Microsoft ISA Server 2006

Transkript

1 Microsoft ISA Server 2006 Leitfaden für Installation, Einrichtung und Wartung ISBN Leseprobe Weitere Informationen oder Bestellungen unter sowie im Buchhandel

2 6 Eingehende Zugriffe Abbildung 6.57 Server-zu-Server-Kommunikation konfigurieren Option SMTP Sicheres SMTP Newsgroups (NNTP) Beschreibung Wählen Sie diese Option, damit der interne Mailserver s von externen Mailservern empfangen kann. Veröffentlichter Port: TCP 25 SMTP Secure Server bietet die gleichen Möglichkeiten wie SMTP, mit dem Unterschied, dass die Informationen, die zum Server übertragen werden, verschlüsselt werden. Veröffentlichter Port: TCP 465 Um Nachrichten aus Newsgroups empfangen zu können, muss der ISA Server den NNTP Server-Dienst des Exchange Servers veröffentlichen. Veröffentlichter Port: TCP Geben Sie die IP-Adresse des Mailservers an, und legen Sie fest, welche Schnittstelle der ISA Server auf eingehenden Netzwerkverkehr abhören soll. 6. Schließen Sie den Assistenten ab. Für jede ausgewählte Option ist in der Regelliste ein Eintrag hinzugefügt worden, über den jede Regel einzeln konfiguriert werden kann Exchange-Webclientzugriff veröffentlichen Dieser Assistent wird dazu verwendet, Webclientzugriffe auf eine Exchange-Infrastruktur zu konfigurieren. Darunter fallen jegliche Zugriffe auf Postfächer oder öffentliche Ordner, die mittels HTTP oder HTTPS erfolgen. Exchange Server und ISA Server unterstützen dabei folgende Methoden: Outlook Web Access Outlook RPC over HTTPS bzw. Outlook Anywhere 284

3 6.2 Veröffentlichungsregeln Outlook Mobile Access Exchange ActiveSync Nicht jede Exchange Server-Version unterstützt alle aufgeführten Funktionen. Deshalb stellt ISA Server abhängig von der eingesetzten Exchange Server-Version den passenden Assistenten zur Verfügung. Der Ablauf zur Einrichtung ist fast identisch zu Webserver- Veröffentlichungsregeln, weil es sich hier auch um Webclientzugriffe handelt. Einige kleine Unterschiede gibt es trotzdem. 1. Starten Sie die ISA Server-Verwaltung. 2. Markieren Sie das Objekt Firewallrichtlinie, und wählen Sie im Aufgabenfenster den Menüpunkt Exchange-Webclientzugriff veröffentlichen. 3. Wählen Sie einen aussagekräftigen Namen, z.b. Exchange-Webclientzugriff. 4. Wählen Sie die eingesetzte Exchange Server-Version aus, und markieren Sie die gewünschten Dienste. Abbildung 6.58 Exchange-Webclientzugriff konfigurieren, Teil 1 Option Outlook Web Access Beschreibung Markieren Sie diese Option, wenn Outlook Web Access veröffentlicht werden soll. Somit können mobile Benutzer mittels eines Browsers auf ihr Postfach zugreifen. Folgende virtuelle Verzeichnisse werden beim Auswählen dieser Option veröffentlicht: /exchange/* /exchweb/* /public/* 285

4 6 Eingehende Zugriffe Option Outlook RPC/HTTP(s) bzw. Outlook Anywhere Beschreibung RPC-Verkehr kann in HTTP bzw. HTTPS-Kanälen getunnelt werden. Falls eine Firmenrichtlinie keine direkten RPC-Verbindungen auf eine Exchange-Infrastruktur zulässt (z.b. mithilfe von Outlook RPC), kann diese Methode als Alternative eingesetzt werden. Es wird ein virtuelles Verzeichnis veröffentlicht: /rpc/* Outlook Mobile Access Wenn Benutzer mit Browsern von mobilen Geräten auf Ihre Postfächer zugreifen müssen, wird diese Option markiert. Folgendes virtuelles Verzeichnis wird veröffentlicht: /OMA/* Exchange ActiveSync Entscheiden Sie sich für diese Option, wenn Benutzer Postfachinformationen auf ihr mobiles Gerät synchronisieren müssen. Ein virtuelles Verzeichnis wird veröffentlicht: /Microsoft-Server-ActiveSync/* Die restlichen Konfigurationsschritte sind nahezu identisch mit normalen Webserver- Veröffentlichungsregeln. Nehmen Sie die gewünschten Konfigurationen vor, schließen Sie den Assistenten ab, und übernehmen Sie die Einstellungen. Die ausgewählten Dienste werden in einer einzigen Regel veröffentlicht, über die nachträglich auch Konfigurationsänderungen vorgenommen werden können. Wie bereits mehrfach erwähnt worden ist, ist es mit einem ISA Server möglich, nur authentifizierten Benutzern den Zugang zu veröffentlichten Diensten zu ermöglichen. In vielen Fällen ist eine solche Vor-Authentifizierung sinnvoll, um das interne Netzwerk zusätzlich zu schützen und Anfragen von Benutzern, die nicht über gültige Anmeldeinformationen verfügen, bereits an der Firewall zu blockieren. Weil die Authentifizierungsmethoden für eingehende Verbindungen erst später in diesem Kapitel behandelt werden, müssen noch zwei Punkte beachtet werden, damit die Veröffentlichung von Exchange-Diensten für Webclientzugriffe vollständig funktionieren. Achtung: Falls noch nicht mit Authentifizierung am ISA Server gearbeitet wird, sind zwei weitere Punkte zu beachten, damit Webclientzugriffe vollständig funktionieren. Besser ist natürlich eine Vor-Authentifizierung am ISA Server, um nicht authentifizierte Verbindungen an der Firewall zu trennen. Dieses Vorgehen wird später in diesem Kapitel beschrieben. Über die Eigenschaften der neu hinzugefügten Regel muss die Delegationskonfiguration überprüft werden. Ein Zugriff auf ein Postfach erfordert immer eine Authentifizierung, und damit der ISA Server dies überhaupt zulässt, muss die Option Keine Delegierung, aber direkte Authentifizierung des Clients ausgewählt werden. Ansonsten wird einem Client nicht erlaubt, Anmeldeinformationen zum veröffentlichten Server zu übermitteln. Über den eingesetzten Listener muss zudem festgelegt werden, dass der ISA Server zwar keine 286

5 6.2 Veröffentlichungsregeln Anmeldeinformationen erfordert, aber eine direkte Anmeldung mittels HTTP zulässt. Wählen Sie dafür als Authentifizierungsmethode Keine Authentifizierung, und markieren Sie über die Schaltfläche Erweitert die Option Clientauthentifizierung über HTTP zulassen. Nach dem Übernehmen der neuen Konfiguration ist der Postfachzugriff für Webclients unter direkter Authentifizierung am Exchange Server möglich. Abbildung 6.59 Exchange-Webclientzugriff konfigurieren, Teil Veröffentlichungsregeln für SharePoint-Sites Dieser Regeltyp wird eingesetzt, um SharePoint-Sites zu veröffentlichen, wobei es grundsätzlich keine Rolle spielt, ob die Site auf den Windows SharePoint Services oder einem SharePoint Portal Server bereitgestellt werden. Eine solche Veröffentlichung war bereits mit ISA Server 2004 möglich, war aber verhältnismäßig aufwendig, weil beim Veröffentlichen von SharePoint-Sites einige zusätzliche Punkte berücksichtigt werden müssen, die bei den meisten normalen Webseiten nicht relevant sind. Dazu gehören folgende: Viele absolute Verknüpfungen auf interne Bezeichnungen, die teilweise nur schwer zu finden sind (z.b. auch in ActiveX-Elementen) 287

6 6 Eingehende Zugriffe Komplexe Berechtigungsstruktur für den Zugriff auf unterschiedliche Bereiche einer SharePoint-Site Teilweise komplexe URLs, die vom HTTP-Filter blockiert werden ISA Server 2006 ist mit einem mächtigen Assistenten ausgerüstet, der die erwähnten Bereiche abdeckt und SharePoint-Sites vollständig und fehlerlos veröffentlichen kann. 1. Starten Sie die ISA Server-Verwaltung. 2. Markieren Sie das Objekt Firewallrichtlinie, und wählen Sie im Aufgabenfenster den Menüpunkt SharePoint-Sites veröffentlichen. 3. Wählen Sie einen aussagekräftigen Namen, z.b. SharePoint Teamsite veröffentlichen. Auch dieser Assistent weist viele Parallelen zum Assistenten für das Veröffentlichen von Websites aus. Allerdings gibt es einen kleinen Unterschied. Damit alle SharePoint- Funktionen ohne Einschränkung nutzbar sind, muss ein SharePoint-Server für die alternative Zugriffszuordnung konfiguriert sein. Legen Sie dazu im Assistenten fest, ob diese Konfiguration bereits vorgenommen worden ist oder nicht. Weitere Informationen dazu finden Sie in der SharePoint Portal Server- oder der ISA Server-Hilfe. Abbildung 6.60 SharePoint-Site veröffentlichen, Teil 1 Der Assistent konfiguriert alle notwendigen Einstellungen. Dazu gehören unter anderem der HTTP-Filter, die Linkübersetzung und die virtuellen Verzeichnisse, auf die externe Clients zugreifen müssen, damit die SharePoint-Site einwandfrei funktioniert. 288

7 6.2 Veröffentlichungsregeln Abbildung 6.61 SharePoint-Site veröffentlichen, Teil Veröffentlichungsregeln für Nicht-Webserverprotokolle Bisher haben Sie sehr spezifische Arten von Veröffentlichungsregeln kennen gelernt. Die letzte Art solcher Regeln befasst sich nun mit den ganzen restlichen Anwendungen und Protokollen, die nicht von den anderen Assistenten abgedeckt werden. Es können alle beliebigen Inbound-Protokolle genutzt werden, um Serverdienste zu veröffentlichen. ISA Server stellt für diese Veröffentlichung eine Reihe von Protokolldefinitionen zur Verfügung, die bei Bedarf natürlich erweitert werden können, um alle gewünschten Dienste veröffentlichen zu können. 1. Starten Sie die ISA Server-Verwaltung. 2. Markieren Sie das Objekt Firewallrichtlinie, und wählen Sie im Aufgabenfenster den Menüpunkt Nicht-Webserverprotokolle veröffentlichen. 3. Wählen Sie einen aussagekräftigen Namen, z.b. Remotedesktop veröffentlichen. 4. Geben Sie die IP-Adresse desjenigen Servers an, der den zu veröffentlichenden Dienst ausführt, und wählen Sie anschließend das entsprechende Serverprotokoll aus. Bei den hier angezeigten Elementen handelt es sich um Protokolldefinitionen, die für die Richtung eingehend konfiguriert sind. 289

8 6 Eingehende Zugriffe Abbildung 6.62 Nicht-Webserverprotokoll veröffentlichen, Teil 1 5. Über die Schaltfläche Ports lassen sich Änderungen am Protokollverhalten vornehmen. Wenn beispielsweise Anfragen auf einem anderen Port als in der Protokolldefinition angegeben entgegengenommen werden sollen, kann hier ein beliebiger Port eingesetzt werden. Zudem lassen sich eingebende Anfragen an einen anderen Port weiterleiten, sofern ein spezieller Port für eine Anwendung festgelegt worden ist. Abbildung 6.63 Nicht-Webserverprotokoll veröffentlichen, Teil 2 6. Legen Sie zum Abschluss fest, von welchem Quellnetzwerk Verbindungen hergestellt werden dürfen, und geben Sie bei Bedarf spezifische IP-Adressen an. 290

9 6.2 Veröffentlichungsregeln 7. Übernehmen Sie die Einstellungen, und prüfen Sie über die Eigenschaften der hinzugefügten Regel, ob weitere Anpassungen notwendig sind. Hinweis: Wie Sie sehen können, lassen sich für diese Art von Veröffentlichungen nicht allzu viele Konfigurationen vornehmen. Der ISA Server leitet eingehende Anfragen ohne Authentifizierung direkt zum veröffentlichten Server weiter. Trotzdem erfolgt für einige Protokolle eine Filterung auf Anwendungsebene, allerdings nur für diejenigen, für die der ISA Server über einen entsprechenden Anwendungsfilter verfügt Dienstveröffentlichung auf dem ISA Server In einigen Situationen kann es sein, dass bestimmte Dienste auf dem ISA Server ausgeführt und veröffentlicht werden sollen, was mit den vorhandenen Veröffentlichungsmethoden grundsätzlich möglich ist. Einzig zu beachten ist, dass die auf dem ISA Server laufenden Dienste keinen Konflikt mit zu veröffentlichenden Diensten oder Listenern verursachen. Ein spezielles Problem ergibt sich aber, wenn IIS-Dienste (Internetinformationsdienste) veröffentlicht werden müssen. IIS verwendet standardmäßig Socket Pooling, was bedeutet, dass die IIS-Listener Netzwerkverkehr auf allen IP-Adressen eines Geräts abhören. Nehmen wir an, dass Sie eine Webseite auf dem ISA Server veröffentlichen möchten. Einerseits benötigen Sie dazu einen Weblistener auf der externen Schnittstelle, der eingehenden Netzwerkverkehr auf Port 80 abhört. Nachdem der Verkehr angenommen wird, wird er anhand einer konfigurierten Veröffentlichungsregel an den virtuellen Webserver des IIS weitergeleitet. Dieser läuft ebenfalls auf einer festgelegten, internen IP-Adresse auf Port 80. Das würde grundsätzlich funktionieren, aber bei aktiviertem Socket Pooling hört der IIS neben den einzelnen IP-Adressen auch die IP-Adresse für Port 80 ab, d.h. jede Schnittstelle, ab. Da der IIS also alle Schnittstellen abhört, ergibt sich ein Konflikt mit dem Listener der Veröffentlichungsregel. Selbst wenn der virtuelle Webserver explizit für eine einzige IP-Adresse konfiguriert wird, bleibt das Problem bestehen. Wenn für ein bestimmtes Protokoll Socket Pooling deaktiviert wird, kann der Listener von der IP-Adresse entbunden und das Problem behoben werden. Zeigen Sie mit dem Befehl netstat.exe -na das Verhalten mit aktiviertem Socket Pooling an. Einige Dienste, z.b. der IIS mit dem HTTP-Protokoll (Port 80), sind an die IP-Adresse gebunden. 291