ISA Server

ISA 2006 Cache Yapılandırması

yurdal özalp — Sun, 27 Jun 2010 21:59:00 GMT

Caching, Web içeriğini saklanmasıdır.Girilen bir web sayfasını saklar daha sonra bir kullanıcı aynı bilgiyi istediğinde ISA Server cache, kullanıcının ilk talebine göre daha hızlı bir şekilde isteğine cevap verir. ISA Server HTTP ve FTP nesnelerinin cachelenmesi için konfigüre edilebilir. ISA Server çalışan bilgisayarın RAM ya da hard diskinde saklanır.

Faydaları:

Performans sağlar:

Özellikle büyük ölçekli firmalarda Web içeriğinin cache’den sağlanması Internette uzaktaki bir Web Server’a bağlantı isteğinde bulunulmasın’dan daha hızlıdır.ISA Server bir kullanıcı Web isteğinde bulunduğunda, ISA Server istenen içeriğin cache’de olup olmadığını kontrol eder. Eğer cache’de mevcutsa içerik cache’den kullanıcıya gönderilir.Yakın zamanda erişilmiş bilgi RAM’de saklanır ve kullanıcılar tarafından erişilmeye devam ettiği sürece RAM’de kalır.

Bant genişliği kullanımında azalma:

Web caching şirketin internet bant genişliği kullanımını azaltmaya yardımcı olur. Kullanıcılar cache’de mevcut bir içeriği talep ettiklerinde, bu bilgi Internet bandı üzerinde herhangi bir yer işgal etmeden kullanıcıya sunulur.

ISA Server kurulduktan sonra varsayılan olarak boyutu 0 MB’dır. Herhangi bir içerik cache’lenmez. Caching’i enable etmek için bir cache drive belirlemelisiniz.

Yapılandırmaya başlıyalım:

ISA 2006 yönetim konsol’dan "Configuration" alanı girilir ve, listeden "Cache" seçeneği seçilir. Sağ tarafta seçenekler görüntülenecektir. Cache özelliğini devreye almak için, Cache drives alanında listenen disk sürücüsü seçilir ve ekranın sağ bölümünde seçenek menüsü belirecektir. "Tasks" alanını seçilir ve listeden "Define Cache Drives" seçeneği seçilir.

"Define Cache Drives" ekranında, Cache özelliği için kullanılacak olan disk sürücü için cache alan boyutu belirleyelim. Cache alan boyutu belirlemek için ekranda listenen disk sürücü seçilir, seçim sonrası "Maximum cache size" alanındaki haneye disk sürücüye cache özelliği için kullanılacak boyut bilgisi girilir.Set butonu ile işlem tamamlanır.

Cache disk alanın ve boyutunun belirlenmesi ile ISA Server konfigürasyonun kaydedilmesini isteyecektir, yönetim ekranında beliren seçenek "Apply" ile konfigürasyon kaydedilmesi sağlanır.

Konfigürasyonun kaydedilmesi için yapılan seçim sonrası yeni bir ekranda uyarı bilgisi gelecektir, gelen ekranda "Save changes and restart the services" seçeneği seçilir ve "OK" butonu seçilerek devam edilir.

Konfigürasyonun kaydedilmesi ve servislerin yeniden başlatılması beklenir, işlem bitiminde "OK" butonu seçilerek işlem sonlandırılır

Bu bilgiler yaptığımız seçimler doğrultusunda Cache özelliğinin açıldığını ifade edilmektedir.

Şimdi’de Cache özelliğini yapılandıralım İSA 2006 üzerinde.

"Cache Rules" alanı seçilir. Sonrasın’da cache kuralları listenecektir, listede ilk sırada bulunan "Microsoft Update Cache Rule" seçilir ve ekranın sağ tarafında görüntülenen seçenek listesinden "Tasks" alanı seçilir. Tasks alanında "Configure Cache Settings" seçeneği seçilir.

"Cache Settings" ekranı, Cache özellikleri ile ilgili ayarları istediğimiz şekilde ayarı bu ekranda değiştirebilmekteyiz.. Bu ekrandaki değerler içeriklerin tutulma sürelerini belirlemektedir, seçenekler kriterlerimiz doğrultusunda değiştirilebilir.

Kayıt ediyoruz.

"Microsoft Update Cache Rule" seçilir ve ekranın sağ tarafında görüntülenen seçenek listesinden "Tasks" alanı seçilir. Tasks alanında "Edit Selected Rule" seçilerek devam edilir.

"Only if a valid version of the object exists in cache..." seçeneği seçilir bu seçim içeriklerde geçerli olan versiyonların cache üzerinden getirileceği eğer geçerli olmayan bir içerik var ise internet sayfasından içeriğin sağlanacağını ifade etmektedir.

"If source and request headers indicate to cache" seçeneği seçilir, bu seçim başlık vb.. içeriklerinde cache içeriğinden getirileceği ifade eder.

"Enable HTTP caching" Bu seçim ile HTTP protokolü üzerinden içeriklerin cache yapılmasını izin vermemizi sağlamaktadır bu adımda içeriklerin cache üzerinde tutulması ile ilgili zaman ayarları da bulunmaktadır. Orjinal değerler korunur ancak istenir ise süresi değiştirilebilir.

"Enable FTP caching" Bu seçenek FTP protokolü üzerinden cache özelliğinin kullanılmasına izin vermektedir,bu adımda içeriklerin cache üzerinde tutulması ile ilgili zaman ayarları da bulunmaktadır. Orjinal değerler korunur ancak istenir ise süreler değiştirilebilir.

Advanced seçilir,

"Cache SSL responses" Bu seçenek SSL içeriklerin Cache üzerinden yanıt verilmesine izin verilmesini sağlamaktadır.

Yeni bir kural oluşturalım.

Cache özelliğinin etkinleştirilmesiyle cache özelliğinde yeni bir kural oluşturulması gerekmektedir.

Cache Rules" alanı seçilir. "Microsoft Update Cache Rule" seçilir ve ekranın sağ tarafında görüntülenen seçenek listesinden "Tasks" alanı seçilir. Tasks alanında yeni bir cache kuralı oluşturmak için "Create Cache Rules" seçeneği seçilir.

Açılan New cache rule wizard açılış ekranında, "Cache rule name" alanına oluşturulacak yeni kural için bir ad belirleyelim.

Cache rule destination ekranında, Cache kuralının hedef ağ bilgisi tanımlanacaktır. "ADD" butonu seçilir ve açılan "Add Networks Entities" ekranında "Networks" bölüm içeriğinden "External" seçilerek "Add" butonu seçilir.

Content Retrieval ekranında, İçeriklerin cache içeriğinden nasıl getirileceği veya isteneceği opsiyonu bu ekranda tanımlanacaktır. "Only if a valid version of the...." seçeneği seçilir.

Cache Content ekranında, Cache içeriğine alınmasını istediğimiz içeriklerin özellikleri tanımlanacaktır. Varsayılan değer olan "If source and request headers indicate to cache" seçeneği seçilir.

Cache advanced configuration ekranında

"Do not cache objects larger than" seçeneği ile objelerde belli boyutlar tanımlanarak verdiğimiz boyut üzerindeki içeriklerin cache içeriğinde saklanmamasını sağlayabilmekteyiz.

"Cache SSL responses" Bu seçim bize SSL içeriklerininde cache içeriğinde saklanmasını sağlamaktadır.

HTTP caching ekranında

HTTP protocol üzerinde cache özelliğini aktive veya deaktive edilmesi seçeneği ve cache sürelerinin tanımlanması seçenekleri bulunur.Bu ekranda "Enable HTTP caching" seçeneği seçilir.

FTP Caching ekranında

Ftp protokolü üzerinde cache içeriğinin devreye alınması veya kapatılması seçeneği tanımlanmaktadır. Bu adımda "Enable FTP caching" seçeneği seçilir.

Cache kural tanımlama adımları tamamlanmıştır "FINISH" butonu işlemimiz biter.

Apply diyerek kaydediyoruz.

Konfigürasyonun kaydedilmesi ve servislerin yeniden başlatılması beklenir, işlem bitiminde "OK" butonu seçilerek işlem sonlandırılır.

Yeni tanımladığımız kural listede ilk sırada listelendiği görülür, ISA sunucumuzda internet çıkış istekleri için Cache özelliği tamamlanmıştır.

ISA 2006 Server Üzerinde Cisco VPN Client’ lar için Outbound Erişim Kuralı Oluşturulması

Zulfikar Caglar — Sun, 24 Jan 2010 01:58:00 GMT

Bu makale teknik bir uygulama makalesi olup ISA ürünü ve diğer konulardaki detaylı anlatımı Portal üzerindeki ISA Server bölümünde bulabilirsiniz. Benim amacım ise sizlere ISA Server 2006 tarafından korunan bir iç ağdan dışarıdaki bir ağa Cisco VPN Client ile erişebilmek için gerekli kuralı oluşturma adımlarının gösterilmesidir.

Uygun protokolleri içeren bir izin verilmiş erişim kuralı oluşturulmalıdır ;

Yeni oluşturulan bu kuralın kimlik doğrulama gerektiren kuralların üzerinde olmasına dikkat edilmelidir.

Cisco VPN Client uygulamaları SecureNat olarak ayarlanmalıdır.

ISA Server Üzerinde :

ISA Management Console açın

Firewall Policy > New > Access Rule yolunu takip ederek yeni bir kural oluşturun

Yeni erişim kuralına Cisco Client VPN Outbound gibi bir isim verin.

Rule Action sayfasında, Allow seçeneğini seçip Next ile devam edin.

Protocols sayfasında açılır listeden Selected Protocols seçerek Add ile devam edin

Add Protocols penceresinde, VPN and IPsec bölümünü açarak

IKE Client ve IPSec NAT-T Client protokollerini seçerek ekleyin. Protocols sayfasını kapatıp Next ile devam edin

Access Rule Sources sayfasında, Add düğmesini kullanarak. Add Network Entities mesaj kutusu içerisinde Internal network ekleyin. Close düğmesi ile Add Network Entities mesaj kutusunu kapatıp Next ile devam edin.

Access Rule Destinations sayfasında, Add düğmesini kullanarak Add Network Entities mesaj kutusu içerisinden External ekleyin. Close düğmesi ile Add Network Entities mesaj kutusunu kapatıp Next ile devam edin.

User Sets sayfasında, All Users olarak varsayılan ayarları kabul edip, Next ile devam edin.

Son olarak yaptığınız tüm girişleri kontrol ederek Finish düğmesi ile Completing the New Access Rule Wizard sayfasını kapatın.

ISA Managment Console içerisinde Apply düğmesini kullanarak son değişikliklerin etkin olmasını sağlayın.

Kullanıcı Bilgisayarlarının Ayarlanması

Cisco VPN client uygulaması SecureNat olarak kurulmuş olmalı ve kullanıcı bilgisayarının varsayılan ağ geçidi ISA sunucusunun iç ağ adresi olmalıdır.

Eğer kullanıcılarda ISA Firewall Client kurulu ise Cisco VPN Client uygulamasını kullanmadan önce Firewall Client’ ın disable durumda olduğundan emin olun.

Önemli Not:

Cisco VPN Client için oluşturulan kural içerisinde IKE Client ve IPSec NAT-T Client protokollerini seçmiş olmanız. UDP 500 ve 4500 portlarını iki yönlü trafiğe açacaktır. Fakat bazı Cisco sunucuları ile istemcileri arasında bu portların açılması yeterli olmaz. 10000 ve 20000 UDP trafiğine de çift yönlü izin vermek gerekir. Bunun için;

Yeni Protokol Tanımlarını Oluşturma

ISA Management eklentisini başlatın.

Policy Elements (İlke Öğeleri) altında, Protocol Definitions (Protokol Tanımları) kapsayıcısını bulun.

Protocol Definitions'ı (Protokol Tanımları) sağ tıklatın, New (Yeni) düğmesini kullanın ve sonra Definition'ı (Tanım) tıklatın.

Protocol definition name (Protokol tanımı adı) kutusuna tanım için açıklayıcı bir ad yazın (örneğin, Bağlantı Noktası 10000 UDP Gönderme Alma yazın) ve sonra Next'i (İleri) tıklatın.

Port number (Bağlantı noktası numarası) kutusuna 10000 yazın. Protocol type (Protokol türü) listesinde, UDP'yi tıklatın. Direction (Yön) listesinde, Send Receive (Gönder Al) öğesini tıklatın (Receive Send (Al Gönder) öğesini tıklatmayın) ve sonra Next'i (İleri) tıklatın.

Do you want to use Secondary connections? (İkincil bağlantılar kullanmak istiyor musunuz?) altında No'yu (Hayır) tıklatın ve sonra Next'i (İleri) tıklatın.

Ayarlarınızı doğrulayın ve sonra Finish'i (Son) tıklatın.

Aynı adımları bağlantı noktası 20000 içinde uygulayın.

Daha sonra oluşturduğunuz bu 2 yeni kullanıcı tanımlı protokolü, daha önce Cisco VPN Client için oluşturduğunuz erişim kuralının içerisine ekleyiniz. UDP bağlantı noktası 20000 çoğunlukla yeni Cisco VPN Client uygulamaları için gerekmektedir.

ISA Server Hata Sayfalarini Ozellestirmek (ISA Server Custom Error Page)

Hakan UZUNER — Sat, 05 Sep 2009 12:59:00 GMT

Sahip olduğumuz ISA Server ( 2004 – 2006 ) ürünü ile gelen standart hata sayfaları eğer şirketiniz için yeterli bir açıklama içermiyor veya kullanıcılar tarafından anlaşılır değil ise o zaman siz bir html editörü yardımı ile bu sayfaları değiştirebilirsiniz.

ISA Server kurulumundan sonra aşağıdaki dizini kontrol etmeniz halinde, ISA Server için her hata koduna uygun bir htm dokümanı içeren bir klasör görebilirsiniz;

Yukarıda da görüldüğü üzere ISA Server her firewall servisini başlatırken yaptığı pek çok iş arasına bu dizinide kontrol etmeyi ekler ve buradaki bilgileri olası hatalarda kullanıcıya göstermek için kendi belleğine yazar. ( yani servis başladıktan sonra bu klasörde değişiklik yapmanız ancak servisin bir sonraki yeniden başlama işlemine kadar görüntülenemez. )

Bizimde amacımız varsayılan olarak gelen aşağıdaki gibi hata sayfalarını kişiselleştirmek;

( Türkçe desteği olmamak ile beraber diğer dillerdeki hata sayfalarını indirmek için

Internet Security and Acceleration (ISA) Server 2006 HTML Error Message Language Pack

Adresini kullanabilirsiniz. )

Bu sayfa aslında teknik personel için yeterli olsa da son kullanıcı için bazen bir anlam ifade etmeyebilir ve şirket çalışanlarını neden internete çıkamadıklar veya bu sayfanın ne anlama geldiğini anlaması için bilgi işlem departmanını arayabilirler. Bu olası pek çok çağrının önüne geçmek içinde yapılmış bir bilgilendirme sayfası olmalıdır. Yani kullanıcı bizim oluşturacağımız hata sayfasını gördüğünde neden erişmek istediği sitenin açılmadığının sebebini öğrenmelidir.

Bunun için yapmamız gereken tek işlem hata kodlarını bilmektedir. Örneğin bir web adresini yasaklayan bir kural yazalım;

İlk kurala baktığımız zaman “yasak” isimli bir URL set için bir yasak kurları tanımlandığını görebiliyoruz;

URL Set in içeriği ise yukarıdaki gibi; sadece www.google.com adresine olan erişim yasaklanmış durumda.

Ve erişmeye çalıştığımız zaman aldığımız hata;

12202 kodlu hata’dır. Bizde eğer böyle bir durumda yani yasaklanmış bir siteye erişmek isteyen bir kullanıcının karşısına çıkacak hata sayfasını kişiselleştirmek istiyorsak değiştireceğimiz html dosyası da 12202.htm dir.

Önemli Not; Bu işlemlerden önce mutlaka bu dizinin bir kopyasını alın ve ayrıca bu dizin ismi ile veya yetkileri ile oynamayın. Örneğin masa üstüne aldığınız bu dizin yedeğini sürükleyip eski yerine almayın bu durumda masa üstüdeki klasör izinleri ile geleceği için Microsoft Firewall Servisi bu klasörü okuyamayacak ve bu nedenle servis başlamayacaktır. Alacağınız hata kodları ise aşağıdaki gibi olacaktır.

Microsoft ISA Server Web Proxy – 14127
Microsoft Firewall - 14060

İstediğiniz herhangi bir program ile bu dosyayı editleyebilirsiniz

Benim dosyamın son hali yukarıdaki gibidir.

Bu değişikliği ISA tarafından algılanması için ise yapmam gereken son bir detay bulunuyor

Microsoft Firewall servisini yeniden başlatmak.

Daha sonra adres çubuğunu kontrol ederseniz eğer google web adresine girmeye çalışmama halinde karşıma gelen hata sayfasının benim tasarlamış olduğum hata sayfası ile aynı olduğunu görebilirsiniz.

Ben bir html editörü olarak word kullandığım için resim bölümü çıkmıyor ve bunu düzeltmek için 12202.htm yi not defteri ile açıp düzenliyorum ( not; bu bölüm şart değil, yani buraya kadar anlattıklarım ile istediğiniz hata kodu sayfasını değiştirebilir ve kullanıcılarınıza uyarı mesajlarınızı istediğiniz şekilde verebilirsiniz. )

İlk haki yukarıdaki gibidir;

Yolu düzenledikten sonraki hali.

Ancak istemci tarafında bu resimlerin görüntülenmesi için bu resim dosyalarını paylaşmanız gerekebilir.

Ayrıca yine bu klasör içerisindeki default.htm ilede kendinize özel hata sayfaları yapabilirisiniz. Yani var olan hata sayfaları yerine default.htm yi alıp içeriğini değiştirip ardından hata kodu ne ise ( örneğin 11001.htm gibi ) buna uygun şekilde kayıt etmeniz halinde size özel yeni hata sayfaları oluşacaktır.

Örneğin ben default.htm yi Sharepoint Designer kullanarak değiştirdim ardından ismini 12202.htm yapıp kayıt ettim ve sonuç ;

Bu şekilde artık ISA Server ile beraber gelen hata sayfalarını istediğimiz gibi kişiselleştirmiş olduk.

Neden ISA Server Kullanmalıyız ?

Hakan UZUNER — Mon, 23 Feb 2009 00:38:00 GMT

Her network için en önemli konu güvenliktir , günümüzde gerek şirket ortamında gerekse ev ortamındaki datalar , kulllanıcıları için çok büyük önem arzetmetedir. Ev kullanıcıları için dataların önemi ve bunları koruma yöntemleri farklı iken , şirket yapılarındaki veri önemi ve koruma yöntemleri de farklıdır. Ev kullanıcıları genellikle kişisel bilgisayarlarında bir virüs programı belki bir spy programı belkide bir firewall kullanmaktadır , ancak kurumların işi bu kadar kolat değildir , kurumlardaki çalışan sayısının artması ile birlikte internet gereksinimi artmakta ve dünyanın en bütük network u olan internet ten gelen atakların şirket network üne zarar verme oranıda yükselmektedir . Bu nedenle şirketler gerek veri güvenliği gerekse networklerinin yapısına göre donanımsal veya yazılımsal bir firewall kullanmaktadır.

Donanımsal firewall lar , yazılımsal firewall lara göre çok daha stabil ( kararlı ) olmakla beraber yazılımsal firewall ların esnekliklerine sahip değildir , bu nedenle en iyi uygulamalar her ikisinin birlikte kullanıldığı uygulamalardır.

Donanımsal firewall seçiminde pek çok alternatif bulunmaktadır , yazlımsal kısımda da pek çok alternatif olmasına karşın piyasada iyi bir yeri olan ISA Server benim incelemek istediğim üründür.

Neden ISA Server kullanmalıyız ? bu sorunun cevabı bize belki 3000 dolarlık bir yarım yaptıracak veya bu yatırımdan kurtaracaktır . ( fiyat günümüz şartlarında ISA 2004 Std + Windows 2003 Std + Donanım ortalama bedelidir )

Evet şirketimizdeki network yapısına ISA Server ı katmadan önce ISA Server ın artılarının ne olduğunu bilmekte fayda var. ISA Server satın almadan önce network yapımızı iyice incelememiz gerekmektedir. Gereksinimlerimizi iyi tespit ettikten sonra ISA Server ın bu isteklere cevap verip veremiyeceğini görmemiz gerekmetedir. Bunun için öncelikle ISA Server ın bize sağladığı yararları incelememiz gerekmektedir.

ISA’nın yararları nelerdir ( ISA 2004 )

Gelişmiş bir koruma özelliğine sahiptir.

Çoklu paketlerin kontrolunun sağlanması

Birleştirilmiş Firewall ve VPN özelliğini destekler

Çoklu Network desteği vardır.Birden çok network ortamını kontrolunu sağlayabilmektedir.Bu istenirse sanal ip havuzları ile , istenirse fiziksel olarak ek NIC kullanımı ile gerçekleştirilebilmektedir.

Uygulama katmanı filtresine sahiptir.Bu özellik sayesinde izin verilen protokllerin yugulama katmanına bakarak zararlı içerikli protokolleri engelleyebilmektedir.

Kullanım Kolaylığı

Etkili yönetim araçlarına sahiptir

Hazır network template’lerine sahiptir

3. Part ürünlerle entegre çalışabilmektedir.

Kullanıcıların kullanımı için kolaylık sağlamaktadır.

Gelişmiş Performans

Performans için optimize edilmiştir.

Tümleşik işlevsellik

Ölçeklenebilirlik

Web sayfalarını önbelleğe alma ( caching)

ISA Server 2004 ( 2006 ) ün ISA Server 2000 den farkları

Çoklu network desteği

Network başına policy atama imkanı

Networkler arasında Route ve NAT imkanı

Ekstra protokol desteği

Gelişmiş uygulama filtresi

Gelişmiş kimlik doğrulama seçenekleri

VPN ve karantina özelliklerinin bütünleşmesi

VPN için özel kontroller

Export ve import seçenekleri

Gelişimiş kullanıcı yetkilendirilmesi

Isa Server ın bu özelliklerini gördükten sonra sahip olduğumuz şirket yağısına nasıl entegre edeceğimize karar vermeden önce ISA Server ın çalışma senaryolarını incelemek yararlı olacaktır.

ISA Server Senaryoları

Internet Edge Firewall