سلام به اساتید
می خواستم بدونم چه جوری می تونم یوزرهای اکتیو دایرکتوری به ISA اضافه کنم ؟ یعنی یوزرهای اکتیو بتونن به وسیله Isa به اینترنت متصل بشن؟
موضوعات مشابه:
- بدست اوردن پسورد server 2003 به مجهز Active Directory
- فیلم اموزشی-Configuring Windows Server 2008 Active Directory MCITP 70-640
سامان جان میخای یوزرها رو تو ایزا اضافه کنی یا اینکه کلاینت ها با باز کردن اینترنت اکسپلور ازشون یوزر پسورد یوزر رو بپورسه؟؟؟؟
ایزا رو عضو دامینت کن مشکلت حل میشه ولی از لحاظ امنیتی توصیه نمیشه
ایمان جان می خوام با بازکردن اینترنت اکسپلورر ازشون یوزر و پسوردی رو بخواد که توی Active Directory ست شدهنوشته اصلی توسط imannami
- - - Updated - - -
یه سرور 2003 نصب کردم عضو دومینش کردم و بعد روش آیزا نصب کردم منظورتون همین بود ؟
برو تو قسمت configuration بعد برو network بعد برو روی internal دوبار کلیک کن برو تو تب webproxy سپس authentication رو بزن requir all user to authentication رو تیکشو بزن مشکلت حل میشه
می تونید بگید چرا از لحاظ امنیتی توصیه نمیشه ؟؟؟؟
- - - Updated - - -
دوست عزیز لازم نیست کاربرا رو به ISA اضافه کنی ، فقط ISA را عضو دامین کن .بعد در ایزا میتونی گزوه تعریف کنی و کاربران و یا گروههای Active رو عضو اونا کنی .
Advantages of Domain Membership:
Granular user/group access controls for all protocols
Don’t need to create array accounts for intra-array communications
Results in more secure deploymentFull support for user certificate authentication for publishing
Full support for the Firewall client
Full support for Microsoft Operations Manager (MOM)
Full support for Group Policy management
Array admins can log in from any Active Directory managed machine with remote admin permissions
MUCH easier to deploy and maintain
Disadvantages of Domain Membership:
If someone compromises the Active Directory they can own the firewall
However, they’ll own everything else too, with the Firewall being the least of your problemsIf the Firewall is owned, the Active Directory may become accessibile
The ISA firewall has never been compromised to the extent of being ownedDomain Admins can admin the Firewall
Attackers don’t try to own firewalls, they try to own services protected by the firewall
If you can’t trust your domain admins, you have bigger problemsAdvantages of workgroup membership:
If firewall is compromised, attacker might not be able to get to Active Directory
If an attacker can own the firewall, he’ll be able to access the Active Directory whether or not the firewall is a domain memberDomain admins can’t admin the array
If you don’t trust your domain admins, you have bigger problems than thisIf the Active Directory is “owned” the firewall won’t be effected
ISA will be the last man standing, while the entire business has gone up in flames – does it really matter at this point?Disadvantages of workgroup membership:
Requires server certificate on CSS
Requires CA certificates on array members
Must track certificate status
Must use RADIUS authentication (slow) or RSA SecurID (expensive)
On-box accounts required for intra-array communication and management
No centralized password policy
Could become a security or access issue
Can’t use user certificate authentication for VPN or Web Publishing
No support for VPN user mapping when users connect from non-Windows VPN clients
ONLY ONE CSS SUPPORTED IN A WORKGROUP!
HTH,
Tom
Thomas W Shinder, M.D.
Debunking the Myth that the ISA Firewall Should Not be a Domain Member
Deb Shinder Blog
اگه هکری بتونه وارد ایزا شما بشه اونموقع دسترسی به که دامینت واسش خیلی راحته
If the Firewall is owned, the Active Directory may become accessibile
The ISA firewall has never been compromised to the extent of being ownedDomain Admins can admin the Firewall
Attackers don’t try to own firewalls, they try to own services protected by the firewall
If you can’t trust your domain admins, you have bigger problems
من با این قضیه که عضو کردن آیزا یا tmg از لحاظ امنیتی توصیه نمیشه مخالفم. اگر سرور فایروال شما بدرستی config and hardening شده باشه ، چطور میشه به این آسونی ها وارد آیزا شد که از طریق اون به دامین دسترسی پیدا کرد ؟
همونطور که کاملا مشخصه ، سرور دامین کنترلر در برابر سرور tune شده آیزا از لحاظ امنیتی کاملا بی دفاع هست. حالا کی پیدا میشه بیاد لقمه رو دور سرش بچرخونه بره سراغ آیزا نمیدونم !!!
حضرت استاد حرف شما کاملا صحیح که فرمودید
اما معمولا توی شبکه های کوچیک و متوسط سرور دامین کنترلر پشت ایزا قرار میگیره و بالاخره هکر برای نفوذ اول باید از ISA رد بشه پس نیاز به چرخوندن لقمه نداره مجبوره از ایزا رد بشه
حالا اگه ایزا عضو دامین باشه در صورت نفوذ ( که به همین اسونی ها و این که فرتی بگیم هک میشه هم نیست , اینا بیشتر قصه است ) چون ایزا جوین دومینه دسترسی راحت تری به دامین ما داره
اما اگه جوین نباشه و تازه هکر باس بگرده دنبال دامین کنترلر و پیدا کردن بقیه سرورها و بقیه ماجرا
آیا همین که سرور آیزای من عضو دومین باشه کافیه ؟ میشه بهم بگی دقیقاً کجای آیزا باید گروه تعریف بکنم؟
سروری که روش آیزا نصب کردم قبلاً عضو دومین شده و تا قسمت web proxy/authentication رفتم تیک requir all user to authentication رو هم زدم
ولی یوزرهام بر اساس یوزرهای لوکال سرور آیزا autheniticate میشن نه بر اساس یوزرهای Active Directero
لطفاً بگین چی کار کنم ؟
چرا هیچکی جواب نمیده ؟
یعنی جواب سوال منو هیچکی نمیدونه !
مجوز های ارسال و ویرایش
14سپاس
LinkBack URL
About LinkBacks
