گروه ا موزشي فرزان. ا موزش. Forefront TMG 2010

Size: px

Start display at page:

Download "گروه ا موزشي فرزان. ا موزش. Forefront TMG 2010"

Thomasina Bennett
6 years ago
Views:

1 نمونه ايي از كتاب الكترونيكي ا موزش Forefront TMG

2 IAG UAG TMG مقايسه و قابليتهاي بين ا نها 2

3 سرويس TMG در دو نسخه Standard و Enterprise قابل نصب مي باشد كه مي توانيد سناريوهاي قابل پياده سازي توسط شوند قابليت هايي كه پشتيباني مي هر نسخه تعداد CPU در هر نسخه را ديگر موارد پشتيباني از Array وبسياري از مشاهده كنيد: 3

4 قابليتهايي كه با نسخه Enterprise Edition داشت عبارتند از : در اختيار خواهيد Multi-server array More than four processors (پشتيباني از 4 CPU به بالا) Support for CSS configuration storage (با اين قابليت در فصل 7 ا شنا خواهيد شد) Enterprise management console 4

5 ( (با نصب نسخه Enterprise و EMS ا شنا مي شويد Stirling integration NLB support CARP support (قابليت پشتيباني از (Network Load Balancing (پشتيباني از (Cache Array Resource Protocol 5

6 نسخه Edition) TMG MBE (Medium Business نسخه بعدي ISA Server مي باشد كه همراه با Windows Essential Business Server نصب مي شود. اين نسخه فقط روي نسخه 64-bit Windows Server 2008 اجرا مي شود و از ويژگيهاي نسخه TMG Enterprise مانند قابليت پشتيباني از ا رايه و يا Enterprise Policy (اعمال Policy بر روي تمامي اعضاي ا رايه با استفاده از (EMS پشتيباني نمي كند. 6

7 امكان سه نصب EE نسخه Edition) (Enterprise Feature زير را به شما مي دهد: TMG Services and management با انتخاب اين گزينه كنسول مديريتي TMG و ساير Feature هاي ا ن براي شما نصب خواهد شد از طريق اين كنسول مديريتي مي توان ساير TMG را نيز مديريت نمود. اين Feature را مي توانيد بر روي RODC نيز نصب كنيد اما به دليل اينكه بر روي RODC ها فقط مي توان قابليت Read را در اختيار داشت امكان انجام تنظيمات TMG يا تغيير در ا نها از طريق RODC وجود ندارد. 7

8 مي توان اين Feature را بر روي نسخه هاي Standard Windows از سيستم عامل هاي Data Center و Enterprise Windows Server 2008 R2 SP2- و Server 2008 R2 64 bit نصب نمود. TMG Management only فقط كنسول مديريتي TMG نصب خواهد شد كه براي مديريت سرويسهاي TMG از طريق ريموت استفاده مي شود. 8

9 Enterprise Management Server (EMS) for centralized array management به منظور مديريت متمركز بر روي ا رايه اي از TMG طريق از ها يك كامپيوتر اين گزينه را انتخاب مي كنيم. و حداقل به RAM 1 GB نياز دارد. نوع سيستم عاملهايي كه از TMG نسخه Enterprise و Feature هاي ا ن پشتيباني مي كنند طبق جدول زير مي باشد كه در هنگام نصب سرويس TMG با توجه به نوع سناريو مورد نياز مي توانيد از اين سيستم عاملها استفاده كنيد. 9

10 IAG 2007 مي باشد كه به Server Application IAG 2007 يك (Internet Server Application فيلتر ISAPI عنوان IIS روي ISAPI Extension و Programing Interface) Windows و IIS به V6 IAG 2007 اجرا مي شود. V6 Server 2003 نياز دارد. 10

11 براي محافظت از برنامه IAG 2007 از حملاتي كه از شبكه هاي داخلي و خارجي ممكن است سرچشمه بگيرد ISA Server 2006 نسخه Standard به IAG 2007 اضافه شده بود يعني همراه با خريداري برنامه ISA Server 2006 IAG 2007 نيز بر روي همان كامپيوتر نصب مي شد. معماري هسته IAG 2007 نماييد: را مي توانيد در شكل زير ملاحظه 11

12 همانطور كه مشاهده مي كنيد IAG در دو مود عملياتي: User IAG 2007 فعاليت مي كند Kernel mode و mode عملكرد صحيح شديدا به IIS وابسته مي باشد. جهت 12

13 ISAPI Filter و ISAPI Extension تحت فرايند Inetinfo.exe در User Mode اجرا مي شود. فقط پردازش Kernel Mode از HTTP.SYS (HTTP protocol stack) مستقيما با IIS در ارتباط مي باشد. اگر اين سوال مطرح شود كه با وجود اجراي هر چيزي در User Mode مزيت داشتن HTTP.SYS در مود Kernel چيست پاسخ ا ن مواردي است كه در بهبود عملكرد موثر بوده و شامل موارد زير مي باشند: درخواستهاي IIS كه Cache شده اند به سرعت پاسخ داده User Mode مي شوند به دليل اينكه IIS مجبور نيست به سوي يچ كند. 13

14 زماني كه IIS درخواستها را در صف قرار مي دهد اين درخواستها در Kernel مود هستند اگر هيچ پردازشي براي پذيرفتن اين درخواست در حال فعاليت نباشد ارسال ا ن به مود كاربر با تا خير مواجه نمي شود. نسل بعدي IAG 2007 Forefront UAG (UAG) Forefront Unified Access Gateway يك گام بزرگ در يكپارچه سازي و امنيت برنامه هاي كاربردي و بهبود عملكرد كاربران نهايي در هر جايي بوده و شامل پيشرفتهاي مديريتي و يكپارچگي با TMG مي باشد. 14

15 UAG مي تواند همراه با TMG عمل كند به دليل اينكه UAG نيز روي Windows Server 2008 اجرا مي شود و از مزاياي معماري IIS 7 كه بهبودهاي امنيتي بيشتري نسبت به IIS 6 فراهم كرده است بهره مند مي باشد. به عنوان مثال تغيير امنيتي هسته ا ن بر روي IIS 7 اين است كه HTTP.SYS protocol stack مسي ول پردازشهاي امنيتي در خصوص فيلتر نمودن درخواستها (مانند احراز هويت درخواستهاي HTTP با پروتكل كربروس) مي باشد. 15

16 به طور كلي UAG براي اراي ه موارد زير طراحي شده است: دسترسي به برنامه هاي كاربردي از اينترنت پشتيباني از (SSO) single sign-on استفاده از قابليتهاي امنيتي جهت اعتماد به كاربران و كامپيوترهاي مورد استفاده ا نها بهبود كنترل رفتار برنامه ها اراي ه دهنده روشهاي گسترده اي از احراز هويت SSL VPN با استفاده از Remote Access 16

17 TMG نيز به منظور برطرف كردن نيازهاي امنيتي لازم جهت اراي ه به Server ها طراحي شده است كه اين نيازهاي امنيتي شامل موارد زير مي باشند: نياز به برنامه هاي كاربردي عمومي در سطح Firewall و Proxy سادگي دسترسي به سرويسهاي كاربردي مانند SMTP POP 3 و... بررسي قابل اعتماد بودن كامپيوترهاي كلاينتها محافظت از شبكه هاي خود در مقابل دسترسي از اينترنت 17

18 PPTP SSTP اتصالات VPN با پروتكلهاي و L2TP/IPsec تفاوتهاي بين TMG و UAG TMG در نقش Enterprise Edge Firewall مي باشد كه شبكه داخلي را از ا سيبهاي اينترنت محافظت كرده و دسترسي منابع داخلي به اينترنت را به صورت محافظت شده فراهم مي كند TMG ويژگيهاي Publishing قدرتمندي براي Publish نمودن سرويسهاي داخلي مانند Exchange Outlook Web Access Active Sync و ساير سرويسها به اينترنت دارا مي باشد. 18

19 اما ويژگي هوشمند Publishing كنترل محدود شده اي را براي دسترسي كلاينتها به منابع Publish شده داخلي فراهم ميكند. در حقيقت Forefront TMG به عنوان فايروالي براي كنترل درخواستهاي ورودي و خروجي عمل ميكند. اما Forefront UAG براي گسترش و بهبود ويژگيهاي Publishing مورد استفاده قرار مي گيرد. از جمله اين ويژگيهاي توسعه يافته مي توان به SSL VPN Portal ) توجه داشته باشيد كه TMG از SSL VPN به صورت SSTP پشتيباني مي كند) Endpoint Access و ويژگي قدرتمند Direct Access Policy براي كنترل Device هاي كلاينتها براي دسترسي به UAG اشاره نمود. 19

20 همچنين مي توانيد TMG را فقط براي محافظت از UAG نصب كنيد در حقيقت UAG به عنوان Application Layer Gateway عمل كرده و راه كاري براي دسترسي هاي ورودي از اينترنت به منابع داخلي مي باشد. جدول تصميم گيري زير به صورت خلاصه براي پاسخ به اين سوال است كه از UAG استفاده شود يا Feature.TMG ها و قابليتهاي مشترك بين هر دو محصول حذف شده اند به دليل اينكه نمي توانند در اين تصميم گيري مفيد واقع شوند: 20

21 21

22 مثالي از طراحي شبكه با UAG و TMG 22

23 جدول مقايسه قابليتهاي Forefront TMG 2010 و Forefront UAG Feature or Capability Scale Out Using Arrays Arrays enable you to apply the same configuration setting to multiple machines participating in the same array Network load balancing of the publishing array Network Load Balancing (NLB) enables high availability and transparent failover for participants in the NLB array Load Balancing of Back- End Servers Integrated Web Farm load balancing enables you to load balance connections Forefront Threat Management Gateway Forefront Unified Access Gateway 2010

24 to back-end web servers, removing the need for a hardware load balancer behind the web gateway Single network interface deployment The web gateway can be deployed in a single NIC configuration, so that NICs do not span multiple networks Enterprise Management (multiple nodes in one array) Enterprise Management enables the administrator to manage multiple arrays located throughout the organization from a single management interface; in addition, configuration for all arrays is stored in a centralized location which located off any of the array members Integrated Windows Authentication Integrated Windows 24

25 Authentication enables SPNEGO, Kerberos or NTLM authentication with the web gateway Support two-factor authentication for web applications Two-factor (multi-factor) authentication enables the administrator to require users to present two or more pieces of information to access resources Certificate Authentication with ActiveSync Certificate authentication with ActiveSync increases the overall ActiveSync security scenario by requiring the device to present a certificate before allow access to Exchange Server resources Upgrade Path from ISA 2006 While it s not possible to 25

26 do an in-place upgrade from ISA to TMG (because ISA was 32bit only and TMG is 64bit only), there is a clear and easy to perform upgrade path. Authorization Using Endpoint Policies Endpoint detection determines the state of the device connecting to the gateway and enforces access policy based on the results of the endpoint detection SharePoint rich client support (MSOFBA) MSOFBA is a protocol that provides forms based authentication, instead of basic authentication, when you use Office client applications Federation support with ADFS Use integration support for ADFS to enable federated identity 26

27 scenarios Endpoint Session Cleanup Endpoint session cleanup provides a mechanism to remove information obtained from the server during the course of the session; removal takes place on log off. Port Scalability Port scalability enables you to publish more resources while using fewer ports on the receiving interface of the web gateway Password Lockout Protection (at a node level) Password lockout protection protects the user account from being inadvertently locked out by either a friendly or malicious user; user is locked out of the gateway, but not in the Active Directory. 27

28 Granular access policies Granular access policies enable the administrator to control access to applications and to components of applications, based on the results of user and device assessments. Support for DirectAccess DirectAccess is a new remote access technology that enables users to be always connected to the intranet and enables IT to always be connectivity to the users all done transparently without user intervention Portal functionality to publish multiple line-ofbusiness applications Portal functionality enables users to connect to a single URL to access a portal page that contains applications and services available to the user, 28

29 based on the results of user and device assessment. Load balancing support for HTTP-based protocol access from the Internet Load balancing enables an array of web gateway to handle more requests more efficiently by evenly distributing connections among members of the load balanced array. Highly Customizable Customizable according to the support guidelines and the development policies and processes for Microsoft partners Built-in Wizards for Exchange Built-in wizard for publishing Exchange web services makes it simple to publish these resources using a secure default configuration 29

30 Outlook Web Access Look and Feel Both UAG and TMG provide a log on page experience that is similar to the one provided by Exchange Outlook Web Access (OWA). Publish Microsoft Office Outlook Web App and the Exchange Control Panel (ECP) using forms-based authentication Forms based authentication enables users to enter credentials in an easy to use form to authenticate with the web gateway Publish Outlook Anywhere using Basic or NTLM authentication Publish Microsoft Exchange ActiveSync using Basic authentication Support two-factor authentication for Exchange ActiveSync 30

31 Provide certificate-based authentication for Exchange ActiveSync, Outlook Web App, and ECP Perform mail hygiene for Exchange with installation of the Edge Transport server role and Microsoft Forefront Protection 2010 for Exchange Server inspection can be performed on the web gateway to protect against spam and malware Protect and filter Internet access for internal users from malware and other Web-based threats The web gateway can perform URL filtering to block undesirable web sites and scan and block malware delivered from the web Provide support for scaled up Outlook Anywhere deployments by using 31

32 multiple source IP addresses UAG has a Port Scalability feature that allows UAG to use multiple source IP address on its internal interface to contact the published CAS servers, allowing it to overcome the limit of ports maximum in a single IP address. Check a client computer accessing Outlook Web App for presence of approved antivirus software, updates, etc. Endpoint detection can be performed to insure that the client attempting to access the OWA Exchange web service meets corporate security standards before allowing access Built-in features for SharePoint publishing The web gateway has 32

33 wizards and other technologies that make intelligent decisions on how to best publish 33

34 نسخه MBE و TMG 2010 پشتيباني مي شوند: مقايسه قابليتهايي كه در TMG 34

35 MBE نسخه TMG مقايسه قابليتهايي كه در ISA 2006 و TMG 2010 پشتيباني مي شوند: 35

36 اين مبحث قسمتي از مطالب مختص به كتاب الكترونيكي ا موزش TMG 2010 كه توسط توليد شده است مي باشد. 36

بهار

3--03 جلسه ي بيست و سوم دانشگاه شهيد بهشتي دانشكدهي مهندسي برق و كامپيوتر بهار 392 احمد محمودي ازناوه http://faculties.sbu.ac.ir/~a_mahmoudi/ فهرست مطالب مروري بر جلسهي پيش مثال حافظهي نهان چند سطحي حافظهي