Microsoft Internet Security & Acceleration Server 2000 Enterprise Edition - Leitfaden zur Installation und Bereitstellung

Transkript

1 Micrsft Internet Security & Acceleratin Server 2000 Enterprise Editin - Leitfaden zur Installatin und Bereitstellung (Engl. Originaltitel: Micrsft Internet Security and Acceleratin Server 2000 Enterprise Editin - Installatin and Deplyment Guide) Vrwrt: Infrmatinen zu diesem Leitfaden Das Internet stellt Organisatinen neue Möglichkeiten bereit, Verbindungen zu Kunden, Partnern und Mitarbeitern herzustellen. Daraus ergeben sich jedch nicht nur gute Möglichkeiten, sndern auch neue Risiken und Überlegungen zu Sicherheit, Leistung und Überschaubarkeit. Micrsft ISA Server (Internet Security & Acceleratin Server) erfüllt die Anfrderungen der im Internet aktiven Unternehmen vn heute. ISA Server stellt einen mehrstufigen Unternehmensfirewall bereit, der zum Schutz Ihrer Netzwerkressurcen beiträgt. Mit dem Webcache vn ISA Server können Organisatinen Netzwerkbandbreite sparen und den Benutzern einen schnelleren Webzugriff bereitstellen, indem sie Objekte nicht über das regelmäßig überlastete Internet, sndern vn einer lkalen Quelle aus anbieten. Unabhängig davn, b es in Frm vn dedizierten Kmpnenten der als integrierter Firewall und Cacheserver bereitgestellt wird, bietet ISA Server eine einheitliche Verwaltungsknsle, die die Sicherheits- und Zugriffsverwaltung vereinfacht. ISA Server wurde für die Zusammenarbeit mit Windws 2000 entwickelt und stellt durch leistungsstarke integrierte Verwaltungstls sichere und schnelle Internetknnektivität bereit. ISA Server kann wertvll sein für IT-Manager, Netzwerkadministratren und Infrmatinssicherheitsfachleute in Organisatinen aller Größen, die sich mit der Sicherheit, Leistung, Überschaubarkeit und den Betriebsksten ihrer Netzwerke beschäftigen. ISA Server kann in einer Reihe vn Szenarien verwendet werden, vn kleinen Niederlassungen und Zweigstellen zu Internetdienstanbietern (Internet Service Prviders, ISPs), Webhstingunternehmen und E-Cmmerce-Websites. Zielgruppe Dieser Leitfaden ist gedacht für Systemfachleute, Netzwerkadministratren und erfahrene Benutzer in kleinen Zweigstellen, die lernen möchten, wie sie ISA Server in ihrem Netzwerk installieren und bereitstellen können. Der Leitfaden geht davn aus, dass Sie mit grundlegenden Netzwerkknzepten, einschließlich DNS, DHCP, Ruting und RAS, TCP/IP-Netzwerken und anderen Windws 2000-Netzwerkkmpnenten, vertraut sind. Zweck dieses Leitfadens Dieser Leitfaden gibt Ihnen einen Überblick über ISA Server und stellt die Hintergrundinfrmatinen bereit, die Sie zum Planen der Implementierung dieser Sftware benötigen. Sie finden in diesem Leitfaden detaillierte Verfahren für den Installatinsprzess, Checklisten für die Knfiguratin nach der Installatin und detaillierte Beispielszenarien für die mögliche Verwendung vn ISA Server in Ihrem Netzwerk.

2 Dieser Leitfaden ist in flgende Kapitel unterteilt: Kapitel 1, "Einführung", stellt ISA Server vr und beschreibt seine Funktinen. Kapitel 2, "Überlegungen zur Planung", beschreibt Prbleme, die Sie vr dem Installieren vn ISA Server berücksichtigen müssen. Dies wird Ihnen helfen, zu entscheiden, wie viele ISA Server- Cmputer installiert werden sllen und welche Knfiguratin sich eignet. Kapitel 3, "Installieren vn ISA Server", führt Sie durch den Installatinsprzess. Es beschreibt die Hardwareknfiguratin, die Unternehmensinitialisierung und den eigentlichen Installatinsprzess. Kapitel 4, "Migrieren vn Micrsft Prxy Server 2.0", erläutert, wie vrhandene Prxy Server 2.0- Richtlinien und -Knfiguratinen zu einer ISA Server-Knfiguratin migriert werden können. Kapitel 5, "Installieren und Knfigurieren vn Clients", beschreibt ISA Server-Clients und erläutert die Schritte, die Sie durchführen müssen, um ISA Server-Clients zu knfigurieren. Kapitel 6, "Bereitstellungsszenarien", illustriert einige gebräuchliche Netzwerkknfiguratinen und beschreibt die Schritte, die Sie durchführen müssen, um diese Szenarien mit ISA Server zu implementieren. Kapitel 1: Einführung Dieses Kapitel bietet einen Überblick über Micrsft ISA Server (Internet Security & Acceleratin Server). Es beschreibt außerdem einige gebräuchliche Szenarien, in denen ISA Server in Ihrem Netzwerk verwendet werden könnte. Dieses Kapitel enthält flgende Abschnitte: Einführung in ISA Server Funktinen und Verwendungsszenarien Einführung in ISA Server Mit dem rapiden Wachstum vn Geschäftsaktivitäten im Internet und der grßen Anzahl vn Unternehmensnetzwerken, die mit dem Internet verbunden sind, ist der Bedarf für ein leistungsstarkes und leicht zu verwaltendes Internetgateway, das eine sichere Verbindung bereitstellt und gleichzeitig die Netzwerkleistung erweitert und verbessert, größer als je zuvr. ISA Server erfüllt diese Anfrderungen durch Bereitstellen einer vllständigen Internetknnektivitätslösung, die swhl einen Unternehmensfirewall als auch eine vllständige Webcachelösung umfasst. Es handelt sich dabei um begleitende Dienste. Sie können eine der beide dieser Funktinen verwenden, wenn Sie ISA Server im Netzwerk installieren. ISA Server schützt das Netzwerk und ermöglicht Ihnen, Ihre Unternehmenssicherheitsrichtlinien zu implementieren, indem Sie einen umfangreichen Regelsatz knfigurieren, der festlegt, welche Sites, Prtklle und Inhalte den ISA Server-Cmputer durchlaufen können. ISA Server überwacht Anfragen und Antwrten zwischen dem Internet und den internen Clientcmputern und steuert dabei, wer auf welche Cmputer im Unternehmensnetzwerk zugreifen kann. ISA Server steuert außerdem, auf welche Cmputer im Internet interne Clients zugreifen können. ISA Server bietet viele Sicherheitsptinen, einschließlich Paketfilterung und Eindringungserkennung. Sie können Zugriffsrichtlinien erstellen, die auf Infrmatinen auf Benutzerebene der auf IP-Adressen (Internet Prtcl) basieren, und steuern, wann die Regel angewendet wird. ISA Server verwendet sichere Veröffentlichung. Sie können ISA Server verwenden, um eine Veröffentlichungsrichtlinie zu definieren, die die internen Veröffentlichungsserver schützt und den Zugriff auf sie durch Internetclients sicher macht. ISA Server implementiert einen Cache, der häufig angefragte Objekte enthält. Sie können den Cache knfigurieren, um sicherzustellen, dass er die Daten enthält, die am häufigsten vn dem Unternehmen verwendet werden der auf die Ihre Internetclients am häufigsten zugreifen. Der ISA Server-Cache kann über mehrere ISA Server-Cmputer in Arrays der in Arrayketten verteilt werden. Dies kann Ksteneinsparungen bei Internetverbindungen bedeuten, da Clients Inhalte aus dem nächstgelegenen ISA Server-Cache abrufen können.

3 ISA Server ist erweiterbar. ISA-Verwaltung verfügt über eine entsprechende COM-Schnittstelle, die Administratren mithilfe vn gehbenen Prgrammier- der Skriptsprachen prgrammieren können. Die Kernfirewallfunktinalität kann durch andere Entwickler, die Anwendungsfilter der Webfilter implementieren, erweitert werden. Die Cachefunktinalität kann mithilfe der Cache-API (Applicatin Prgramming Interface) erweitert werden. Die ISA-Verwaltungsschnittstelle kann s erweitert werden, dass sie integrierte Verwaltungstls für die neuen Erweiterungen bereitstellt. Funktinen und Verwendungsszenarien Micrsft hat gemeinsam mit Kunden ein Prdukt entwickelt, das die Anfrderungen der im Internet aktiven Unternehmen vn heute erfüllt: Sicherheit, Leistung und Überschaubarkeit. Die flgenden Abschnitte untersuchen einige gebräuchliche Benutzerszenarien und bieten einen Überblick darüber, wie Sie ISA Server- Funktinen zum Implementieren der Szenarien in Ihrem Netzwerk verwenden können. Internetknnektivität mit strenger Sicherheit ISA Server kann als dedizierter Firewall bereitgestellt werden, der für interne Clients als sicheres Gateway zum Internet fungiert. Administratren können durch das Festlegen vn Zugriffsrichtlinien nicht autrisierte Zugriffe und das Eindringen zerstörerischer Inhalte in das Netzwerk verhindern swie ausgehenden Verkehr einschränken. ISA Server bietet Ihnen eine umfassende Lösung für das Schützen des Netzwerkzugriffs, zu der flgende Firewall- und Sicherheitsfunktinen gehören: Richtlinie für ausgehenden Zugriff Sie können ISA Server zum Knfigurieren vn Site- und Inhaltsregeln swie vn Prtkllregeln, die steuern, wie die internen Clients auf das Internet zugreifen, verwenden. Site- und Inhaltsregeln geben an, auf welche Sites und Inhalte zugegriffen werden kann. Prtkllregeln geben an, b für ein- und ausgehende Kmmunikatin auf ein bestimmtes Prtkll zugegriffen werden kann. Eindringungserkennung Integrierte Mechanismen zu Eindringungserkennung können Sie warnen, wenn ein eindeutiger Angriff auf das Netzwerk stattfindet. Beispielsweise können Sie ISA Server s knfigurieren, dass er Ihnen eine Warnung schickt, wenn er feststellt, dass jemand versucht, die Anschlüsse zu durchsuchen. Der Systemsicherheits-Assistent Mit dem ISA Server-Systemsicherheits-Assistenten können Sie Windws 2000 schützen, indem Sie mithilfe vrdefinierter Vrlagen eine entsprechende Sicherheitsstufe festlegen. Anwendungsfilter ISA Server analysiert und steuert anwendungsspezifischen Verkehr mit Anwendungen unterstützenden Filtern, die die eigentlichen Daten überprüfen. Sie können intelligente Filter für HTTP (Hypertext Transfer Prtcl), FTP (File Transfer Prtcl), SMTP (Simple Mail Transfer Prtcl), , H.323-Knferenzen, Streaming Media, Remteprzeduraufrufe (Remte Prcedure Calls, RPCs) und vieles mehr aktivieren. Unterstützung für virtuelle private Netzwerke ISA Server enthält einen auf Standards basierenden sicheren Remtezugriff, der in den integrierten Diensten für virtuelle private Netzwerke vn Micrsft Windws 2000 enthalten ist. Effizienter Internetzugriff Der Internetzugriff ist für in der Wissensverarbeitung Tätige vn heute ein unentbehrliches Tl. Aufgrund des starken Internetverkehrs, der Netzwerkgateways durchläuft, kann die Webzugriffsleistung zu einem Prduktivitätsengpass werden. Die ISA Server-Funktinen für das Zwischenspeichern vn Webinhalten ermöglichen einen schnelleren Webzugriff, da die Internetinhalte in der Nähe des Benutzers zwischengespeichert werden. Außerdem können Administratren mithilfe der auf Richtlinien basierenden Zugriffssteuerungen anhand vn Tageszeit, Inhaltstyp der anderen Kategrien einschränken, welche Websites für bestimmte Benutzer zugelassen sind. Durch die schnelle Zwischenspeicherung und Zugriffssteuerung kann ISA Server dazu beitragen, die Ksten für die Verwaltung der Internetknnektivität zu senken und die Prduktivität der Internetbenutzer zu verbessern. ISA Server verwendet Zwischenspeicherung im RAM (Randm Access Memry) und effiziente Dateiein- und -ausgabe, um eine schnelle Cacheleistung bereitzustellen.

4 Zu den Zwischenspeicherungsfunktinen vn ISA Server gehören: Verteilte Zwischenspeicherung. Wenn Sie ein Array vn ISA Server-Cmputern einrichten, prfitieren Sie vn der verteilten Inhaltszwischenspeicherung. ISA Server verwendet das Cache Array Ruting Prtcl (CARP), um nahtlse Skalierung und äußerste Effizienz bereitzustellen, wenn mehrere ISA Server-Cmputer verwendet werden, die als einziger lgischer Cache gruppiert sind. Hierarchische Zwischenspeicherung. ISA Server erweitert die verteilte Zwischenspeicherung weiter, indem es Ihnen ermöglicht, eine Cachehierarchie durch Verketten vn Arrays vn ISA Server- Cmputern einzurichten, s dass die Clients über den gegrafisch am nächsten gelegenen Cache zugreifen können. Reverse-Caching. ISA Server kann HTTP- und FTP-Inhalte vn Veröffentlichungsservern zwischenspeichern und dadurch ihre Zugreifbarkeit verbessern. Geplante Zwischenspeicherung. Sie können den Dienst für geplanten Cacheinhaltdwnlad verwenden, um zu knfigurieren, wann der ISA Server-Cmputer Inhalte in seinem Cache aktualisieren sll, die häufig vm Internet angefrdert werden. Schnelligkeit und Skalierbarkeit für Veröffentlichung und E-Cmmerce Ob Ihr Unternehmen ein Internet-E-Cmmerce-Einzelhändler ist der ein grßes Unternehmen, das seine geschäftliche Reichweite erweitern möchte; das Internet ist ein elementarer Bestandteil Ihrer geschäftlichen Strategie. Unternehmen können sich langsame, nicht reagierende E-Cmmerce-Websites nicht leisten, insbesndere, wenn die Knkurrenz nur einen Mausklick entfernt ist. Der Webcache vn ISA Server bietet Benutzern ein schnelles Arbeiten mit dem Web, das sich den Bedürfnissen Ihres wachsenden Geschäfts entsprechend skalieren lässt. Zwischenspeicherung ist auch für Internetclients verfügbar, die Objekte vn Cmputern in Ihrem lkalen Netzwerk anfrdern. Mit ISA Server können Sie Dienste im Internet veröffentlichen, hne die Sicherheit des internen Netzwerkes zu gefährden. Sie können Webveröffentlichungs- und Serververöffentlichungsregeln knfigurieren, die festlegen, welche Anfragen per Dwnstream an einen Server hinter dem ISA Server-Cmputer gesendet werden sllen, und s eine erhöhte Sicherheitsstufe für die internen Server bereitstellen. Sie können flgende ISA Server-Funktinen zum Veröffentlichen vn Servern verwenden: Sichere Webveröffentlichung. Webveröffentlichungsregeln ermöglichen den sicheren Zugriff auf interne Webserver. Webveröffentlichungsregeln gewähren externen Clients Zugriff auf interne Server und schützen gleichzeitig vr ungerechtfertigten Zugriffen. Sichere Anwendungsserververöffentlichung. Mit Serververöffentlichungsregeln können Sie zulassen, dass bestimmte Clients auf interne Server zugreifen, hne dass langwierige Knfiguratins- der Installatinsverfahren auf dem Veröffentlichungsserver erfrderlich sind. ISA Server enthält einen Mailserversicherheits-Assistenten, der die Knfiguratin vn Exchange Server im lkalen Netzwerk erleichtert. Einheitliche Verwaltung Das getrennte Verwalten vn Sicherheit und Zwischenspeicherung erfrdert nrmalerweise getrennte Netzwerktechnlgien, Infrastrukturgeräte und qualifizierte Administratren und erhöht dadurch die Kmplexität, die Ksten und die Inknsistenz. Mit dem einheitlichen, auf Richtlinien basierenden Verwaltungstl können Administratren ihre Internetknnektivität vn einem zentralen Standrt aus verwalten und schützen und dadurch die Netzwerkkmplexität verringern und die Gesamtksten senken. Organisatinen prfitieren ft vn knsistenten Firewall- und Cacherichtlinien. Die Verwaltungsintegratin in ISA Server bietet eine einzige Ansicht dieser Richtlinien, s dass Sie die Firewall- und Cacheinfrastruktur nicht getrennt verwalten müssen. Wenn Sie ISA Server-Cmputer in Arrays gruppieren, können alle Arraymitgliedscmputer zentral verwaltet werden.

5 ISA Server erweitert die zentrale Verwaltung für Arrays auf die Unternehmensebene. Das ISA Server- Unternehmen enthält alle Arrays in der Organisatin. Beim Einrichten des Unternehmens legen Sie die Unternehmensrichtlinienverwaltung fest. Sie können entweder eine zentrale Unternehmensrichtlinie auswählen, die für alle Arrays im Unternehmen gilt, der eine flexiblere Richtlinie, die zulässt, dass jeder Arrayadministratr eine lkale Richtlinie definieren kann. Kapitel 2: Überlegungen zur Planung Dieses Kapitel knzentriert sich auf die Infrmatinen, die Sie zum Planen und Bereitstellen vn Micrsft ISA Server (Internet Security & Acceleratin Server) in Ihrer Organisatin benötigen. Obwhl dieses Kapitel viele der für das Bereitstellen vn ISA Server in Ihrem Unternehmen benötigten Infrmatinen enthält, beabsichtigt es nicht, alle Netzwerkfragen zu behandeln. Die flgende Tabelle enthält Faktren, die Sie beim Planen Ihrer ISA Server-Bereitstellung berücksichtigen sllten. Prblem Beschreibung Siehe Abschnitt zu Wie viele Cmputer werden benötigt? Wie sllten ISA Server- Cmputer rganisiert werden? Welche ISA Server- Funktinen werden benötigt? Welche Benutzeranfrderungen bestehen? Sllte das vrhandene Netzwerk neu knfiguriert werden? Hardwareknfiguratin und Internetknnektivität hängen davn ab, wie Sie ISA Server verwenden. Legen Sie fest, wie ISA Server-Cmputer in Arrays gruppiert werden sllen. Sie können bestimmte ISA Server- Funktinen für Ihre speziellen Netzwerkanfrderungen installieren. Legen Sie fest, welche Anwendungen und Dienste die Benutzer benötigen, damit Sie entscheiden können, wie die Clients knfiguriert werden sllen. Berücksichtigen Sie, wie ISA Server mit dem vrhandenen Netzwerk zusammenwirken wird. "Richtlinien für die Kapazitätsplanung" "Überlegungen zu Arrays" "Auswählen vn ISA Server- Funktinen" "Bewerten der Clientanfrderungen" "Überlegungen zu vrhandenen Netzwerken" Dieses Kapitel enthält flgende Abschnitte: Richtlinien für die Kapazitätsplanung Überlegungen zu Arrays Auswählen vn ISA Server-Funktinen Bewerten der Clientanfrderungen Überlegungen zu vrhandenen Netzwerken Richtlinien für die Kapazitätsplanung Zur Verbesserung der Leistung sllten Sie die Hardware und die Internetknnektivität vn ISA Server s planen, dass sie der erwarteten Auslastung entsprechen. In den flgenden Abschnitten werden empfhlene Systemknfiguratinen für verschiedene Verwendungsszenarien beschrieben.

6 Mindestanfrderungen Sie benötigen Flgendes, um ISA Server zu verwenden: einen PC mit einer 300 MHz- der höheren Pentium II-kmpatiblen CPU Als Betriebssystem muss der Cmputer Micrsft Windws 2000 Server mit Service Pack 1 der höher, Micrsft Windws 2000 Advanced Server mit Service Pack 1 der höher der Micrsft Windws 2000 Datacenter Server ausführen. 256 MB Arbeitsspeicher 20 MB verfügbaren Festplattenspeicher einen mit Windws 2000 kmpatiblen Netzwerkadapter für die Kmmunikatin mit dem internen Netzwerk eine lkale Festplattenpartitin, die mit dem NTFS-Dateisystem frmatiert ist Anmerkung Sie sllten immer das aktuelle Service Pack verwenden. Sie müssen außerdem Active Directry ausführen, um das Array und die erweiterte Richtlinienknfiguratin zu implementieren. Wenn Sie ISA Server im Firewallmdus der im integrierten Mdus verwenden, werden zwei Netzwerkadapter benötigt. Remteverwaltungsanfrderungen Für die Remteverwaltung vn ISA Server müssen Sie nur die ISA Verwaltung installieren. Diese kann unter Windws 2000 Prfessinal der höher ausgeführt werden. Alternativ können Sie die Terminaldienste im Remteverwaltungsmdus auf dem Cmputer installieren, der ISA Server ausführt. Dann müssen Sie das ISA Verwaltungstl für die Remteverwaltung gar nicht auf einem anderen Cmputer installieren. Stattdessen können Sie zum Verwalten vn ISA Server eine Terminaldienstesitzung verwenden. Frward-Caching-Anfrderungen ISA Server kann als Frward-Caching-Server bereitgestellt werden, der einen zentralen Cache der häufig angefragten Internetbjekte verwaltet, auf die dann durch jeden Webbrwserclient zugegriffen werden kann. Berücksichtigen Sie in diesem Fall, wie viele Webbrwserclients auf das Internet zugreifen werden. Die flgende Tabelle enthält Hardwareknfiguratinen in Übereinstimmung mit der erwarteten Anzahl vn internen Clients, die auf Internetbjekte zugreifen. Anzahl Benutzer ISA Server-Cmputermindestknfiguratin RAM (MB) Für Zwischenspeicherung zugewiesener Festplattenspeicher bis 500 Einzelner ISA Server-Cmputer mit Pentium II, 300 MHz Gigabyte 500 1,000 Einzelner ISA Server-Cmputer mit zwei Pentium III 550 MHz-Przessren Gigabyte mehr als Zwei ISA Server-Cmputer, jeweils mit einem Pentium III 550 MHz-Przessr 256 pr Server 10 Gigabyte pr Server Wenn der Benutzerstamm Benutzer übersteigt, können Sie entweder Hardware mit leistungsfähigeren Przessren und mehr Arbeitsspeicher verwenden der weitere ISA Server-Installatinen hinzufügen. Weitere Infrmatinen finden Sie unter "Hinzufügen weiterer Cmputer".

7 Wenn Sie mehr als einen ISA Server-Cmputer einrichten, ziehen Sie in Betracht, die Cmputer in Arrays zu gruppieren. Weitere Infrmatinen finden Sie unter "Überlegungen zu Arrays". Veröffentlichungsanfrderungen (Reverse-Caching) Der ISA Server-Cache kann bereitgestellt werden, um Webanfragen vn außerhalb des Unternehmens zu erfüllen. Dieser Vrgang wird Reverse-Caching genannt. Sie könnten beispielsweise einen ISA Server-Cmputer zwischen dem Internet und dem Webserver einer Organisatin, die ein kmmerzielles Webgeschäft verwaltet der Geschäftspartnern den Zugriff ermöglicht, platzieren. In diesem Fall müssen Sie berücksichtigen, wie ft externe Clients Objekte vn den Veröffentlichungsservern anfragen werden. Die flgende Tabelle enthält Hardwareknfiguratinen für eine erwartete Anzahl vn Anfragen vn Internetbenutzern (externen Benutzern) in einem Reverse-Caching-Szenari. Zugriffe pr Sekunde weniger als 100 bis 250 mehr als 250 ISA Server-Cmputer Einzelner ISA Server-Cmputer mit Pentium II, 300 MHz Einzelner ISA Server-Cmputer mit Pentium III, 450 MHz ISA Server-Cmputer mit Pentium III, 550 MHz Fügen Sie für jeweils 250 zusätzliche Zugriffe pr Sekunde einen zusätzlichen ISA Server-Cmputer hinzu, der verwenden Sie den Systemmnitr, um Engpässe zu ermitteln. Fügen Sie dann nach Bedarf weitere Server der leistungsfähigere Hardware hinzu. Die Arbeitsspeicheranfrderungen hängen vn der Größe des cachefähigen Inhalts ab, den Sie veröffentlichen, den Arbeitsseiten des Inhalts. Idealerweise sllte der gesamte cachefähige Inhalt in den verfügbaren Arbeitsspeicher passen. Wenn die Website, die Sie veröffentlichen, beispielsweise 250 MB Inhalt enthält, reichen 256 MB RAM aus. Hinzufügen weiterer Cmputer Sie können diese Kapazitätsplanungsanfrderungen als allgemeine Richtlinie verwenden, um zu bestimmen, wie viele ISA Server-Cmputer Sie benötigen. In manchen Fällen müssen Sie entscheiden, b Sie einen zusätzlichen ISA Server-Cmputer hinzufügen der einfach die Leistung des vrhandenen Cmputers durch Hinzufügen eines zusätzlichen Przessrs steigern möchten. Die einzelnen Optinen haben unterschiedliche Vrteile. Wenn Sie einen neuen Cmputer hinzufügen und ein Array vn ISA Server-Cmputern erstellen, richten Sie ein fehlertlerantes System ein. Wenn ein Cmputer abstürzt, funktiniert der andere weiter. Aufgrund der zentralen Arrayverwaltung vn ISA Server entstehen außerdem wenige zusätzliche ISA Server-Verwaltungsprbleme, wenn Sie weitere Server zu dem Array hinzufügen. Andererseits bedeutet das Hinzufügen eines weiteren Cmputers, dass Sie zusätzliche Hardware swie weitere auf dem Cmputer installierte Sftware, wie beispielsweise das Betriebssystem, anschaffen und verwalten müssen. Überlegungen zu Arrays Wenn Sie entschieden haben, wie viele Server Sie installieren werden, legen Sie fest, wie Sie diese im Netzwerk anrdnen möchten. Wenn Sie mehr als einen Server installieren, ziehen Sie in Betracht, ein Array vn ISA Server-Cmputern einzurichten. Arrays ermöglichen es, eine Gruppe vn ISA Server-Cmputern wie eine einzelne lgische Entität zu behandeln und zu verwalten. Außerdem bieten sie Skalierbarkeit, Fehlertleranz und Lastenausgleich. Alle Arraymitglieder müssen sich in derselben Windws 2000-Dmäne und am selben Standrt befinden. Weitere Infrmatinen finden Sie in der Windws 2000-Hilfe.

8 Wenn Sie ISA Server nicht als Arraymitglied installieren, können Sie ISA Server als alleinstehenden Server (Standalne Server) installieren. Bei Installatinen alleinstehender Server muss der Cmputer nicht zu einer Windws 2000-Dmäne gehören. Zentrale Verwaltung Alle Server in einem Array werden gleich knfiguriert. Dadurch reduzieren Sie den Verwaltungsaufwand, da das Array einmal knfiguriert wird und die Knfiguratin dann auf alle Mitgliedsserver angewendet wird. Außerdem können Sie eine Unternehmensrichtlinie auf ein Array anwenden, was Ihnen das Zentralisieren der Verwaltung für alle Arrays im Unternehmen ermöglicht. Wenn Sie Arrays einrichten, können Sie in jeder Zweigstelle der Organisatin Arrays einrichten. Da jede Zweigstelle dann ihr eigenes Array hat, kann jede Zweigstelle eindeutige Verwendungsrichtlinien definieren, die allen Servern in dem Array gemeinsam sind. Alternativ können Sie auf Unternehmensebene alle Arrays im Unternehmen s knfigurieren, dass sie eine Unternehmensrichtlinie verwenden. Auf Unternehmensebene können Sie außerdem entscheiden, welche Arrays Server veröffentlichen dürfen. Darüber hinaus können Sie auf Unternehmensebene Paketfilterung für die Arrays im Unternehmen erzwingen. Skalierbarkeit und Fehlertleranz Selbst wenn Sie nur einen ISA Server-Cmputer installieren, sllten Sie in Betracht ziehen, ihn als Arraymitglied zu installieren. Bei einer Arrayinstallatin ist die zukünftige Erweiterung einfacher. Zusätzliche Server lassen sich leicht zum Array hinzufügen. ISA Server-Arrays tragen dazu bei, die Fehlertleranz sicherzustellen. Wenn ein Server ausfällt, können die anderen Server im Array die Zwischenspeicherung und die Sicherheitsfunktinen für ihn durchführen. Auf diese Weise können Sie eine ununterbrchene Betriebszeit für Ihre Clients sicherstellen. Lastenausgleich Arrays ermöglichen das Verteilen vn Clientanfragen auf verschiedene ISA Server-Cmputer, was die Antwrtzeit für Clients verlängert. Da die Last auf alle Server im Array verteilt wird, können Sie selbst mit mittelmäßiger Hardware gute Leistung erzielen. Arrays und alleinstehende Server im Vergleich Die flgende Tabelle vergleicht Funktinen und Anfrderungen für alleinstehende Server und Arraymitglieder. Skalierbarkeit und Fehlertleranz Active Directry- Anfrderung Unternehmensrichtlinie Array Kann einen der mehrere Mitgliedsserver haben. Ja. Kann nur in Windws Dmänen mit installiertem Active Directry installiert werden. Das lkale Netzwerk kann jedch Windws NT 4.0- Dmänen enthalten. Ja. Eine einzelne Richtlinie kann auf alle Arrays im Unternehmen angewendet werden. Alleinstehender Server Auf nur ein Mitglied beschränkt. Nein. Kann in Windws NT 4.0- Dmänen installiert werden. Knfiguratinsinfrmatinen werden in der Registrierung gespeichert. Nein. Es kann nur eine lkale Arrayrichtlinie angewendet werden.

9 Auswählen vn ISA Server-Funktinen ISA Server kann swhl mit Firewall- als auch mit Zwischenspeicherungsfunktinen installiert werden. Alternativ können Sie auch nur die Firewallfunktinen der nur die Cachefunktinen installieren. Im Zuge des Installatinsprzesses installieren Sie ISA Server im Firewallmdus, Cachemdus der integrierten Mdus. Im Firewallmdus können Sie die Netzwerkkmmunikatin schützen, indem Sie Regeln knfigurieren, die die Kmmunikatin zwischen dem Unternehmensnetzwerk und dem Internet steuern. Außerdem können Sie im Firewallmdus interne Server veröffentlichen und Daten auf internen Servern für Internetbenutzer freigeben. Im Cachemdus können Sie die Netzwerkleistung verbessern und Bandbreite speichern, indem Sie Objekte, auf die häufig zugegriffen wird, in der Nähe des Benutzers speichern. Sie können Anfragen vn Internetbenutzern an geeignete Webserver weiterleiten. Im integrierten Mdus sind alle Cache- und Firewallfunktinen verfügbar. Sie können im integrierten Mdus eine Richtlinie knfigurieren, die swhl die Cacheleistungsanfrderungen als auch die Sicherheitsanfrderungen berücksichtigt. Je nachdem, welchen Mdus Sie auswählen, sind unterschiedliche Funktinen verfügbar. Die flgende Tabelle enthält die für den Firewall- und den Cachemdus verfügbaren Funktinen. Im integrierten Mdus sind alle Funktinen verfügbar. Auswählen vn ISA Server-Funktinen Funktin Firewallmdus Cachemdus Zugriffsrichtlinie Ja Ja (nur für die Prtklle HTTP und HTTPS) Anwendungsfilter Ja Nein Cacheknfiguratin Nein Ja Unternehmensrichtlinie Ja Ja Unterstützung für Firewall- und SecureNat-Clients Ja Nein Paketfilterung Ja Nein Echtzeitüberwachung Ja Ja Berichte Ja Ja Serververöffentlichung Ja Nein Virtuelle private Netzwerke Ja Nein Webfilter Ja Ja Webveröffentlichung Ja Ja Unterstützung für Webprxyclients Ja Ja

10 Bewerten der Clientanfrderungen ISA Server unterstützt flgende Clienttypen: Webprxyclients. Ein Webprxyclient sendet Anfragen direkt an den ISA Server-Cmputer, der Internetzugriff ist jedch auf den Brwser beschränkt. Sie können Webbrwser, die HTTP 1.1(Hypertext Transfer Prtcl) unterstützen, als Webpxyclients knfigurieren. SecureNAT-Clients. SecureNAT-Clients bieten Sicherheit und Zwischenspeicherung, lassen jedch keine Authentifizierung auf Benutzerebene zu. Sie müssen nur das Standardgateway auf dem Clientcmputer auf die IP-Adresse des ISA Server-Cmputers festlegen, um einen SecureNAT-Client zu knfigurieren. Da für einen SecureNAT-Client außer dem Ändern des Standardgateways keine Knfiguratin erfrderlich ist, kann jeder Cmputer, der TCP/IP (Transmissin Cntrl Prtcl/Internet Prtcl) verwendet, ein SecureNAT-Client sein. Firewallclients. Beschränken den Zugriff auf Benutzerbasis für ausgehenden Zugriff für Anfragen, die TCP (Transmissin Cntrl Prtcl) und UDP (User Datagram Prtcl) verwenden. Sie müssen die Sftware für den Firewallclient auf allen Clientcmputern installieren, um einen Firewallclient zu knfigurieren. Sie können die Sftware für den Firewallclient nur auf Cmputern installieren, auf denen Windws Millennium Editin, Windws 95 OSR2, Windws 98, Windws NT 4.0 der Windws 2000 ausgeführt wird. Bewerten Sie vr dem Bereitstellen der Knfigurieren der Clientsftware die Anfrderungen Ihrer Organisatin. Bestimmen Sie, welche Anwendungen und Dienste die internen Clients benötigen. Bewerten Sie, wie Sie Server veröffentlichen werden. Ordnen Sie dann diese Anfrderungen den vn ISA Server unterstützten Clienttypen zu. Zweck Verbessern der Leistung vn Webanfragen für interne Clients Vermeiden der Bereitstellung vn Clientsftware der der Knfiguratin vn Clientcmputern Verbessern der Webleistung in einer Umgebung mit Nicht-Micrsft-Betriebssystemen Veröffentlichen vn Servern, die sich im internen Netzwerk befinden Zulassen vn Internetzugriff nur für authentifizierte Benutzer Clienttyp Webprxyclients. SecureNAT-Clients. Für SecureNAT-Clients ist keine Sftware der besndere Knfiguratin erfrderlich. SecureNAT-Clients. SecureNAT-Clientanfragen werden transparent an den ISA Server-Firewalldienst und dann an den Zwischenspeicherungsdienst zur Zwischenspeicherung weitergegeben. SecureNAT-Clients. Interne Server können als SecureNAT-Clients veröffentlicht werden. Dadurch vermeiden Sie, spezielle Knfiguratinseinstellungen auf dem Veröffentlichungsserver erstellen zu müssen. Es wird nicht empfhlen, Veröffentlichungsserver als Firewallclients einzurichten. Firewallclients. Sie können auf benutzerbasierte Zugriffsrichtlinienregeln für Firewallclients knfigurieren. Überlegungen zu vrhandenen Netzwerken Wenn Sie ISA Server installieren, fügen Sie es hinzu, um ein vrhandenes Netzwerk aus Diensten zu schützen und zu verbinden. In den meisten Fällen werden Sie die vrhandene Netzwerkknfiguratin beim Installieren vn ISA Server nicht ändern müssen. Die flgenden Abschnitte beschreiben Netzwerkfragen, die Sie beim Bereitstellen vn ISA Server berücksichtigen sllten.

11 Vrhandene Windws der Windws NT 4.0-Dmäne ISA Server kann als alleinstehender Server der als Arraymitglied in einer Windws 2000-Dmäne installiert werden. Wenn Sie ISA Server als Arraymitglied in einer Windws 2000-Dmäne installieren, wird das ISA Server- Schema in Active Directry installiert. Mit anderen Wrten, damit Sie ISA Server-Arrays verwenden können, muss Active Directry in der ISA Server-Dmäne installiert sein. Wenn Sie ISA Server als alleinstehenden Server installieren, speichert es seine Knfiguratinsinfrmatinen in der lkalen Registrierung. Arrays vn ISA Server-Cmputern können außerdem verwendet werden, um Windws NT 4.0- Dmänenbenutzer und -Clients mit dem Internet zu verbinden und zu schützen. Das Array muss jedch in einer separaten Windws 2000-Dmäne eingerichtet werden. Dann muss eine Vertrauensstellung zwischen der Windws NT 4.0-Dmäne und der Dmäne, zu der der ISA Server-Cmputer gehört, eingerichtet werden. ISA Server kann als alleinstehender Server in einer Windws NT 4.0-Dmäne installiert werden. Es muss keine spezielle Knfiguratin vrgenmmen werden. Interaktin mit anderen Netzwerkdiensten Möglicherweise haben Sie den Ruting- und RAS-Dienst in Windws 2000 verwendet, um Netzwerkdienste und -cmputer für Remteclients verfügbar zu machen. ISA Server stellt die Remteknnektivität bereit und erweitert die Ruting- und RAS-Funktinen, indem es umfangreichere und flexiblere Sicherheitsfunktinen bietet. Die ISA Server-Paketfilterung ersetzt die Paketfilterung in Ruting und RAS. ISA Server verwendet die DFÜ-Verbindungen, die Sie für Ruting und RAS knfiguriert haben. Auf ähnliche Weise haben Sie vrher die gemeinsame Nutzung der Internetverbindung (Internet Cnnectin Sharing, ICS) der die Netzwerkadressübersetzung (Netwrk Address Translatin, NAT) vn Windws 2000 für den Zugriff auf das Internet verwendet. ISA Server kann anstelle vn NAT der ICS verwendet werden und ersetzt und erweitert dessen Funktin in der Organisatin. ISA Server stellt die vn NAT der ICS ermöglichte Knnektivität bereit und fügt anspruchsvlle Sicherheits- und Zwischenspeicherungsfunktinen hinzu. Kapitel 3: Installieren vn ISA Server Dieses Kapitel unterstützt Sie beim Installieren vn Micrsft ISA Server (Internet Security & Acceleratin Server). Dieses Kapitel enthält flgende Abschnitte: Vr dem Installieren vn ISA Server Beginnen des Installatinsvrgangs Initialisieren des Unternehmens Installieren vn ISA Server Weitere Schritte Vr dem Installieren vn ISA Server Bevr Sie ISA Server installieren, müssen Sie für den Cmputer, der ISA Server ausführen wird, die Hardware einrichten und die Sftware knfigurieren. Verwenden Sie die Infrmatinen in den flgenden Abschnitten, um sicherzustellen, dass der ISA Server- Cmputer den Präinstallatinsanfrderungen entspricht. Weitere Infrmatinen zu den Aufgaben finden Sie in der im Lieferumfang der Hardwarekmpnente der vn Micrsft Windws 2000 enthaltenen Dkumentatin.

12 Einrichten des Netzwerkadapters Sie können das Netzwerk entweder über eine direkte Verbindung (T1, T3, xdsl der Kabelmdem) der über eine DFÜ-Verbindung mit dem Internet verbinden. Wenn Sie sich für eine direkte Verbindung entscheiden, müssen Sie einen Netzwerkadapter einrichten, der den ISA Server-Cmputer mit dem Internet verbindet. Wenn Sie für den externen Netzwerkadapter TCP/IP-Eigenschaften (Transmissin Cntrl Prtcl/Internet Prtcl) festlegen, fragen Sie Ihren Internetdienstanbieter (Internet Service Prvider, ISP) nach den entsprechenden Einstellungen. Im Einzelnen benötigen Sie die IP-Adresse, die Subnetzmaske, das Standardgateway und die IP-Adressen der DNS-Server, die für DNS-Namenssuchen verwendet werden. In manchen Fällen verwendet der ISP möglicherweise DHCP (Dynamic Hst Cnfiguratin Prtcl) der das Btstrap-Prtkll (BOOTP) für die dynamische Zuweisung vn Clientadressen. Nrmalerweise verwendet ISA Server nur ein Standard-IP-Gateway. Sie sllten die IP-Adresse des Standardgateways nur auf dem externen Netzwerkadapter knfigurieren, nicht auf dem internen Netzwerkadapter. Lassen Sie die Einstellung der internen Karte für das Standardgateway einfach leer. Weitere Infrmatinen finden Sie in der Windws 2000-Hilfe. TCP/IP-Einstellungen Wenn Sie TCP/IP-Eigenschaften für einen internen Netzwerkadapter festlegen, sllten Sie eine dauerhaft reservierte IP-Adresse für den ISA Server-Cmputer und eine geeignete Subnetzmaske für Ihr lkales Netzwerk eingeben. Sie sllten keine vn DHCP zugewiesene Adressierung für den internen Netzwerkadapter verwenden, da diese das Standardgateway, das Sie für den ISA Server-Cmputer ausgewählt haben, zurücksetzen könnte. Der externe Netzwerkadapter kann ein DHCP-Netzwerkadapter sein, der seine IP-Adresse kann statisch definiert sein, einschließlich des Standardgateways und der DNS-Einstellungen. Nach der Installatin können Sie das in Windws 2000 Server enthaltene Dienstprgramm Ping.exe der ein ähnliches Dienstprgramm auf einem anderen internen IP-Clientcmputer verwenden, um die Netzwerkknnektivität zu überprüfen und zu überprüfen, b Netzwerkadapter und snstige Hardware richtig knfiguriert sind. Einrichten eines Mdems der ISDN-Adapters Wenn Sie die Verbindung zum Internet nicht über eine direkte Verbindung, sndern über eine DFÜ-Verbindung, die einen externen Netzwerkadapter verwendet, herstellen möchten, müssen Sie für den Server ein Mdem der einen ISDN-Adapter (Integrated Services Digital Netwrk) verwenden. Abhängig vn dem ISDN-Adapter, können Sie möglicherweise nicht beide ISDN-Kanäle in Windws 2000 anzeigen. Nrmalerweise verwalten die Treiber für die ISDN-Karte die bandbreitenbasierte Knnektivität für den zweiten Kanal; Sie können den Treiber nicht über Windws 2000 verwalten. Vergewissern Sie sich, dass der Netzwerkadapter s eingerichtet ist, dass beide Kanäle knfiguriert werden können und dass Ihr ISP Verbindungen unterstützt, die beide Kanäle verwenden. Weitere Infrmatinen zum Einrichten eines ISDN-Adapters der Mdems finden Sie in der Windws Hilfe. Windws 2000-Rutingtabelle Die lkale Adresstabelle (Lcal Address Table, LAT) wird autmatisch anhand der Windws 2000 Server- Rutingtabelle erstellt. Wenn der Cmputer mit einem umgeleiteten internen Netzwerk verbunden ist und Sie die Rutingtplgie nicht genau kennen der nicht wissen, wie statische Ruten angelegt werden, können Sie die Tabelle manuell s erstellen, dass sie den Bereich der die Bereiche der vn den internen Clients verwendeten IP-Adressen enthält.

13 Da ein Standardgateway nicht an der internen Schnittstelle des ISA Server-Cmputers festgelegt werden kann, müssen Sie später statische Ruten für das interne Netzwerk festlegen, um die vllständige Knnektivität zu erzielen. Verwenden Sie hierzu vn einer Eingabeauffrderung aus den Windws 2000-Befehl ROUTE. Mit einer richtig knfigurierten LAT wird sichergestellt, dass ISA Server festlegt, welcher Netzwerkadapter verwendet wird, um auf verschiedene Teile des internen Netzwerkes zuzugreifen. Wenn Sie die Rutingtabelle nicht krrekt festlegen, wird die LAT nicht krrekt aufgebaut. Dies kann dazu führen, dass eine Clientanfrage für eine interne IP-Adresse falsch an das Internet weitergeleitet der über den Firewalldienst umgeleitet wird. Die LAT sllte bei Bedarf nach der Installatin manuell s bearbeitet werden, dass sie alle anderen internen Netzwerksegmente der Organisatin enthält, einschließlich derjenigen, die auf interne Ruter verteilt sind, damit der ISA Server-Cmputer und die Firewallclients krrekt bestimmen können, wann ISA Server verwendet werden sll und wann direkt auf eine Ressurce zugegriffen werden sll. Beginn des Installatinsvrgangs Sie können die Installatin vn dem Bildschirm aus starten, der angezeigt wird, wenn Sie die ISA Server-CD in das Laufwerk einlegen. Wenn Sie zum ersten Mal ISA Server als Arraymitglied installieren, sllten Sie ISA Server- Unternehmensinitialisierung ausführen. Beginnen Sie mit dem Abschnitt "Initialisieren des Unternehmens". Wenn Sie einen alleinstehenden Server installieren, der wenn Sie vrher ISA Server als Arraymitglied in Ihrem Unternehmen installiert haben, können Sie "ISA Server installieren" auswählen. Gehen Sie zu "Installieren vn ISA Server". Initialisieren des Unternehmens Ein ISA Server-Cmputer kann als Arraymitglied eingerichtet werden. Bevr Sie einen ISA Server-Cmputer als Arraymitglied einrichten, muss jedch das ISA Server-Schema in Active Directry auf dem Dmänencntrller installiert werden. ISA Server enthält ein Unternehmensinitialisierungstl, das Sie zum Installieren des ISA Server-Schemas in Active Directry verwenden können. Nach dem Imprtieren des ISA Server-Schemas können alle nachflgenden ISA Server-Installatinen auf Cmputern in der Dmäne das ISA Server-Schema verwenden. Sie müssen das Schema nicht erneut installieren. Wichtig Sie müssen Mitglied der Gruppen Organisatins-Admins und Schema-Admins sein, um das ISA Server-Schema in Active Directry zu installieren. Weitere Infrmatinen zu Active Directry und spezifische Anweisungen zu Benutzer- und Gruppenberechtigungen finden Sie in der Windws 2000-Hilfe. S initialisieren Sie das Unternehmen 1. Legen Sie die ISA Server-CD in das CD-ROM-Laufwerk ein, der führen Sie vn dem freigegebenen Netzwerklaufwerk ISAautrun.exe aus. 2. Klicken Sie in Micrsft ISA Server Setup auf ISA Server-Unternehmensinitialisierung. 3. Wenn Sie sicher sind, dass Sie das Unternehmen initialisieren und das Active Directry-Schema ändern möchten, klicken Sie auf Ja.

14 Wählen Sie in ISA-Unternehmensinitialisierung aus, wie die Unternehmensrichtlinie angewendet werden sll. Sie können eine der flgenden Möglichkeiten auswählen: Nur Arrayrichtlinie. Wählen Sie Nur Arrayrichtlinie verwenden aus, wenn jedes Array seine eigene Richtlinie haben sll, die vm Arrayadministratr verwaltet werden kann. Nur Unternehmensrichtlinie. Wählen Sie Unternehmensrichtlinie verwenden aus, und geben Sie den Namen der Unternehmensrichtlinie ein. In diesem Fall wird auf alle Arrays im Unternehmen dieselbe Unternehmensrichtlinie angewendet. Es können keine eindeutigen Zugriffsrichtlinien für die einzelnen Arrays im Unternehmen definiert werden. Es können keine Regeln auf Arrayebene definiert werden. Kmbinierte Unternehmens- und Arrayrichtlinie. Wählen Sie Unternehmensrichtlinie verwenden und Arrayrichtlinie zulassen aus. In diesem Fall können Arrayadministratren Regeln definieren, die die Unternehmensrichtlinie weiter einschränken. Wenn beispielsweise die Unternehmensrichtlinie den Zugriff auf alle Standrte zulässt, könnten Arrayadministratren diese Richtlinie verfeinern, indem sie Regeln erstellen, die den Zugriff auf bestimmte Sites verweigern. Wenn Arrayadministratren interne Server veröffentlichen und damit den Zugriff auf diese Server durch externe (Internet-)Clients zulassen dürfen, wählen Sie Erstellen vn Veröffentlichungsregeln im Array zulassen aus. Wählen Sie Paketfilterung im Array verwenden aus, wenn Paketfilterung für die Arrays im Unternehmen immer aktiviert sein sll. Wenn Sie diese Optin auswählen, kann der Arrayadministratr die Paketfilterung nicht deaktivieren. Wenn die ISA Server-Unternehmensinitialisierung beendet ist, wird das ISA Server-Schema in Active Directry installiert. Sie können ISA Server jetzt als Arraymitglied installieren und damit das Array erstellen, dem der ISA Server beitreten sll. Anmerkung Der Arrayerstellungsprzess findet statt, wenn Sie ISA Server auf dem ersten Cmputer im Array installieren. Es dauert möglicherweise eine Weile, bis die zu Active Directry hinzugefügten Infrmatinen auf alle Dmänencntrller repliziert sind. Daher müssen Sie, wenn Sie während der Installatin eine Fehlermeldung erhalten, derzuflge das ISA Server-Schema nicht installiert wurde, bwhl Sie es installiert haben, warten, bis die Schemaänderung auf den lkalen Dmänencntrller repliziert wurde. Installieren vn ISA Server Wenn Sie ISA Server installieren, werden Sie vm Installatinsprgramm nach flgenden Infrmatinen gefragt. CD-Schlüssel. Hierbei handelt es sich um die 10-stellige Zahl auf der Rückseite der Verpackung der ISA Server-CD. Installatinsptinen. Sie können zwischen typischer Installatin, vllständiger Installatin der benutzerdefinierter Installatin auswählen. Arrayauswahl. Wenn Sie das Unternehmen vrher initialisiert haben, können Sie auswählen, welchem Array es beitreten sll. Wenn Sie das Unternehmen nicht initialisiert haben, wird ISA Server als alleinstehender Server installiert. Mdus. Sie können ISA Server im Firewallmdus, im Cachemdus der im integrierten Mdus installieren. Cacheknfiguratin. Wenn Sie ISA Server im integrierten Mdus der im Cachemdus installieren, müssen Sie knfigurieren, welches Laufwerk verwendet werden sll und wie grß der Cache sein sll. Lkale Adresstabellenknfiguratin. Wenn Sie ISA Server im integrierten Mdus der im Firewallmdus installieren, müssen Sie die Adressbereiche definieren, die in der lkalen Adresstabelle enthalten sein sllen. Wichtig Vr dem Installieren vn ISA Server müssen Sie Windws 2000 Service Pack 1 der höher installieren. Wenn der Cmputer, auf dem Sie ISA Server installieren, nicht Teil einer Windws 2000-Dmäne ist, wird ISA Server als alleinstehender Server installiert. Sie können den Server danach zu einer Windws 2000-Dmäne hinzufügen und dann einem Array beitreten lassen.

15 Mit dem ersten Server im neuen Array wird ein neues Array in Active Directry definiert. Sie sllten genügend Zeit für das Replizieren der Arrayinfrmatinen an der ganzen Site einplanen, bevr Sie weitere Mitglieder zu dem Array hinzufügen. Wenn Sie einen ISA Server-Cmputer als Mitglied eines vrhandenen Arrays installieren, müssen Sie ihn in demselben Mdus installieren wie die anderen Arraymitglieder. Wenn beispielsweise alle Server im Array im Firewallmdus installiert wurden, müssen die neuen ISA Server-Cmputer ebenfalls im Firewallmdus installiert werden. Der neue ISA Server-Cmputer übernimmt die Unternehmenseinstellungen, die Zugriffsrichtlinie, die Veröffentlichungsrichtlinie und die Überwachungsknfiguratin des Arrays. Sie können auswählen, welche Laufwerke während der ISA Server-Installatin für die Zwischenspeicherung verfügbar sein sllen. Standardmäßig sucht der Installatinsvrgang die größte NTFS-Partitin und legt eine Standardcachegröße vn 100 Megabyte (MB) fest, wenn mindestens 150 MB verfügbar sind. Beim Knfigurieren der Cachelaufwerke müssen Sie mindestens ein NTFS-Laufwerk zuweisen und mindestens 5 MB auf diesem Laufwerk für die Zwischenspeicherung reservieren. Sie sllten jedch mindestens 100 MB zuweisen und für jeden Client, der die Prtklle HTTP der FTP verwendet, 0,5 MB, aufgerundet auf das nächste vlle Megabyte, hinzufügen. Die lkale Adresstabelle (Lcal Address Table, LAT) ist eine Tabelle, die alle IP-Adressbereiche enthält, die das interne Netzwerk hinter dem ISA Server-Cmputer verwendet. ISA Server verwendet die LAT, um zu steuern, wie Rechner im internen Netzwerk mit externen Netzwerken kmmunizieren, und entscheidet, welche Netzwerkadapter durch Laden des Paketfiltertreibers geschützt werden sllen. ISA Server kann die LAT auf Basis Ihrer Windws 2000-Rutingtabelle für Sie erstellen. Außerdem können Sie die privaten IP-Adressbereiche gemäß der Definitin durch die Internet Assigned Numbers Authrity (IANA) in RFC 1918 auswählen. Diese drei Adressblöcke sind für private Intranets reserviert und werden nie im öffentlichen Internet verwendet. Beim Erstellen einer LAT sllten Sie nur Adressen im privaten Netzwerk einbeziehen. Das bedeutet, dass Sie weder die externe Schnittstelle des ISA Server-Cmputers nch Internetsites der externe Adressen einschließlich des DNS-Servers bei Ihrem Internetdienstanbieter usw. hinzufügen sllten. Eine falsche Knfiguratin der LAT könnte das Netzwerk für Angriffe anfällig machen. Die LAT wird zentral verwaltet, da sie auf dem ISA Server-Cmputer verwaltet wird. Firewallclients dwnladen und empfangen LAT-Aktualisierungen autmatisch in vreingestellten, regelmäßigen Intervallen. S installieren Sie Serversftware 1. Legen Sie die ISA Server-CD in das CD-ROM-Laufwerk ein, der führen Sie vn dem freigegebenen Netzwerklaufwerk ISAautrun.exe aus. 2. Klicken Sie in Micrsft ISA Server Setup auf ISA Server installieren. 3. Wenn Sie mit den Bedingungen des Endbenutzerlizenzvertrags einverstanden sind, klicken Sie auf Frtsetzen. 4. Geben Sie die auf der Verpackung genannte Prdukt-ID ein. 5. Lesen Sie den Endbenutzerlizenzvertrag, und klicken Sie, wenn Sie mit den Bedingungen einverstanden sind, auf Ich stimme zu. 6. Klicken Sie auf Typische Installatin, Vllständige Installatin der Benutzerdefinierte Installatin. Wenn Sie auf Benutzerdefinierte Installatin klicken, aktivieren Sie die entsprechenden Kntrllkästchen für die ISA Server-Kmpnenten, die Sie installieren möchten. Sie können unter flgenden Möglichkeiten auswählen: ISA-Dienste Zusätzliche Dienste Verwaltungsprgramme

16 7. Wenn Sie das Unternehmen nicht initialisiert haben und ISA Server als alleinstehenden Server installieren möchten, wählen Sie Ja aus, und gehen Sie zu Schritt 11. Wenn Sie das Unternehmen initialisiert haben und den Server einem Array beitreten lassen möchten, klicken Sie auf Ja. 8. Wenn Sie ISA Server als Arraymitglied installieren möchten, wählen Sie entweder das Array aus, dem der Server beitreten sll, der geben Sie einen neuen Namen ein, um ein neues Array zu erstellen. Wenn Sie ein neues Array erstellen, knfigurieren Sie die Unternehmensrichtlinieneinstellungen des Arrays. Wählen Sie eine der flgenden Optinen: Standardeinstellungen der Richtlinien verwenden, wenn die Arrayrichtlinie die Standardeinstellungen des Unternehmens verwenden sll. Benutzerdefinierte Unternehmensrichtlinieneinstellungen. Falls Sie diese Optin auswählen, geben Sie an, b eine Arrayrichtlinie verwendet wird, b Veröffentlichen erlaubt ist und b Paketfilterung erzwungen wird. 9. Klicken Sie auf den ISA Server-Mdus, den Sie installieren möchten. 10. Wenn Setup Sie warnt, dass es die Internet-Infrmatinsdienste (Internet Infrmatin Service, IIS) beenden wird, wenn Sie ISA Server im Cachemdus der im integrierten Mdus installieren möchten, knfigurieren Sie die Cachelaufwerke. 11. Wenn Sie ISA Server im Firewallmdus der im integrierten Mdus installieren, knfigurieren Sie die LAT. 12. Wenn Sie beim Aufrufen vn ISA Server den Assistenten Erste Schritte ausführen möchten, aktivieren Sie das Kntrllkästchen ISA-Verwaltungs-Assistent "Erste Schritte" starten. Weitere Schritte Nach der Installatin blckiert ISA Server die gesamte Kmmunikatin zwischen dem Unternehmensnetzwerk und dem Internet. Die Kmmunikatin wird erst zugelassen, wenn Sie eine Zugriffsrichtlinie mit Prtkllregeln und Site- und Inhaltsregeln, die den Zugriff ausdrücklich zulassen, knfiguriert haben. Auf ähnliche Weise müssen Sie Veröffentlichungsregeln knfigurieren, wenn Sie zulassen möchten, dass Internetclients auf Cmputer im internen Netzwerk zugreifen. Wenn Sie ISA Server als Arraymitglied installiert haben, kann eine Unternehmensrichtlinie auf das Array angewendet werden. In diesem Fall kann ISA Server die Kmmunikatin zulassen, wenn die zutreffende Unternehmensrichtlinie entsprechend knfiguriert ist. Standardeinstellungen nach der Installatin Nach der Installatin verwendet ISA Server flgende Standardeinstellungen: Funktin Benutzerberechtigungen Lkale Adresstabelle Unternehmensrichtlinieneinstellungen Paketfilterung Standardeinstellung Für alleinstehende Server können Mitglieder der Gruppe Administratren auf dem lkalen Cmputer Arrayrichtlinien knfigurieren. Für Arrays können Mitglieder der Gruppen Dmänen-Admins und Organisatins-Admins Richtlinien knfigurieren. Enthält während des Installatinsvrgangs festgelegte Einträge. Wenn Sie ein neues Array erstellen, übernimmt das Array die Standard-Unternehmensrichtlinieneinstellungen. Aktiviert, im Firewallmdus und im integrierten Mdus Deaktiviert, im Cachemdus.

17 Zugriffssteuerung Veröffentlichen Ruting Zwischenspeicherung Warnungen Clientknfiguratin Wenn die Unternehmensrichtlinieneinstellungen nicht s knfiguriert sind, um auf Arrayebene Zulassungsregeln zu verhindern, ermöglicht eine Standardsite- und Inhaltsregel namens "Zulassungsregel", dass alle Clients jederzeit auf alle Inhalte in allen Sites zugreifen können. Da jedch keine Prtkllregeln definiert sind, wird kein Datenverkehr durchgelassen. Externe Clients können nicht auf interne Server zugreifen. Eine Standard-Webveröffentlichungsregel löscht alle Anfragen. Alle Webprxyclient-Anfragen werden direkt aus dem Internet abgerufen. Die Cachegröße wird auf die während der Installatin angegebene Größe festgelegt. HTTP- und FTP- Zwischenspeicherung sind aktiviert. Aktive Zwischenspeicherung ist deaktiviert. Alle Warnungen mit Ausnahme der flgenden sind aktiv: Vllständiger Prt-Scan-Angriff, Verwrfene Pakete, Prtkllverletzung und UDP-Bmbardierung Für installierte der knfigurierte Firewall- und Webprxyclients ist die autmatische Erkennung aktiviert. Webbrwseranwendungen auf Firewallclients werden knfiguriert, wenn der Firewallclient installiert wird. Assistent "Erste Schritte" Nach der Installatin können Sie ISA Server, um Ihre Unternehmenssicherheits- und Internetzugriffsrichtlinien zu implementieren. Zuerst sllten Sie die Richtlinienelemente erstellen, die das Netzwerk beschreiben. Gruppieren Sie Cmputer in Clientadresssätzen und Benutzer in Windws 2000-Sicherheitsgruppen. Erstellen Sie Zielsätze, zu denen Cmputer und Dmänen im Internet gehören. Definieren Sie Prtklle, die für die Kmmunikatin mit dem Internet verwendet werden können. Verwenden Sie dann die Richtlinienelemente zum Erstellen vn Richtlinienregeln, die die Unternehmensrichtlinien implementieren. Der Assistent Erste Schritte führt Sie durch die Schritte für das Definieren und Knfigurieren erster Unternehmens- und Arrayrichtlinien. Wenn Sie den Vrgang abgeschlssen haben, haben Sie ISA Server s knfiguriert, dass es die Verbindung des Netzwerkes mit dem Internet schützt. Der Assistent Erste Schritte unterstützt Sie beim Durchführen der flgenden Aufgaben: Erstellen vn Richtlinienelementen auf Arrayebene, die Sie verwenden werden, wenn Sie Arrayrichtlinienregeln erstellen. Erstellen vn Prtkllregeln auf Arrayebene und Site- und Inhaltsregeln Festlegen der Systemsicherheitsstufe und Knfigurieren der Paketfilterung. Knfigurieren vn Ruting und Verkettung, um festzulegen, wie Clientanfragen an den Zielserver weitergeleitet werden. Erstellen vn Cacherichtlinien, um festzulegen, welche Objekte zwischengespeichert werden. Bei Arrayinstallatinen Knfigurieren vn Unternehmensrichtlinieneinstellungen, die festlegen, wie die Unternehmensrichtlinie sich auf die Arrays im Unternehmen auswirkt. Bei Arrayinstallatinen Erstellen vn Richtlinienelementen auf Unternehmensebene. Bei Arrayinstallatinen Erstellen vn Prtkllregeln auf Unternehmensebene und Site- und Inhaltsregeln.

18 Nachdem Sie die ISA Server-Richtlinien knfiguriert haben, lesen Sie in Kapitel 5, wie Sie die Clients in Ihrem Netzwerk einrichten und knfigurieren. Lesen Sie dann Kapitel 6, um weitere Infrmatinen über besndere Bereitstellungsszenarien zu erhalten. Kapitel 4: Migrieren vn Micrsft Prxy Server 2.0 Micrsft ISA Server (Internet Security & Acceleratin Server) unterstützt einen vllständigen Migratinspfad für Micrsft Prxy Server 2.0-Benutzer. Die meisten Prxy Server 2.0-Regeln, Netzwerkeinstellungen, Überwachungsknfiguratinen und Cacheknfiguratinen werden nach ISA Server migriert. Außerdem unterstützt ISA Server Winsck-Prxyclientsftware, zusammen mit seiner eigenen Sftware für den Firewallclient, in einer hetergenen Clientbasis. In ISA Server werden gegenüber Prxy Server 2.0 viele neue Funktinen und Änderungen eingeführt. Diese Änderungen wirken sich auf die Serverknfiguratin und die Updateszenarien aus. Dieses Kapitel erläutert die wichtigsten Elemente, die ein Administratr im Rahmen des Updates auf ISA Server berücksichtigen sllte. Dieses Kapitel enthält flgende Abschnitte: Gründe für das Migrieren Der Migratinsprzess Überlegungen zu Prxy Server 2.0-Arrays Migrieren in ein Array Migrieren der Prxy Server 2.0-Knfiguratin Gründe für das Migrieren ISA Server ist das Nachflgeprdukt vn Prxy Server 2.0, bwhl es sich um viel mehr als einen "Prxyserver" handelt. Zu den neuen der deutlich verbesserten Funktinen in ISA Server gehören: ein mehrstufiger Firewall, der statusbehaftete Überwachung (Stateful Inspectin), breite Anwendungsunterstützung und integrierte Eindringungserkennung bietet integrierte virtuelle private Netzwerke Systemabsicherung (System Hardening) RAM-Zwischenspeicherung und ptimierter Cachespeicher, einschließlich geplantem Inhaltdwnlad eine einheitliche Verwaltungsknsle einschließlich grafischer Aufgabenblöcke und Assistenten für häufige Aufgaben Transparenz für alle Clients Unterstützung für erweiterte, Passthrugh- und SSL-Authentifizierung verbesserte Überwachungsfunktinen, einschließlich anpassbaren Warnungen, detaillierter Prtkllierung und Berichterstellung erweiterbare Plattfrm mit einem umfassenden Sftware Develpment Kit (SDK) Migratinsprzess Es gibt eine Reihe vn Prblemen, die Sie berücksichtigen sllten, wenn Sie das Migrieren vn Prxy Server 2.0 nach ISA Server vrbereiten. Das direkte Update vn Prxy Server 1.0, BackOffice Server 4.0 der Small Business Server 4.0 wird nicht unterstützt. Es gibt keine autmatische Optin für das Zurückkehren zu Prxy Server 2.0, wenn das Update auf ISA Server gestartet wurde. ISA Server unterstützt das IPX-Prtkll nicht. Führen Sie, bevr Sie vn Prxy Server 2.0 aktualisieren, eine vllständige Sicherung der aktuellen Einstellungen durch.

19 Außerdem kann ISA Server nur auf Cmputern installiert werden, die Windws 2000 Server der höher ausführen. Führen Sie daher flgende Schritte aus, wenn Ihre aktuelle Versin vn Micrsft Prxy Server 2.0 unter Windws NT 4.0 ausgeführt wird: 1. Beenden und deaktivieren Sie alle Prxy Server-Dienste. Geben Sie hierzu an einer Eingabeauffrderung net stp Dienstname ein. Nachflgend finden Sie die Prxy Server-Dienste mit den jeweiligen Dienstnamen. Prxy Server-Dienst Micrsft Winsck-Prxydienst Micrsft Prxy Server Administratin Prxy-Warnungsmeldedienst WWW-Veröffentlichungsdienst Dienstname wspsrv mspadmin mailalrt w3svc 2. Aktualisieren Sie auf Windws Möglicherweise erhalten Sie eine Meldung, die darauf hinweist, dass Prxy Server 2.0 unter Windws 2000 nicht funktinieren wird. Diese Meldung können Sie ruhig ignrieren. Ausführliche Anweisungen finden Sie in der Prxy Server 2.0-Website unter (englischsprachig). 3. Jetzt können Sie mit der Installatin vn ISA Server beginnen. Spezielle Anweisungen finden Sie in Kapitel 3. Da die für den Firewallbetrieb benötigten Kerndienste während der Installatin nicht aktiv sind, sllten Sie den Cmputer, der aktualisiert wird, für den Rest des Installatinsverfahrens vm Internet trennen. Überlegungen zu Prxy Server 2.0-Arrays Wenn Sie vn Prxy Server 2.0 nach ISA Server migrieren, können Sie den ISA Server-Cmputer als Arraymitglied der als alleinstehenden Server installieren. Wenn Sie Prxy Server zu einem alleinstehenden Server migrieren, werden die meisten Regeln und snstigen Knfiguratinselemente, die vrher für Prxy Server 2.0 erstellt wurden, ebenfalls migriert. Wenn Sie in ein neues Array migrieren, legen die Standard-Unternehmensrichtlinieneinstellungen fest, wie Prxy Server-Regeln migriert werden. Bevr Sie ein Prxy Server-Array migrieren können, müssen Sie alle Mitglieder des Prxy Server 2.0-Arrays entfernen. Jedes Mitglied behält einen identischen Regelsatz. Auf ähnliche Weise behalten alle Server identische Netzwerkknfiguratinen (beispielsweise die Einstellungen für Wählen bei Bedarf) und Überwachungsknfiguratinen (beispielsweise Warnungen). Wenn Sie die Prxy Server 2.0-Cmputer aus dem Array entfernt haben, können Sie Prxy Server nach ISA Server migrieren. Führen Sie die flgenden Schritte durch, um eine ähnliche Arrayknfiguratin beizubehalten: 1. Erstellen Sie ein neues ISA Server-Array. Installieren Sie während der Installatin den ersten Cmputer in diesem Array. Das neue ISA Server-Array können Sie ebenfalls während der Installatin erstellen. 2. Migrieren Sie alle nachflgenden Prxy Server-Cmputer in dieses Array. Migrieren in ein Array Sie können einen einzelnen Prxy Server in ein neues Array vn ISA Server-Cmputern migrieren. In diesem Fall werden die Knfiguratinsinfrmatinen je nach Standardunternehmenseinstellungen des ISA Server- Arrays unterschiedlich in das ISA Server-Array migriert.

20 ISA Server kann s knfiguriert werden, dass nur eine Unternehmensrichtlinie, nur eine Arrayrichtlinie der eine Kmbinatin aus beiden verwendet wird. Je nach Unternehmensrichtlinieneinstellungen werden die Prxy Server-Regeln unterschiedlich migriert. Die flgende Tabelle enthält die möglichen Unternehmenseinstellungen und Einzelheiten dazu, wie die Prxy Server-Richtlinie für die einzelnen Einstellungen gehandhabt wird. Unternehmensrichtlinieneinstellungen Haben Sie Unternehmensadministratrberechtigungen? ISA Server Nur Arrayrichtlinie verwenden Ja der nein Migriert alle vrhandenen Prxy Server-Regeln zu der Arrayrichtlinie. Nur Unternehmensrichtlinie verwenden Ja Migriert alle vrhandenen Prxy Server-Regeln. Unternehmensrichtlinieneinstellunge n für das neue Array werden als Nur Arrayrichtlinie verwenden knfiguriert. Nur Unternehmensrichtlinie verwenden Nein Migriert keine Prxy-Regeln. Das neue Array verwendet nur die Unternehmensrichtlinie. Unternehmens- und Arrayrichtlinie verwenden Unternehmens- und Arrayrichtlinie verwenden Ja Nein Migriert alle vrhandenen Prxy Server-Regeln. Unternehmensrichtlinieneinstellunge n für das neue Array werden auf Nur Arrayrichtlinie verwenden festgelegt. Migriert nur Prxy Server-Regeln, die zu Verweigerungsregeln migriert werden können Dmänenfilter, keine Prtklle. Unternehmensrichtlinieneinstellunge n für das neue Array verwenden die Unternehmensrichtlinie zusammen mit der Arrayrichtlinie, die einschränkender ist. Wenn die Unternehmensrichtlinie Veröffentlichungsregeln zulässt, werden die Prxy Server- Veröffentlichungseinstellungen zu der Arrayrichtlinie migriert. Wenn die Unternehmensrichtlinie keine Veröffentlichungsregeln zulässt, werden, wenn Sie über Unternehmensadministratrberechtigungen verfügen, die Unternehmensrichtlinieneinstellungen s geändert, dass Veröffentlichungsregeln in diesem Array zulässig sind. Die Prxy Server-Veröffentlichungseinstellungen werden dann zu der Arrayrichtlinie migriert. Migrieren der Prxy Server 2.0-Knfiguratin Die meisten Prxy Server-Regeln, Netzwerkeinstellungen, Überwachungsknfiguratinen und Cacheknfiguratinen werden nach ISA Server migriert. Prxyketten Gemischte Ketten aus Prxy Server 2.0- und ISA Server-Cmputern werden unterstützt. Wenn ein Prxy Server 2.0-Server einem ISA Server nachgerdnet ist, wird nur Webprxyverkettung unterstützt. Das liegt daran, dass Prxy Server 2.0 keine Upstream-Winsck-Prxyverkettung unterstützt.