همه چیز در مورد isa | آموزش ISA SERVER

[Nethunter]

اشاره
شرکت مایکروسافت نرم افزارهای متعددی را تحت عنوانMICROSOFT SERVER SYSTEM در کنار سیستم عامل اصلی سرور خود یعنی ویندوز 2000 تا 2003 عرضه کرده که وظیفه ارایه سرویس های متعددی را از انواع شبکه ای گرفته تا امنیت وغیره به عهده دارند در شماره گذشته با سرور بانک اطلاعات مایکروسافت یعنی SQL SERVER آشنا شدیم و در این شماره قصد داریم به سرور کنترل ارتباط شبکه یعنی ISA SERVER بپردازیم.



آشنایی
برنامه قدرتمند ارتقاء و امنیت شبکه مایکروسافت ISA SERVER نام دارد این برنامه با استفاده از
سرویس های و سیاست های وامکاناتی که در اختیار کاربران قرار می دهد قادر است به عنوان راه حلی در شبکه های مجازی (***)و یا برپا کردن فضای حایل به عنوان CACHE جهت دسترسی سریع تر به صفحات وب مورد استفاده قرار گیرد. همچین این برنامه قادر است با ایجاد یک دیواره آتش در لایه APPLICATION شبکه فعالیت سرویس هایمختلف یک شبکه ویندوزی مثل وب سرور IIS سرویس های دسترسی از راه دور (ROUTING AND REMOTE ACCESS) را از طریق **********گذاری و کنترل پورت ها تحت نظر گرفته و فضای امنی را برای آن ها فراهم کند. این برنامه با اسنفاده از نظارت دایمی خود بر پروتکل امنیتی SSI و ********** کردن درخواست های HTTP که به سرور می رسد وب سرور و ایمیل را از خطر حمله هکر ها دور نگه می دارد .به همین ترتیب کلیه ارتباطات شبکه ای که با یک سرور بر قرار
می شود از ارتباط DIA UP ساده گرفته ا ارتباط با سرور EXCHANGE و یا IIS باید مشکوک با سرور مسدود گردد.
سایت مایکروسافت برای بررسی اهمیت وجود ISA ذر یک شبکه کلیه راه حل های این برنامه را که با استفاده از سرویس ها و امکانات ویژه موجود در آن ارایه گشته است به هفت سناریو یا وضعیت مختلف تقسیم کرده که به آن ها می پردازیم.



سناریوی اول
از ISA برای تأمین امنیت ایمیل ها استفاده می شود .ISA SERVER با استفاده از دو روش استاندارد یعنی SSL DECRYOTION و همچنین HTTP ******ING اولا از ورود کد های مشهور به MALICIOUS که عمدتا بدنه انواع کرم ها و ویروس ها را می سازند جلوگیری به عمل می آورد و ثانیا محتوای در خواست های HTTP را برای بررسی مجوز دسترسی آن ها و صلاحیت دریاف و ارسال اطلاعات مورد کنکاش قرار می دهد .در این حالت,ISA همچنین از هر نوع اتصال افراد با اسم کاربردی ANONYMOUS که می تواند منشأ شکستن رمز عبور های مجازی یک سرویس دهنده ایمیل شود,جلوگیری می کند. به هر حال با وجود این که یک ایمیل سرور مثلEXCHANGE راه حل های امنیتی مخصوص به خود را دارد.اما وجود ISA به عنوان دیواره آتش یک نقطه قوت برای شبکه به حساب می آید.
ضمن این که در نسخه های جدید ISA امکان ایجاد زنجیره ای از سرور های ISA که بتوانند با یک سرور EXCHANGE در تماس بوده و در خواست های کاربرانرا با سرعت چند برابر مورد بررسی قرار دهد باعث شده تا اکنون به ISA عنوان فایروالی که با قدرت انجام توازن بار ترافیکی,سرعت بیشتری را در اختیار کاربران قرار می دهد در نظر گرفته شود.(شکل 1)


سناریوی دوم
ISA می تواند در تأمین امنیت و دسترسی از راه دور نیز مورد استفادهقرار گیرد.در این سناریو,یک شرکت برخی از اطلاعات سازمان خود را برای استفاده عموم در معرض دید و یا استفاده کاربران خارج از سازمان قرار می دهد.بهعنوان مثال بسیاری از شرکت ها مسایل تبلیغاتی و گاهی اوقات سیستم سفارش دهی خود را در قالب اینترنت و یا اینترانت برای کاربران باز می گذارند تا آن ها بتوانند از این طریق با شرکت ارتباط برقرار نمایند.در این شورتISA می تواند به صورت واسط بین کاربران و سرویس های ارایه شده توسط وب سرور یا بانک اطلاعاتی SQL SERVER که مشغول ارایه سرویس به محیط خارج است,قرار گرفته و بدین وسیله امنیت دسترسی کاربران به سرویس های مجاز و حفاظت از منابع محرمانه موجود در سیستم را فراهم آورد.(شکل2)


سناریوی سوم
در این سناریو,دو شبکه LAN مجزا متعلق به دو شرکت مختلف که در برخی موارد همکاری اطلاعاتی دارند,توسط فضای اینترنت و از طریق سرور ها و دروازه های *** با یکدیگر در ارتباط هستند.به عنوان مثال یکی از شرکای یک شرکت تجاری,محصولات آن شرکت را به فروش رسانده و درصدی از سود آن را از آن خود می کند.در این روش به صورت مداوم و یا در ساعات معینی از شبانه روز,امکان ردوبدل اطلاعات بین دو شرکت مذکور وجود دارد.در این زمانISA می تواند با استفاده از روش ENCRYPTION از به سرقت رفتن اطلاعات ارسالی و دریافتی در حین مبادله جلوگیری کند.در حالی که هیچکدام از دو طرف احساس نمی کنند که فضای حایلی ذر این *** مشغول کنترل ارتباط بین آنهاست.به علاوه این که با وجود ISA ,کاربران برای اتصال به سایت یکدیگر باید از دو مرحله AUTHENTICATION (احراز هویت) یکی برای سرور یا دروازه *** طرف مقابل و ذیگری برای ISA عبور کنند که در این حالت یکی از بهترین شیوه های بر قراری امنبت در شبکه های VPNاست.
در این سناریو,وجود یک ISA SERVER تنها در طرف سایت اصلی یک شرکت می تواند,مدیریت برقراری امنیت در کل فضای *** هر دو طرف را به عهده می گیرد و با استفاده از دیواره آتش لایه APPLICATION از عبور کد های مشکوک جلوگیری کند.(شکل3)


سناریوی چهارم
در سناریوی چهارم ,یک شدکت قصد دارد به عنوان مثال تعدادی از کارمندان خود را قادر به کار کردن با سیستم های درونی شرکت از طریق یک ارتباط *** اختصاصی بنماید.در این حالت برای دسترسی این قبیل کارمندان به سروس شرکت وعدم دسترسی به سرورهای دیگریا جلوگیری از ارسال ویروس و چیزهای مشابه آن ,یک سد محکم به نام ISA ترافیکاطلاعات ارسالی و یا درخواستی را بررسی نموده و در صورت عدم وجود مجوز دسترسی یا ارسال اطلاعات مخرب آن ارتباط را مسدود می کند.(شکل 4)


سناریوی پنجم
سناریوی بعدی زمانی,مطرح می شود که یک شئکت قصد دارد با بر پایی یک سیستم مرکزی ذر محل اصلی شرکت , سایر شعبات خود را تحت پوشش یک سیستم (مثلا یک بانک اطلاعاتی) متمرکز درآورد. از این رو باز هم در اینجا مسأله اتصال شعبات شرکت از طریق *** مطرح می شود.در این صورت ISA با قرار ذاشتن در سمت هر شعبه و همچنین دفتر مرکزی به صورت آرایه ای از دیوارهای آتش (ARRAY OF FIREWALL) می تواند نقل و انتقال اطلاعات از سوی شعبات به دفتر مرکزی شرکت و بالعکس را زیر نظر داشته باشد . این مسأله بهعث می شود تا هر کدام از شعبات و دفتر مرکزی به منابع محدودی از یکدیگر دسترسی داشته باشند . در ضمن با وجود امکان مدیریت و پیکربندی متمرکز کلیه سرورهای ISA , نیهزی به مسولین امنیتی برای هر شعبه نیست و تنها یک مدیر امنیت , از طریق ISA سرور موجود در دفتر مرکزی می تواند کلیه ISA سرورهای شعبات را تنظیم و پیکربندی کند.(شکل 5)


سناریوی ششم
کنترل ذسترسی کاربران داخل دفتر مرکزی به سایت های اینترنتی , سناریوی ششم کاربرد ISA محسوب
می شود. در این جا ISA می تواند به کمک مدیر سیستم آمده , سایت ها , لینک ها ی URL و یا انواع
فایل ها یی که از نظر وی نامناسب تشخیص داده شده , را مسدود کند. در همین هنگام فایروال نیز کار خود را انجام می دهد و با استفاذه از سازگاری مناسبی که بین ISA و ACTIVE MESSING ویندوز وجود
دارد , اولا از دسترسی افراد غیر مجاز یا افراد مجاز ذر زمان هایغیر محاز به اینترنت جلوگیری شده و ثانیا می توان از اجرا شدن برنامه هایی که پورت های خاصی از سرور را مثلا جهت استفاده برنامه های INSTANT MESSAGING مورد استفاده قرار می دهند , جلوگیری نمود تا بدین وسیله ریسک ورود انواع فایل های آلوده به ویروس کاهش یابد . (شکل 6)

سناریوی هفتم
در تمام سناریوی قبلی که ISA در بر قراری ارتباط مناسب و امن بین سایت های اینترنت , کاربران یا شعبات شرکت نقش مهمی را ایفا می کرد , یک سناریوی دیگر نیز نهفته است و آن سرعت انتقال اطلاعات بین تمام موارد فوق از سایت های اینترنتی گرفته تا اطلاعات سازمانی است. سیستم ARRAY CACHE موجود در این برتامه باعث می شود تا هرکدام از کاربران چه در محل اصلی شرکت و چه از محل شعبات بتوانند برای دیدن اطلاعات یا سایت های مشابه راه میان بر را رفته و آن را از هر کدام از ISA های موجود در شبکه *** یا LAN دریافت کنند و بدین وسیله حجم انتقال اطلاعات با با محیط خارج را تا حدود زیادی در سیستم متوازن نمایند .


عملکرد
ISA SERVER کلیه سناریوهای تعیین شده را بر اساس سه قاعده مختلف یعنی سیستم, شبکه و دیواره آتش محقق می سازد که در ایتجا به این سه قاعده اشاره می کنیم.


1-NETWORK RULE
ISA SERVER با استفاده از قوانین شبکه ای موجود و تعریف شده در بانک اطلاعاتی خودش نحوی ارتباط دو یا چند شبکه را به یکدیگر در یک فضای معین , مشخص می سازد. در این قاعده که توسط مدیر سیستم قابل تنظیم است مشخص می گردد که شبکه های مورد نظرطبق کدام یک از دو روش قابل طرح , به یکدیگر متصل می شوند . این دو روش عبارتند از :

الف-NAT (Network Address Translation )
این روش , یک ارتباط یک طرفه و منحصر به فرد است. بدین معنی که همیشه یکی از شبکه ها نقش شبکه اصلی و داخلی (INTERMAL) و بقیه شبکه ها نقش شبکه های خارجی (EXTERMAL) را بازی می کنند. در این روش شبکه داخلی می تواند قمانین و شیوه دسترسی به اطلاعات و ردوبذل شدن آن ها در فضای بین شبکه ها را تعیین کند ولی این امکان از سایر شبکه های خارجی سلب گردیده و آن ها تابع قوانین تعریف شده درشیکه داخلی هستند. در این روش همچنین ISA آدرس IP کامپیوترهای مبدأ یک ارتباط NAT را به وسیلهعوض کردن آن ها در IP خارجی خودش , از دید کامپیوترهای یک شبکه (چه کامپیوترهای متصل از طریق LAN و چه کامپیوترهای خارجی ) مخفی می کند . به عنوان مثال , مدیر یک شبکه می تواند از ارتباط بین کامپیوترهای متصل شده از طریق *** را با ضای اینترنت از نوع یک رابطه NAT تعریف کند تا ضریب امنبت را ذر این ارتباطات بالا ببرد.

ب-ROUT
این نوع ارتباط یک ارتباط , دو طرفه است. بدین معنی که هر دو طرف می تونند قواعد امنیتی خاصی را برای دسترسی شبکه های دیگر به شبکه محلی خود تعریف کنند. به عنوان مثال ارتباط بین شبکه های متصل شده به یکدیگر در فضای *** می توند یک ارتباط از نوع ROUT باشد.
با توجه به ین مسایل ارتباطات فابل اطمینان یک شبکه با شبکه های مجاور (مثل شعبات شرکت ) می تواند از ROUT و ارتباطات مختاطانه شبکه با کاربران خارجی و کسانی که از طریقRADIUS یا وب به شبکه دسترسی ذارند می تئاند از نوع NAT تعریف شود .

2-Firewall Rule
علاوه بر نقش مستقیمی که سیاست های تعریف شده در قواعد دیواره آتش در نخوه ارتباط بین شبکه ها بازی می کند و می توند موجب مسدود شدن ارتباطات خرج از قواعد تعریف شده در NETWORK RULE شود , این قواعد همچنین می تواند با تعریف دقیقی که از پروتکل های HTTP , FTP , ONS , RPC و ........
انجام دهند , کلیه درخواست های ازانواع مذکور را زیر نظر گرفته و به عبارتی ********** نمایند. در این روش مدیر امنیت شبکه می تواند امکان دسترسی تعدادی از کاربران را در ساعات خاص و به محتوای مشخص مجاز یا غیر مجاز کند. به عنوان مثال وی میتواند تصاویر موجود بر روی صفحات وب را از طریق ********** کردن فهرستی از پسوندهای انواع فایل های گرافیکی در یک قاعده از نوع HTTP , مسدود کند در حالی که کاربران همچنان بتوانند آن فایل ها را از طریق پروتکل دیگری مثل FTP دریافت یا ارسال کنند.
همچنین در قواعد مربوطه به فایروال می توان دسترسی کاربران و یا گروه های کاربری را به تعدادی از آدرس های URL یا IP های مشخص مسدود کرد. ضمن آنکه قواعد مربوط به نخوه دسترسی کاربران برای انجام اموری مثل انتشار صفحات وب (WEB PUBLISHING ) و امثال آن هم در همین جا تعریف می گردد.

3-SYSTEM RULE
در این قسمت بیش از سی قاعده مربوط به دسترسی وجود دارد که قابل انتساب به شبکه محلی می باشند. این قواعد نحوه ارتباط سرویس های یک شبکه را با یکدیگر و همچنین با ISA مشخص می نماید. به عنوان مثال سرویس DHCP که کلیه درخواست ها و پاسخ های مربوط به انتساب دینامیک آدس IP به کامپیوترهای یک شبکه را مدیریت می کند , یا سرویس DSN که وظیفه ترجمه اسامی و آدرس های شبکه را انجام می دهد , مورد استفاده ISA قرار گرفته تا بتواند هم موقعیت خود در شبکه و با سرورهایی که سرویس های فوق را ارایه می دهند تشخیص دهد و هم با اطلاع از نحوه پیکربندی شبکه و ارتباط آن با مخیط خارج اقدام به کنتذل آن از طریق قواعد مربوطبه شبکه و دیواره آتش بنماید. به طور کلی سیاست های موجود در قواعد سیستمی روابط میان ISA و سایر منابع و سرورهای موجود در شبکه را مشخص می نمایند.

 

[Nethunter]

نرم افزار ISA يا Internet Security and Acceleration توسط شرکت Microsoft براي Win2k عرضه گرديده است. اين نرم افزار که در حقيقت نسخه جديدي از MSProxy است داراي قابليتها و تواناييهاي جالبي است. اما متأسفانه هنوز هيچ کتابي در اين مورد به زبان فارسي نوشته نشده است. حتي اکثر کساني که از اين نرم افزار استفاده مي کنند با بسياري از قابليتهاي ISA آشنا نيستند. در سايتها و وب لاگهاي کامپيوتري هم کمتر کسي پيدا مي شود که حتي اشاره اي به ISA کرده باشد.

نرم افزار ISA (بخش1)

نرم افزار ISA داراي دو قابليت اصلي است.
1- Firewall - 2 Cache
با استفاده از قابليت Caching مي توان Request هاي Http و Ftp کاربران شبکه را Cache کرد تا در هنگام درخواستهاي تکراري با صرفه جويي در زمان و پهناي باند بتوان به آن درخواستها از طريق اطلاعات Cache Server پاسخ گفت.

Cache
بخش Caching خود، داراي قابليتهاي زير است:
1) Automatic & Scheduled Caching : در اين قابليت ISA بطور هوشمندانه در ساعات مشخصي (ساعاتي که ترافيک شبکه کم است) به سراغ سايتهايي که قبلا Cache شده اند اما زمان TTL آنها تمام شده است و Expire شده اند رفته و بطور اتوماتيک آنها را Update مي کند. ISA اين عمل را با اولويت سايتهاي محبوب (سايتهايي که بيش از ساير سايتها توسط کاربران درخواست شده اند) انجام مي دهد. نتيجه اين کار اين است که سايتهاي محبوب کاربران همواره بصورت Update شده در ISA براي تحويل به کاربران فراهم است. ضمن اينکه ما بصورت دستي نيز مي توانيم ساعاتي را براي Update کردن سايتهاي دلخواهمان تعيين کنيم.

2) Reverse Caching : با استفاده از اين قابليت ISA مي تواند اطلاعاتي را که بر روي Web Server داخلي شبکه قرار دارند را پس از آنکه يکبار در اختيار کاربران موجود در اينترنت قرار داد بر روي خود Cache نموده و در صورت تقاضاي مجدد بدون مراجعه به Web Server اطلاعات Cache شده را در اختيار کاربران Internet قرار دهد. اين خاصيت موجب کاسته شده ترافيک بر روي Web Server مي شود.

3) Transparent Cache: يکي از قابليتهاي ISA اين است که هم بصورت Proxy Base و هم بصورت Transparent قابليت Cache کردن را دارد. در جلسات بعد در اين مورد بيشتر صحبت خواهيم کرد.

4) Distributed and Hierarchical Caching : مي توان بجاي يک ISA Cache از چند ISA Cache در شبکه استفاده کرد. سپس همه آنها را بصورت يک Array درآورد. در اين حالت تمام ISAها دست به دست هم داده و يک Cache يکپارچه را تشکيل مي دهند. درصورتيکه Objectهاي Cache شده از لحاظ فيزيکي بر روي اين ISA Server ها توزيع شده است و هر کدام قسمتي از اطلاعات را Cache نموده اند. ضمنا" ما مي توانيم از يک Root System نيز استفاده کنيم بگونه اي که يک يا چند ISA Server به اينترنت مستقيما" وصل بوده و Object هاي مورد نياز خود را از طريق ISA Serverهاي بالاتر تأمين نمايد. در اين حالت با استفاده از پروتکلCARP يا Cache Array Routing Protocol اطلاعات مورد نياز Clientها از روي يک Array جمع آوري شده و در اختيار آنها قرار مي گيرد.


Firewall
امروزه Firewallها در دو نوع سخت افزاري و نرم افزاري وجود دارند. مزيت عمده Firewallهاي سخت افزاري در سرعت آنهاست. از نمونه هاي سخت افزاري مي توان به Cisco PIX Firewall اشاره کرد که شکل آنرا ملاحظه مي کنيد:

جالب اينجاست که MicroSoft ادعا مي کند تمامي قابليتهاي يک Firewall سخت افزاري در ISA گنجانده شده است و بدليل قيمت بسيار کمتر براي استفاده اقتصادي تر است.

بطور کلي مي توان گفت قابليتهاي نرم افزار ISA در زمينه Firewall عبارتند از:

1- کنترل استفاده از اينترنت: در ISA مي توان با استفاده از Policyها ترافيک ورودي و خروجي را بر مبناي سايتها , Protocolها و محتويات Packetها Filter کرد.

2- مي توان Packetها را بر اساس لايه ها (از لايه Network تا Application) فيلتر نموده و حتي ترافيک هاي مربوط به DNS را کنترل کرد.

3- ISA با استفاده از قابليت Intrusion Detection مي تواند جلوي نفوذ هکرها را بگيرد. بر روي ISA روشهاي معروف Hack تعريف شده است و در صورتيکه فردي اقدام به استفاده از اين روشها نمايد ISA جلوي او را خواهد گرفت. به عنوان مثال ISA مي تواند Scan شدن Portها را تشخيص داده و جلوي آنرا بگيرد.


نگاه امروز:
معمولا" وقتي صحبت از Cache مي شود نرم افزارهايي مثل Squid , CacheXpress, RealCache و ... به ذهنــمــان خــطــور مــي‌کــند. ايــن ها هـمـه Request هــاي کــاربـــران شـبـکه مــحــلــي را Cache مــي کـنـنـد. امـا همـانطور که در توضيحـات فوق گفتـه شـد نـرم افـزارهــايي هــم وجـــود دارند که به صورت Reverse Caching عمل مي‌کــنــند. اين نــرم افـــزارهـــا در شـــبـــکه مـــحــلــي و قــبــل Web Server قــرار مي‌گــيـــرنــد و تــقــاضــاهــاي وارده از ايــنــتــرنت براي دستيابي به Web Server و يا Web Server ها را Cache مي کنند تا ترافيک را روي Web Serverها کاهش دهند. ديديم که ISA اين کار را مي تواند انجام دهد. در بخش نگاه امروز يک نرم افزار ديگر را معرفي مي کنيم که اين کار را انجام مي دهد. اين نرم افزار XCache نام دارد. براي آگاهي بيشتر و نيز Download کردن نسخه آزمايشي به XCache Overview مراجعه کنيد.

 

[Nethunter]

ISA داراي قابليتهاي مختلفي است که مي توان آنها را بصورت زير خلاصه کرد:

1- قابليت اعمال Policy هاي مختلف.
2- امکان کنترل Bandwidth (Qos).

توجه: در Windows امکان کنترل Bandwidth وجود ندارد. در اينجا تصريح مي کنيم که امکان کنترل Bandwidth در ISA بر اساس اولويت است. در صورتيکه در Linux و يا Cisco Routers شما مي توانيد Bandwidth کاربران را به يک سقف معين محدود کنيد. (بعدها در اين مورد بيشتر صحبت خواهيم کرد.)

3- امکان پشتيباني از VPN.
4- امکان Publish کردن Webserverهاي داخلي شبکه.

پس از Publish کردن Webserverهاي داخلي هرگاه يک کاربر از طريق Intenet بخواهد به Webserver ما دسترسي پيدا کند اطلاعات مورد نياز او از طريق ISA در اختيارش قرار مي گيرد. در نتيجه هيچکس از طريق Internet نمي تواند مستقيما" به Webserver هاي ما دسترسي داشته باشد.
5- H.323 GateKeeper: ويژه برنامه هايي است که از IP تلفني استفاده مي نمايند. (مثل NetMeeting)
6- Monitoring & Alerts.

نکته: ذکر اين نکته لازم است که هر سيستم عاملي که Http (ver 1.1) را پشتيباني کند مي تواند به عنوان يک WebProxyClient عمل نمايد. اگر بخواهيم از ISA به عنوان يک Firewall استفاده نماييم بايد Clientها داراي Win95 به بعد باشند. Clientها مي توانند به عنوان SecureNAT Client عمل کرده و از خيلي از قابليتهاي ISA بهره-مند شوند.

ISA Server مي تواند در دو حالت زير نصب شود:

1- Stand-alone : در اين حالت ISA Server ها مستقل از يکديگر عمل کرده و به يکديگر متصل نمي شوند.
مزاياي اين روش عبارت است از:
- هزينه کمترو تنظيمات کمتري نياز دارد.
- تمام قابليتهاي Caching و Firewall را داراست.
- از هرنوع Connection حتي Dialup مي تواند استفاده کند.
معايب اين روش هم عبارت است از:
- داراي Enterprise Policy نيست. بنابراين اگر از چند Stand-alone استفاده کنيم بايد هرکدام را جداگانه کنترل کنيم.
- Single Point of Failure: در حالت Stand alone همه چيز وابسته به ISA است و اگر ISA دچار مشکل گردد Internet قطع خواهد شد.

2- Enterprise Array: پياده سازي اين روش فقط بر روي Active Directory امکان پذير است. در اين روش يک Array مرکب از چندين ISA Server تشکيل مي شود که همگي بصورت منطقي از يک نقطه کنترل مي گردند. ضمنا" هر کدام از اعضاي Array قسمتي از اطلاعات را Cache مي کنند. در صورت نياز مي توان Array را گسترش داد. نکته قابل توجه اين است که يک Array فقط تحت يک Domain واحد قابل پياده سازي است. يعني اعضاي يک Array بايد همگي عضو يک Domain باشند.
مزاياي اين روش:
- امکان اعمال Enterprise Policy.
- امکان مديريت متمرکز
- No Single Point of Failure: در اين حالت اگر يک يا چند ISA Server دچار اختلال شود اختلالي در شبکه بوجود نمي آيد.
معايب اين روش:
- نيازمند ايجاد تغييراتي در توپولوژي شبکه است.
- از نظر هزينه نسبت به روش قبلي گرانتر است.
- در ابتداي کار نياز به مطالعه , تحقيق , برنامه ريزي و صرف وقت بيشتري براي پياده سازي دارد.

قابليت Array Chains: اين قابليت (Hierarchical Caching) اجازه مي دهد که يک ISA Server بدون آنکه مستقيما" به اينترنت متصل باشد از طريق Cache يک ISA Server ديگر به تعدادي Client سرويس دهد.

Publishing: در اين حالت تمام کساني که بخواهند از طريق اينترنت به WebServer ما دسترسي پيدا کنند مستقيما" با آن ارتباط ندارند بلکه ISA اين اطلاعات را در اختيار کاربران قرار مي دهد.

مزاياي Publish کردن:


- بالا رفتن Security شبکه درحالي که اطلاعات سرورهاي ما بدون هيچ مشکلي از طريق اينترنت قابل دريافت است.
- امکان Reverse Caching به کمک Publish کردن فراهم مي شود.
معايب Publish کردن:
- اگر طراحي را به دقت انجام ندهيم بار زيادي بر روي ISA Server اعمال مي شود.
- نياز به انجام تنظيمات دقيق داريم در نتيجه هنگام بروز مشکل براي رديابي آن به مدت زمان بيشتري نياز داريم.


نگاه امروز:
در بخش نگاه امروز روشي براي انتقال کامل کاربران Windows از يک کامپيوتر يا Domain به کامپيوتر و يا Domain ديگر را معرفي مي کنيم.

اين کار معمولا" وقتي بکار مي رود که Windows شما دچار اشکال شده باشد و شما مجبور باشيد که مجددا" Windows خود را نصب کنيد. همچنين اگر بخواهيد از Password کاربران خود بطور کامل Backup بگيريد از اين روش استفاده مي شود. در اين روش Passwordهاي عضو Domain بطور کامل قابل انتقال هستند. در حقيقت در اين روش يک کپي از فايل Sam تهيه مي شود و به کامپيوتر جديد منتقل مي شود.
هشدار: برخي افراد سودجو ممکن است از اين روش براي دستيابي به اهداف پليد خود سوء استفاده کنند. مثلا" ممکن است يک نفر با تهيه يک کپي از فايل Sam شما آنرا به کامپيوتر خودش کپي کند و با استفاده از نرم افزارهايي نظير LC4 بتواند به اصل Passwordهاي شما و کاربرانتان دست يابد. همچنين ممکن است کسي از فايل Sam کپي تهيه کند سپس Password يک يا چند کاربر را عوض کند و از Account آنها مدتي سوء استفاده نمايد سپس Sam فايل را مجددا" به جاي خود برگرداند تا کسي متوجه نشود او Passwordها را عوض کرده و از آنها سوء استفاده نموده است.

ابتدا فايل CopyPassword.zip (حجم: 40KB) را Download کنيد و آنرا Unzip کنيد.
سپس دستور زير را اجرا کنيد.

Copypwd DUMP > Copypwd.txt​

توجه داشته باشيد که نام فايل حتما" بايد Copypwd.txt باشد.
پس از اجراي اين دستور فايلي بنام Copypwd.txt ساخته مي شود. اين فايل شامل Usernameها و Password کاربران است. البته Password بصورت Hash ديده مي شود.
اکنون اين فايل را بر روي کامپيوتر جديد کپي کنيد. شما بايد در کامپيوتر جديد همه کاربران را بدون وارد کردن Password بطور دستي در Windows ايجاد کنيد. اگر تعداد کاربران خيلي زياد است مي توانيد از نرم افزارهايي که از طريق يک Text File نام کاربران را Import کرده و آنها را در NT ايجاد مي کنند استفاده کنيد. (مثل ISPUtil - البته اين نرم افزار بدون قفل سخت افزاري قابل اجرا نيست!) نرم افزارهايي از اين قبيل در اينترنت براحتي يافت مي شوند.
شما کافيست اين فايل را به يک کامپيوتر ديگر کپي کرده و دستور زير را بر روي آن اجرا کنيد.

CopyPwd SET​

با اين کار Password کاربران موجود در فايل Copypwd.txt به حالت اوليه بازگردانده مي شود!

 

[Nethunter]

Demilitarized Zone) DMZ):
در واقع شبکه کوچکي است که از شبکه داخلي مجزا بوده و رنج IP هاي مورد استفاده در آن با IPهاي شبکه داخلي متفاوت است. IPهاي DMZ در داخلLATيا(Local Address Table) قرار ندارد.

کلا" DMZ مي تواند به دو شکل زير پياده سازي شود:
1) Tree homed DMZ: در اين حالت يکي از NICهاي ISA به اينترنت , يکي به شبکه محلي و سومي به DMZ متصل مي باشد.

2-Back to Back DMZ: همانطور که در شکل زير مشاهده مي شود در اين حالت از دو ISA استفاده مي شود که DMZ در بين آنها قرار دارد. در اين حالت امنيت شبکه داخلي بيشتر خواهد بود. زيرا براي نفوذ به داخل آن بايد از دو ISA عبور کنيم. ولي در عوض از نظر هزينه, گرانتر است.




نصب ISA Server:

ISA Server داراي دو نسخه Enterprise و Standard Edition است. هنگام نصب بايد يکي از حالتهاي Caching, Firewall و يا Integrted را انتخاب نماييم.

در حالت Caching فقط Requestهاي FTP و HTTP کاربران Cache مي شود تا سرعت دسترسي کاربران به اينترنت افزايش يابد.

در حالت Firewall دسترسي کامپيوترها و کاربران به منابع مختلف کنترل گرديده و نظارت مي شود.
در حالت Ientegrated هر دو حالت فوق باهم بصورت تلفيقي وجود دارند.

نکته: اگر بخواهيم از Caching استفاده کنيم حداقل به يک پارتيشن NTFS نياز داريم. البته جهت بالا بردن Security پيشنهاد مي شود که تمام Driveها به NTFS فرمت شوند.

هنگام نصب ISA بصورت پيش فرض به ميزان 100MB از فضاي بزرگترين پارتيشن NTFS جهت استفاده Cache انتخاب مي شود. به شرطي که حداقل150MB فضا بر روي آن وجود داشته باشد. ضمنا" حداقل اندازه Cache برابر با 5MB است.

ميزان ظرفيت Cache چقدر باشد؟

در همه Cacheها يک نقطه مشترک وجود دارد و آن هم تعيين Cache Size است. در تماس با برخي از دوستان و مديران شبکه هاي اطلاع رساني چه در تهران و چه در شهرستانها به وفور به اين مسئله برخورد کرده ام که آنها براي بالا بردن سرعت شبکه ميزان Cache Size را بالا مي برند تا به اين ترتيب حجم بيشتري از اطلاعات در Cache Server ذخيره شود. در صورتي که اين کار درست نيست! مثلا" فرض کنيد ميزان Cache Size برابر با 50GB باشد. آنگاه اگر کاربري تقاضاي يک URL کند Cache Server بايد در 50GB اطلاعات بدنبال آن URL بگردد! وجود چنين Cacheي نه تنها سرعت را بالا نمي برد بلکه نتيجه معکوس به همراه دارد.

تعيين اندازه Cache Size به تعداد Requestهاي کاربران در واحد زمان بستگي دارد. همچنين نوع کاربران (Lan يا Dialup) هم در تعيين ميزان Cache Size مؤثر است. به طور تقريبي مي توان گفت که يک کاربرDialup معمولا" در 90% زمان اتصال به شبکه Browse انجام مي دهد. و بطور متوسط در هرثانيه به ميزان 0.02 Request دارد. بنابراين از فرمول زير مي توان Peak Request Rate را براي کاربران Dialup بدست آورد.

Peak Request Rate =(Number of Lines) X.02​

کاربران Lan هم هرکدام معمولا" فقط در 10% زمان کار خود Browse انجام مي دهند و بطور متوسط در هرثانيه به ميزان 0.002 Request دارند. بنابراين از فرمول زير مي توان Peak Request Rate را براي کاربران Lan بدست آورد.

Peak Request Rate = (Number of Lan Users) X .002​

براي تعيين اندازه Cache Size دو مقدار فوق را باهم جمع کنيد تا Request Rate بدست آيد. اينک مطابق فرمول زير ميزان Cache Size بدست مي آيد.

Cache Size(MB) = (request rate) X 432​

مثلا" اگر شما 10 کاربر Lan و 30 کاربر Dialup داشته باشيد ميزان Cache Size شما بايد تقريبا" برابر با 268MB باشد! با اين مقدار بطور تقريبي Cache Server شما بهترين Performance را خواهد داشت.
البته شرکت Microsoft درباره ISA فرمول زير را توصيه کرده است:

[(Cache Size = [100 MB + (n/2​

که در آن n تعداد Clientها است. طبق اين فرمول اگر ما 40 کاربر داشته باشيم بايد ميزان Cache Size را معادل 120MB قرار دهيم. مجددا" تأکيد مي کنم که بالا بردن بي رويه رقم Cache Size اثر منفي در نتيجه کار خواهد داشت.
بگذريم! ISA فايلهاي مربوط به Cache را در داخل شاخه اي با نام URLCache ذخيره مي کند. اگر بخواهيم بيش از 10GB در يک درايو Cache کنيم تعداد فايلهاي ما بيش از يک فايل خواهد بود. زيرا هرکدام از فايلهاي Cache حداکثر مي توانند 10GB باشند.

ATيا(Local Address Table):
شامل فهرست IPهاي شبکه داخلي است. ISA با استفاده از LAT ,IPهاي داخل و خارج از شبکه را تشخيص مي دهد. در هنگام نصب ISA مي توان IPهاي LAT را معرفي کرد.

 

[Nethunter]

Policyها در ISA:
Administrator با استفاده از Policy مي تواند با توجه به سياستهايش دسترسي افراد را به Internet کنترل نمايد. براي مثال مي تواند فرد و يا گروهي از افراد را در ساعات مشخصي از روز به يک سايت معين محدود کند. و يا مي تواند پهناي باند معيني به آنها بدهد و يا .... .

براي پياده سازي يک Policy ابتدا بايد عناصر اصلي يا پايه يک Policy را تنظيم نماييم و با ترکيب آنها يک Policy نهايي ايجاد نماييم. مهمترين Policyهاي قابل تنظيم در ISA عبارتند از:

1- Schedules: با استفاده از اين پارامتر مي توان زمان (روز و ساعت) اعمال يک Policy را تعيين کرد.

2- Destination Sets: با استفاده از اين قسمت مي توانيم يک IP Range يا HostName مشخص را مشخص نماييم و از دسترسي شبکه داخلي (يا برخي از اعضا) به اين آدرسها جلوگيري نماييم. در اين قسمت علائم Wild Cards (* و ? ) هم قابل استفاده هستند.

3- Configure Client Address Sets: با استفاده از اين قسمت مي توان يک يا تعدادي از کامپيوترهاي داخل شبکه را انتخاب کرد تا محدوديتهاي تعيين شده بر روي آنها اعمال شود.

4- Protocol Definition: با استفاده از اين قسمت مي توانيم استفاده از پروتکلهاي معين از اينترنت را Allow و يا Deny نماييم. در ISA اکثر پروتکلهاي معروف و رايج تعريف شده اند و قابل استفاده اند. مانند Http , FTP, MSN, Telnet , SMTP و ... . همچنين شما مي توانيد به تعريف پروتکلهاي دلخواه خود بپردازيد.

5- Bandwidth Priorities: با استفاده از اين قسمت مي توانيم اولويتهاي مختلفي را براي استفاده از پهناي باند تنظيم نماييم تا با استفاده از آنها در يک Policy , پهناي باندي را که به يک پروتکل يا افراد مي خواهيم اختصاص دهيم مشخص نماييم.

6- Content Groups: با استفاده از اين قسمت مي توانيم مجوز دسترسي به يکسري فايل مشخص و معلوم را صادر و يا رد کنيم.

7- Dialup Entries: در اين قسمت مي توانيم با استفاده از Dialup Connectionهايي که قبلا" تعريف نموده ايم امکان استفاده از آنها را Allow يا Deny کنيم.

Array & Enterprise Policy:

بر روي يک Array مي توان Enterprise Policy وPolicy Array را اعمال نمود. اما براي پياده سازي بايد به نکات زير توجه کرد:

1- يک Enterprise Policyيا(EP) را مي توان بر روي چندين Array اعمال نمود.

2- يکArray Policy نمي تواند مجوزهاي دسترسي را گسترش دهد بلکه فقط مي تواند دسترسي هاي افراد را محدودتر کند.

3- Userهايي که عضو Enterprise Admins و يا Domain Admins هستند مي توانند EP ها را تعريف کرده و يا تغيير دهند.

4- در صورت نياز مي توان جلوي تعريف Array Policy را گرفت تا Administratorهاي Arrayها نتوانند دسترسي ها را محدودتر نمايند.

5- تا جايي که ممکن است Policyها بايد کم و ساده باشند و بدون دليل دسترسي افراد را محدود نکنند.

6- هيچ ترتيبي در اعمال Policyها وجود ندارد. همواره Policyهايي که دسترسي ها را deny مي کنند بر روي Policyهايي که Allow مي کنند Override مي نمايند.

نحوه عملکرد Cache در ISA:

وقتي يک Client درخواستي را جهت دريافت Data از اينترنت به ISA ارسال نمايد به ترتيب مراحل زير رخ مي دهند:

1- ISA ابتدا Enterprise Policy و Array Policyها را چک مي کند تا ببيند درخواست انجام شده مجاز است يا خير.

2- اگر مجوز دسترسي وجود داشته باشد ISA در Cache خود بررسي مي کند تا اگر مورد درخواست شده در آن موجود باشد آنها را به سرعت در اختيار Client قرار دهد.

3- اگر مورد درخواستي در Cache وجــود نــداشته باشند ISA آنها را از ايــنــتــرنــت دريـــافـــت مي کـــنـــد و يــک TTLيا(Time to Live) به آنها اختصاص مي دهد و پس از Cache نمودن , آنها را در اختيار Client قرار مي دهد.

4- اگر باز هم قبل از آنکه موارد Cache شده Expire شوند دوباره درخواست شوند , ISA بدون مراجعه به اينترنت آنها را از طريق Cache خود در اختيار Client ها قرار مي دهد.

CARPيا(Cache Array Routing Protocol)

با استفاده از اين پروتکل مواردي که قرار است Cache شوند بر روي ISA Serverهاي عضو Array ذخيره مي گردند. جالب اينجاست که از ديد Clientها فضاي تک تک ISAهاي عضو Array کلا" بصورت يک Cache منطقي و واحد تلقي مي شود! اين پروتکل داراي الگوريتمي مي باشد که موارد Cache شده را را بر روي ISA Server ها ذخيره مي کند. هرگاه يک Client از يک ISA که داخل Array باشد چيزي را درخواست کند آن ISA Server با استفاده از پروتکل CARP محل دقيق آنرا بر روي ISA Server هاي ديگر تشخيص داده و پس از دريافت آن موارد آنها را در اختيار Client مربوطه قرار مي دهد. در گذشته از پروتکل ICPيا(Internet Cache Protocol) بجاي CARP استفاده مي شد. در ICP هرگاه درخواستي از Proxy Server مي شد ابتدا آن سرور مورد جستجو قرار مي گرفت و درصورت پيدا نشدن مورد درخواست شده از Cache Serverهاي ديگر وجود و يا عدم وجود آن مورد را بررسي قرار مي داد.

مزاياي CARP به ICP:

1- سرعت در اختيار قرار دادن موارد درخواست شده در CARP بيشتر است. چون در CARP دقيقا" محل URL مورد تقاضا مشخص بوده و ديگر نيازي به جستجو نيست.

2- ترافيک ايجاد شونده توسط پروتکل CARP در شبکه LAN بسيار کمتر است. چون جهت يافتن موارد Cache شده در نيازي به Search نيست.

نکته: با استفاده از Chains که ترکيبي از دو يا چند Array مي باشد مي توانيم يک Hierarchical Caching بوجود بياوريم.

 

[Nethunter]

Negative Caching
وقتي زمان TTL (زمان حيات) يک Object در Cache به پايان برسد آن مورد Expire مي شود. اما اگر ISA از نظر فضاي فيزيکي دچار محدوديت نشده باشد موارد Expire شده را پاک نمي کند. به اين ترتيب هرگاه يک کاربر درخواستي انجام دهد و اين درخواست از جمله همان مواردي باشد که Cache گرديده و Expire شده اند, ISA ابتدا سعي مي کند با مراجعه به اينترنت آنها را دوباره Cache کرده و Update نمايد. اما اگر به هردليلي امکان برقراري ارتباط با اينترنت و يا Server مربوط به Object درخواستي فراهم نشود با توجه به تنظيماتي که در قسمت Advanced واقع در Cache Configuration Properties انجام داده ايم ISA مي تواند از همان موارد Expire شده در Cache در اختيار Client قرار دهد.

Active Caching
يکي از قابليتهاي جالب ISA است. با فعال شدن Active Caching بطور هوشمندانه سايتهايي که مراجعه کننده و متقاضي زيادي دارند قبل از اينکه TTL آنها به پايان برسد و Expire شوند دوباره Cache مي شوند تا دسترسي کاربران به آنها سريعتر باشد.

Scheduled Content Download
با استفاده از اين قابليت مي توانيم از ISA بخواهيم تا صفحات و سايتهايي را که مراجعه کنندگان زيادي دارند در ساعات و تاريخهاي مشخصي Download نموده و Cache نمايد تا در هنگام نياز به سرعت در اختيار کاربران قرار گيرد.

توجه: بهتر است زماني را براي اجراي اين Jobها انتخاب کنيم که در در آن ساعات ترافيک شبکه پايين باشد. (مثل ساعات اوليه صبح)

FIREWALL
همانطور که قبلا" هم گفتيم ISA شامل يک Firewall چندلايه مي باشد که مي تواند Data ردوبدل شده از حالت Packet تا لايه Application را کنترل نمايد. شما با توجه به سياستهاي حفاظتي خود مي توانيد از قابليتهايي مثل Access Policy , IP Packet Filtering, Intrusion Detection , Application Filters, LAT , LDT و ... استفاده کنيد.

Application Filters
ISA مي تواند با تمام برنامه هاي سازگار با Winsock کار کند. بدين معنا که با استفاده از Firewall مي توانيم تبادل Data بين دو کامپيوتر مختلف را که در دوطرف ISA قرار داشته و از يک Winsock استفاده مي نمايند , امکانپذير ساخته و کنترل نماييم.

LDTيا(Local Domain Table)
در اين قسمت مي توانيم نام Domain هايي را که در شبکه داخلي ما قرار دارند وارد نموده و با اين کار Domainهاي Local را به ISA معرفي کنيم. هرگاه يک Client بخواهد نام يک Client ديگر را به IPآن Resolve کند پس از آنکه ISA, DNS Query آن Client را دريافت کرد با بررسي LDT تشخيص مي‌دهد که آن درخواست را بايد به يک DNS داخلي و يا يک DNS موجود در Internet ارجاع دهد. LDT را مي توانيم در قسمت Network Configuration تنظيم کنيم.

نکته: هنگام اضافه کردن يک مورد جديد به LDT اگر قصد اضافه کردن تمام کامپيوترهاي عضو يک Domain را داشته باشيم مي توانيم از فرمت domainname.* استفاده کنيم.

System Hardening
با استفاده از اين قابليت مي توانيم سرويسهايي را که يک ISA در اختيار ديگران قرار مي دهد مشخص و معلوم نماييم تا Security سيستم افزايش يابد. تنظيم اين قابليت در سه حالت است:

1- Secure: در اين حالت علاوه بر آنکه ISA سرويسهاي Firewall و Caching را ارائه مي کند, مي تواند سرويسهاي مربوط به برنامه هاي ديگر را نيز ارائه کند.

2- Limited Services: دراين حالت ISA فقط به عنوان Firewall و Caching ايفاي نقش مي کند.

3- Dedicated: در اين حالت فقط Firewall فعال مي باشد.

براي انجام System Hardening بايد IP Packet Filter را در قسمت Access Policy ها انتخاب کرده و در پنجره سمت راست Secure your ISA Server , Computer را انتخاب مي کنيم. از اين روش زماني استفاده مي شود که نمايش Consol در حالت View/Taskpad باشد. راه ديگر انجام اين کار کليک راست بر روي کامپيوتر مربوطه در قسمت Computers و انتخاب Secure مي باشد.

در جلسه آينده بحث را در زمينه Firewall ادامه مي دهيم.

نگاه امروز:
امروز قصد داريم تعدادي نرم افزار Remote Control را معرفي کنيم. به کمک اين نرم افزارها شما از راه دور و از طريق اينترنت قادريد يک PC متصل به اينترنت را در هر نقطه جهان Monitor و کنترل کنيد. يعني شما مي توانيد بدون حضور فيزيکي دقيقا" Desktop آن کامپيوتر را مشاهده نماييد و با آن کار کنيد. شرکت Microsoft اين نياز را پيش بيني کرده و Terminal Service را در Windows براي اين منظور معرفي کرده است. اما توجه داشته باشيد که Terminal Service نمي تواند Desktop طرف مقابل را عينا" به شما نشان دهد. بلکه يک Session جديد در Windows تشکيل مي دهد و از طريق Consol اصلي فعاليتهاي کسي که از طريق Remote به کامپيوتر وصل شده است و مشغول کار است ديده نمي شود.

آقاي Norton معروف هم با درک اين نياز PC Anywhere را عرضه کرده است که حتما" با آن آشنا هستيد. اين نرم افزار از ميان نرم افزارهاي مشابه داراي قدمت بيشتري است.
نرم افزار Remote Admin هم يک نرم افزار بسيار خوب و سبک براي کنترل يک کامپيوتر از راه دور است. اين نــرم افــزار بــايــد هــم روي کــامپــيوتر مبدأ و هم روي کامپيوتر مقصد نصب شود. آدرس براي Download اين نرم افزار:

http://www.famatech.com/radmin21.zip
http://www.radmin.com/radmin21.zip
:Serial
08US9A95I+lKa9nbOLXqv0V8xqdDvKGcNcTpN2wV11iSqOCVuA 6A5KKZRHc5GVMIybWomK6rNwoj8mYy8LXRFi23​

يکي ديگر از نرم افزارهاي خوب در اين زمينه VNC مي باشد که از محبوبيت خوبي برخوردار است. يکي از امکانات منحصر به فرد اين برنامه اين است که از طريق Internet Explorer هرکامپيوتري و تنها با وارد کردن IP (به همراه پورت VNC) کامپيوتري که برنامه VNC روي آن نصب است مي توان Desktop آنرا مشاهده کرد و آنرا در اختيار گرفت.
Remote Desktop در xp هم همين کار را انجام مي دهد.

توجه داشته باشيد که در همه نرم افزارهاي فوق لازم است که نرم افزار مربوطه بر روي کامپيوتر ميزبان نصب شود. اما يک نرم افزار جالب ديگر بنام Dameware وجود دارد که مي تواند از راه دور Client خود را بر روي کامپيوتر ميزبان نصب کند! و سپس آن کامپيوتر را مانيتور کند. آن نرم افزار قابليتهاي بسيار زيادي دارد. به کمک اين نرم افزار مي توان از راه دور عمليات مختلفي بر روي کامپيوتر ميزبان به اجرا در آورد که برخي از آنها عبارتند از:

- Shutdown کردن کامپيوتر از راه دور.
- مشاهده درايوهاي يک کامپيوتر از راه دور.
- مشاهده Userهاي يک کامپيوتر از راه دور و ايجاد و حذف يک User.
- نصب و يا حذف کردن سرويسها در کامپيوتر از راه دور.
- در اختيار گرفتن Command Prompt کامپيوتر از راه دور.
و... .

البته همه اينها در شرايطي است که شما سطح دسترسي Administrator به کامپيوتر ميزبان داشته باشيد. (البته براي مشاهده ليست کاربران نياز به سطح دسترسي Administrator نيست. به اين ترتيب شما با داشتن IP مربوط به Server اصلي هر ISP مي توانيد ليست کاربران تعريف شده در آنرا مشاهده نماييد!!! )
به کمک اين نرم افزار حتي مي توانيد ماوس و Keyboard اصلي سيستم را Lock کنيد تا فقط خودتان کنترل سيستم را بر عهده بگيريد و کسي که در مقابل کامپيوتر اصلي نشسته است نتواند کاري بکند.
به هرحال اين نرم افزار داراي قابليتهاي بي شمار و جالبي مي باشد. به حرفه اي‌ها توصيه مي‌کنم که حتما" اين نرم افزار را Download کرده و از آن استفاده کنند.
اين نرم افزار شامل دو بخش NT Utilities و Mini Remote Control است که از اين طريق قابل دريافت هستند:

http://download.dameware.us/files/DNTUW.zip
http://download.dameware.us/files/DWMRCW.zip​

 

[Nethunter]

ISA Authentication
قبل از آنکه يک Client بتواند از ISA درخواستي کند بايد Authenticate شود.
در ISA روشهاي زير براي Authenticate کردن وجود دارد:

1- Basic: در اين روش Username و Password بصورت Clear text ارسال مي گردد.

2- Digested: در اين روش يکسري Data به Username و Password اضافه مي گردد تا تشخيص آن براحتي انجام نپذيرد. اگرچه در اين روش Password ها Encrypt نمي شوند ولي داراي Security بيشتري نسبت به روش قبل است.

3- Windows Integrated: در اين روش از Kerberos V.5 استفاده مي شود.

علاوه بر روشهاي فوق ISA داراي قابليت Passthrough Authentication نيز مي باشد. با استفاده از اين قابليت يک Client داخل شبکه مي تواند بر روي يک WebServer در اينترنت Authenticate شود. اين قابليت Kerberos را پشتيباني نمي کند. يکي ديگر از مزاياي اين قابليت اين است که اگر يک Client از طريق يک Downstream موجود در يک Chain بخواهد به اينترنت متصل شود کافيست که فقط بر روي همان Downstream شناسايي گردد. شناسايي شدن آن با استفاده از اين قابليت به Upstream Array موجود در Chain نيز ارسال مي شود.

Application Filters
در قسمت Extensions واقع در يک Array با انتخاب Application Filter مي توانيم از Filterهايي که قبلا" بر روي ISA تعريف شده اند استفاده کنيم. به عنوان مثال Http Redirector يکي از اين فيلترهاست که از آن مي توان براي ارجاع Requestهاي خاص کاربران به يک آدرس ديگر استفاده کرد. مثلا" شما مي توانيد تمام Requestها به مقصد www.yahoo.com را به www.hotmail.com هدايت (Redirect) کنيد. اگر کمي زيرکي به خرج دهيد مي توانيد از اين فيلتر براي گذاشتن تبليغ بر روي سايتهاي مختلف (مثلا" Yahoo) استفاده کنيد! (منظور اين است که مي خواهيم هرگاه کاربرانمان به www.yahoo.com مراجعه مي کنند ضمن اينکه سايت Yahoo براي آنها به نمايش درمي آيد در کنار آن تبليغ ISP هم بازشود!) فکر مي کنم از روي توضيحات فوق روش انجام اين کار را پيدا کرده باشيد. اصلا" خوب است يک مسابقه ترتيب دهيم و از شما بخواهيم روش اين کار را بنويسيد. پس سئوال مسابقه به اين شکل است:

ايجاد و تنظيم Array
در صورت نياز مي توانيم بر روي Servers و Arrays کليک راست کرده و يک Array جديد ايجاد کنيم. در هنگام ايجاد يک Array بايد سايت و Domainي را که آن Array در آن قرار خواهد داشت مشخص کنيم. درضمن چگونگي اعمال Policy بر روي هر Array را نيز مي توان مشخص نمود. پس از ايجاد Array مي توانيم بر روي آنRight-Click نموده و با انتخاب Properties تنظيمات مربوط به آن Array را انجام دهيم.

Policy Tab:
در اين Tab مي توانيم در صورت نياز يک Enterprise Policy دلخواه را که از قبل تعريف شده است را بر روي Array مربوطه اعمال نموده و در ضمن با Optionهاي اضافي امکانهايي از قبيل Array Level Policy , Publishing Rules و Packet Filtering را انجام دهيم.
ضمنا" در Outgoing Web Requests مي توانيم ISA Server هايي را که به درخواست Clientها جهت اتصال به اينترنت گوش مي کنند و آنها را به اينترنت متصل مي کنند مشخص و تنظيم نماييم.
توجه: بصورت Default تمام Serverهاي موجود در يک Array به تمام درخواستهايي که به IP هاي داخلي آنها ارسال مي شود گوش مي کنند.

در Incoming Web Requests مي توانيم ISAهايي را که قرار است به درخواستهاي انجام شده از طرف اينترنت جهت اتصال به شبکه داخلي گوش کرده و به آنها پاسخ دهند مشخص مي نماييم.
توجه: بصورت Default هيچ سروري اين کار را انجام نمي دهد.

در جلسه آينده بحث در زمينه Firewall را ادامه مي دهيم.


نگاه امروز:
شما به چه ميزان به Security شبکه خود اطمينان داريد؟ شما تا چه حد به غير قابل نفوذ بودن شبکه خود ايمان داريد؟ شما چه اقدام مفيدي براي بالا بردن Security شبکه خود انجام داده ايد؟
چندي پيش با مدير يکي از ICPهاي بزرگ تهران که فردي پرتلاش و با پشتکار فراوان است در مورد Security صحبت مي کردم. از آنجا که ايشان نسبت به صحت عملکرد Adminهاي خود ترديد داشتند از من خواستند تا وضعيت Security شبکه آنها را بررسي کنم. من هم با استفاده از چند نرم افزار خيلي ساده از راه دور حتي بدون Connect شدن به شبکه آنها و فقط با دانستنIP آنها موارد زير را برايش Email کردم:

1- توپولوژي شبکه آنها بصورت گرافيکي همراه با جزئيات TCP/IP.
2- تعداد و نوع روترهاي آنها.
3- ورژن IOS روترهاي آنها.
4- رنج IPهاي Invalid استفاده شده در شبکه.
5- ليست کليه کاربران.
6- ليست کاربران Online.
7- ليست Asyncهاي هر روتر به همراه کاربران فعال بر روي هر پورت.
8- Disconnect کردن هر کاربر دلخواه از شبکه.
9- نمايش فهرست نرم افزارهاي نصب شده بر روي تعدادي از کامپيوترهاي Lan از جمله کامپيوتر Adminitrator !
10- نمايش فهرست نرم افزارهاي در حال اجرا بر روي تعدادي از کامپيوترهاي Lan از جمله کامپيوتر Adminitrator !
11- ميزان کل پهناي باند استفاده شده توسط ICP بصورت لحظه اي و روزانه.
12- و ... .

بله, هميشه همه چيز آنطور نيست که ما فکر مي کنيم. اين جمله اي است که هر Administrator بايد هميشه آنرا بخاطر داشته باشد. هميشه همه چيز آنطور نيست که ما فکر مي کنيم.

اين را بخاطر داشته باشيد که اولين اقدام يک هکر براي نفوذ به شبکه شما جمع آوري اطلاعات از وضعيت شبکه شما است. اشتباه عمده اين ICP در اين بود که سرويس SNMP را بر روي روترها و بعضي از کامپيوترهاي Lan فعال کرده بود بدون آنکه Community را از public تغيير داده باشد! حتي بر روي روترهايش SNMP را RW به معناي Read-Write معرفي کرده بود!

به هر حال همه اينها را گفتم تا نرم افزار NetCrunch را معرفي کنم. نرم افزاري که در عين سادگي بسيار جالب است. (Crunch به معناي صداي خرد شدن چيزي زير دندان است.) توضيح بيشتري در مورد اين نرم افزار نمي دهم. بهتر است خودتان آنرا Download کنيد و امتحان کنيد.

 

[Nethunter]

ISA Array Chain
اگر شما در شبکه خود دو Array داشته باشيد مي توانيد يکي را به‌ديگري Chain کنيد. به اين ترتيب يک Array Chain بوجود مي آيد. اگر از يک Array در قسمت Properties , Network Configuration بگيريم مي توانيم از آن بخواهيم تا جهت اتصال به اينترنت از يک Array ديگر استفاده کند و بدين ترتيب يک Chain ايجاد کنيم. در پنجره باز شده Chain to this computer را انتخاب کرده و در آن قسمت يکي از اعضاي Upstream Array مورد نظر را مشخص مي کنيم.

Setting Up ISA Clients:
ISA به سه روش مي تواند از Clientها پشتيباني کند:

1- Firewall Clients: در اين حالت يک برنامه مخصوص بر روي Client ها نصب مي گردد و امکان استفاده از تمام قابليتهاي ISA Server را به آن Clientها مي دهد. اين برنامه مخصوص Winsock Compatible مي باشد و فقط مي تواند بر روي OSهاي Win9x , Me, NT4.0 و Win2k نصب گردد. اين برنامه شامل dll هايي مي باشد که درخواستهاي برنامه هاي ديگري را که بر روي Firewall Clients نصب بوده و با Winsock , Compatible مي باشند, دريافت کرده و به Redirect , ISA مي نمايد بگونه اي که آن برنامه ها متوجه دخالت ISA در اتصال به اينترنت نشوند.

2- Client :Secure NATهايي را که نمي توان به عنوان Firewall Client تنظيم نمود به Secure NAT Client تبديل مي کنيم (مانند Linux , Macintash و ... ). در اين حالت تقريبا" تمام قابليتهاي Firewall وجود دارد. اما High Level Protocols و User Level Authentication پشتيباني نمي شود.

3- WebProxy: هر Client که از يک Web Browser که HTTP 1.1 را Support کند استفاده نمايد مي تواند WebProxy Client شود. در اين حالت فقط مي توان از قابليت Caching بهره برداري نمود.

نکته: IE 3.0 و Netscape 3.0 به بعد HTTP 1.1 را Support مي کنند.

نصب Firewall Client

بصورت Default برنامه Firewall Client در شاخه MSPClient بر روي ISA Server ها Share مي باشد. Client ها بايد به اين Folder متصل شده و آنرا Setup کنند.

نکته مهم: اين برنامه را نبايد بر روي ISA Serverها نصب کرد!

فايلهايي که پس از نصب Firewall Client در محل نصب شده اين برنامه وجود مي آيد عبارتند از:

1- Firewall.txt: در اين فايل عملياتي که در هنگام Setup رخ داده است به ثبت مي رسد.

2- شاخه Setupbin: در اين Folder فايلهاي مخصوص نصب برنامه Firewall Client کپي مي گردند که از آنها مي توانيم جهت Remove کردن برنامه استفاده کنيم.

3- MSPLAT.txt : در داخل اين فايل تنظيمات موجود در LAT موجود مي باشند. اين فايل هرچند وقت يکبار توسط سرويس MSPAdmin بطور خودکار Update مي شود.

4- MSPClient.ini : در داخل اين فايل تنظيمات مربوط به Firewall Clientها (که ميتوان از طريق کنسول ISA و در قسمت Client Configuration انجام داد) موجود مي باشد. در هنگام نصب Firewall Client اين فايل ايجاد گرديده و هر بار Client دوباره Start مي گردد اين فايل Update مي شود. ضمنا" هر 6 ساعت يکبار نيز در صورت روشن بودن Client و اتصال آن به شبکه عمل Updating انجام مي گيرد.

5- Chkwsp32: اين فايل يک Utility تحت Dos جهت بررسي وضعيت Winsock Application هاي موجود بر روي Firewall Client مي باشد.

نکته : براي آنکه هرکدام از Clientهاي ISA Server بتوانند با استفاده از Web Server خود از طريق ISA به اينترنت متصل شوند بايد در Browser آنها تنظيماتي انجام گيرد که در Firewall Clientها نيازي به تنظيم اين پارامتر بصورت Manually وجود ندارد. زيرا مي توانيم اين تنظيمات را درقسمت Client Configuration از طريق کنسول ISA انجام دهيم و در نتيجه با تغييري که در فايل MSPClient.ini ايجاد مي گردد Clientها از اين تنظيم با خبر مي شوند.

Secure NAT Client: براي پياده سازي آن فقط کافيست که IP يک ISA Server را براي اين Clientها به عنوان Default Gateway تعريف نماييم.

Client Web Proxy: براي پياده سازي آن کافيست که در Web Browser اين Clientها آدرس ISA را به عنوان Proxy تعريف نماييم.

پياده سازي Automatic Discovery:

يکي از دغدغه هاي مديران شبکه هايي که از روش Client Web Proxy استفاده مي کنند اين است که همواره بايد به کاربران ناوارد خود يادآوري کنند که در Browserهاي خود بايد تنظيمات Proxy را Set کنند. در اينجا يک روش ابتکاري را براي حل اين مشکل معرفي مي کنيم.
براي آنکه نيازي به تنظيم آدرس Proxy در Browser کاربران بصورت Manually نباشد مي توانيم در DHCP Server يک Option تنظيم نماييم تا Clientهايي که IP اتوماتيک دريافت مي نمايند علاوه بر IP , Subnet Mask و ... , تنظيمات لازم جهت Web Proxy را نيز دريافت کنند. براي انجام اينکار در کنسول DHCP بر روي Server خود R-Click نموده و Set Predefined Options را انتخاب مي کنيم. سپس در پنجره باز شده Add را زده و يک Option با تنظيمات زير اضافه مي کنيم:

(Name: WPAD (Web Proxy Automatic Discovery
Data Type: String
Code: 252​

پس از وارد نمودن موارد فوق Ok را مي زنيم. سپس در قسمت Value آدرس زير را وارد مي کنيم:

http://wpad/wpad.dat​

البته در صورت استفاده از wpad در آدرس فوق (wpad اول) بايد از قبل در DNS Server خود يک Alias براي ISA Server تعريف نماييم در غير اينصورت بايد بجاي استفاده از wpad از نام و يا IP مربوط به ISA Server استفاده نماييم.

نکته: پس از پارامتر wpad در آدرس تعريف شده بايد Port ي را که Automatic Discovery بر روي آن Publish مي گردد مشخص نماييم. براي مثال:

http://wpad:80/wpad.dat​

Publishing Automatic Discovery: براي آنکه از wpad استفاده نماييم بايد بر روي Server يا Array مورد نظرمان Publish شدن Automatic Discovery را تنظيم نماييم. براي اينکار در کنسول ISA از Server يا Array مورد نظرمان Properties گرفته و در قسمت Automatic Discovery تنظيمات لازم را انجام مي دهيم.

نکته: اگر بخواهيم در LAT يک Client (يعني فايل MSPLat.txt) تغييراتي ايجاد نماييم اين امر عملا" امکان پذير نمي باشد. زيرا پس از مدتي دوباره بر روي آن فايل Overwrite مي شود. بنابراين راه حل اين است که تنظيمات مورد نظرمان را در فايلي با نام LocalLat.txt انجام دهيم تا تنظيمات موجود در آن در صورتيکه با تنظيمات MSPLat.txt داراي اختلاف باشد بر روي آن Overwrite نمايد.

 

[Nethunter]

Packet Filtering:
اگر در Enterprise Policy به Arrayها اجازه استفاده از Packet Filtering داده شود در قسمت Access Policy هر Array مي توانيم با استفاده از قسمت Packet Filteringا, Packet هاي مورد نظرمان را Filter نماييم. مزيت اين Filtering نسبت به Filteringي که به صورت Default در Win2k وجود دارد در اين است که مي تواند Portها را به صورت Dynamic باز و بسته کند. در مشخصات Packet Filtering هر Array و در Tab مربوط به Packet Filters تنظيمات زير وجود دارد:

1) Enable filtering of IP fragments:
بعضي از Hacker ها براي آنکه Packetهايشان شناسايي نشوند آنها را Fragment (تکه تکه) نموده و به کامپيوتر مقصدشان ارسال مي کنند. Packetهاي ارسالي پس از عبور از Firewall در مقصد مربوطه به يکديگر متصل شده و به کامپيوتر مقصد حمله کرده و صدمه وارد مي کنند. با استفاده از اين Option مي توانيم از ISA بخواهيم تا جلوي اين نوع از Packetها را بگيرد.

توجه: دقت کنيد که با اين عمل جلوي تبادل Streamهاي Media نيز گرفته مي شود.

2) Enable IP Filtering Options:
در Header هر Packet مي توان Optionهايي را استفاده نمود که با استفاده از آنها دستوراتي به کامپيوتر مقصد داده مي شود. بعضي از Hacker ها از اين قابليت استفاده کرده و به کامپيوتر مقصد صدمه مي زنند. با استفاده از اين گزينه مي توانيم جلوي عبور چنين Packetهايي را بگيريم.

3) Log packets from ‘allow’ Filters:
با استفاده از اين قابليت مي توانيم از ISA بخواهيم تا از تمام Packetهايي که اجازه عبور به آنها داده شده است Log تهيه شود و با استفاده از اين Log اشکالهايي را که احيانا" در سيستمها رخ داده است تشخيص دهد.

Static Filter براي DMZ:
براي آنکه کامپيوترهاي موجود در اينترنت بتوانند به Serverهاي موجود در DMZ متصل شوند بايد با Static Filter هايي که تعريف مي کنيم اجازه عبور Packetهاي مربوطه را که به Server هاي Publish شده موجود در DMZ ارسال شده اند صادر نماييم. براي اينکار بر روي IP Packet Filters کليک راست کرده و New و سپس Filter را انتخاب مي کنيم و Filter مربوطه را تعريف مي کنيم.

Intrusion Detection: بر روي ISA قابليت جلوگيري از 6 روش Hacking بصورت Builtin پيش بيني شده است که در قسمت Intrusion Detection (براي ديدن آن از IP Packet Filtering يک Properties بگيريد.) مي توانيم آنها را فعال کنيم.

1) (WinNuke)یاWindows out of band:
در اين روش Hacker ها به پورت 139 TCP متصل مي شوند. (اين پورت مخصوص NetBIOS Session Service است. توضيحات بيشتر در مورد اين پورت را از اينجا بخوانيد.) سپس Hacker با ارسال Packetهاي بيخود و مبهم يک شکاف امنيتي در Windows ايجاد کرده و Networking آنرا از کار مي اندازد!

2)Land:
در اين روش Hacker ها Packetهايي را ارسال مي کنند که در آن بگونه اي تغيير ايجاد کرده اند که کامپيوتر مقصد گمان مي کند که Packetها را خودش ارسال مي کند! و در اين ميان Hacker روزنه اي باز کرده و از آن نفوذ مي کند.

3) Ping of Death: در اين روش Hacker کامپيوتر مقصد را با ارسال حجم زيادي از Packetهاي مخصوص Pingیا(Echo ICMP) تحت تأثير قرار مي دهد و از آنجا که حجم اين Packetها زياد مي باشد (مثلا" بجاي آنکه 64Byte باشد, 65536Byte است.) , Kernel buffer overflow شده و سيستم Crash مي کند!

4) IP half scan:
در اين روش کامپيوتر Hackکننده Ack کامپيوتر مبدأ را ارسال نمي کند. در عوض به آن پورتي از کامپيوتر مبدأ که در انتظار دريافت Ack مي باشد, Packetي ارسال مي کند که سبب باز شدن پورتهاي ديگر جهت سوء استفاده Hacker مي شود.

5)UDP Bomb:
در اين روش Hackerها Packetهاي UDP ارسال مي کنند که در آن Packetها اطلاعات غير منطقي وجود دارد و اين سبب ايجاد اشکال در کامپيوتر مقصد مي شود.

6) Port Scan:
براي آنکه يک Hacker بتواند Packetهايي را که حامل اطلاعات مخصوص Hacking مي باشد را به يک کامپيوتر ارسال نمايد بايد آنها را به Portهايي ارسال نمايد که کامپيوتر مقصد به آنها گوش مي کند. (منظور همان پورتهاي باز است.) براي اين منظور Hacker با استفاده از الگوريتمهايي پورتهاي کامپيوتر را Scan مي کند. در صورت فعال بودن اين گزينه ISA بطور خودکار Scan شدن Portها را تشخيص داده و جلو آنرا مي گيرد.


نگاه امروز:
اگر به خاطر داشته باشيد در بخش نگاه امروز درس چهارم روشي را براي Reset کردن password در Windows معرفي کردم که با استقبال زيادي روبرو شد. اين روش فقط بر روي Windows 2000 و WinNT4 عمل مي کرد و توانايي Reset کردن Password در WinXP را نداشت. پس از آن در Weblog هاي جند نفر از دوستان ازجمله اين وبلاگ و چند وبلاگ ديگر تعدادي از دوستان روشهايي را براي عوض کردن Password معرفي کردند که اکثر آنها اصولي نبودند. مثلا" توصيه کرده بودند که اگر کاربري در WinXP کلمه عبور خود را فراموش کرد بايد در Safe Mode با کاربر Administrator و بدون Password (در صورتي که هنگام نصب ويندوز کلمه عبوري براي Administrator تعريف نشود.) به ويندوز Logon کنيد و سپس کلمه عبور کاربر قبلي را عوض کنيد! حال سئوال اين است که اگر کلمه عبور Administrator را هم ندانيم چه بايد بکنيم؟؟

در اينجا روشي را معرفي مي کنم که مي تواند Password تمامي نسخه هاي Windowsها را بدون چون و چرا و در هر حالتي Reset کند!!! براي اين کار شما به يک فلاپي ديسک و نيز CD نصب ويندوز احتياج داريد. در اينجا مراحل گام به گام Reset کردن Password در Windows 2000 در حالتي که Active Directory بر روي آن نصب است توضيح داده مي شود. شما مي توانيد همين روش را براي Reset کردن Password ساير ويندوزها از جمله XP به کار ببريد.
ابتدا فايل Farstec.zip را Download کنيد. آنرا Unzip کرده و فايلهاي درون آن را بر روي فلاپي خود کپي کنيد. اينک سي دي Windows خود را درون دستگاه قرار داده و کامپيوتر را از روي آن Boot کنيد.

به محض باز شدن صفحه آبي شکل زيرکليد F6 را بزنيد:

سپس کمي صبر کنيد تا شکل زير به نمايش درآيد. در اينجا کليد S را بزنيد.

پس از زدن کليد S فلاپي آماده شده را درون درايو قرار دهيد و Enter بزنيد. اگر تا اينجاي کار را درست انجام داده باشيد بايد شکل زير را داشته باشيد.

در اينجا Enter را به منزله تأييد بزنيد و اندکي صبر کنيد تا صفحه زير نمايان شود:

در اينجا شما عبارت farstec (باحروف کوچک) را به عنوان Password اين برنامه وارد کنيد.
سپس Folder مربوط به windows خود را انتخاب کنيد.

: Please select Windows XP/2000/NT installation to be processed
Path Undo available#
--- -------- --------------
[1] [C:\WINNT [X
[Please enter your selection 1..1 or 0 to quit: [1​

اينک در پاسخ به سئوال زير Y بزنيد.

.Found undo information
( Would you like to undo Windows XP/2000/NT Key changes? (Y/N​

در پاسخ به سئوال زير هم کاربر Administrator مربوط به Active Directory را انتخاب کنيد تا کلمه عبورش به “12345” Reset شود.

.Loading Active Directory database. Please wait
lease choose domain Administrator to reset password for

administrator@domain #
--- ---------------------
Administrator at testر[1]
[1] lease enter your selection 1..1 or 0 to quit

Set Active Directory password for Administrator@test to '12345'? (Y/N): Y
Resetting password for domain: test

The password has been reset
Administrator name: Administrator
New password: 12345​

سپس در پرسش بعدي همين کار را براي کاربر Administrator که بصورت Local بر روي سيستم وجود دارد انجام دهيد تا کلمه عبورش Reset شود.

پس از اينکار کامپيوترتان را Restart کنيد و با Password جديد 12345 به ويندوزتان Logon کنيد!!!
جالبه! نه؟. بي اختيار ياد اين جمله معروف ميفتم که ميگه:

 

[Nethunter]

Creating & Managing Routing Rules:
با استفاده از Rule Routing ها مي توانيم مسيرهايي را كه مي خواهيم با استفاده از آنها Client ها بتوانند به Data مورد نيازشان دست يابند، مشخص نماييم.

به صـورت Default يك Rule وجود دارد كه تمام درخـواسـتـها را به Internet ارسـال مي كـنـد ( اين Rule را نمي توان Delete كرد ). در صورت نياز مي توان Rule هاي بيشتري را نيز معرفي نمود. مثلاً مي توانيم يك Rule تعريف نماييم تا درخواست بعضي از Client ها جهت اتصال به بعضي از Site ها فقط با استفاده از Cache پاسخ داده شود و يا بعضي از درخواستها به يك ISA Upstream ارجاع شود.

ترتيب Ruleهاي اعمال شده بسيار مهم مي باشد. هرگاه درخواستي از يك ISA انجام شود، Rule ها به ترتيب الويت بررسي شده و مسير مشخص مي گردد.Rule Default همواره آخرين Rule خواهد بود.

Bandwidth Rules & Application Filters:
با استفاده از Bandwidth Rules مي توانيم ميزان پهناي باند اختصاص داده شده به User ها جهت استفاده از Protocol هاي دلخواه را در هنگام اتصال به Site هاي مورد نظرشان كنترل نماييم. حتي مي توانيم اين تنظيمات را در ساعات خاصي اعمال نماييم.
اين عمليات با استفاده از Qosر( Quality of Service ) انجام مي گيرد.
بصورت Default يك Rule وجود دارد كه نمي توان آن را Delete يا Edit نمود. در صورت نياز مي توانيمRule هاي مختلفي را تعريف كنيم كه هر كدام از آنها مي توانند شامل پارامترهاي زير باشند:

1- Destination Set
2- Schedule
3- Specific users or groups
4- Protocol
5- Content Rule
6- Priority

Bandwidth Priorities:
در Elements Policy مي توانيم اولويتهايي را جهت استفاده از پهناي باند بين 1 الي 200 تعريف نموده، و از آنها درRules Bandwidth استفاده نماييم.
الويتهاي تعيين شده با در نظرگرفتن Bandwidth Effective ميزان پهناي باند مورد نظرمان را مشخص مي كند. براي مثال اگر پهناي باند مؤثرمان 100 kbps باشد با توجه به اين مقدار و Priority هاي تنظيم شده، ميزان پهناي باند اختصاص داده شده مشخص مي گردد.

Bandwidth Effective:
براي آنكه ISA بتواند با توجه به Priority هاي تعريف شده درRule Bandwidth ها پهناي باندي را كه بايد اختصاص دهد، تشخيص دهد بايد پهناي باند مؤثري را كه با استفاده از آن مي توانيم به Internet متصل شويم برايش تعريف نمائيم.

اگر Connection ما از طريق كارت شبكه است براي تعيين اين مقدار از قسمت Bandwith Rules يك Properties گرفته و ميزان پهناي باند مؤثر را تنظيم مي كنيم. اگر براي اتصال به Internet از خطوط Dial-up استفاده كنيم اين مقدار را در Properties هر Dial-up واقع در Elements Policy مشخص مي نمائيم.

نكته:
همواره پهناي باند مؤثر قدري كمتر از آن مقداري است كه بنظرمان مي رسد. بعنوان مثال اگر با يك خط Dial-up با سرعت 33.600 به Internet متصل هستيم، پهناي باند مؤثر ما تقريباً 28 الي 30 kbps مي باشد.

ISA Application & Web Filters:
در قسمت Extentions مي توانيم Packet ها را با توجه به برنامه اي كه از آنها استفاده مي نمايد، فيلتر نمائيم. در قسمت Application Filters بصورت default تعدادي فيلتر تعبيه گرديده است كه با استفاده از آنها مي توانيم امكان تبادل Packet هايي را كه مخصوص RPC , FTP , HTTP و... هستند برقرار سازيم.
در قسمت Web Filters بصـورت Default فيلتـري وجود ندارد. ولي در صورت نيـاز مي توانيم از برنامه هاي Third-Party استفاده كرده و پس از نصب آن از فيلترهـاي اضافه شده در اين قسمت استفاده كنيم.
(براي كسب اطلاعات بيشتر به اينجا مراجعه كنيد.)

Publishing:
براي آنكه كامپيوترهاي موجود در اينترنت بتوانند به كامپيوترهاي موجود در شبكه داخلي ما منتقل گردند، از Publishing استفاده مي كنيم كه داراي مزاياي امنيتي و Rceverse Caching مي باشد. براي انجام اينكار ابتدا در Server properties يا Array در Tab مربوط به Incomming امكان برقراري ارتباط از خارج به داخل را فراهم مي كنيم وسپس با استفاده ازقسمت Publishing ، Webserver ياApplication Server هايمان را Publish مي كنيم.

با استفاده از قسمت Web Rublishing Rules مي توانيم Web Server هايمان را كه در شبكه داخلي قرار دارند، براي افراد و كامپيوترهاي مورد نظرمان Publish نمائيم بصورت Default يك Rule وجود دارد كه هرگونه دسترسي را منع مي نمايد.

نكته:
ISA از Portهاي 8443 , 8080 جهت Outgoing Connection و از Portهاي 443 , 80 جهت Incoming Connection كه به ترتيب براي SSL , HTTP مي باشند، استفاده مي كند.

چگونگي اتصال يك كامپيوتر داخلي به Internet:
زمانيكه يك Client تقاضاي اتصال به اينترنت مي نمايد، پس از آنكه درخواستش را به ISA ارسال نمود، ISA ابتدا Access Policy ها را جهت اجازه يا رد درخواست مربوطه بررسي مي نمايد. بدين ترتيب كه تمام Rule هاي موجود در Site & Content و Protocol Rules را كه Allow مي باشند با هم جمع كرده و سپس Rule هاي Deny را بر روي آنها اعمال مي كند. سپس درخواست انجام شده را با قوانين باقيمانده مقايسه مي كند. اگر اجازه داده شده باشد، درخواست مربوطه را انجام مي دهد. براي انجام درخواست مربوطه Bandwidth Rule و Routing Rule ها را استفاده مي نمايد، و در هنگام انجام درخواست فرستاده شده Rule هاي فوق تأثير مي گذارند.

مـثـال:
فرض كنيد يك User با نام علي مي خواهد به سايت Lanpars.com در ساعت PMر6 توسط HTTP متصل گردد. ابتدا با استفاده از Access Policy ها امكان انجام درخواست او بررسي مي گردد. اگراجازه صادر شده باشد، Ruleهاي Routing و Bandwidth Priority چك مي گردند. اين در صورتي است كه Dataهاي درخواست شده Ali در Cache وجود نداشته باشد. درنتيجه اگر نياز به دريافت Data از اينترنت بوجود آيد، ( از خود سايتLanpars.com ،باتوجه به Routing Rule هاي موجود، چگونگي دسترسي به آن Data مشخص مي گردد. اگر قرار باشد Data مستقيماً از سايت Download Lanpars.comشود، با توجه به Bandwidth هاي موجود، پهناي باندي كه جهت انجام اين كار اختصاص خواهد يافت، مشخص مي گردد.



این آموزش ها توسط آقای علي کيائي فر تهیه شده.با تشکر از مطالب مفیدشون.