آشنايي با ISA Server 2004

[M-r-r]

متن زیر صرفا یک کپی از مقاله اصلی بوده و منتقل کننده (که بنده باشم !*) هیچ دخل و تصرفی در آن ندارد .
آدرس اولیه مقاله : http://www.shabakeh-mag.com/Articles...aspx?n=1001312
با تشکر از جناب ps_win_inc که لینک این مطلب رو برای من ارسال کردند .
فقط خدا کنه تکراری نباشه !



آشنايي با ISA Server 2004
مترجم : مهيار داعي الحق
ماهنامه شبکه - خرداد ۱۳۸۴ شماره 54

اشاره :
شركت مايكروسافت نرم*افزارهاي متعددي را تحت عنوان Microsoft Server Systems در كنار سيستم*عامل اصلي سرور خود يعني ويندوز 2000 تا 2003 عرضه كرده كه وظيفه ارايه سرويس*هاي متعددي را از انواع ارتباطات شبكه*اي گرفته تا امنيت و غيره به عهده دارند. در اين شماره قصد داريم به معرفي سرور كنترل ارتباط شبكه*اي يعني ISA Server بپردازيم.




● آشنايي*
برنامه قدرتمند ارتقاء و امنيت شبكه مايكروسافت ISA Server نام دارد. اين برنامه با استفاده از سرويس*ها، سياست*ها و امكاناتي كه در اختيار كاربران قرار مي*دهد قادر است به عنوان راه*حلي در ايجاد شبكه*هاي مجازي
(VPN) و يا برپا كردن فضاي حايل به عنوان cache جهت دسترسي سريع*تر به صفحات وب، مورد استفاده قرار گيرد. همچنين اين برنامه قادر است با ايجاد يك ديواره آتش در لايه Application شبكه، فعاليت سرويس*هاي مختلف يك شبكه ويندوزي مثل وب سرور IIS، سرويس*هاي دسترسي از راه*دور (Routing and Remote Access) را از طريق فيلترگذاري و كنترل پورت*ها، تحت نظر گرفته و فضاي امني را براي آن*ها فراهم كند. اين برنامه با استفاده از نظارت دايمي خود بر پروتكل امنيتي SSL و فيلتر كردن درخواست*هاي Http كه به سرور مي*رسد، وب سرور و ايميل سرور را از خطر حمله هكرها دور نگه مي*دارد. به همين ترتيب، كليه ارتباطات شبكه*اي كه با يك سرور برقرار مي*شود، از ارتباط Dial up ساده گرفته تا ارتباط با سرورExchange و يا IIS، بايد از سد محكم ISA عبور كنند تا درخواست*ها و ارتباطات مشكوك با سرور مسدود گردد.
سايت مايكروسافت براي بررسي اهميت وجود ISA در يك شبكه، كليه راه*حل*هاي اين برنامه را كه با استفاده از سرويس*ها و امكانات ويژه موجود در آن، ارايه گشته است به هفت سناريو يا وضعيت مختلف تقسيم كرده كه به آن*ها مي*پردازيم. (تصاوير مقاله از سايت مايکروسافت برداشته شده اند)

● سناريوي اول*

شكل 1

از ISA براي تأمين امنيت ايميل*ها استفاده مي*شود. ISA Server با استفاده از دو روش استاندارد يعني SSL decryption وهمچنين Http Filtering اولاً از ورود كدهاي مشهور به malicious كه عمدتاً بدنه انواع كرم*ها و ويروس*ها را مي*سازند جلوگيري به عمل مي*آورد و ثانياً محتواي درخواست*هاي Http را براي بررسي مجوز دسترسي آن*ها و صلاحيت دريافت و ارسال اطلاعات مورد كنكاش قرار مي*دهد. در اين حالت، ISA همچنين از هر نوع اتصال افراد با اسم كاربري anonymous كه مي*تواند منشأ شكستن رمزعبورهاي مجاز يك سرويس*دهنده ايميل شود، جلوگيري مي*كند. به هر حال با وجود اين كه يك ايميل سرور مثل Exchange راه*حل*هاي امنيتي مخصوص به خود را دارد، اما وجود ISA به*عنوان ديواره آتش يك نقطه قوت براي شبكه به حساب مي*آيد. ضمن اين*كه در نسخه*هاي جديد ISA امكان ايجاد زنجيره*اي از سرورهاي ISA كه بتوانند با يك سرورExchange در تماس بوده و درخواست*هاي كاربران را با سرعت چند برابر مورد بررسي قرار دهد باعث شده تا اكنون به ISA عنوان فايروالي كه با قدرت انجام توازن بار ترافيكي، سرعت بيشتري را در اختيار كاربران قرار مي*دهد در نظر گرفته شود. (شكل 1)

● سناريوي دوم*

شكل 2

ISA مي*تواند در تأمين امنيت و دسترسي از راه دور نيز مورد استفاده قرار گيرد. در اين سناريو، يك شركت برخي از اطلاعات سازمان خود را براي استفاده عموم در معرض ديد و يا استفاده كاربران خارج از سازمان قرار مي*دهد. به عنوان مثال بسياري از شركت*ها مسايل تبليغاتي و گاهي اوقات سيستم سفارش*دهي خود را در قالب اينترنت و يا اينترانت براي كاربران باز مي*گذارند تا آن*ها بتوانند از اين طريق با شركت ارتباط برقرار نمايند. در اين صورتISA مي*تواند به صورت واسط بين كاربران و سرويس*هاي ارايه شده توسط وب سرور يا بانك*اطلاعاتيSQLServer كه مشغول ارايه سرويس به محيط خارج است، قرار گرفته و بدين*وسيله امنيت دسترسي كاربران به سرويس*هاي مجاز و حفاظت از منابع محرمانه موجود در سيستم* را فراهم آورد.
(شكل 2)

● سناريوي سوم*

شكل 3


در اين سناريو، دو شبكه LAN مجزا متعلق به دو شركت مختلف كه در برخي موارد همكاري اطلاعاتي دارند، توسط فضاي اينترنت و از طريق سرورها و دروازه*هاي VPN با يكديگر در ارتباط هستند. به عنوان مثال يكي از شركاي يك شركت تجاري، محصولات آن شركت را به فروش رسانده و درصدي از سود آن را از آن خود مي*كند. در اين روش به صورت مداوم و يا در ساعات معيني از شبانه*روز، امكان ردوبدل اطلاعات بين دو شركت مذكور وجود دارد. در اين زمان ISA مي*تواند با استفاده از روش Encryption از به سرقت رفتن اطلاعات ارسالي و دريافتي در حين مبادله جلوگيري كند، در حالي كه هيچكدام از دو طرف احساس نمي*كنند كه فضاي حايلي در اين VPN مشغول كنترل ارتباط بين آن*هاست. به علاوه اين*كه با وجود ISA، كاربران براي اتصال به سايت يكديگر بايد از دو مرحله Authentication (احراز هويت) يكي براي سرور يا دروازه VPN طرف مقابل و ديگري براي ISA عبور كنند كه اين حالت يكي از بهترين شيوه*هاي برقراري امنيت در شبكه*هاي VPN است. در اين سناريو، وجود يك ISA Server تنها در طرف سايت اصلي يك شركت مي*تواند، مديريت برقراري امنيت در كل فضاي VPN هر دو طرف را به*عهده گيرد و با استفاده از ديواره آتش لايه Application از عبور كدهاي مشكوك جلوگيري كند. (شكل 3)


● سناريوي چهارم*

شكل 4

در سناريوي چهارم، يك شركت قصد دارد به عنوان مثال تعدادي از كارمندان خود را قادر به كار كردن با سيستم*هاي دروني شركت از طريق يك ارتباط VPN اختصاصي بنمايد. در اين حالت براي دسترسي اين قبيل كارمندان به سرور شركت و عدم دسترسي به سرورهاي ديگر يا جلوگيري از ارسال ويروس و چيزهاي مشابه آن، يك سد محكم به نام ISA ترافيك اطلاعات ارسالي و يا درخواستي را بررسي نموده و درصورت عدم وجود مجوز دسترسي يا ارسال اطلاعات مخرب آن ارتباط را مسدود مي*كند. (شكل 4)





● سناريوي پنجم*

شكل 5



سناريوي بعدي زماني مطرح مي*شود كه يك شركت قصد دارد با برپايي يك سيستم مركزي در محل اصلي شركت، ساير شعبات خود را تحت پوشش يك سيستم (مثلاً يك بانك*اطلاعاتي) متمركز درآورد. از اين رو باز هم در اينجا مسأله اتصال شعبات شركت از طريق VPN مطرح مي*شود. در اين صورت ISA با قرار داشتن در سمت هر شعبه و همچنين دفتر مركزي به صورت آرايه*اي از ديواره*هاي آتش (Array of Firewall) مي*تواند نقل و انتقال اطلاعات از سوي شعبات به دفتر مركزي شركت و بالعكس را زيرنظر داشته باشد. اين مسأله باعث مي*شود تا هر كدام از شعبات و دفتر مركزي به منابع محدودي از يكديگر دسترسي داشته باشند. در ضمن با وجود امكان مديريت و پيكربندي متمركز كليه سرورهاي ISA نيازي به مسؤولين امنيتي براي هر شعبه نيست و تنها يك مدير امنيت، از طريق ISA سرور موجود در دفتر مركزي مي*تواند كليه ISA سرورهاي شعبات را تنظيم و پيكربندي كند. (شكل 5)

● سناريوي ششم*

شکل 6

كنترل دسترسي كاربران داخل دفتر مركزي به سايت*هاي اينترنتي، سناريوي ششم كاربرد ISA محسوب مي*شود. در اين جا ISA مي*تواند به كمك مدير سيستم آمده، سايت*ها، لينك*هاي URL و يا انواع فايل*هايي كه از نظر وي نامناسب تشخيص داده شده، را مسدود كند. در همين هنگام فايروال نيز كار خود را انجام مي*دهد و با استفاده از سازگاري مناسبي كه بين ISA و Active Directory ويندوز وجود دارد، اولاً از دسترسي افراد غيرمجاز يا افراد مجاز در زمان*هاي غيرمجاز به اينترنت جلوگيري شده و ثانياً مي*توان از اجراشدن برنامه*هايي كه پورت*هاي خاصي از سرور را مثلاً جهت استفاده برنامه*هاي Instant Messaging مورد استفاده قرار مي*دهند، جلوگيري نمود تا بدين*وسيله ريسك ورود انواع فايل*هاي آلوده به ويروس كاهش يابد.
(شكل 6)

● سناريوي هفتم*


در تمام سناريوهاي قبلي كه ISA در برقراري ارتباط مناسب و امن بين سايت*هاي اينترنت، كاربران يا شعبات شركت نقش مهمي را ايفا مي*كرد، يك سناريوي ديگر نيز نهفته است و آن افزايش سرعت انتقال اطلاعات بين تمام موارد فوق از سايت*هاي اينترنتي گرفته تا اطلاعات سازماني است. سيستم cache Array موجود در اين برنامه باعث مي*شود تا هر كدام از كاربران چه در محل اصلي شركت و چه از محل شعبات بتوانند براي ديدن اطلاعات يا سايت*هاي مشابه راه ميان*بر را رفته و آن را از هر كدام از ISAهاي موجود در شبكه VPN يا LAN دريافت كنند و بدين*وسيله حجم انتقال اطلاعات با محيط خارج را تا حدود زيادي در سيستم متوازن نمايند.


● عملكرد
ISA Server كليه سناريوهاي تعيين شده را براساس سه قاعده مختلف يعني سيستم، شبكه و ديواره آتش محقق مي*سازد كه در اين*جا به اين سه قاعده اشاره مي*كنيم.

1- Network Rule
ISA Server با استفاده از قوانين شبكه*اي موجود و تعريف*شده در بانك*اطلاعاتي خودش نحوه ارتباط دو يا چند شبكه را به يكديگر در يك فضاي معين، مشخص مي*سازد. در اين قاعده كه توسط مدير سيستم قابل تنظيم است مشخص مي*گردد كه شبكه*هاي موردنظر طبق كدام يك از دو روش قابل*طرح، به يكديگر متصل مي*شوند. اين دو روش عبارتند از:

الف- Network Address Translation) NAT)
اين روش، يك ارتباط يك طرفه منحصربه*فرد است. بدين معني كه هميشه يكي از شبكه*ها نقش شبكه اصلي و داخلي (Internal) و بقيه شبكه*ها نقش شبكه*هاي خارجي (External) را بازي مي*كنند. در اين روش شبكه داخلي مي*تواند قوانين و شيوه دسترسي به اطلاعات و ردوبدل شدن آن*ها در فضاي بين شبكه*ها را تعيين كند ولي اين امكان از ساير شبكه*هاي خارجي سلب گرديده و آن*ها تابع قوانين تعريف شده در شبكه داخلي هستند. در اين روش همچنين ISA آدرس IP كامپيوترهاي مبدا يك ارتباطNAT را به وسيله عوض كردن آن*ها درIP خارجي خودش، از ديد كامپيوترهاي يك شبكه (چه كامپيوترهاي متصل از طريق LAN و چه كامپيوترهاي خارجي) مخفي مي*كند. به عنوان مثال، مدير يك شبكه مي*تواند از ارتباط بين كامپيوترهاي متصل شده از طريق VPN را با فضاي اينترنت از نوع يك رابطه NAT تعريف كند تا ضريب امنيت را در اين ارتباطات بالا ببرد.

ب - Rout
اين نوع ارتباط يك ارتباط، دو طرفه است. بدين معني كه هر دو طرف مي*توانند قواعد امنيتي خاصي را براي دسترسي شبكه*هاي ديگر به شبكه محلي خود تعريف كنند. به*عنوان مثال ارتباط بين شبكه*هاي متصل شده به يكديگر در فضاي VPN مي*تواند يك ارتباط از نوع Rout باشد.
با توجه به اين مسايل ارتباطات قابل اطمينان يك شبكه با شبكه*هاي مجاور (مثل شعبات شركت) مي*تواند از نوع Rout و ارتباطات محتاطانه شبكه با كاربران خارجي و كساني كه از طريق RADIUS يا وب به شبكه دسترسي دارند مي*تواند از نوع NAT تعريف شود.

2- Firewall Rule


علاوه بر نقش مستقيمي كه سياست*هاي تعريف*شده در قواعد ديواره آتش در نحوه ارتباط بين شبكه*ها بازي مي*كند و مي*تواند موجب مسدود شدن ارتباطات خارج از قواعد تعريف شده درNetwork Rule شود، اين قواعد همچنين مي*توانند با تعريف دقيقي كه از پروتكل*هاي Http ،FTP، DNS،RPC و ... انجام *دهند، كليه درخواست*ها از انواع مذكور را زيرنظر گرفته و به عبارتي فيلتر نمايند. در اين روش مدير امنيت شبكه مي*تواند امكان دسترسي تعدادي از كاربران را در ساعات خاص و به محتواي مشخص مجاز يا غيرمجاز كند. به عنوان مثال وي مي*تواند نمايش تصاوير موجود برروي صفحات وب را از طريق فيلتركردن فهرستي از پسوندهاي انواع فايل*هاي گرافيكي در يك قاعده از نوع Http ، مسدود كند در حالي كه كاربران همچنان بتوانند آن فايل*ها را از طريق پروتكل ديگري مثلFTP دريافت يا ارسال كنند.
همچنين در قواعد مربوط به فايروال مي*توان دسترسي كاربران و يا گروه*هاي كاربري را به تعدادي از آدرس*هاي URL يا IPهاي مشخص مسدود كرد. ضمن آن*كه قواعد مربوط به نحوه دسترسي كاربران براي انجام اموري مثل انتشار صفحات وب (Web Publishing) و امثال آن هم در همين جا تعريف مي*گردد.


3- System Rule
در اين قسمت بيش از سي قاعده مربوط به دسترسي وجود دارد كه قابل انتساب به شبكه محلي مي*باشند. اين قواعد نحوه ارتباط سرويس*هاي يك شبكه را با يكديگر و همچنين با ISA مشخص مي*نمايد. به عنوان مثال سرويسDHCP كه كليه درخواست*ها و پاسخ*هاي مربوط به انتساب ديناميك آدرسIP به كامپيوترهاي يك شبكه را مديريت مي*كند، يا سرويس DSN كه وظيفه ترجمه اسامي و آدرس*هاي شبكه را انجام مي*دهد، مورد استفاده ISA قرار گرفته تا بتواند هم موقعيت خود در شبكه و با سرورهايي كه سرويس*هاي فوق را ارايه مي*دهند تشخيص دهد و هم با اطلاع از نحوه پيكربندي شبكه و ارتباط آن با محيط خارج اقدام به كنترل آن از طريق قواعد مربوط به شبكه و ديواره آتش بنمايد. به طور كلي سياست*هاي موجود در قواعد سيستمي روابط ميان ISA و ساير منابع و سرورهاي موجود در شبكه را مشخص مي*نمايند.