Установка и настройка tmg. Установка Microsoft Forefront Threat Management Gateway в виртуальной среде Microsoft Hyper-V. Журналы и отчеты

16.03.2019

Запускаем программу установки c DVD диска, Рис.1, далее выбираем Запустить мастер установки
Разрешаем работу мастера, Рис.7, далее следуем подсказкам мастера Рис. 8 по 14, все это выполняется если требуется установка дополнительных компонентов.
Мастер начинает сбор сведений для установки продукта, следуйте подсказкам Рис. 15 по 29. Основные моменты, которые здесь требуется определить это номер лицензии, диапазоны адресов для внутренних (защищаемых) сетей.
После сообщения об успешной установке продукта, запускаем консоль управления Forefront TMG и сразу автоматически запускается мастер первоначальной настройки системы. На данном этапе ваш сервер не пропускает никаких пакетов между интерфейсами, блокируется все.
Следующим этапом необходимо указать серверу вариант установки, который будет использоваться для последующей работы. Варианты установки указаны на Рис.2 - Рис.6. Далее определяем параметры внутренней (закрытой) сети, выбираем интерфейс и система сама подставляет параметры маски подсети, адрес, шлюз по умолчанию, и прочее. Нажимаем далее и выбираем интерфейс, который смотрит в Интернет, аналогично проверяем что все параметры отображаются корректно. В следующем окне выбираем и настраиваем интерфейс демилитаризованной зоны, здесь присутствует еще один параметр (Public/Private) , при первом варианте устанавливаются отношения маршрутизации между периметром и внешней сетью и сообщение между периметром и закрытой сетью происходят через трансляцию адреса (NAT), при втором варианте трансляция адреса происходит между внешней сетью и сетью периметра, а внутренняя сеть работает с сетью периметра по механизму маршрутизации Рис. 30 по Рис. 38.
Следующий мастер просит определить установку Forefront TMG как участник домена или изолированный сервер в рабочей группе Рис. 39 по Рис. 41.
Последний мастер попросит определить как Forefront TMG будет обновляться, будет ли устанавливаться лицензия на активацию NIS (сетевая инспекция) и веб-защита, как часто требуется обновлять сигнатуры угроз, спросит хотите ли вы участвовать в программе улучшения Майкрософт, следует ли отправлять телеметрические данные с сервера в Майкрософт Рис. 42 по Рис. 50.
Откройте консоль конфигурирования Forefront TMG (Microsoft Forefront TMG Managment), на левой панели выберите "Центр обновления" , нажмите настройки в панели задач, установите политику обновления. Если вы имеете службы обновления (WSUS), то можете выбрать этот вариант, или обновляться непосредственно с сайта Майкрософт, Рис. 51.
Далее необходимо настроить параметры внутренней(закрытой) сети. Для этого выбираем "Сеть" на левой панели и в правом окне переходим на вкладку "Сети". Открываем свойства внутренней (закрытой) сети, на вкладке "Домены" добавляем все домены закрытой сети, например "*.contoso.com" , Рис. 52 по Рис. 55, переходим на вкладку "Веб-браузер" , отмечаем флажки "Обходить прокси..." и "Прямой доступ к компьютерам этой сети" , проверьте что все диапазоны IP-адресов внутренней сети присутствуют, при необходимости можете добавить адреса, Рис. 56-57. Если необходимо настроить функцию автоматического обнаружения настроек браузеров - на вкладке "Автоматическое обнаружение" отметьте флажок "Публиковать настройки автоматического обнаружения для этой сети" , также необходимо указать порт, по умолчанию используется порт 80 , Рис. 58. На вкладке "Настройки клиента TMG" активируем настройки клиента для этой сети (флажок), убираем флажки "Автоматическое определение настроек" и "Использование автоматических скриптов" , отмечаем "Использовать Web-прокси сервер" и указываем имя или адрес сервера. Рис. 59.
Переходим на вкладку "Web-прокси" и активируем Web-прокси соединения для данной сети и указываем порт, по умолчанию порт 80 , вы можете использовать например порт 8080 . Далее идем в аутентификацию и проверяем что отмечена "Встроенная" , на вкладке "Расширенные настройки" , отмечаем "Без ограничений" , затем нажимаем применить и Ok, Рис. 60 по Рис. 63. Теперь необходимо провести аналогичные настройки для сети периметра.
TMG позволяет настроить мониторинг ресурсов, для этого откройте "Мониторинг" на левой панели и зайдите на вкладку "Проверка соединений" , создайте проверяющие правила для DNS, DHCP, Активного каталога, или произвольное правило для проверки доступности какого-либо ресурса, Рис. 64 по Рис. 66.
По умолчанию весь трафик запрещен, поэтому необходимо создать разрешающее правило для HTTP и HTTPS протоколов из внутренней сети к сети периметра и ко внешней сети и еще правило для доступа HTTP и HTTPS трафика от сети периметра к внутренней и внешней сетям. Рис. 67 по Рис. 78.
Проверяем работоспособность TMG. Для проверки заходим на компьютер во внутренней сети, открываем настройки прокси в Internet Explorer, вводим адрес прокси, порт и нажимаем "Применить" , проверяем доступность сайтов, Рис. 79 по Рис. 81. Теперь вы должны успешно подключиться к интернет через TMG.

Введение

Исторически сложилось мнение, что межсетевой экран, входящий в состав ОС общего назначения, например Microsoft Windows, не может быть безопасным. Однако, это мнение было успешно опровергнуто благодаря SDL (Security Development Lifecycle), хорошо описанным процессом уведомления об уязвимостях и управления обновлениями безопасности, а также длинным послужным списком безопасности и надежности Microsoft ISA Server и Forefront Threat Management Gateway (TMG). Межсетевой экран Forefront TMG, который работает на базе Windows Server 2008 R2, сегодня, пожалуй, более надежен с точки зрения безопасности, чем многие его конкуренты.

С помощью советов по настройке TMG можно существенно повысить общее состояние безопасности системы и уменьшить пространство атаки, что, в свою очередь, гарантирует наивысший уровень безопасности TMG. При создании политики управления для TMG, лучше всего обеспечить соблюдение принципа наименьших привилегий. Ниже приведен список рекомендаций, которые будут полезны для реализации этого принципа.

Ограничьте членство в административной роли Forefront TMG уровня массива - роль администратора TMG уровня массива предоставляет полные права на администрирование массивом любому пользователю и/или группе пользователей, входящих в состав роли. После установки TMG на систему, эта роль по умолчанию назначается группе локальных администраторов Windows (а также пользователю, установившему TMG).

Рисунок 1

Глобальная группа администраторов домена, как правило, является членом группы локальных администраторов, а это означает, что члены этой группы унаследуют полные административные привилегии над межсетевым экраном TMG. Однако, это не совсем хорошая идея. Для оптимальной безопасности, группа локальных администраторов должна быть удалена из роли администратора Forefornt TMG уровня массива. Члены этой роли должны быть определены путем указания конкретных учетных записей Active Directory вместо добавления в роль групп. Почему индивидуальные учетные записи, а не группы? Потому что это дает администратору МСЭ TMG четкий контроль над тем, кто именно имеет полный административный доступ к МСЭ TMG. Использование конкретных учетных записей вместо групп не позволяет, например, администратору домена добавить учетную запись пользователя в глобальную группу домена, входящую в роль администратора уровня массива, и таким образом получить контроль над TMG. Если все же требуется использовать доменные группы для управления TMG, используйте группы с ограниченным доступом (http://technet.microsoft.com/ru-ru/library/cc785631(WS.10).aspx).

Ограничьте членство в административной роли Forefront TMG уровня предприятия - административная роль TMG уровня предприятия предоставляет всем членам этой роли полный доступ ко всему предприятию, включая все массивы TMG внутри предприятия. После установки TMG EMS, встроенная группа локальных администраторов по умолчанию становится членом роли (а также пользователь, установивший приложение).

Используйте отдельные административные учетные записи - Лучше всего использовать отдельные учетные записи Active Directory для администрирования МСЭ TMG. Не используйте эти учетные записи для администрирования других систем. Для этих учетных записей должны быть установлены жесткие политики паролей, предусматривающие использование длинных и сложных паролей с коротким временем жизни. Если домен работает на функциональном уровне Windows Server 2008, существует возможность включения подробных политик паролей для автоматического назначения требуемых политик (http://technet.microsoft.com/ru-ru/library/cc770394(WS.10).aspx).

Для управления TMG используйте отдельную изолированную рабочую станцию - Настройте отдельную рабочую станцию на управление МСЭ TMG. Установите административную консоль на эту машину и удалено управляйте МСЭ TMG. Осуществляйте вход на эту машину только с отдельной учетной записи администратора TMG. Локальные политики безопасности должны ограничивать вход на эту систему для других учетных записей. Эта рабочая станция должна быть хорошо защищена, недоступна для удаленных пользователей и отключена от сети Интернет. Предпочтительно использовать многофакторную аутентификацию (смарткарту или токен) для доступа к этой системе.

Ограничьте членство для сетевого объекта удаленного управления компьютерами - Ограничение количества членов сетевого объекта удаленного управления компьютерами является основным методом уменьшения пространства атаки на МСЭ TMG. По умолчанию, хосты, входящие в состав объекта удаленного управления компьютерами, имеют доступ ко многим службам, запущенным на МСЭ TMG, включая RDP, NetBIOS, RPC, Ping и другие. Предоставление доступа к этим службам создает уровень рисков, который может быть существенно понижен за счет ограничения доступа к этой группе. В идеальном варианте, в этой группе будет находиться только выделенная для задач администрирования рабочая станция.

Ограничьте доступ в сеть для агентов управления - часто, МСЭ TMG требует установки системных агентов управления от Microsoft или сторонних производителей. Избегайте создания политик доступа, которые позволяют агенту осуществлять подключения к целой сети или подсети. Политики МСЭ должны разрешать подключения агентов только к требуемым хостам.

Запреты

Не используйте МСЭ TMG в качестве рабочей станции - избегайте использования браузера на TMG для посещения сайтов в сети Интернет, посещения поисковых систем или загрузки исправлений и обновлений. Все исправления, а также необходимое программное обеспечение должны загружаться на обычную рабочую станцию (не на рабочую станцию, которая используется для управления TMG - для этого хоста должен быть запрещен доступ в Интернет!), на которой файлы могут быть просканированы перед их загрузкой и установкой на TMG.

Не используйте МСЭ TMG для выполнения ежедневных задач - лучше всего установить консоль управления TMG на отдельную рабочую станцию, как написано выше, и максимально ограничить количество локальных входов в систему МСЭ TMG.

Не устанавливайте на МСЭ TMG утилиты для администрирования от стороннего производителя - многие компоненты для МСЭ TMG содержат собственное ПО для управления, иногда с использованием HTTP сервера (например, IIS, Apache и др.). Подобное ПО является проблемным, поскольку оно увеличивает пространство атаки на МСЭ TMG и привносит потенциально дополнительные вектора атаки. Где возможно, не следует устанавливать ПО для управления от стороннего производителя на сам МСЭ TMG. Это ПО должно быть установлено на отдельную систему, предпочтительно на рабочую станцию для управления TMG.

Не создавайте общедоступные папки на МСЭ TMG - в предыдущих версиях ISA сервера, после установки продукта на системе автоматически создавалась общедоступная папка для обмена данными с клиентами МСЭ. Эта опция была позже удалена из продукта, как небезопасная. МСЭ TMG - это межсетевой экран и только. Он ни при каких обстоятельствах не должен использоваться в качестве файлового сервера. Если требуется удаленный доступ к системе, например, для получения текстовых журналов, он должен осуществляться с помощью утилиты для работы с журналами от стороннего производителя, например Epilog, ArcSight или Splunk.

Не устанавливайте инфраструктурные службы на МСЭ TMG - никогда не устанавливайте на МСЭ TMG инфраструктурные службы, такие как DNS, DHCP, Центр сертификации и пр. В большинстве случаев, подобная установка завершится конфигурацией, которая не поддерживается (http://technet.microsoft.com/ru-ru/library/ee796231.aspx). Но даже, если конфигурация поддерживается, наличие подобных служб на TMG увеличивает пространство атаки и привносит дополнительные векторы атаки. Подобные службы потребуют большего количества обновлений по сравнению с отдельным TMG, что увеличит простои системы. Эти службы также потребуют дополнительные системные ресурсы (процессорное время, память, сеть и дисковое пространство) и могут отрицательно повлиять на стабильность работы системы и производительность межсетевого экрана.

Заключение

Корректно настроенный Forefront TMG, запущенный на последней версии безопасно настроенной сетевой ОС Windows, является безопасным и надежным межсетевым экраном и безопасным web-шлюзом. Общий уровень безопасности решения может быть улучшен с помощью советов, изложенных в этой статье. Соблюдая принцип наименьших привилегий путем ограничения членства в административных TMG ролях уровней массива и предприятия, использования отдельных учетных записей на изолированной рабочей станции, ограничения членства в сетевом объекте удаленного управления компьютерами, ограничения сетевого доступа для агентов управления TMG позволит уменьшить пространство атаки на МСЭ TMG. К тому же, отказ от практики небезопасного использования TMG в качестве рабочей станции, для установки административного ПО от стороннего производителя, создания общедоступных папок или установки инфраструктурных служб предоставит еще большую защищенность.

Обожаю новые вещи, и я рада представить вам новый продукт: Microsoft Threat Management Gateway 2010 EE RTM. В этой статье мы сначала рассмотрим то, как устанавливать TMG 2010 EE RTM.

Конечно, действительной начальной стадией является планирование, в котором вы определяете то, какие будут требования к аппаратному оборудованию, и какую роль будет играть брандмауэр TMG в вашей сети. Однако если вы не знакомы с брандмауэром TMG, вам нужно будет просто установить его и посмотреть, что он собой представляет и как выглядит. Планирование можно отложить, если вы решите, что вам нравится то, что вы увидите, и об этом мы поговорим в последующих статьях. А в этой серии из двух частей мы поговорим о процессе установки и выделим потенциальные проблемы, с которыми вы можете столкнуться во время этого процесса.

Итак, начнем!

Как всегда, в качестве первого шага необходимо убедиться в том, что ваше аппаратное оборудование отвечает минимальным системным требованиям, которые можно найти .

Многие из вас будут выполнять эту установку в целях тестирования и оценки продукта. Поэтому мы установим RTM версию брандмауэра TMG на виртуальную машину, и эта виртуальная машина будет оснащена двумя сетевыми интерфейсами:

Внешний интерфейс, который подключен мостом к производственной сети, обеспечивающей выход в интернет, и
Внутренний интерфейс, который обеспечивает подключение только к другим виртуальным машинам.

В этом примере единственная виртуальная машина будет контроллером домена, и брандмауэр TMG принадлежит к тому же домену, что и контроллер домена.

Это будет чистая установка. Единственное, что мы сделали перед установкой, это присоединили виртуальную машину TMG к домену, а затем установили обновления Windows. Я не устанавливала никаких компонентов Exchange или иного ПО. Нашей целью будет то, что сделают большинство администраторов – установка программного продукта в «штатной» конфигурации, после чего мы постараемся настроить его так, чтобы он выполнял все нужные нам функции, чтобы можно было лучше познакомиться с этим продуктом.

Примечание: перед тем, как приступить к процессу установки, вам нужно знать конфигурацию DNS на сетевых картах виртуальной машины TMG. Поскольку вы никогда (или почти никогда) не включаете никакие внешние DNS серверы в настройку сетевых карт брандмауэра, я настроила внешний интерфейс безо всяких параметров DNS, а внутренний интерфейс с IP адресом внутреннего DNS сервера, который также является контроллером домена. Это вызовет некоторые сложности, о которых я расскажу позже, когда мы с ними столкнемся.

Вот простая схема сети, с которой я в данный момент работаю в этой статье:

Схема 1

Первым шагом будет загрузка пробной версии программы. В настоящее время TMG недоступен на MSDN, но вы можете загрузить пробную версию отсюда .

После загрузки файла дважды нажмите на нем, и он распакуется. После распаковки файлов вы увидите приветственную страницу Welcome to Microsoft Forefront TMG . Она выглядит несколько иначе по сравнению с тем, что мы видели в брандмауэре ISA, и она включает несколько новых опций. Обратите внимание на раздел Подготовка и установка (Prepare and Install) - теперь вы можете выполнить обновление Windows на этой странице установки. Мы уже сделали это, поэтому нам это не требуется. Еще одной новой опцией является Запуск инструмента подготовки (Run Preparation Tool) , и им мы воспользуемся. Выбираем эту опцию.

Вполне очевидно, что разработчики TMG пользовались большими мониторами при создании этого интерфейса. Диалоговые окна большие. Думаю, что это удобно для разработчиков и пользователей, однако неудобно для писателей статей, у которых ограничено горизонтальное пространство для создания снимков экранов.

На странице Welcome to the Preparation Tool for Microsoft Forefront Threat Management Gateway (TMG) нажимаем Далее .

На странице отмечаем опцию Я принимаю условия лицензионного соглашения (I accept the terms of the License Agreements) и жмем Далее . Здесь вы принимаете условия лицензионного соглашения для Microsoft Chart Controls for Microsoft .NET Framework 3.5 and 3.5 SP1 и Microsoft Windows Installer 4.5 .

На странице выбора типа установки Installation Type у вас есть три опции:

Службы и управление (Forefront TMG services and Management)
Только управление (Forefront TMG Management only)
Сервер управления предприятия для централизованного управления массивом (Enterprise Management Server (EMS) for centralized array management)

Новый TMG значительно упрощает работу с TMG EE в отличие от сложностей управления EE в брандмауэре ISA. Именно по этой причине в данной статье мы установим версию EE " чтобы показать вам простоту установки EE. Позже мы создадим отдельный массив, после чего мы уберем отдельный массив и установим массив предприятия. Это просто и весело! Но сначала, давайте разберемся с основами и выберем опцию Forefront TMG services and Management . Нажимаем Далее .

Рисунок 4

На странице Подготовка системы (Preparing System) вы увидите прогресс установки предварительно необходимого ПО.

На странице завершения подготовки Preparation Complete будет показано, что предварительно необходимое ПО было успешно установлено.

Рисунок 6

Теперь откроется страница Welcome to the Installation Wizard for Forefront TMG Enterprise . Нажимаем Далее , чтобы начать установку TMG EE.

Рисунок 7

На странице Лицензионное соглашение (License Agreement) выбираем опцию Я принимаю условия лицензионного соглашения (I accept the terms in the license agreement) и нажимаем Далее .

Рисунок 8

Введите свою информацию (имя пользователя, название организации и серийный номер продукта) на странице информации потребителя Customer Information , а затем нажмите Далее .

Рисунок 9

На странице указания пути установки Installation Path вы можете воспользоваться путем по умолчанию или выбрать собственное место установки, указав путь к папке, в которую хотите установить продукт TMG. В данном примере мы воспользуемся умолчаниями и нажмем Далее .

Рисунок 10

А вот здесь нас ждет пережиток прошлого – страница указания внутренней сети Define Internal Network . В брандмауэре TMG, как и у его предшественника ISA, основная внутренняя сеть (default Internal Network) будет тем местом, где будут располагаться основные сервисы вашей инфраструктуры; сюда входит Active Directory, DNS, DHCP и WINS. Вы можете изменить эту дефиницию позже, если захотите, но нам нужен доступ к этим ресурсам во время установки, поэтому нам придется определить основную внутреннюю сеть сейчас.

Нажмите кнопку Добавить (Add) на странице Define Internal Network . Это вызовет диалоговое окно Адреса (Addresses) . Существует несколько способов добавления адресов основной внутренней сети, но я предпочитаю использовать способ добавления адаптера (Add Adapter) . Нажимаем Добавить адаптер (Add Adapter) .

Рисунок 11

В диалоговом окне выбора сетевого адаптера (Select Network Adapters) выбираем сетевую карту локальной сети LAN , а затем ставим флажок для этой карты. Необходимо убедиться, что информация в разделе подробностей сетевого адаптера (Network adapter details) точно соответствует тем настройкам, которые заданы для выбранной сетевой карты. Затем нажимаем OK .

Рисунок 12

Адреса, назначенные для внутренней сетевой карты, теперь будут отображены в текстовом поле Адреса (Addresses) . Эти адреса основаны на записях таблицы маршрутизации брандмауэра – если вы еще не настроили записи таблицы маршрутизации на своем брандмауэре, эти адреса будут не полностью корректными, но это можно будет исправить позже, и мы рассмотрим эту проблему далее.

Рисунок 13

Рисунок 14

Как и в случае с установкой брандмауэра ISA, во время установки TMG тоже нужно будет перезапустить или отключить некоторые службы. К ним относятся следующие службы:

SNMP служба
Служба IIS Admin
Служба публикации WWW Publishing Service
Microsoft Operations Manager Service

Примечание: TMG не говорит, что эти службы установлены " он просто говорит, что если эти службы установлены, они будут отключены и перезапущены.

Рисунок 15

Нажимаем Установить на странице Ready to Install the Program .

Рисунок 16

Шкала прогресса будет показывать вам состояние процесса установки.

Рисунок 17

Затем откроется еще одно диалоговое окно и покажет вам, сколько времени займет этот процесс. Обратите внимание, что это приблизительные цифры; несмотря на цифры, которые вы здесь увидите, процесс установки у меня занял почти 30 минут. Это может быть связано с проблемами DNS, которые мы обсудим позже.

Рисунок 18

Теперь мастер установки Installation Wizard завершил работу, и вы, возможно, решите, что все готово. В версии ISA это было именно так. Следующим шагом был переход в консоль брандмауэра ISA и настройка сетей, правил доступа и прочих компонентов для корректной работы программы. Однако в TMG процесс не совсем закончен.

Если вы выберите опцию Запустить управление (Launch Forefront TMG Management) после закрытия мастера установки, появится еще три мастера, которые позволяют вам выполнить все настройки для работы брандмауэра после установки.

Рисунок 19

Поскольку эти мастера новые, а у нас заканчивается допустимый объем символов для этой статьи, мы рассмотрим эти новые мастера установки в следующей части цикла. Надеюсь, вы будете ждать продолжения.

Заключение

В этой статье мы начали с разъяснения того, что установим новый брандмауэр TMG 2010 EE в простой конфигурации. Единственными параметрами на виртуальной машине брандмауэра TMG были настройки DNS, и брандмауэр был присоединен к домену, прежде чем устанавливать программный продукт брандмауэра. Затем мы начали процесс установки, настроили основную внутреннюю сеть и завершили работу мастера установки. В следующей части цикла мы завершим процесс установки брандмауэра, рассмотрев три новых мастера, которые содержатся на странице Getting Started Wizard .

И Win7 корпорация Microsoft анонсировала ряд решений, направленных
на усиление безопасности сетей и серверов. Вместо ставших уже привычными имен и
технологий, на IT-сцене появились совершенно новые названия. В статье
познакомимся с назначением продуктов семейства Forefront "Stirling" и подробно
разберем пакет Forefront TMG , который стал преемником ISA Server 2006.

Интегрированная система безопасности Forefront "Stirling"

Практически 9 лет компьютерные сети многих организаций бессменно защищал ISA
Server (Microsoft Internet Security and Acceleration Server). Основа, заложенная
еще в первом релизе, мало изменилась и в третьей версии ISA Server 2006:
фильтрация трафика на нескольких уровнях, поддержка VPN, работа с Active
Directory, анализ посещения внешних ресурсов, IDS/IPS и так далее. Нет, конечно,
продукт развивался: был существенно переработан интерфейс, появились новые
функции, но со временем менялась идеология защиты сетей, и соответственно
администраторы стали требовать большего, чем мог дать ISA Server, который к тому
же не совместим с новыми серверными ОС Win2k8/R2.

Результат не заставил себя долго ждать. В 2008 году на конференции RSA
Security был представлен преемник ISA Server, получивший новое имя Forefront
Threat Management Gateway (Forefront TM G, Шлюз управления угрозами).
Одной из основных особенностей Forefront TMG стала совместная работа с
другими продуктами новой платформы Forefront Protection Suite (кодовое
имя "Stirling",

www.microsoft.com/forefront/stirling), предназначенной для всесторонней
защиты и централизованного управления параметрами безопасности корпоративных
сетей, серверов и рабочих станций. В настоящее время в ее состав входит:

Forefront Client Security (FCS, ранее Microsoft Client Protection)
— обеспечивает защиту серверов, рабочих станций от разного рода угроз,
вирусов, программ-шпионов, руткитов и прочего вредоносного кода с возможностью
простого централизованного управления и получения отчетов. FCS интегрируется с
существующей инфраструктурой программ и дополняет другие технологии
безопасности Microsoft;
Forefront Security for Exchange Server (ранее Microsoft Antigen для
Exchange, в дальнейшем Forefront Protection 2010 for Exchange Server) —
защищает среду обмена сообщениями Exchange Server от вирусов, червей, спама и
недопустимого содержимого, для этих целей в его состав включено несколько
антивирусных ядер;
Forefront Online Security for Exchange (FOSE) — является "облачным"
вариантом предыдущего пункта, то есть FOSE предоставляется как услуга,
позволяющая обеспечить защиту электронной почты компании и снизить затраты на
содержание серверов. Интегрируется с Active Directory и Exchange Server, хотя
в качестве почтового сервера можно использовать любой другой сервер;
Forefront Security for Office Communications Server — обеспечивает
защиту системы мгновенных сообщений, предоставляемую этим сервером, проверяя
трафик несколькими антивирусами и блокируя мессаджи с подозрительным
содержимым;
Forefront Security for SharePoin t (ранее Antigen для SharePoint, в
дальнейшем Forefront Protection for SharePoint) — антивирусная защита хранилищ
документов (в реальном времени и по расписанию), реализуемых при помощи
сервиса SharePoint, применение политик компании к содержимому, типам и
расширениям файлов;
Forefront Unified Access Gateway (UAG, ранее Intelligent
Application Gateway — IAG 2007) — шлюз удаленного (входящего) доступа (а не
защиты) к приложениям, позволяющий контролировать и управлять доступом к
сетевым службам "из вне", через единую точку входа;
Forefront Identity Manager (FIM, ранее Identity Lifecycle Manager)
— усовершенствованная платформа управления идентификационной информацией на
базе веб-сервисов, в которой используются гибкие средства делегирования
полномочий на основе политик, что в итоге позволяет повысить безопасность и
управляемость корпоративных сред;
Forefront Threat Management Gateway (главный герой нашей статьи) —
защита от интернет угроз, фильтрация трафика, IDS/IPS, контентная фильтрация.

Ранее Microsoft предлагала несколько разобщенных продуктов, каждый их которых
защищал свой участок, имел свою консоль управления и систему отчетов. Такие
системы защиты плохо масштабируются, ими неудобно управлять. Сегодня вместо
этого специалистам предоставляется комплексное решение, которое работает с общей
базой настроек, информацией об угрозах, управляется из единой консоли, и которое
можно легко подстроить под конкретные нужды.

Возможности Forefront TMG

Основным компонентом Forefront TMG (на момент написания статьи была
доступна версия 2010 Release Candidate) является межсетевой экран, который
контролирует входящий и исходящий трафик в соответствии с установленными
политиками. Этот компонент "достался" по наследству от ISA Server. Среди новинок
можно отметить улучшенную поддержку NAT (например, теперь нет проблем в случае,
если внешний интерфейс имеет несколько IP-адресов), функцию управления
резервными интернет-каналами (ISP Redundancy, только для исходящего трафика),
появление в настройках firewall вкладки VoIP, где производится настройка защиты
и поддержки VoIP сервиса (VoIP traversal).

Функцию IDS/IPS выполняет компонент Network Inspection System (NIS,
Служба проверки сети), главным отличием которого от подобных решений является
контроль над попытками использования известных уязвимостей, обнаруженных в
защищаемых системах, а не поиск сигнатур эксплоитов. Такой подход позволяет
закрыть брешь в период обнаружения уязвимости до выхода устраняющего ее патча.
Основой NIS служит GAPA (Generic Application-Level Protocol Analyzer),
обеспечивающий быстрый низкоуровневый поиск данных. Кроме сигнатурного анализа,
в NIS заложен поведенческий анализатор (Security Assessment and response, SAS),
способный определять вторжения на основе поведения (Behavioral Intrusion
Detection).

Никуда не исчезла возможность предоставления безопасного доступа
к ресурсам интернет и контроля за трафиком (Web Client Protection). Здесь
отмечаем появление в списках протокола SSTP (Secure Socket Tunneling Protocol,
подробнее о нем читай в статье " " ), поддержка которого была впервые реализована в Vista
SP1 и Win2k8.

TMG проверяет HTTP и HTTPS (чего не было ранее, при этом TMG
выступает как посредник) трафик на наличие вредоносного ПО, используя те же
механизмы защиты, что и Forefront Client Security и Windows Defender.
Администратор может указать узлы, для которых не следует производить проверку,
максимальный размер скачиваемого файла, при превышении которого загрузка будет
блокирована, разрешенные типы файлов. Еще одна новинка в этом разделе —
возможность URL фильтрации, которая дает возможность контролировать доступ к
определенным веб-ресурсам, основываясь на 80-ти категориях. Список возможных
категорий и их состав динамически обновляется по подписке.

В TMG интегрирован SMTP прокси, обеспечивающий функции защиты от
вирусов, спама и прочих угроз, распространяемых по e-mail. Причем почтовый
трафик могут сканировать до 5 программ, большая часть функций по фильтрации
реализована за счет интеграции с Exchange Server 2007 Edge. В политиках (E-Mail
policy) администратор может задавать расширения, шаблоны имени, MIME типы
файлов, которые будут блокироваться при пересылке. Также TMG может просматривать
сообщения на наличие определенных фраз во входящих и исходящих сообщениях, затем
на основе политик такие письма могут быть удалены с отправкой уведомления
админу.

TMG поддерживает Win2k8R2, может интегрироваться с Exchange 2007
SP1 или грядущим Exchange 2010. Первые версии TMG нельзя было развернуть в
рабочей группе (только в доменной среде), что снижало область применения
продукта. Теперь такая возможность имеется, хотя в этом случае придется
потратить некоторое время на эффективную настройку локальной SAM базы (Security
Accounts Manager). В режиме рабочей группы возможна аутентификация средствами
RADIUS или SecurID сервера.

Перечислю несколько важных моментов касательно IPv6, которые
следует учесть при развертывании TMG:

будет блокирован весь IPv6 трафик;

протокол ISATAP (Intra-Site Automatic Tunnel Addressing
Protocol) и 6to4 интерфейс, инкапсулирующие пакеты IPv6 в IPv4, будут
отключены;

при рестарте будет обновляться только "A" DNS запись для
сервера, но не "AAAA";

будут очищены кэши DNS, ARP и Neighborhood Discovery (IPv6
версия ARP).

Да, протокол IPv6 TMG не поддерживает в полной мере, но работать
с ним умеет. Также возможно развертывание DirectAccess (который, кстати, завязан
на IPv6/IPsec) и TMG на одной системе. Хотя это потребует плясок с бубном, так
как при установленной роли DirectAccess некоторые мастера TMG отказываются
работать, так как не могут определить настройки сети.

Поставляется TMG в двух версиях: Enterprise и Standard Edition,
хотя первоначально такое разделение не планировалось. Основных преимуществ
Enterprise перед Standart два. Это снятие лимита на количество CPU (в Standart
до 4) и работа в массиве TMG, управляемом Enterprise Management Server (Сервер
управления предприятием) с поддержкой "Stirling". Настройки в этом случае
хранятся централизованно на сервере Configuration Storage Server. Чтобы
проапгрейдить Standart до Enterprise, необходимо установить новый лицензионный
ключ: Forefront TMG Management console — System node — выбираем сервер и в
контекстном меню Properties — Upgrade to Enterprise Edition вводим новый ключ.

Также следует отметить наличие несколько урезанной версии
Forefront TMG Medium Business Edition (MBE) для Essential Business Server (ESB).
Это решение предназначено для защиты сетей небольших и средних размеров (до 300
рабочих станций). В нем отсутствует Network Inspection System, не реализована
возможность проверки защищенного HTTPS трафика и защиты e-mail, не предусмотрено
использование балансировки нагрузки и создание отказоустойчивых кластеров, он не
интегрируется с продуктами семейства "Stirling". TMG MBE доступен как в составе
ESB, так и как самостоятельное решение. Возможна установка на 32-х битную
систему.

Установка Forefront TMG

Для установки Forefront TMG понадобится сервер с x64 CPU
(32-х разрядные CPU не поддерживаются) и 2 Гб ОЗУ, работающий под управлением
x64-версии Win2k8/2k8R2, а также 2.5 Гб места на харде (раздел должен быть
отформатирован в NTFS). Среди требований есть еще Microsoft SQL Server 2005
Express Edition (MSEE), но он будет установлен автоматически, поэтому не нужно
отдельно его скачивать.

Возможно несколько вариантов использования шлюза TMG. Он может
стоять на границе зоны, это классический вариант, когда с одной стороны
подключен интернет, с другой — внутренняя сеть (требуется наличие двух сетевых
адаптеров). Развитием этого варианта является вывод DMZ на отдельный сетевой
интерфейс. В документации еще описан вариант Back Firewall, когда TMG выступает
как второй брандмауэр, размещенный за аппаратным решением (например, шлюз с
функциями фильтрации). И наконец, возможна работа на сервере с одним сетевым
интерфейсом. В этом случае TMG будет выступать просто как кэширующий
прокси-сервер с возможностями по аутентификации пользователей в Active
Directory, фильтрации URL и блокировки контента. Учитывая, что TMG
устанавливается на входе сети, вполне логично, что сервер не должен быть
контроллером домена. Если при развертывании на сервере будет найдена роль
"Active Directory Domain Services" (даже без последующего запуска dcpromo),
установка прекратится без объяснений. Теперь рассмотрим процесс установки
Forefront TMG на Win2k8R2.

Запускаем инсталляционный пакет, скаченный с сайта Microsoft, и
щелкаем по пункту "Setup Preparation Tool". Следуя подсказкам этого
инструментального средства, устанавливаем все роли и компоненты, необходимые для
работы Forefront TMG. На втором шаге "Installation Type" нужно определиться с
вариантом установки. По умолчанию предлагается "Install Forefront Threat
Management Gateway services", при котором будет установлен собственно TMG и
консоль управления. Другие варианты позволяют инсталлировать только консоль
управления Forefront TMG Management или консоль управления массивами TMG. По
окончании работы "Preparation Tool" в системе появятся роли: "Network Policy and
Access Services", "Web Server (IIS)", компонент.Net Framework 3.5 и MSEE. Если
не снимать на последнем шаге флажок "Launch Microsoft Forefront TMG Setup", по
окончании работы "Setup Preparation Tool" запустится мастер установки TMG.
Ничего сложного он собой не представляет — подтверждаем лицензию, вводим
название организации и серийный номер, затем параметры внутренней сети. В
последнем случае можно выбрать сетевой адаптер, ввести адрес сети или диапазон
IP-адресов. По завершении этого этапа сервер лучше перезагрузить.

Настройки TMG

После установки TMG в меню обнаружим консоль управления
"Forefront TMG Management" и монитор производительности "Forefront TMG
Perfomance Monitor". По умолчанию консоль подключается к локальному серверу, но
вряд ли админ будет работать из серверной. Чтобы подключиться к удаленному
серверу с установленным TMG, выбираем в контекстном меню пункт "Connect" и,
следуя указаниям "Configuration Storage Server Connection Wizard", отмечаем
локальную систему, отдельный сервер или подключение к массиву TMG.
Настроек в консоли более чем предостаточно. Спасает продуманный интерфейс,
который существенно переработан в сторону улучшения юзабилити. Все настройки
сгруппированы в 12 меню, в каждом производятся установки специфических политик:
Firewall, WebAccess, E-mail, IPS и так далее. Некоторые пункты позволяют
получить доступ к функциям мониторинга, отчетов и обновлений. И в какой пункт не
зайди, везде тебя встретит пошаговый мастер.

При первом запуске консоли активируется "Getting Started
Wizard", который по сути открывает доступ к трем другим визардам: Network,
System Configuration и Deployment. Некоторые настройки будут взяты из системных
установок, при необходимости их уточняем.
В самом начале работы мастера сетевых настроек будет предложено выбрать шаблон
сети (Network Template), соответствующий текущему применению TMG: Edge firewall,
3-Leg Perimeter, Back firewall, Single network adapter. При выборе каждого
пункта будет показана схема сети, поэтому в назначении шаблонов легко
разобраться. По умолчанию предлагается "Edge firewall", который соответствует
"стандартному" режиму использования, когда с одной стороны подключается
интернет, с другой — локальная сеть. Его и оставляем, указываем LAN и WAN
интерфейсы. Настройки системы заключаются в уточнении принадлежности к домену
или рабочей группе, а также вводу DNS суффикса. В большинстве случаев здесь
нужно оставить все, как есть. В Deployment Wizard указываются параметры "Windows
Update". Далее активируем лицензии NIS, Web- и Email Protection и на следующих
этапах работы мастера задаем порядок обновления соответствующих сигнатур.
Установленный в последнем окне флажок "Run Web Access Wizard" позволяет сразу
запустить мастер настройки веб-доступа, но с этим пока можно не спешить.

Выбираем в меню консоли свой сервер. В среднем окне появится
окно "Roles Configuration", в нем даны ссылки на 5 задач: доступ внутренних
пользователей к веб-сайтам (Web Access Policy), политики E-mail, настройка NIS,
публикация внутренних ресурсов для предоставления доступа "из вне", активация и
настройка доступа к VPN. Конечно, это не все задачи по обеспечению полноценной
защиты и работы сервисов, конкретный список для каждой сети админ уже составляет
сам. После работы "Started Wizard" будет активирована NIS, и установлены
блокирующие правила в Firewall и Web Access. Соответственно, выйти в интернет,
получать и отправлять почту не получится, также будет закрыт доступ к внутренним
ресурсам "из вне", поэтому последовательно перебираем каждый шаг и настраиваем
политику доступа.

Настройка политик веб-доступа и использования E-mail

Для примера рассмотрим настройки по обеспечению веб-доступа и
работы электронной почты. Переходим во вкладку "Web Access Policy" и выбираем в
поле "Task" ссылку "Configure Web Access Policy", запустится мастер настроек.
Определяемся, будем ли использовать блокировку веб-ресурсов по категориям. Если
отметить "Yes, create a rule blocking …", то на следующем шаге нужно указать
категории ресурсов, которые будут блокироваться. В списке уже есть с десяток
категорий, чтобы добавить новую категорию в список, нажимаем кнопку "Add" и
отмечаем в появившемся окне все необходимое. Следующий шаг мастера — "Malware
Inspection Setting", здесь выбираем, будем ли проверять HTTP трафик на наличие
вредоносного кода. Дополнительный флажок "Block encrypted archives" разрешает
блокировку зашифрованных архивов. Далее настраивается проверка HTTPS трафика.
Здесь возможны четыре варианта:

проверять;

не проверять и разрешать трафик;

не проверять трафик, проверять сертификат и при несоответствии
блокировать;

блокировать HTTPS.

Если выбран первый вариант, мастер потребует ввести сертификат,
который необходимо предварительно создать (подробности смотри в уже упомянутой
статье "Слоеный VPN"). Затем идет настройка кэширования. Отмечаем флажок "Enable
Web caching" и, нажав "Cache Drives", указываем диск и вводим максимальный
размер кэша (по умолчанию 0, т.е. неограничен). После нажатия кнопки "Finish"
будут созданы новые настройки, чтобы они вступили в силу, нажимаем кнопку
"Apply" вверху окна. Теперь пользователи внутренней сети могут просматривать
информацию на веб-ресурсах.

Используя ссылки во вкладке "Task", можно изменить установки без
повторного запуска мастера. Чтобы изменить отдельное правило, дважды щелкаем по
нему и, перемещаясь по вкладкам свойств, отключаем/включаем правило, изменяем
From/To, указываем протокол, расписание, тип контента. Состояние отдельных
элементов можно увидеть и изменить в поле "Web Access Setting".

Для настройки работы с E-mail выбираем в меню "E-Mail Policy".
Здесь действуем аналогично предыдущему пункту. Нажимаем "Configure E-Mail
Policy". Запустившийся мастер вначале попросит указать IP-адрес внутреннего
почтового сервера и ввести список разрешенных доменов. Отмечаем сети, на которых
будут слушаться почтовые запросы, указываем FQDN (Fully Qualified Domain Name),
используемый для связи с сервером при ответе на HELO/EHLO запросы. По умолчанию
TLS (Transport Layer Security) шифрование трафика отключено, для его активации
устанавливаем флажок "Enable TLS Encryption". На последнем шаге, установив
соответствующие флажки, активируем функции антиспама и антивирусной проверки
почтового трафика (если, конечно, их предполагается использовать). Нажимаем
"Finish" и применяем настройки щелчком по "Apply". Правила, созданные в
результате работы мастера, будут показаны в окне консоли. Настройка правил
антиспама и антивируса производится во вкладках "Spam Filtering" и "Virus and
Content Filtering" соответственно.

Заключение

Как видишь, нововведений в семействе Forefront достаточно много,
и главное из них — тесная интеграция продуктов, которая позволит на порядок
повысить эффективность использования различных решений и добавить удобство
работы админу. На примере Forefront TMG хорошо видно, что одной лишь
сменой имени дело не обошлось. В нем появилось достаточно много функций, которые
уже не раз запрашивались администраторами.

TMG vs UAG

Forefront TMG и UAG входят в группу Forefront Edge Security and
Access, в которой представлены решения, обеспечивающие защиту периметра и доступ
к внутренней сети, но назначение у них совершенно разное. У TMG главное
назначение — это защита внутреннего периметра, UAG — обеспечение безопасного
доступа к сервисам "из вне". Хотя в TMG реализована возможность организации
доступа ко внутренним ресурсам посредством VPN и публикации внутренних сервисов
(Secure Web Publishing), но UAG в этом плане обеспечивает большие возможности и
гибкость.

INFO

Forefront "Stirling" — комплексное решение, предназначенное для
всесторонней защиты и централизованного управления параметрами безопасности
корпоративных сетей, серверов и рабочих станций.

Основой системы отчетов Forefront "Stirling" является MS SQL
Server 2008 Reporting Services, механизм отчетов способен удовлетворить запросы
большинства админов.

Перед началом установки Forefront TMG следует обновить систему
при помощи Windows Update: Control Panel — System and Security.

Антивирусные, антиспам обновления, сигнатуры NIS, URL Filtering
доступны по платной подписке.

Страница TechNet, посвященная Forefront —

technet.microsoft.com/en-us/library/cc901531.aspx

WARNING

Forefront TMG нельзя устанавливать на сервер, выполняющий
функции контроллера домена.

После установки Forefront TMG все сетевые соединения
блокируются.

Published on Февраль 13, 2009 by · Один комментарий

Если вы еще не слышали, то ISA Firewall постепенно выходит из производства. Последней версией ISA Firewall будет версия ISA 2006. Однако это не означает, что ПО ISA, которое мы полюбили за несколько лет его использования, совсем перестанет существовать. Хотя бренд ISA попадет в мусорную корзину истории, мы увидим следующую версию ISA Firewall с новым названием: Forefront Threat Management Gateway (шлюз управления внешними угрозами).

Существует несколько причин, по которым название ISA выходит из употребления. Но, вероятно, основная причина заключается в том, что общественности, кажется, не удавалось выяснить из названия, что собой представляет ISA Firewall. Некоторые считали, что это был просто веб прокси-сервер (в духе Proxy 2.0), другие думали, что это очередной брандмауэр, третьи считали его VPN сервером, четвертые считали, что это какой-то Франкенштейн или вообще не понимали ничего. Новое название должно обратить на Forefront TMG больше внимания, и, как надеются в компании, позволит людям понять основную задачу этого продукта.

В этой статье я расскажу вам о процессе установки. Однако прежде чем устанавливать TMG, вам нужно знать следующее:

TMG будет работать только на 64-разрядной Windows Server 2008. После выпуска RTM версии, появится 32-разрядная демо-версия TMG, но не будет никаких бета версий для 32-разрядной Windows
TMG требует как минимум 1 GB памяти (возможно, она будет работать и с меньшим объемом памяти, но очень медленно)
150 MB свободного места на диске
По крайней мере одну сетевую карту (хотя я всегда рекомендовал два или более сетевых адаптера для обеспечения большей надежности)
Вам нужно установить стандартную папку на диск C:
TMG установит IIS 7 на вашу машину, чтобы поддерживать службы отчетов SQL. Если вы удалите TMG с машины, II7 не будет удален автоматически, поэтому вам придется делать это вручную
Службы и файлы драйверов для TMG устанавливаются в установочную папку TMG
Для версии beta 1 TMG, машина TMG должна входить в состав домена. В последующих бета версиях будут поддерживаться машины, не принадлежащие к доменам.

В этой серии статей (мы должны уложиться в две части) я устанавливаю TMG на машину Windows Server 2008 Enterprise, которая работает в качестве виртуальной машины (VM) на VMware Virtual Server 1.0. VM имеет два интерфейса: один интерфейс подключен через мост ко внешней сети и будет работать в качестве внешнего интерфейса, а второй интерфейс расположен на VMNet2, которая будет интерфейсом внутренней сети по умолчанию. Обратите внимание, что модель построения сети для TMG не изменилась по сравнению с конфигурацией, используемой ISA Firewall.

TMG является одним из элементов ПО, включенных в коллекцию продуктов Forefront Stirling. Вы можете скачать их все или только TMG. TMG будет отлично работать без Stirling, но Stirling – это определенно то, о чем вы захотите узнать в будущем.

Дважды нажмите на файле, который вы скачали. У вас откроется приветственная страница Добро пожаловать в мастера установки Forefront Threat Management Gateway . Нажмите Далее .

Рисунок 1

Установите файлы в место по умолчанию, коим будет . Нажмите Далее .

Рисунок 2

Файлы будут извлечены в эту папку.

Рисунок 3

Нажмите Завершить , когда процесс извлечения закончится.

Рисунок 4

Перейдите в папку C:\Program Files (x86)\Microsoft ISA Server и дважды нажмите на файле ISAAutorun.exe .

Рисунок 5

У вас откроется диалоговое окно Microsoft Forefront TMG 270-Day Evaluation Setup . Нажмите по ссылке Установить Forefront TMG .

Рисунок 6

Это вызовет приветственное окно мастера установки Welcome to the Installation Wizard for Microsoft Forefront Threat Management Gateway . Нажмите Далее .

Рисунок 7

На странице Лицензионное соглашение выберите опцию Я принимаю условия лицензионного соглашения и нажмите Далее . Обратите внимание на то, что лицензионное соглашение все еще содержит старое кодовое название продукта Nitrogen .

Рисунок 8

На странице Информация потребителя введите ваше Имя пользователя и Организации . Серийный номер продукта будет уже введен за вас. Нажмите Далее .

Рисунок 9

Здесь мы встречаем новую опцию установки, которая не была доступна в предыдущих версиях продукта. На странице Сценарии установки у вас есть возможность установить Forefront TMG или только консоль управления TMG. В этом примере мы будем устанавливать продукт полностью, поэтому выберем Установить Forefront Threat Management Gateway и нажмем Далее .

Рисунок 10

На странице Выбор компонентов у вас есть возможность установить программное обеспечение брандмауэра TMG, консоль управления TMG, и CSS. Да, вы догадались. Больше нет версий Standard и Enterprise брандмауэра ISA. TMG будет продаваться, как единое издание, и это единое издание использует CSS, даже если у вас есть массив ТMG только с одним членом. Однако вы сможете создавать массивы, используя TMG, но это функция недоступна в бета версии TMG и будет доступна только в последующих бета версиях.

В данном примере мы установим все компоненты в папку по умолчанию. Нажмите Далее .

Рисунок 11

Похоже, что у меня возникла проблема. Хотя машина и входит в домен, я забыл войти под именем пользователя, который принадлежит домену. Чтобы установить TMG, вы должны войти под именем пользователя, который обладает правами локального администратора на машине TMG.

Рисунок 12

Кажется, мне придется перезапускать установку. Мы продолжим с того места, на котором остановились, после того как выйду из системы, снова зайду под нужной учетной записью и перезапущу процесс установки.

Рисунок 13

Теперь, когда я вошел под именем пользователя домена с правами локального администратора, мы продолжим процесс установки со страницы Внутренняя сеть . Если вы устанавливали ISA Firewall, вы узнаете эту страницу, поскольку она похожа на ту, что использовалась в предыдущих версиях ISA Firewall. Здесь вы указываете внутреннюю сеть по умолчанию. В большинстве случаев вам нужно выбрать опцию Добавить адаптер , поскольку это определит вашу стандартную внутреннюю сеть на основе таблицы маршрутизации, настроенной на ISA Firewall. Однако я не знаю, если поменять конфигурацию таблицы маршрутизации на ISA Firewall, изменится ли автоматически определение стандартной внутренней сети. Ставлю двадцать пять долларов, что нет, но лучше мы проверим это в будущем.

Рисунок 14

Страница Внутренняя сеть показывает определение внутренней сети по умолчанию. Нажмите Далее .

Рисунок 15

Страница Предупреждение службы информирует вас о том, что Служба SNMP , Служба администрирования IIS , Служба публикации World Wide Web Publishing Service и Служба Microsoft Operations Manager будут перезапущены во время процесса установки. Скорее всего, вы еще не установили роль веб сервера на эту машину, поэтому вам нет нужды беспокоиться о службах IIS Admin Service и World Wide Web Publishing Service, но вы должны быть в курсе перезапуска служб SNMP и Microsoft Operation Manager Service. Помните, TMG установит и настроит IIS 7 за вас.

Рисунок 16

Нажмите Установить на странице Мастер готов установить программу .

Рисунок 17

Строка прогресса будет отображать статус установки. Здесь видно, как устанавливается CSS.

Рисунок 18

Получилось! Страница Работа мастера установки завершена показывает, что процесс установки успешно завершен. Ставьте флажок напротив строки Запустить Forefront TMG Management после завершения установки . Нажмите Завершить .

Рисунок 19

На данном этапе вы увидите веб страницу Защитить сервер Forefront TMG . Здесь вам предоставлена информация о включении Microsoft Update, запуске ISA BPA, и чтении раздела Защита и безопасность файла помощи. Пока что я могу сказать о файле помощи одно, производители проделали отличную работу по обновлению его содержания. Он содержит гораздо больше информации, причем информации, гораздо больше приближенной к реальным условиям установки, включенной в новый усовершенствованный файл помощи. Я рекомендую вам потратить некоторое время на его прочтение. Я гарантирую вам, что если вы являетесь бывалым администратором ISA Firewall, файл помощи TMG даст вам много нового.

Рисунок 20

После завершения первичной установки, у вас откроется новый мастер Getting Started Wizard . Мастер Getting Started Wizard является новым компонентом, который представлен только для TMG и отсутствовал в предыдущих версиях ISA Firewall. Он включает в себя три базовых мастера, и необязательного четвертого, которого мы рассмотрим после того, как разберемся с первыми тремя.

Первый мастер – это Мастер настройки параметров сети . Перейдите по ссылке Настроить параметры сети на странице Getting Started Wizard .

Рисунок 21

На странице Добро пожаловать в мастера настройки сети нажмите Далее .

Рисунок 22

На странице Выбор сетевых шаблонов выберите сетевой шаблон, который вы хотите применить к TMG. Это те же самые сетевые шаблоны, которые использовались на предыдущих версиях ISA Firewall. Нажмите на каждой опции и прочтите информацию, показанную в нижней части страницы.

В этом примере, мы будем использовать предпочитаемый шаблон, коим является шаблон Edge firewall . Нажмите Далее .

Рисунок 23

На странице Параметры локальной сети (LAN) вам дается возможность настроить информацию IP адресации для интерфейса локальной сети. Сначала вы выбираете NIC (сетевая карта), которую вы хотите сделать интерфейсом LAN на ISA Firewall путем нажатия в навигационном меню на строку Сетевой адаптер, подключенный к LAN . Информация IP адресации для этого NIC появится автоматически. Здесь вы можете изменять информацию IP адресации. Вы также можете создать дополнительные статические маршруты, нажав на кнопку Добавить .

Я правда не знаю, какие изменения на этой станице буду подходящими для определения внутренней сети по умолчанию. Допустим, я решил настроить стандартную внутреннюю сеть на 10.0.0.0-10.0.0.255, а затем решил изменить IP адрес на внутреннем интерфейсе на этой странице с тем, чтобы он оказался на другом сетевом ID. Изменится ли определение внутренней сети по умолчанию? Что, если я добавлю статичный маршрут на внутреннем интерфейсе TMG? Будет ли это изменение отражено в определении внутренней сети по умолчанию? Я не знаю, но собираюсь провести некоторые исследования в будущем.

Я не буду вносить никаких изменений на этой странице, поскольку я уже настроил внутренний интерфейс и необходимую информацию IP адресации. Нажмите Далее .

Рисунок 24

На странице Параметры Интернета вы можете настраивать информацию IP адресации для внешнего интерфейса TMG firewall. Как и на предыдущей странице, вы выбираете NIC, которую вы хотите сделать внешним интерфейсом, выбрав в навигационном меню строку Сетевой адаптер, подключенный к Интернету . Здесь вы также можете изменить информацию IP адресации. Поскольку я уже настроил внешний интерфейс и информацию IP адресов, то не буду вносить здесь никаких изменений. Жмем Далее .

Рисунок 25

На странице Завершение работы мастера настройки сети показаны результаты внесенных изменений. Нажмите Завершить .

Рисунок 26

Вы окажетесь обратно на странице Getting Started Wizard . Следующий мастер – это Мастер настройки параметров системы . Перейдите по ссылке Настроить параметры системы .

Рисунок 27

Рисунок 28

На странице Идентификация хоста вам будет задан вопрос об имени хоста и доменной принадлежности брандмауэра TMG. В этом примере, мастер автоматически определил имя хоста машины, коим является TMG2009 . Мастер также определил принадлежность машины домену. Полагаю, что этот мастер позволит вам присоединиться к домену, если вы еще не сделали этого, или покинуть домен, если вы пожелаете. Также, если машина принадлежит рабочей группе, у вас будет возможность ввести первичный DNS суффикс, который ISA Firewall сможет использовать для регистрации вашего домена DNS, если у вас активирован DDNS и вам не требуются надежные обновления DDNS.

Поскольку я уже настроил эту машину в качестве члена домена, мне не нужно вносить никаких изменений на этой странице. Нажимаем Далее .

Рисунок 29

На этом работа с Мастером конфигурации системы закончена. Жмем Завершить на странице завершения работы мастера Completing the System Configuration Wizard .

Рисунок 30

У нас остался еще один мастер на странице Getting Started Wizard . Перейдите по ссылке Определить опции установки .

Рисунок 31

Рисунок 32

На странице Настройка Microsoft Update у вас есть опции Использовать службу Microsoft Update для поиска обновлений и Я не хочу использовать службу Microsoft Update Service . Обратите внимание на то, что TMG использует службу Microsoft Update не только для обновления OС и ПО брандмауэра TMG, но и для проверки наличия вредоносного ПО, причем делает он это несколько раз в день (по умолчанию, каждые 15 минут). Поскольку одним из основных преимуществ использования брандмауэра Microsoft перед другими брандмауэрами является его отличная функция автоматического обновления, то мы продолжим, и будем использовать сайт Microsoft Update. Нажимаем Далее .

Рисунок 33

На странице Определение параметров обновления вы указываете, хотите ли вы, чтобы брандмауэр TMG искал и устанавливал , просто искал или не делал ничего для обновления осмотра на вредоносное ПО. Вы также можете устанавливать частоту осмотра, которая по умолчанию имеет значение, равное каждым 15 минутам. Но вы можете установить значение загрузки обновлений раз в день, а затем настроить время дня, когда эти обновления будут устанавливаться. Нажмите Далее .

Рисунок 34

На странице Обратная связь с потребителем можно указать, хотите ли вы предоставить анонимную информацию компании Microsoft о конфигурации вашего оборудования и того, как используется продукт. Никакая информация, переданная Microsoft, не может быть использована для определения вашей личности, а также никакая личная информация не передается компании Microsoft. Полагаю, что мне нужно указать свое имя, дату рождения, номер социального страхования, лицензионный номер драйвера и адрес своего банка, а компании Microsoft я доверяю гораздо больше, чем своему банку, если учесть требования к банкам передавать информацию федеральному правительству. Поэтому передача этой технической информации компании Microsoft не представляет никакой опасности, и помогает ей создавать свою продукцию более стабильной и надежной. Выберите опцию Да, я хочу анонимно участвовать в программе Customer Experience Improvement (рекомендуется) .

Рисунок 35

На странице Служба телеметрии Microsoft вы можете настроить свой уровень принадлежности к службе телеметрии Microsoft. Служба Microsoft Telemetry помогает защититься от вредоносного ПО и несанкционированного доступа, путем предоставления компании информации о потенциальных атаках, которую компания Microsoft использует, чтобы помочь определить тип атаки и улучшить точность и эффективность снижения угроз. В некоторых случаях личная информация может по неосторожности быть отправлена Microsoft, однако компания не будет использовать эту информацию, чтобы определить вашу личность или связаться с вами. Сложно определить, какая именно личная информация может быть отправлена, но поскольку я привык доверять компании Microsoft, я выберу опцию Присоединиться с повышенным уровнем принадлежности . Нажимаем Далее .

Рисунок 36

На странице Завершение работы мастера установки показаны выбранные вами параметры. Нажимаем Завершить .

Рисунок 37

Вот и все! Мы закончили работу с мастером Getting Started Wizard . Но это не означает, что все закончено. Если вы отметите опцию Запустить мастера веб доступа , то откроется окно этого мастера. Давайте отметим эту опцию и посмотрим, что произойдет.

Рисунок 38

У нас откроется приветственное окно мастера Welcome to the Web Access Policy Wizard . Поскольку это новый способ создания политики брандмауэра TMG, думаю, мы подождем до следующей части, чтобы подробно рассмотреть этого мастера. Кажется, TMG позволит вам настраивать политику веб доступа немного иначе, чем в предыдущих версиях ISA Firewall, поэтому мы посвятим этому следующую часть.

Рисунок 39

Теперь, когда установка завершена, у нас появилась новая консоль. Если вы посмотрите на левую панель консоли, то увидите, что в ней абсолютно отсутствуют вкладки, что немного облегчает процесс навигации. Также мы видим новую вкладку Центр обновлений . Отсюда вы можете получить информацию об обновлениях службы защиты против вредоносного ПО TMG, и узнать, когда устанавливались эти обновления.

Рисунок 40

По завершении процесса установки я обнаружил, что были некоторые ошибки. Но это, наверное, связано с тем, что TMG вообще не работал после установки. Я смог решить эту проблему путем перезагрузки компьютера. Я не уверен, было ли это связано с тем, что брандмауэр TMG устанавливался на виртуальный сервер VMware, или с тем, что это бета версия.

Рисунок 41

Обращая внимание на Первичные задачи настройки , вы можете заметить, что несколько ролей и служб было установлено на этот компьютер, как часть установки TMG. Сюда входят:

Резюме

В этой статье мы рассмотрели процесс установки брандмауэра TMG. Здесь были некоторые изменения по сравнению с предыдущими версиями ISA Firewall, но ничего сверхъестественного. Это нормально, установка – это не тот процесс, от которого ждешь чего-то удивительного. Мы видели несколько замечательных улучшений в процессе установки, которые придают дополнительную гибкость во время настройки.

Если вы потратите еще немного времени на рассмотрение ПО брандмауэра TMG после установки, и не найдете ни одной черты, которую ожидали найти, не стоит беспокоиться. Это очень ранняя бета версия, и я полагаю, что она далека от завершения. Я знаю, что были запросы на дюжины других характеристик, когда была выпущена версия ISA 2000. Хотя иногда первые впечатления являются длительными, я не хочу быть причиной вашего первого впечатления от TMG. Помните, что это всего лишь первая бета версия, поэтому следует ожидать множества новых параметров и характеристик в будущем, которые могут сделать вас счастливыми. Спасибо!