ISA Server; Web ve Server publishing kurallarını kullanarak, Internal Network güvenliğini tehlikeye sokmadan, Internal Network kaynaklarını Internet üzerinde yayınlayabilir. ISA Server üzerinde Publishing işlemini gerçekleştirmeden önce bilmemiz gereken bazı noktalar vardır. Bu makalede bu noktalardan bahsedeceğim. ISA Server üzerinde server publishing’i iki ana bölüme ayırmak mümkündür.
-
Web Publishing
-
Server Publishing
“Web publishing”, ISA Server’ın dışarıdan gelen HTTP ve HTTPS erişimlerini kontrol etmesine yarar. Server publishing ise farklı protokolleri kullanan diğer uygulamaların dışarından erişimlerini düzenlemeye yarar.
“Server publishing” ise Internet üzerinden iç network’te bulunan diğer kaynaklara olan erişimin düzenlenmesi için esnek ve güvenilir bir çözümdür.
Web Publishing
ISA Server, iç network üzerinde bulunan Web sitelerini Internet gibi dış networkler üzerinden erişilebilir hale getirmek için Web publishing kurallarına sahiptir. Web publishing kuralları iç networke gelen isteklerin, iç network üzerinde bulunan Web server’lara nasıl yönlendirileceğini belirleyen Firewall kuralıdır.
Web publishing kurallarının özellikleri:
HTTP protokolü ile Web server’lara erişim : Bir Web publishing kuralı konfigüre ettiğinizde ISA Server HTTP ve HTTPS portlarını Internet üzerinden dinlemeye başlar ve bu portlara gelen istekleri korunan network üzerindeki Web server’a yönlendirir.
HTTP uygulama katmanı filtreleme : HTTP uygulama katmanı filtrelemesi, ISA Server’ın kendi üzerinden geçen tüm paketlerin içeriğindeki verileri taramasını sağlamaktadır. Eğer SSL bridging etkin hale getirilmişse SSL paketlerinin içeriği de taranacaktır. Bu yetenek ek bir güvenlik katmanı sağlayacaktır.
Path mapping (Yolun eşleştirilmesi) : Path mapping iç network üzerinde çalışan Web sitesinin konfigürasyon detaylarını gizleyerek yalnızca belirli bir kısmını dış erişime açmayı sağlar. Bunun anlamı bir HTTP isteğini Web sitenizin tamamına değil üzerinde bulunan belli klasörlere erişmesini sağlamaktır.
Kimlik doğrulama (authentication) : ISA Server’ınızı, Internert üzerindeki kullanıcıların iç network üzerinde bulunan Web server’ınıza bağlanmadan önce kimlik doğrulamasından geçmesi için konfigüre edebilirsiniz. Bu düzenleme iç network üzerindeki Web server’ınızın kimlik doğrulama saldırılarından korunmasını sağlayacaktır. Web publishing kuralı, aralarında RADIUS, integrated, basic, digest, digital certificates ve RSA SecurID içeren kimlik doğrulama metodları kullanmaktadır.
İçerik cache’leme (Content Caching) : İç network üzerinde bulunan Web server’a ait içerik ISA Server üzerinde cache belleğe alınabilir ve böylelikle Internet üzerinden gelen isteklere cache bellek’ten de yanıt verilerek Web server üzerindeki yoğunluk azaltılmış olur.
Tek bir IP adresi ile birden çok Web sitesinin yayınlanması : Birçok şirket Internet üzerinde tek bir IP adresi kullanır. Bu nedenle ISA Server üzerinde IP adresini kullanan birden fazla Web publishing kuralı tanımlayabilir ve bu sayede tek bir IP adresi üzerinden birden fazla Web sitesini Internet üzerindeki kullanıcıların hizmetine sunabilirsiniz.
Link çevrimi (Link translation) : Link çevrimi ile Web siteniz üzerinde bulunan ve Internet üzerinden doğrudan erişime kapalı olan diğer Web server’larınızın üzerindeki kaynaklara doğru olan linklerin çalışmasını sağlayabilirsiniz.
Internet client’larına ait IP adreslerini kaydetme : Varsayılan olarak web publishing kullanrak bir server’ı yayımladığımız zaman, ISA Server’ın Internal Interface’inin IP adresi, bu web server tarafından kaynak IP adresi olarak kullanılır. Eğer internet client’larının IP adreslerini kaydetmek istersek bu alanda değişiklik yapmamız gerekir.
SSL tunneling : ISA Server paketlerin içeriğini kontrol etmez, bunun yerine şifrelenmiş paketleri Client ve Web Server arasında yönlendirir.
SSL bridging : ISA Server, Server ve Client arasındaki tüm network trafiğini şifreleyebilir ve şifreyi tekrar çözebilir. ISA Server client üzeirnden gelen SSL isteklerini kabul eder ve onları HTTP’ye dönüştürerek Web Server üzerine yönlendirir. Ayrıca ISA Server; ilave güvenlik sağlamak için bunu yönlendirirken, yeniden şifreleyebilir.
Web ve Server Publishing İçin DNS Konfigürasyonu
Lokal networkümüz içinde yayımladığımız web server’a hem lokal networkümüzde yer alan bilgisayarlar , hem de internet üzerindeki kullanıcıların erişmesini istiyoruz. Böyle bir yapıda tek bir domain adı vardır, ancak lokal ve internet üzerindeki kullanıcıların bu domain adını çözümleyebilmesi için farklı dns’ler kullanması gerekir. Bu yapıya split DNS adı veriyoruz. Her iki DNS Server’ında bu domain adı için gerekli yetkiye sahip olması gerekir.
NOT: Split DNS oluşturmak için aynı domain adı için yetkili iki DNS server’a ihtiyacımız vardır. Bununla birlikte bu iki server aynı kaynaklara ait kayıtları barındırmak zorunda değildir. Örneğin iç network üzerinde bulunan DNS server Active Directory domain controller’lar ve diğer iç serverlar’a ait kayıtları barındırır. Bu bilgiler hiç bir zaman Internet üzerinde bulunan DNS server üzerinde yayınlanmamalıdır. Internet DNS server sadece Internet üzerinden erişilmesi gereken serverlar’a ait IP adres kayıtlarını içermelidir. Örneğin Internet üzerinden sadece web ve e-mail server için erişim isteniyorsa Internet DNS server sadece bu iki kaynağa ait kayıtları içermelidir.
Internet üzerindeki bir kullanıcı bu domain’e ulaşmaya çalıştığında, ISA server’ın external kısmında bulunan DNS Server2dan yararlanır.Lokal kullanıcıların isim çözümlemesi ise lokaldeki DNS ile gerçekleşir ve Web Server’ın bulunduğu perimeter network ile bağlantıya geçer.
Örnek bir uygulama ile bu durumu inceleyelim;
ISA Server Management konsolu üzerinde Configuration bölümünden Network seçimini yaptıktan sonra Templates kısmına geçerek, 3-leg Perimeter ‘ı tıklıyoruz.
Next ile ilerliyoruz.
ISA Server üzerindeki konfigurasyon bilgilerini daha sonra kullanmak üzere kaydetmek istersek export butonunu kullanabiliriz. Ben, yapılandırma işlemini test ortamında gerçekleştiriyor olmamdan dolayı böyle bir ihtiyacım olmayacağını bildiğim için next diyerek devam ediyorum.
Internal Network IP Addresses ekranında yer alan IP yapılandırmaısnın doğruluğunu kontrol ettikten sonra next ile ilerliyoruz.
Perimeter Network IP Addresses sayfasından Add Adaptor butonuna tıklıyoruz ve karşımıza gelen Select Network Adapters ekranında perimeter erişiminde kullanacağımız adaptor’ü seçerek devam ediyoruz.
Select Firewall Policy ekranında yer alan seçeneklerden bir önceki makalemizde bahsettiğim için burada tekrardan bahsetmeyeceğim. Bu aşamada Allow limited Web access and access to ISP network services seçimini yaptıktan sonra next ile devam ediyorum.
Finih butonuna tıklayıp işlemi sonlandırıyorum.
Şimdi de Network Rules sekmesine geçerek Perimeter Access seçeneğine sağ tıklayıp Properties seçeneğine tıklıyoruz.
Network Relationship sekmesine geçerek, Network Address Translation (NAT) seçeneğini işaretleyip OK diyoruz.
Yaptğımız ayarlaırn devreye girmesi için Apply ve ardından Ok butonlarına basmayı unutmuyoruz.
Internet DNS kaydını oluşturacağımız bilgisayara geçip DNS konsolunu açıyoruz. Forward Lookup Zone altında bulunan Domain adı üzerinde sağ tıklayıp New Host (A)… seçeneğine tıklıyoruz.
Name kısmında www ve Ip address kısmına ISA Server’ın internete açılan ayağındaki IP adresini yazarak, Add Host butonuna tıklıyoruz.
OK ve Done butonlarını tıklayarak lokal bilgisayarlar için isim çözümlemesi yapacak DNS Server’ın bulunduğu bilgisayarda da aynı şekilde DNS yapılandırmasını ISA Server’ın lokal ayağında bulunan IP adresi için yaparak işlemlerimizi tamamlıyoruz.
Bu makalemizde Server ve Web publishim-ng konularından ve split dns yapılandırmasından bahsettim. umarım yararlı olmuştur. Bir sonraki makalemizde Web Publishing yapılandırmasından bahsedeceğim.
Yazar ceyhun çamlı
\\ tags: isa server publishing, server publishing, split dns, web publishing
Son Yorumlar