Microsoft ISA Server 2006 Leitfaden für Installation, Einrichtung und Wartung ISBN 3-446-40963-7 Inhaltsverzeichnis Weitere Informationen oder Bestellungen unter http://www.hanser.de/3-446-40963-7 sowie im Buchhandel
Teil I - Einführung, Konzepte und Design...1 1 Einführung... 3 1.1 Warum ein Buch zu ISA Server 2006?... 3 1.2 Was ist ein ISA Server?... 4 1.2.1 Internet Security Server (Sicherheit)... 4 1.2.2 Internet Acceleration Server (Beschleunigung)... 8 1.3 Eine Software-Firewall?... 9 1.4 Die wichtigsten Gründe für einen Einsatz von ISA Server 2006... 10 1.5 Was ein ISA Server nicht kann... 13 1.6 Icons im Buch... 15 1.7 Die Webseite zum Buch...15 1.8 Weitere Informationen... 15 1.9 Danksagung... 17 1.10 Das Kapitel im Schnelldurchlauf... 17 2 Konzepte und Design... 19 2.1 ISA Server-Konzepte... 19 2.1.1 Defense in Depth... 19 2.1.2 Versionen... 25 2.1.3 Lizenzierung... 26 2.1.4 Hardware... 26 2.1.5 Software...33 2.1.6 Versionsvergleich ISA Server 2000 und ISA Server 2006... 33 2.1.7 Versionsvergleich ISA Server 2004 und ISA Server 2006... 36 2.1.8 Kommunikationsmodelle... 38 2.2 ISA Server-Design... 42 2.2.1 Single-NIC-Variante... 43 2.2.2 Edge Firewall... 44 2.2.3 3-Leged Firewall (3-Abschnitt-Umkreisnetzwerk)... 44 2.2.4 Multi-Network Firewall... 46 V
2.2.5 Back-to-Back-Szenario...47 2.2.6 ISA Server in einer DMZ...48 2.2.7 Branch Office Firewall...49 2.2.8 Domäne oder Arbeitsgruppe?...49 2.3 Das Kapitel im Schnelldurchlauf...57 Teil II - Grundlagen und ISA Server Standard Edition...61 3 Installation... 63 3.1 Vorbereitung der Installation...63 3.1.1 Netzwerkkarten und Bindungen...63 3.1.2 Abschluss der Vorbereitung...67 3.2 Manuelle Installation...68 3.3 Unbeaufsichtigte Installation...74 3.4 Aktualisieren von älteren ISA Server-Versionen...77 3.4.1 Neuinstallation von ISA Server 2006...78 3.4.2 Direktaktualisierung auf ISA Server 2006...78 3.4.3 Migrieren der Konfiguration auf ISA Server 2006...81 3.5 Überprüfen der Installation...82 3.5.1 Ereignisanzeige...82 3.5.2 Datei- und Ordnerstruktur...83 3.5.3 Hinzugefügte Dienste...83 3.5.4 Installierte Verwaltungswerkzeuge...84 3.5.5 Prüfen der Installationsprotokolle...84 3.6 Aufgaben nach der Installation...85 3.6.1 Installation Service Packs und Updates für ISA Server 2006...85 3.6.2 Härten des Betriebssystems (System Hardening)...86 3.6.3 Routen hinzufügen...103 3.6.4 Portscan...106 3.7 Das Kapitel im Schnelldurchlauf...107 4 ISA Server-Basiskonfiguration... 111 4.1 Die ISA Server-Verwaltungswerkzeuge...111 4.1.1 ISA Server-Leistungsmonitor...112 4.1.2 ISA Server-Verwaltung...113 4.1.3 Übernehmen...116 4.1.4 Kundenfeedback...117 4.1.5 Lockdown-Modus...118 4.2 ISA Server-Remoteadministration...118 4.2.1 Anpassen der Systemrichtlinie...118 4.2.2 Remoteverwaltungscomputer festlegen...120 4.2.3 Administration mit ISA Server-Verwaltungswerkzeugen...121 4.2.4 Administration mit Remotedesktop...123 4.3 Delegation von Verwaltungsrechten...125 4.3.1 Durchführen der Delegation...127 4.3.2 Testen der Delegation...128 VI
4.3.3 Hintergrundinformationen zur Delegation... 129 4.4 Export (Sicherung) und Import (Wiederherstellung)... 129 4.4.1 Durchführen eines vollständigen Exports... 130 4.4.2 Durchführen der Wiederherstellung... 133 4.5 Die Toolbox... 135 4.5.1 Protokolle... 136 4.5.2 Benutzer... 140 4.5.3 Inhaltstypen... 146 4.5.4 Zeitpläne... 147 4.5.5 Netzwerkobjekte... 148 4.6 Die Systemrichtlinie... 166 4.7 ISA Server-Clients... 169 4.7.1 SecureNAT-Clients... 170 4.7.2 Firewall-Clients... 172 4.7.3 Webproxy-Clients... 187 4.7.4 Automatische Clienterkennung und -konfiguration... 192 4.7.5 Zusammenfassung ISA Server-Clients... 197 4.8 Das Kapitel im Schnelldurchlauf... 197 5 Ausgehende Zugriffe... 201 5.1 Wie laufen ausgehende Zugriffe ab?... 201 5.2 Netzwerke und Netzwerkregeln... 202 5.3 Zugriffsregeln... 202 5.3.1 Zugriffsregeln erstellen... 203 5.3.2 Zugriffsregeln konfigurieren... 207 5.4 Benutzerauthentifizierung... 212 5.4.1 Grundlagen zur Benutzerauthentifizierung... 212 5.4.2 ISA Server-Sitzungen... 213 5.4.3 Konfiguration der Benutzerauthentifizierung... 214 5.4.4 Sonderfall Server... 218 5.5 Webverkettung... 220 5.6 Firewall-Verkettung... 224 5.7 Einwähleinstellungen festlegen... 225 5.7.1 Einwählverbindung konfigurieren... 225 5.7.2 ISA Server für automatische Einwahl konfigurieren... 227 5.8 Das Kapitel im Schnelldurchlauf... 227 6 Eingehende Zugriffe... 229 6.1 Regeltypen verstehen... 229 6.1.1 Veröffentlichungsregeln... 230 6.1.2 Zugriffsregeln... 230 6.1.3 Unterschiede der Regeltypen... 231 6.1.4 Platzierung der Server mit zu veröffentlichenden Diensten... 232 6.2 Veröffentlichungsregeln...233 6.2.1 Website-Veröffentlichungsregeln... 235 6.2.2 Mailserververöffentlichungsregeln... 276 VII
6.2.3 Exchange-Webclientzugriff veröffentlichen...284 6.2.4 Veröffentlichungsregeln für SharePoint-Sites...287 6.2.5 Veröffentlichungsregeln für Nicht-Webserverprotokolle...289 6.2.6 Dienstveröffentlichung auf dem ISA Server...291 6.3 Authentifizierung...295 6.3.1 Authentifizierungsstrategien...295 6.3.2 Authentifizierungsmethoden...297 6.3.3 Authentifizierungsdelegierung...308 6.3.4 Single Sign-on (SSO)...310 6.3.5 RADIUS-Server einrichten...311 6.3.6 Zertifizierungsstelle einrichten...315 6.3.7 Zertifikatsprüfungen auf dem ISA Server...319 6.4 Zugriffsregeln...320 6.5 Eindringversuchserkennung (Intrusion Detection) und Flutabwehreinstellungen...320 6.6 Verschiedene Einstellungen...324 6.6.1 IP-Optionen...324 6.6.2 IP-Fragmente...325 6.6.3 IP-Routing...325 6.7 Das Kapitel im Schnelldurchlauf...325 7 Anwendungsfilterung... 329 7.1 Filtertypen...330 7.2 Anwendungsfilter...331 7.2.1 DNS-Filter...331 7.2.2 FTP-Zugriffsfilter...332 7.2.3 H.323-Filter...333 7.2.4 MMS-Filter...334 7.2.5 PNM-Filter...334 7.2.6 POP3-Eindringversuchs-Erkennungsfilter...334 7.2.7 PPTP-Filter...334 7.2.8 RPC-Filter...335 7.2.9 RTSP-Filter...335 7.2.10 SMTP-Filter...335 7.2.11 SOCKS V4-Filter...336 7.2.12 Webproxy-Filter...337 7.3 Webfilter...338 7.3.1 DiffServ-Filter...338 7.3.2 Lastenausgleichsfilter für Webveröffentlichung...340 7.3.3 Komprimierungsfilter...340 7.3.4 Filter für die Authentifizierungsdelegierung...341 7.3.5 Formularbasierter Authentifizierungsfilter...341 7.3.6 RADIUS-Authentifizierungsfilter...341 7.3.7 LDAP-Authentifizierungsfilter...342 7.3.8 Linkübersetzungsfilter...342 7.3.9 HTTP-Filter...342 VIII
7.3.10 Filter für Zwischenspeicherung komprimierter Inhalte... 348 7.4 Weitere Anwendungs- und Webfilter... 349 7.5 Das Kapitel im Schnelldurchlauf... 349 8 Virtuelle private Netzwerke... 353 8.1 VPN-Einführung... 354 8.1.1 Tunneling-Protokolle... 354 8.1.2 PPTP... 354 8.1.3 L2TP/IPSec... 355 8.1.4 IPSec... 355 8.1.5 PPTP oder L2TP... 355 8.2 VPN-Funktionen von ISA Server 2006... 356 8.3 Remote-VPN-Clients...356 8.3.1 Konfigurieren von eingehenden VPN-Verbindungen... 357 8.3.2 Weitere Konfigurationsschritte... 370 8.3.3 Clientverbindungen... 373 8.3.4 VPN-Server veröffentlichen... 384 8.4 Standort-zu-Standort-VPNs... 384 8.4.1 Remotestandort erstellen und Basiskonfiguration... 385 8.5 VPN-Quarantäne... 393 8.5.1 Vorbereitung ISA Server... 394 8.5.2 Vorbereiten des RQS-Listeners... 396 8.5.3 Clientskripte... 401 8.5.4 Verbindungs-Manager-Verwaltungskit... 402 8.5.5 VPN-Quarantäneclients... 405 8.6 Ausgehende VPN-Verbindungen... 406 8.6.1 Ausgehende PPTP-Verbindungen... 406 8.6.2 Ausgehende L2TP-Verbindungen... 407 8.7 Das Kapitel im Schnelldurchlauf... 407 9 Zwischenspeicherung... 411 9.1 Lokale Zwischenspeicherung... 411 9.2 Zwischenspeicherung mit ISA Server 2006... 412 9.2.1 Forward-Caching... 412 9.2.2 Reverse-Caching... 413 9.2.3 Hierarchisches Caching... 414 9.2.4 Verteiltes Caching... 414 9.2.5 Geplante Inhalts-Download-Aufträge... 414 9.3 Funktionen der Zwischenspeicherung... 415 9.4 Konfiguration der Zwischenspeicherung... 415 9.4.1 Cachelaufwerke festlegen... 416 9.4.2 Cacheregeln... 417 9.4.3 Erweiterte Cacheeinstellungen... 423 9.4.4 Geplante Inhalts-Download-Aufträge... 425 9.4.5 BITS-Caching... 429 IX
9.4.6 Cache deaktivieren und löschen...430 9.4.7 Cacheinhalte mit CacheDir.exe anzeigen...430 9.5 Das Kapitel im Schnelldurchlauf...432 10 Überwachung... 435 10.1 Übersicht (Dashboard)...436 10.2 Alarme...437 10.3 Sitzungen...446 10.4 Dienste...447 10.5 Berichte...448 10.6 Konnektivität...454 10.7 Protokollierung...457 10.7.1 MSDE-Datenbank...457 10.7.2 Textdatei...457 10.7.3 SQL-Server-Datenbank...457 10.7.4 Protokolle konfigurieren...458 10.7.5 SQL-Server-Protokollierung einrichten...465 10.8 Leistungsmonitor...473 10.8.1 Daten in Echtzeit...473 10.8.2 Aufzeichnung in Datenbank...474 10.8.3 Warnungen...477 10.8.4 Leistungsindikatoren...478 10.9 Portscanner...480 10.10 Das Kapitel im Schnelldurchlauf...481 Teil III - Enterprise Edition...483 11 Einführung in die Enterprise Edition... 485 11.1 Die Hauptunterschiede der Editionen...485 11.2 Konfigurationsspeicherserver...488 11.2.1 Basisschema...489 11.2.2 Active Directory Application Mode (ADAM)...490 11.2.3 Platzierung von Konfigurationsspeicherservern...490 11.3 Domäne oder Arbeitsgruppe?...494 11.4 Netzwerklastenausgleich (NLB)...495 11.5 Verteilte Zwischenspeicherung mit CARP...498 11.6 Richtlinien...499 11.7 Das Kapitel im Schnelldurchlauf...499 12 Installation der Enterprise Edition... 503 12.1 Vorbereitung der Installation...503 12.1.1 Hardware-/Softwarevoraussetzungen und Lizenzierung...504 12.1.2 Netzwerkkarten und Bindungen...504 12.1.3 Abschluss der Vorbereitung...505 12.2 Manuelle Installation...506 X
12.2.1 Beispiel 1 Konfigurationsspeicherserver und Array-Mitglieder in gleicher Domäne... 506 12.2.2 Beispiel 2 Konfigurationsspeicherserver in Domäne, Array-Mitglieder in einer Arbeitsgruppe... 526 12.3 Unbeaufsichtigte Installation... 540 12.3.1 Beispiel 1 InstallStandaloneServer.ini... 544 12.3.2 Beispiel 2 InstallJoinedServer.ini... 545 12.4 Aktualisierung von ISA Server 2004 Enterprise Edition... 546 12.4.1 Schritt 1 Konfigurationsspeicherserver migrieren... 546 12.4.2 Schritt 2 Array-Mitglieder (ISA Server) migrieren... 547 12.4.3 Schritt 3 Abschluss der Migration... 547 12.5 Überprüfen der Installation... 547 12.5.1 Ereignisanzeige... 547 12.5.2 Hinzugefügte Dienste... 548 12.5.3 Installierte Verwaltungswerkzeuge... 548 12.5.4 Prüfen der Installationsprotokolle... 549 12.6 Aufgaben nach der Installation... 550 12.7 Das Kapitel im Schnelldurchlauf... 550 13 Konfiguration der Enterprise Edition... 553 13.1 Redundanz, Replikation und Aktualisierung der Konfiguration... 553 13.2 Konfigurationsspeicherserverzugriffe auf Array-Mitglieder... 561 13.3 Intra-Array-Kommunikation... 562 13.4 Komplettsicherung und -wiederherstellung... 564 13.5 Unternehmenskonfiguration... 567 13.5.1 Verwaltungsdelegation... 567 13.5.2 Unternehmensrichtlinien... 570 13.5.3 Unternehmensnetzwerke... 573 13.5.4 Netzwerksätze... 575 13.5.5 Unternehmensnetzwerkregeln... 575 13.5.6 Unternehmens-Add-Ins... 576 13.5.7 Array-übergreifende Linkübersetzung... 576 13.6 Array-Konfiguration... 577 13.7 Netzwerklastenausgleich... 580 13.7.1 Netzwerk für die Intra-Array-Kommunikation erfassen... 580 13.7.2 Netzwerklastenausgleich konfigurieren... 581 13.8 Cache Array Routing Protocol (CARP)... 582 13.9 Überwachen einer ISA Server Enterprise-Umgebung... 585 13.10 Spezialitäten der Enterprise Edition... 587 13.10.1 Adresszuweisung für VPN-Clients ohne DHCP... 587 13.10.2 Veröffentlichungsregeln mittels virtueller IP-Adresse... 587 13.10.3 Zugriff für Webproxy- und Firewall-Clients... 588 13.10.4 Zugriff für SecureNAT-Clients... 588 13.10.5 Die Systemrichtlinie (erweitert)... 588 13.11 Das Kapitel im Schnelldurchlauf... 589 XI
Teil IV - Abschluss...591 14 Anhang... 593 14.1 ISA Server 2006-Dienste...593 14.2 Private IP-Adressbereiche...594 14.3 Wichtige TCP/UDP-Ports und IP-Protokollnummern...594 14.4 Automatisierte Verwaltung mit Skripten...595 14.4.1 Beispiel 1 Löschen sämtlicher Cache-Dateien auf allen Cache-Laufwerken...596 14.4.2 Beispiel 2 Importieren von URLs in einen existierenden URL-Satz...597 14.4.3 Beispiel 3 Alarmkonfiguration...598 14.5 ISA Server 2006 Software Development Kit...598 14.6 Microsoft-Partner...599 14.7 ISA Server 2006 und Small Business Server 2003...600 Register... 601 XII