Intelligent Application Gateway 2007 Abgrenzung und Mehrwert zum Internet Security Acceleration Server 2006

Transkript

1 Intelligent Application Gateway 2007 Abgrenzung und Mehrwert zum Internet Security Acceleration Server 2006 Kai Wilke Consultant - IT Security Microsoft MVP a. D. mailto:kw@itacs.de

2 Agenda Microsoft Forefront Edge Security Strategie Produktabgrenzung zwischen IAG und ISA Remote Access mit ISA Server 2006 Remote Access mit IAG 2007 Demo: Intelligent Application Gateway 2007 Erstellung einer Portal-Website Veröffentlichung von Website-Applikationen Veröffentlichung von Client/Server-Applikationen Einrichtung eines Network Connectors Application Inspection und Endpoint Security Fragen und Antworten

3 Microsoft Forefront Edge Security Microsoft Forefront Portfolio

4 Microsoft Forefront Edge Security Produktabgrenzung zwischen ISA und IAG Application Firewall und Webcache Site to Site VPNs Remote Access Extern VPN Internet Intern DMZ

5 Microsoft Forefront Edge Security Wissenswertes zum IAG 2007 Im Zuge der Whale Aquisition eingekauft Whale hatte bereits viel Erfahrungen im SSL/VPN-Marktsegment IAG ist kein käufliches Addon für den ISA IAG wird ausschließlich als Appliance vertrieben Windows 2003 R2 und ISA Server 2006 sind enthalten Appliances wurden bereits von den Herstellern gehärtet Aktuell stehen 7 Applicance-Partner zur Auswahl IAG erweitert den ISA im Remote-Access-Umfeld Verwendet ausschließlich HTTP/HTTPS für Client-Zugriffe Ersetzt/erweitert viele bekannte ISA Server-Funktionalitäten Konfiguration geschieht über eine seperate IAG-Konsole

6 Agenda Microsoft Forefront Edge Security Strategie Produktabgrenzung zwischen IAG und ISA Remote Access mit ISA Server 2006 Remote Access mit IAG 2007 Demo: Intelligent Application Gateway 2007 Erstellung einer Portal Website Veröffentlichung von Website-Applikationen Veröffentlichung von Client/Server-Applikationen Einrichtung eines Network Connectors Application Inspection und Endpoint Security Fragen und Antworten

7 ISA Server 2006 Remote Access Remote Access über traditionelle VPNs ISA Server 2006 ist der Endpunkt für Client-VPN-Zugriffe Unterstützung für PPTP oder L2TP\IPSec VPN Tunnel Benutzerauthentifizierung über AD oder Radius ISA Server 2006 Regelwerk kontrolliert die Zugriffe Richtlinien können auf AD-Gruppenebene definiert werden VPN-Quarantine zur Überprüfung der VPN Client Security Nur die Serverkomponente ist im ISA Server enthalten Internet VPN Client VPN Server

8 ISA Server 2006 Remote Access Probleme beim Einsatz von VPNs Einrichtung eines VPN-Clients notwendig Für unbedarfte Benutzer etwas kompliziert In gemischten Umgebungen eine Herausforderung VPN-Protokolle benötigen spezielle Ports Oftmals nicht verfügbar in fremden Netzwerken NAT macht die Sache oftmals kompliziert Probleme mit IP-Adressüberschneidungen Zugriffe meist nur auf wenige Anwendungen nötig synchronisieren, Intranet Websites, etc. VPN = Mit Kanonen auf Spatzen geschossen!

9 ISA Server 2006 Remote Access Web-Publishing als VPN-Ersatz Der ISA Server 2006 simuliert einen Webserver Die DNS Einträge zeigen zum ISA Server ISA Weblistener nimmt HTTP Anfragen entgegen Verwendung eines HTTP-Reverse-Proxy-Servers Bietet ausgeprägtes HTTP Application-Layer-Filtering Ist geeignet für jede Art und Typ von Webservern Zusätzliche Unterstützung für MS spezifische Dienste DNS: owa.domain.de IP: [ ] DNS: srv1.domain.de IP: [ ] Mobiler Client ISA Server Exchange Server

10 ISA Server 2006 Remote Access Web-Publishing als VPN-Ersatz Nur ausgewählte URLs werden weitergeleitet Kriterien: Externe IPs, Hostheader, Pfade, Dateien z.b. Exchange: /Exchange/*, /ExchWeb/*, /Public/*, /Rpc/*, /Oma/*, /Microsoft-Server-ActiveSync/* Einsatz von umfangreicher HTTP-Syntaxanalyse URL Encoding, HTTP-Befehle, Extensions, URL-Größen Filterung von HTTP Headern und Angriffsmustern DNS: owa.domain.de IP: [ ] DNS: srv1.domain.de IP: [ ] Mobiler Client ISA Server Exchange Server

11 ISA Server 2006 Remote Access Web-Publishing als VPN-Ersatz Normale FWs können HTTPS nicht inspizieren Quasi eine simple Weiterleitung des TCP Ports 443 Kein Schutz gegen Angriffe auf Anwendungsebene ISA Server kann HTTPS in der Mitte aufbrechen Der ISA Server ist der HTTPS Endpunkt des Clients HTTPS oder HTTP Verbindung zum Exchange Server HTTPS End-to-End VerbindungHTTPS Verbindung HTTPS oder HTTP Mobiler Client Traditionelle ISA Server Firewall Exchange Server

12 ISA Server 2006 Remote Access Web-Publishing als VPN-Ersatz Der ISA verlangt für den Zugriff eine Anmeldung Nicht authentifizierte Benutzer werden ausgesperrt! Authentifizierung über das AD, LDAP, OTP, RSA oder RADIUS Anmeldedaten werden zum Webserver geleitet Die Benutzer müssen sich nicht doppelt authentifizieren Über: BASIC, Kerberos, NTLM, FBA oder RSA SecureID Authentifizierung erforderlich OK Authentifizierung erforderlich OK Mobiler Client ISA Server Exchange Server

13 ISA Server 2006 Remote Access Web-Publishing als VPN-Ersatz Viele (die meisten) Intranets sind historisch gewachsen und nur über verlinkt Mobile Clients sollen freigegebene Intranet-Ressourcen nur verschlüsselt über erreichen. n-websites Jede veröffentlichte SSL Website benötigt normalerweise eine separate öffentliche IP-Adresse SharePoint Portal Server Mobiler Client Firewall Exchange Server

14 ISA Server 2006 Remote Access Web-Publishing als VPN-Ersatz Externe URL Interne URL n-websites SharePoint Portal Server Mobiler Client ISA Server Exchange Server

15 ISA Server 2006 Remote Access Web-Publishing als VPN-Ersatz <head><title>linktranslation Demo</title></head> <body> <a href=" /default.asp">intranet</a> </body> n-websites SharePoint Portal Server Mobiler Client ISA Server Exchange Server

16 Agenda Microsoft Forefront Edge Security Strategie Produktabgrenzung zwischen IAG und ISA Remote Access mit ISA Server 2006 Remote Access mit dem IAG 2007 Demo: Intelligent Application Gateway 2007 Erstellung einer Portal-Website Veröffentlichung von Website-Applikationen Veröffentlichung von Client/Server-Applikationen Einrichtung eines Network Connectors Application Inspection und Endpoint Security Fragen und Antworten

17 IAG 2007 Remote Access Mehrwert IAG 2007 Web-Portal als zentraler Einstiegspunkt fürs Intranet Benutzer sehen sofort, auf was sie Zugriff haben Unterstützung für nahezu alle Anwendungen über SSL-VPN Zugriffe auf Web-basierte Intranet-Ressourcen Zugriffe auf Netzwerkfreigaben über IAG File Access Zugriffe auf Client/Server-Anwendungen mit Socks/Port-Forwarding IP basiertes SSL-VPN als Ersatz für traditionelle VPN-Einwahl Geeignet für Managed oder Unmanaged Clients Sicherheitskonfiguration des Clients wird ausgelesen Zugriffe auf Basis der Sicherheitskonfiguration (Full Access / Read Only) Temporäre Daten können beim Logoff gelöscht werden Application Intelligence sichert die Anwendungen ab Vorgefertigte HTTP Application-Filter für gängige Anwendungen OWA, SPS, MOSS, CRM, SAP, Peoplesoft, Domino, WebSphere

18 IAG 2007 Remote Access User Experience Any Application Terminal Services Mobiler Client IAG Server Websites

19 Agenda Microsoft Forefront Edge Security Strategie Produktabgrenzung zwischen IAG und ISA Remote Access mit ISA Server 2006 Remote Access mit IAG 2007 Demo: Intelligent Application Gateway 2007 Erstellung einer Portal-Website Veröffentlichung von Website-Applikationen Veröffentlichung von Client/Server-Applikationen Einrichtung eines Network Connectors Application Inspection und Endpoint Security Fragen und Antworten

20