server داخلي شبکه قرار دارند را پس از آنکه يکبار در اختيار کاربران موجود در اينترنت قرار داد بر روي خود Cache نموده و در صورت تقاضاي مجدد بدون مراجعه به Web Server اطلاعات Cache شده را در اختيار کاربران Internet قرار دهد. اين خاصيت موجب کاسته شده ترافيک بر روي Web Server مي شود.
3) Transparent Cache: يکي از قابليتهاي ISA اين است که هم بصورت Proxy Base و هم بصورت Transparent قابليت Cache کردن را دارد. در جلسات بعد در اين مورد بيشتر صحبت خواهيم کرد.
4) Distributed and Hierarchical Caching : مي توان بجاي يک ISA Cache از چند ISA Cache در شبکه استفاده کرد. سپس همه آنها را بصورت يک Array درآورد. در اين حالت تمام ISAها دست به دست هم داده و يک Cache يکپارچه را تشکيل مي دهند. درصورتيکه Objectهاي Cache شده از لحاظ فيزيکي بر روي اين ISA Server ها توزيع شده است و هر کدام قسمتي از اطلاعات را Cache نموده اند. ضمنا" ما مي توانيم از يک Root System نيز استفاده کنيم بگونه اي که يک يا چند ISA Server به اينترنت مستقيما" وصل بوده و Object هاي مورد نياز خود را از طريق ISA Serverهاي بالاتر تأمين نمايد. در اين حالت با استفاده از پروتکلCARP يا Cache Array Routing Protocol اطلاعات مورد نياز Clientها از روي يک Array جمع آوري شده و در اختيار آنها قرار مي گيرد.
Firewall
امروزه Firewallها در دو نوع سخت افزاري و نرم افزاري وجود دارند. مزيت عمده Firewallهاي سخت افزاري در سرعت آنهاست. از نمونه هاي سخت افزاري مي توان به Cisco PIX Firewall اشاره کرد که شکل آنرا ملاحظه مي کنيد:
جالب اينجاست که MicroSoft ادعا مي کند تمامي قابليتهاي يک Firewall سخت افزاري در ISA گنجانده شده است و بدليل قيمت بسيار کمتر براي استفاده اقتصادي تر است.
بطور کلي مي توان گفت قابليتهاي نرم افزار ISA در زمينه Firewall عبارتند از:
1- کنترل استفاده از اينترنت: در ISA مي توان با استفاده از Policyها ترافيک ورودي و خروجي را بر مبناي سايتها , Protocolها و محتويات Packetها Filter کرد.
2- مي توان Packetها را بر اساس لايه ها (از لايه Network تا Application) ***** نموده و حتي ترافيک هاي مربوط به DNS را کنترل کرد.
3- ISA با استفاده از قابليت Intrusion Detection مي تواند جلوي نفوذ هکرها را بگيرد. بر روي ISA روشهاي معروف ---- تعريف شده است و در صورتيکه فردي اقدام به استفاده از اين روشها نمايد ISA جلوي او را خواهد گرفت. به عنوان مثال ISA مي تواند Scan شدن Portها را تشخيص داده و جلوي آنرا بگيرد.
ادامه دارد...
آموزش نرم‌افزار Isa بخش 2
و اما ادامه بحث:
ISA داراي قابليتهاي مختلفي است که مي توان آنها را بصورت زير خلاصه کرد:
1- قابليت اعمال Policy هاي مختلف.
2- امکان کنترل Bandwidth (Qos).
توجه: در Windows امکان کنترل Bandwidth وجود ندارد. در اينجا تصريح مي کنيم که امکان کنترل Bandwidth در ISA بر اساس اولويت است. در صورتيکه در Linux و يا Cisco Routers شما مي توانيد Bandwidth کاربران را به يک سقف معين محدود کنيد.
3- امکان پشتيباني از VPN.
4- امکان Publish کردن Webserverهاي داخلي شبکه.
پس از Publish کردن Webserverهاي داخلي هرگاه يک کاربر از طريق Intenet بخواهد به Webserver ما دسترسي پيدا کند اطلاعات مورد نياز او از طريق ISA در اختيارش قرار مي گيرد. در نتيجه هيچکس از طريق Internet نمي تواند مستقيما" به Webserver هاي ما دسترسي داشته باشد.
5- H.323 GateKeeper: ويژه برنامه هايي است که از IP تلفني استفاده مي نمايند. (مثل NetMeeting)
6- Monitoring & Alerts.
نکته: ذکر اين نکته لازم است که هر سيستم عاملي که Http (ver 1.1) را پشتيباني کند مي تواند به عنوان يک WebProxyClient عمل نمايد. اگر بخواهيم از ISA به عنوان يک Firewall استفاده نماييم بايد Clientها داراي Win95 به بعد باشند. Clientها مي توانند به عنوان SecureNAT Client عمل کرده و از خيلي از قابليتهاي ISA بهره-مند شوند.
ISA Server مي تواند در دو حالت زير نصب شود:
1- Stand-alone : در اين حالت ISA Server ها مستقل از يکديگر عمل کرده و به يکديگر متصل نمي شوند.
مزاياي اين روش عبارت است از:
- هزينه کمترو تنظيمات کمتري نياز دارد.
- تمام قابليتهاي Caching و Firewall را داراست.
- از هرنوع Connection حتي Dialup مي تواند استفاده کند.
معايب اين روش هم عبارت است از:
- داراي Enterprise Policy نيست. بنابراين اگر از چند Stand-alone استفاده کنيم بايد هرکدام را جداگانه کنترل کنيم.
- Single Point of Failure: در حالت Stand alone همه چيز وابسته به ISA است و اگر ISA دچار مشکل گردد Internet قطع خواهد شد.
2- Enterprise Array: پياده سازي اين روش فقط بر روي Active Directory امکان پذير است. در اين روش يک Array مرکب از چندين ISA Server تشکيل مي شود که همگي بصورت منطقي از يک نقطه کنترل مي گردند. ضمنا" هر کدام از اعضاي Array قسمتي از اطلاعات را Cache مي کنند. در صورت نياز مي توان Array را گسترش داد. نکته قابل توجه اين است که يک Array فقط تحت يک Domain واحد قابل پياده سازي است. يعني اعضاي يک Array بايد همگي عضو يک Domain باشند.
مزاياي اين روش:
- امکان اعمال Enterprise Policy.
- امکان مديريت متمرکز
- No Single Point of Failure: در اين حالت اگر يک يا چند ISA Server دچار اختلال شود اختلالي در شبکه بوجود نمي آيد.
معايب اين روش:
- نيازمند ايجاد تغييراتي در توپولوژي شبکه است.
- از نظر هزينه نسبت به روش قبلي گرانتر است.
- در ابتداي کار نياز به مطالعه , تحقيق , برنامه ريزي و صرف وقت بيشتري براي پياده سازي دارد.
قابليت Array Chains: اين قابليت (Hierarchical Caching) اجازه مي دهد که يک ISA Server بدون آنکه مستقيما" به اينترنت متصل باشد از طريق Cache يک ISA Server ديگر به تعدادي Client سرويس دهد.
Publishing: در اين حالت تمام کساني که بخواهند از طريق اينترنت به WebServer ما دسترسي پيدا کنند مستقيما" با آن ارتباط ندارند بلکه ISA اين اطلاعات را در اختيار کاربران قرار مي دهد.
مزاياي Publish کردن:
- بالا رفتن Security شبکه درحالي که اطلاعات سرورهاي ما بدون هيچ مشکلي از طريق اينترنت قابل دريافت است.
- امکان Reverse Caching به کمک Publish کردن فراهم مي شود.
معايب Publish کردن:
- اگر طراحي را به دقت انجام ندهيم بار زيادي بر روي ISA Server اعمال مي شود.
- نياز به انجام تنظيمات دقيق داريم در نتيجه هنگام بروز مشکل براي رديابي آن به مدت زمان بيشتري نياز داريم.
در بخشهاي بعدي ادامه اين بحث را پي مي گيريم. مجددا" از تمامي دوستان مي خواهم که نظرات , پيشنهادات و انتقادات خود را به آدرس
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
ارسال نمايند.
مهم:
روشي براي انتقال کامل کاربران Windows از يک کامپيوتر يا Domain به کامپيوتر و يا Domain ديگر را معرفي مي کنيم.
اين کار معمولا" وقتي بکار مي رود که Windows شما دچار اشکال شده باشد و شما مجبور باشيد که مجددا" Windows خود را نصب کنيد. همچنين اگر بخواهيد از Password کاربران خود بطور کامل Backup بگيريد از اين روش استفاده مي شود. در اين روش Passwordهاي عضو Domain بطور کامل قابل انتقال هستند. در حقيقت در اين روش يک کپي از فايل Sam تهيه مي شود و به کامپيوتر جديد منتقل مي شود.
هشدار: برخي افراد سودجو ممکن است از اين روش براي دستيابي به اهداف پليد خود سوء استفاده کنند. مثلا" ممکن است يک نفر با تهيه يک کپي از فايل Sam شما آنرا به کامپيوتر خودش کپي کند و با استفاده از نرم افزارهايي نظير LC4 بتواند به اصل Passwordهاي شما و کاربرانتان دست يابد. همچنين ممکن است کسي از فايل Sam کپي تهيه کند سپس Password يک يا چند کاربر را عوض کند و از Account آنها مدتي سوء استفاده نمايد سپس Sam فايل را مجددا" به جاي خود برگرداند تا کسي متوجه نشود او Passwordها را عوض کرده و از آنها سوء استفاده نموده است.
ابتدا فايل
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
(حجم: 40KB) را Download کنيد و آنرا Unzip کنيد.
سپس دستور زير را اجرا کنيد.
Copypwd DUMP > Copypwd.txt
توجه داشته باشيد که نام فايل حتما" بايد Copypwd.txt باشد.
پس از اجراي اين دستور فايلي بنام Copypwd.txt ساخته مي شود. اين فايل شامل Usernameها و Password کاربران است. البته Password بصورت Hash ديده مي شود.
اکنون اين فايل را بر روي کامپيوتر جديد کپي کنيد. شما بايد در کامپيوتر جديد همه کاربران را بدون وارد کردن Password بطور دستي در Windows ايجاد کنيد. اگر تعداد کاربران خيلي زياد است مي توانيد از نرم افزارهايي که از طريق يک Text File نام کاربران را Import کرده و آنها را در NT ايجاد مي کنند استفاده کنيد. (مثل ISPUtil - البته اين نرم افزار بدون قفل سخت افزاري قابل اجرا نيست!) نرم افزارهايي از اين قبيل در اينترنت براحتي يافت مي شوند.
شما کافيست اين فايل را به يک کامپيوتر ديگر کپي کرده و دستور زير را بر روي آن اجرا کنيد.
CopyPwd SET
با اين کار Password کاربران موجود در فايل Copypwd.txt به حالت اوليه بازگردانده مي شود!
ادامه دارد...
آموزش نرم‌افزار Isa (بخش 7)
و اما ادامه بحث:
ISA Array Chain
اگر شما در شبکه خود دو Array داشته باشيد مي توانيد يکي را به‌ديگري Chain کنيد. به اين ترتيب يک Array Chain بوجود مي آيد. اگر از يک Array در قسمت Properties , Network Configuration بگيريم مي توانيم از آن بخواهيم تا جهت اتصال به اينترنت از يک Array ديگر استفاده کند و بدين ترتيب يک Chain ايجاد کنيم. در پنجره باز شده Chain to this computer را انتخاب کرده و در آن قسمت يکي از اعضاي Upstream Array مورد نظر را مشخص مي کنيم.
Setting Up ISA Clients:
ISA به سه روش مي تواند از Clientها پشتيباني کند:
1- Firewall Clients: در اين حالت يک برنامه مخصوص بر روي Client ها نصب مي گردد و امکان استفاده از تمام قابليتهاي ISA Server را به آن Clientها مي دهد. اين برنامه مخصوص Winsock Compatible مي باشد و فقط مي تواند بر روي OSهاي Win9x , Me, NT4.0 و Win2k نصب گردد. اين برنامه شامل dll هايي مي باشد که درخواستهاي برنامه هاي ديگري را که بر روي Firewall Clients نصب بوده و با Winsock , Compatible مي باشند, دريافت کرده و به Redirect , ISA مي نمايد بگونه اي که آن برنامه ها متوجه دخالت ISA در اتصال به اينترنت نشوند.
2- Client :Secure NATهايي را که نمي توان به عنوان Firewall Client تنظيم نمود به Secure NAT Client تبديل مي کنيم (مانند Linux , Macintash و ... ). در اين حالت تقريبا" تمام قابليتهاي Firewall وجود دارد. اما High Level Protocols و User Level Authentication پشتيباني نمي شود.
3- WebProxy: هر Client که از يک Web Browser که HTTP 1.1 را Support کند استفاده نمايد مي تواند WebProxy Client شود. در اين حالت فقط مي توان از قابليت Caching بهره برداري نمود.
نکته: IE 3.0 و Netscape 3.0 به بعد HTTP 1.1 را Support مي کنند.
نصب Firewall Client
بصورت Default برنامه Firewall Client در شاخه MSPClient بر روي ISA Server ها Share مي باشد. Client ها بايد به اين Folder متصل شده و آنرا Setup کنند.
نکته مهم: اين برنامه را نبايد بر روي ISA Serverها نصب کرد!
فايلهايي که پس از نصب Firewall Client در محل نصب شده اين برنامه وجود مي آيد عبارتند از:
1- Firewall.txt: در اين فايل عملياتي که در هنگام Setup رخ داده است به ثبت مي رسد.
2- شاخه Setupbin: در اين Folder فايلهاي مخصوص نصب برنامه Firewall Client کپي مي گردند که از آنها مي توانيم جهت Remove کردن برنامه استفاده کنيم.
3- MSPLAT.txt : در داخل اين فايل تنظيمات موجود در LAT موجود مي باشند. اين فايل هرچند وقت يکبار توسط سرويس MSPAdmin بطور خودکار Update مي شود.
4- MSPClient.ini : در داخل اين فايل تنظيمات مربوط به Firewall Clientها (که ميتوان از طريق کنسول ISA و در قسمت Client Configuration انجام داد) موجود مي باشد. در هنگام نصب Firewall Client اين فايل ايجاد گرديده و هر بار Client دوباره Start مي گردد اين فايل Update مي شود. ضمنا" هر 6 ساعت يکبار نيز در صورت روشن بودن Client و اتصال آن به شبکه عمل Updating انجام مي گيرد.
5- Chkwsp32: اين فايل يک Utility تحت Dos جهت بررسي وضعيت Winsock Application هاي موجود بر روي Firewall Client مي باشد.
نکته : براي آنکه هرکدام از Clientهاي ISA Server بتوانند با استفاده از Web Server خود از طريق ISA به اينترنت متصل شوند بايد در Browser آنها تنظيماتي انجام گيرد که در Firewall Clientها نيازي به تنظيم اين پارامتر بصورت Manually وجود ندارد. زيرا مي توانيم اين تنظيمات را درقسمت Client Configuration از طريق کنسول ISA انجام دهيم و در نتيجه با تغييري که در فايل MSPClient.ini ايجاد مي گردد Clientها از اين تنظيم با خبر مي شوند.
Secure NAT Client: براي پياده سازي آن فقط کافيست که IP يک ISA Server را براي اين Clientها به عنوان Default Gateway تعريف نماييم.
Client Web Proxy: براي پياده سازي آن کافيست که در Web Browser اين Clientها آدرس ISA را به عنوان Proxy تعريف نماييم.
پياده سازي Automatic Discovery:
يکي از دغدغه هاي مديران شبکه هايي که از روش Client Web Proxy استفاده مي کنند اين است که همواره بايد به کاربران ناوارد خود يادآوري کنند که در Browserهاي خود بايد تنظيمات Proxy را Set کنند. در اينجا يک روش ابتکاري را براي حل اين مشکل معرفي مي کنيم.
براي آنکه نيازي به تنظيم آدرس Proxy در Browser کاربران بصورت Manually نباشد مي توانيم در DHCP Server يک Option تنظيم نماييم تا Clientهايي که IP اتوماتيک دريافت مي نمايند علاوه بر IP , Subnet Mask و ... , تنظيمات لازم جهت Web Proxy را نيز دريافت کنند. براي انجام اينکار در کنسول DHCP بر روي Server خود R-Click نموده و Set Predefined Options را انتخاب مي کنيم. سپس در پنجره باز شده Add را زده و يک Option با تنظيمات زير اضافه مي کنيم:
(Name: WPAD (Web Proxy Automatic Discovery
Data Type: String
Code: 252
پس از وارد نمودن موارد فوق Ok را مي زنيم. سپس در قسمت Value آدرس زير را وارد مي کنيم:
البته در صورت استفاده از wpad در آدرس فوق (wpad اول) بايد از قبل در DNS Server خود يک Alias براي ISA Server تعريف نماييم در غير اينصورت بايد بجاي استفاده از wpad از نام و يا IP مربوط به ISA Server استفاده نماييم.
نکته: پس از پارامتر wpad در آدرس تعريف شده بايد Port ي را که Automatic Discovery بر روي آن Publish مي گردد مشخص نماييم. براي مثال:
Publishing Automatic Discovery: براي آنکه از wpad استفاده نماييم بايد بر روي Server يا Array مورد نظرمان Publish شدن Automatic Discovery را تنظيم نماييم. براي اينکار در کنسول ISA از Server يا Array مورد نظرمان Properties گرفته و در قسمت Automatic Discovery تنظيمات لازم را انجام مي دهيم.
نکته: اگر بخواهيم در LAT يک Client (يعني فايل MSPLat.txt) تغييراتي ايجاد نماييم اين امر عملا" امکان پذير نمي باشد. زيرا پس از مدتي دوباره بر روي آن فايل Overwrite مي شود. بنابراين راه حل اين است که تنظيمات مورد نظرمان را در فايلي با نام LocalLat.txt انجام دهيم تا تنظيمات موجود در آن در صورتيکه با تنظيمات MSPLat.txt داراي اختلاف باشد بر روي آن Overwrite نمايد.
در جلسه آينده اين بحث را پي مي گيريم.
مهم:
در دنياي امروز کمتر مي توان نرم افزاري پيدا کرد که چندين سال پياپي مورد استفاده قرار بگيرد و درآن زمينه رقيب نداشته باشد. معمولا" هر وقت نرم افزاري توليد مي شود پس از گذشت چند ماه کهنه و قديمي مي شود و ديگر نمي تواند کاربران پرتوقع را راضي نگه دارد و جاي خود را به نرم افزارهاي جديدتر مي دهد. حتي سيستم عاملها هم هر ساله عوض مي شوند و جاي خود را نو رسيده ها مي دهند. يادم هست 4 سال پيش نرم افزاري پيدا کردم که شعار تبليغاتي آن اين جمله معني دار بود:
" آخرين باري که يک نرم افزار را از روي Floppy Disk کوچک Install کرده ايد کي بوده است؟ "
بله اين نرم افزار آنقدر کم حجم بود که فضاي يک Floppy Disk هم برايش زياد بود. در عين حال اين نرم افزار قابليتهاي فراواني داشت. جالب است که اين نرم افزار کوچک هنوز هم در بسياري از شبکه ها به وفور مورد استفاده قرار مي گيرد. از اين نرم افزار مي توان به منظور Mail Server , Proxy Server , NAT Server , Firewall , Route Server , Internet Connection Manager و ... استفاده کرد. نام اين نرم افزار کوچک همه کاره Winroute است که حتما" قبلا" با آن کار کرده ايد. چند ماهي است که نسخه 5 اين نرم افزار همه کاره با تغييرات عمده اي نسبت به نسخه قبلي ارائه شده است که در جاي خود بسيار قابل توجه است. برخي از امکانات جديد آن عبارتند از:
- افزايش قابليتهاي Firewall.
- امکان سانسور کردن سايتها بصورت موضوعي از طريق بانک اطلاعاتي خود نرم افزار.
- امکان سانسور و تشخيص اتوماتيک سايتهاي جديد و اضافه کردن آن به بانک اطلاعاتي.
- امکان جلوگيري از نمايش تبليغات در سايتها براي کاربران به منظور صرفه جويي در پهناي باند ISP.
- امکان Cache بصورت Transparent همزمان با عمل NAT !!!
- امکان مانيتورينگ Online کاربران و آگاهي از ميزان Send/Receive هر کاربر.
- امکان مشاهده سايتهاي ملاقات شده توسط هر کاربر بصورت Online. (البته مشاهده گزارشات از طريق Log File هم امکان پذير است.)
- داشتن Antivirus بر روي نرم افزار و Update شدن اتوماتيک آن.
- پشتيباني از VOIP.
- پشتيباني از VPN.
- سازگاري با Active Directory.
- و ....
اگر تا کنون اين نرم افزار را Download نکرده ايد بهتر است هر چه زودتر آنرا Download کرده و امتحان کنيد.
