Inhaltsverzeichnis. Teil A Grundlagen und Installation... 27

Transkript

1 Einleitung Das Buch Die Zielgruppe des Buchs Die Autoren Die Beispielfirma Fabrikam Inc Der Inhalt im Überblick Teil A: Grundlagen und Installation Teil B: Allgemeine Konfiguration und Administration Teil C: Firewallrichtlinien (Zugriffsregeln) Teil D: Virtuelle private Netzwerke (VPN) Teil E: ISA Server 2006 Enterprise Edition Teil F: Überwachung und Fehlersuche Teil G: Anhang Die Website zum Buch Unser Dank Sprechen Sie mit uns Teil A Grundlagen und Installation Einführung in ISA Server Was ist Microsoft ISA Server 2006? Historie Versionen Lizenzierung und Beschaffung Appliance Systemanforderungen Grundsätze zur Planung IPv Anzahl der Netzwerkkarten Ausgehende IP-Adresse Mehrere Internet Service Provider Bit-Technologie Zusammenfassung Neuerungen in ISA Server Neuerungen in ISA Server Fehlende Funktion im Vergleich zu ISA Server

2 Generell fehlende Funktionen in ISA Server SIP-Unterstützung Mehrfache ISP-Anbindung :1-NAT Zusammenfassung Firewallgrundlagen Was ist eine Firewall? Firewallarten Firewallkonfigurationen Umgebungssicherheit Zusammenfassung Absichern von Windows Server Warum Windows Server 2003 absichern? Wie sollten Sie Windows Server 2003 absichern? Neuerungen in Service Pack 2 für Windows Server Patchmanagement für ISA Server Manuelle Installation Installation über Microsoft-Update Windows Server Update Services (WSUS) Zusammenfassung Installieren von ISA Server Vorbereiten der Netzwerkumgebung Verbindungsreihenfolge und Protokollbindung TCP/IP-Eigenschaften Update-Möglichkeiten Direkte Aktualisierung Export und Import der Konfiguration Gründe für den Export einer Konfiguration Aufgaben vor der Migration Durchführen der direkten Aktualisierung Abschließende Arbeiten Export und Import der Konfiguration Neuinstallation Evaluierungsversion Zusammenfassung Internetanbindung Standleitung mit Router Konfigurieren von ISA Server 2006 für die Internetanbindung mit einer Standleitung DSL mit dynamischer IP-Adresse DFÜ-Wählverbindung Failover und Loadbalancing

3 Das Konzept der DNS-Auflösung DNS-Namensauflösung für interne Clients Split-DNS-Konfiguration Zusammenfassung Installieren und Konfigurieren von ISA Server-Clients Der Firewallclient Konfigurieren des Firewallclients Unbeaufsichtigte Deinstallation Einstellungen auf dem Windows-Client Der SecureNAT-Client Der Webproxyclient Konfiguration des Browsers durch eine Gruppenrichtlinie Automatische Konfiguration durch WPAD Zusammenfassung Teil B Allgemeine Konfiguration und Administration Konfigurieren von ISA Server Konfigurieren der Toolbox-Elemente Protokolle Benutzer Inhaltstypen Zeitpläne Netzwerkobjekte Netzwerkvorlagen Edgefirewall Abschnitt-Umkreisnetzwerk Frontfirewall Backfirewall Einzelner Netzwerkadapter Netzwerkvorlagen-Assistent Netzwerkeinrichtung Mehrfachnetzwerke mit ISA Server Webverkettung Erstellen von Netzwerken und Netzwerkregeln Netzwerktypen Besonderheiten der Netzwerkeinrichtung Systemrichtlinien Grundlagen zu Firewallrichtlinien Cachekonfiguration Inhaltsdownloadaufträge BITS-Caching HTTP-Komprimierung

4 Webverkettung Anwendungs- und Webfilter Unterschied zwischen Paketfilter und Anwendungsfilter Add-Ins Anwendungsfilter Webfilter DiffServ Eindringversuchserkennung DNS-Angriffe Kundenfeedback Zusammenfassung Spezielle Konfigurationen ISA Server 2006 mit nur einer Netzwerkkarte Besonderheiten von ISA Server 2006 mit nur einer Netzwerkkarte ISA Server 2006 mit einer DMZ Festlegen des DMZ-Designs Entscheidung, welches Netzwerkverhältnis verwendet werden soll Verwendung von privaten oder öffentlichen IP-Adressen für Ressourcen in der DMZ Festlegen der Firewallrichtlinien zwischen den Netzwerken ISA Server 2006 mit mehr als drei Netzwerkkarten ISA Server 2006 in einer virtuellen Umgebung ISA Server 2006 auf einem Domänencontroller/Small Business Server Zugriff auf Active Directory durch ISA Server 2006 hindurch erlauben ISA Server auf einem Small Business Server Automatic Proxy Discovery for Co-Located ISA Server and IIS Zusammenfassung Administration Verwaltung mit Remotedesktop Verwaltung mit der ISA Server 2006-Verwaltungskonsole Administrative Rollen zuweisen Exportieren und Importieren der Konfiguration Exportieren der Konfiguration Importieren (Wiederherstellen) der Konfiguration Sichern und Wiederherstellen der Konfiguration Zusätzliche Sicherheitsrichtlinien IP-Routing Flutabwehreinstellungen konfigurieren ISA Server Best Practices Analyzer Tool Ändern der IP-Adresse des ISA Server-Computers Zusammenfassung

5 Teil C Firewallrichtlinien Eingeschränkter Zugriff für Server Designfragen für Infrastrukturserver Zeitsynchronisation Grundlagen Erstellen einer Zugriffsregel für die Zeitsynchronisation Konfiguration von Windows Server für den Zeitabgleich Windows Update Windows-Produktaktivierung Zusammenfassung Serververöffentlichungen Veröffentlichen eines internen Terminalservers Grundlagen Erstellen einer Serververöffentlichung Veröffentlichen von Microsoft SQL Server Vorbereitungen Erstellen einer Serververöffentlichung ISA Server 2006 als DNS-Server ISA Server 2006 als DNS-Server für das interne Netzwerk ISA Server 2006 als externer DNS-Server ISA Server 2006 als DHCP-Server FTP-Server veröffentlichen Zusammenfassung Webserververöffentlichung Authentifizierungsverfahren Standard-Authentifizierung Digest- und WDigest-Authentifizierung Integrierte Windows-Authentifizierung (NTLM und Kerberos) RSA SecurID Formularbasierte Authentifizierung Single Sign-On (SSO) SSL-Zertifikate RADIUS (Remote Access Dial In User Service) RADIUS-OTP (One Time Password) LDAP (Lightweight Directory Authentication Protocol) Anpassbare formularbasierte Authentifizierung Eingeschränkte Kerberos-Delegierung Möglichkeit zur Blockierung der Delegierung der Authentifizierung Veröffentlichung von Webservern Absicherung der Webserververöffentlichung durch die HTTP-Filterung Aktivieren der Authentifizierung für HTTP

6 Veröffentlichen einer Webfarm mit ISA Server Veröffentlichen mehrerer Websites Sicheres Veröffentlichen von Webservern über SSL Zertifikatverwaltung Zertifikatgrundlagen SSL-Zertifikatgrundlagen Public Key Infrastruktur Zertifizierungsstellen Installation einer Zertifizierungsstelle Zertifikatbeantragung Zertifikat-Export und -Import Verwenden von Zertifikaten in Webserververöffentlichungen Anfordern von Zertifikaten direkt an ISA Server Konfigurieren der Zertifikatsperrung in ISA Server Weitere Einsatzgebiete von Zertifikaten Veröffentlichen der Zertifikatssperrliste Hinzufügen eines Sperrlistenverteilungspunkts Veröffentlichen einer Zertifikatssperrliste über ISA Server Veröffentlichen von WebDAV Einrichtung eines WebDAV-Ordners Erstellen einer Veröffentlichungsregel für den WebDAV-Ordner Konfiguration der Delegierungsberechtigung Beantragen eines Benutzerzertifikats und Testen des Zugriffs Beheben von Authentifizierungsproblemen Absichern mithilfe der HTTP-Filterung Anpassen der Fehlerseiten Veröffentlichen von Windows SharePoint Services/SharePoint Server Linkübersetzung Globale Konfiguration der Linkübersetzung Konfiguration der Linkübersetzung in den Webserververöffentlichungen WSUS auf ISA Server 2006 veröffentlichen Installation von WSUS Erstellen der Firewallrichtlinien Zusammenfassung Absichern von Exchange Server SMTP-Serververöffentlichung Veröffentlichung von Outlook Web Access Absicherung mithilfe der HTTP-Filterung Veröffentlichung von RPC über HTTPS Installieren und Konfigurieren des RPC-Proxy Erstellen einer Veröffentlichung für RPC-über-HTTPS Absicherung durch die HTTP-Filterung Konfiguration von Outlook Veröffentlichung von Exchange-RPC Veröffentlichen von Outlook Mobile Access Absicherung durch die HTTP-Filterung

7 Veröffentlichen von Exchange-ActiveSync Vorbereiten von Exchange Server Erstellen einer Webveröffentlichung Absicherung durch die HTTP-Filterung Konfigurieren von ActiveSync auf dem Endgerät Blackberry Enterprise Server veröffentlichen Viren- und Spamschutz mit Microsoft Antigen Intelligent Message Filter (IMF) Outlook Junk- -Ordner Scheinsicherheit SMTP-Server auf einem anderen Port als TCP 25 veröffentlichen SMTP-Banner ändern Outlook Web Access auf einem Nicht-Standard-Port veröffentlichen Zusammenfassung Eingeschränkter Zugriff für Clients Designfragen Festlegen von Richtlinien für den Webzugriff Erstellen einer Zugriffsregel für Webprotokolle Zugriff auf bestimmte Websites sperren HTTP-Filterkonfiguration Was ist ein Webfilter bzw. HTTP-Filter? Webfilter-Aufgaben Wie funktioniert ein Webfilter? HTTP-Filter und Webserververöffentlichungen Erklärung der HTTP-Filterkonfiguration Methoden Erweiterungen Header Signaturen FTP-Filterkonfiguration Zugriff für weitere Anwendungen Client Newsreader Zusammenfassung Teil D Virtuelle private Netzwerke VPN-Grundlagen Einführung in VPN-Netzwerke PPTP L2TP/IPSec IPSec Zusammenfassung

8 17 Clientanbindung mit VPN Konfigurieren von ISA Server 2006 für eingehende VPN-Verbindungen ISA Server 2006-Konfiguration Vergeben von Einwahlberechtigungen Authentifizierungseinstellungen Erstellen von Firewallrichtlinien Netzwerkregeln Clientkonfiguration für PPTP Überwachen der VPN-Verbindung am ISA Server Clientkonfiguration für L2TP/IPSec Konfiguration von ISA Server 2006 für die Verwendung von L2TP/IPSec Konfiguration des Clients für L2TP/IPSec Einrichtung der VPN-Verbindung WPAD-Konfiguration für VPN-Verbindungen Zusammenfassung VPN-Quarantäne Einrichten von VPN-Quarantäne Was ist die VPN-Quarantänenfunktion? Konfiguration der VPN-Quarantänenfunktion Aktivieren der VPN-Quarantänenfunktion von ISA Server Überprüfung des Clients Verbindungs-Manager-Verwaltungskit Konfiguration des Clients VPN-Quarantäne-Suite Voraussetzung zur Installation der VPN-Quarantäne-Suite Zusammenfassung Standortverbindungen Ist-Zustand von Fabrikam Inc Überblick über Standort-zu-Standort-VPN-Verbindungen Unterstützte VPN-Protokolle in ISA Server Point-to-Point Tunneling-Protocol Layer 2 Tunneling-Protocol IPSec-Tunnelmodus Einrichten einer Standort-zu-Standort-VPN-Verbindung mit L2TP über IPSec mit Preshared Key Standort München: Erstellen des Remotestandorts Aktivieren des VPN-Clientzugriffs Konfigurieren der VPN-Verbindung zur Verwendung eines vorinstallierten Schlüssels Standort Zürich: Erstellen des Remotestandorts Aktivieren des VPN-Clientzugriffs Konfigurieren der VPN-Verbindung zur Verwendung eines vorinstallierten Schlüssels Testen der Standort-zu-Standort-VPN-Verbindung Fehlerbehandlung Einrichten einer Standort-zu-Standort-VPN-Verbindung mit PPTP

9 Einrichten einer Standort-zu-Standort-VPN-Verbindung mit IPSec Konfigurieren von ISA Server 2006 für eine Standortverbindung mit IPSec Konfiguration einer Sonicwall TZ 150 für die Standortanbindung mit IPSec Konfiguration einer Watchguard Firebox X Edge für die Standortanbindung mit IPSec Konfiguration einer Cisco PIX 501 für die Standortanbindung mit IPSec Zusammenfassung RADIUS/IAS-Integration RADIUS-Grundlagen Was ist RADIUS? Sicherheitsaspekte beim Einsatz von RADIUS Internetauthentifizierungsdienst Registrierung des RADIUS-Servers in Active Directory Hinzufügen von ISA Server 2006 als RADIUS-Client im Internetauthentifizierungsdienst RADIUS-Unterstützung in ISA Server Erstellen einer Zugriffsregel zur Verwendung von RADIUS Veröffentlichen eines RADIUS-Servers Sichern von RADIUS-Datenverkehr mit IPSec Zusammenfassung Teil E ISA Server 2006 Enterprise Edition Neuerungen in der Enterprise Edition Neuerungen in ISA Server 2006 Enterprise Edition Mehrere VIP für NLB Linkübersetzungseinstellungen sind im ganzen ISA Server-Unternehmen und -Array verfügbar Zweigstellen-VPN-Konnektivitäts-Assistent Merkmale der ISA Server 2006 Enterprise Edition Vergleich von ISA Server 2006 Standard mit ISA Server 2006 Enterprise Edition Zusammenfassung Installieren und Konfigurieren der Enterprise Edition Installation und Konfiguration ISA Server 2006 Enterprise Edition auf einem DC Systemanforderungen Installieren von ISA Server 2006 Enterprise Edition auf DC-MUC Installieren von ISA Server 2006 Enterprise Edition auf FW2-MUC Konfigurationsspeicher ISA Server 2006-Array umbenennen Kommunikation Hostkennung ADAMSites-Tool

10 Verbindung mit einem Konfigurationsspeicherserver herstellen Unternehmensnetzwerke Berechtigungsdelegation und ISA Server 2006-Rollen Zentrale Protokollierung VPN-Besonderheiten Konfiguration des Netzwerklastenausgleichs Einrichtung von NLB am ISA Server Windows-Netzwerkkonfiguration für NLB Konfigurieren des Cache Array Routing Protocol Einrichten von CARP Firewallrichtlinien auf Unternehmens- und Arrayebene Migrieren von ISA Server 2004 Enterprise Edition auf ISA Server 2006 Enterprise Edition Updateprozess Zusammenfassung Teil F Überwachung und Fehlersuche Überwachung und Protokollierung Übersicht (Dashboard) Alarme Sitzungen Dienste Berichte Erstellen eines neuen Berichts Anpassen von Berichten Wiederkehrende Berichte Konnektivitätsüberprüfungen Protokollierungsmöglichkeiten von ISA Server Wofür soll protokolliert werden? Protokollformate Konfigurieren der Protokollierung Festlegen des Protokollierungsumfangs Erweiterte Firewallprotokollierung Besonderheit im Microsoft SQL Server Service-Manager Protokollieren in eine Microsoft SQL-Datenbank Produktversion herausfinden Zusammenfassung Überwachen von ISA Server 2006 mit MOM Download und Installation des Management-Pack für ISA Server Estellen von Firewallregeln für den MOM-Agenten Installation des MOM-Agenten auf ISA Server Überwachen von ISA Server mit MOM Zusammenfassung

11 25 Fehlersuche Auswerten der Protokolle Netzwerktools Ping Telnet Netstat Nslookup Zusatztools ADAMSites ISA Server 2006 Software Development Kit (SDK) Firewall Client Tool für ISA Server Firewall Kernel Mode Tool für ISA Server ISAInfo DNS Cache Tool für ISA Server Security Configuration Wizard (SCW) Update für ISA Server 2006 Standard und Enterprise ISA Server Cache Directory Tool MSDEToText Tool ISA Server Remote Access Quarantine Tool for ISA Server RSA Test Authentication Utility für ISA Server Automatic Proxy Discovery Package für ISA Server 2006 und Internet Information Services (IIS) GFI WebMonitor Produktdokumentation Zusammenfassung Weiterführende Hilfe für Administratoren Microsoft TechNet Microsoft TechNet-Versionen Microsoft Knowledge Base Durchsuchen der Knowledge Base Newsgroups Wichtige Websites Veranstaltungen Zusammenfassung

12 Teil G Anhang A MOC-Kurs und MCP-Prüfung MOC-Kurs Inhalte des MOC-Kurses MCP-Prüfung Wie kann man Betatester werden? Vorbereitung auf die Prüfung B Tabellen und RFCs Private Adressbereiche Auszug aus RFC 1918 Address Allocation for Private Internets Häufig verwendete Subnetzmasken HTTP-Statuscodes Weitere wichtige RFCs C Die Autoren Marc Grote Christian Gröbner Dieter Rauscher Stichwortverzeichnis