GIÁO TRÌNH KHỐI NGUỒN CÁC LOẠI - ĐIỆN LẠNH BÁCH KHOA HÀ NỘI
Báo Cáo Thự Tập ISA Server 2006
1. ATHENA INTERNATIONAL NETWORK ADMINISTRATION & SECURITY TRAINING
Báo cáo thực tập
2013
02 Bis Dinh Tien Hoang Street, Dakao Ward, District 1, HCM
2. LỜI MỞ ĐẦU
---ooOOoo---
Trước tiên em xin ch}n th{nh c|m ơn trung t}m Đ{o Tạo & Quản Trị Mạng
Athena đ~ tạo điều kiện cho em thực tập. Sau đ}y l{ b|o c|o về đề tài của em khi
thực tập ở đ}y.
ISA Server 2006 là hệ thống tường lửa được sử dụng trong hầu hết các hệ thống
mạng doanh nghiệp vừa và nhỏ, phiên bản ISA Server 2006 có những điểm cải
tiến so với phiên bản 2004, dưới đ}y l{ b|o c|o qu| trình thực hiện của em trên
nền máy ảo VMWare WorkStation.
Trong qu| trình thưc hiện không thể tránh khỏi sai sót, kính mong thầy cô góp ý,
em xin chân thành cảm ơn!
3. Mục lục
I. Giới thiệu.................................................................................................................. 3
A. Mục đích phải sử dụng ISA ................................................................................ 3
B. Ưu điểm và hạn chế của ISA ............................................................................. 3
1. Ưu điểm: ......................................................................................................... 3
2. Hạn chế: ......................................................................................................... 4
C. So sánh các phiên bản ISA ................................................................................ 4
II. Cài đặt ISA Server 2006 .......................................................................................... 5
III. Access Rule .......................................................................................................... 8
A. Access Rule( DNS Query).................................................................................. 9
B. Tình huống 2 .................................................................................................... 17
C. Tình huống 3 .................................................................................................... 25
D. Tình huống 3 .................................................................................................... 37
E. Tình huống 4 .................................................................................................... 44
IV. Application & web filter ........................................................................................ 50
V. Server Publishing ................................................................................................... 55
D. Publish Web server ........................................................................................ 103
VI. VPN ................................................................................................................... 109
VII. CACHING .......................................................................................................... 123
4. I. Giới thiệu
Microsoft Internet Security and Acceleration Server (ISA Server) là phần mềm
chia sẻ Internet của hãng Microsoft.
Đ}y l{ một trong những phần mềm tường lửa (Firewall) được ưa chuộng trên thị
trường hiện nay nhờ vào khả năng bảo vệ hệ thống mạnh mẽ cùng với cơ chế
quản lý linh hoạt.
A. Mục đích phải sử dụng ISA
Nếu máy tính của một c| nh}n không được bảo vệ bởi Firewall thì khi máy
tính đó kết nối Internet, tất cả các giao thông ra vào mạng đều được cho phép.
Vì vậy hacker, trojan, virus... có thể truy cập và lấy cắp thông tin trên máy tính
đó.
Ngoài ra Hacker còn có thể c{i đặt c|c đoạn m~ để tấn công file dữ liệu trên
m|y tính cũng như có thể sử dụng m|y tính đó để tấn công các máy tính khác.
Điều này là cực kỳ huy hiểm với các máy tính trong một tổ chức.
Vì vậy hầu hết các tổ chức đều có một hệ thống Firewall để bảo vệ hệ thống
mạng của tổ chức đó.
B. Ưu điểm và hạn chế của ISA
1. Ưu điểm:
Firewall được dùng để ngăn chặn các trang web xấu vào một quốc gia, tổ
chức, doanh nghiệp. Ngăn chặn các truy cập tr|i phép cũng như c|c cuộc tấn
công lấy cắp dữ liệu, đ|nh sập mạng máy tính của hacker.
Firewall có thể bảo vệ cho dữ liệu, máy tính, mạng máy tính một cách khá
chắc chắn. Bảo vệ chống lại những kẻ tấn công từ bên ngoài bằng cách chặn
các mã nguy hiểm hoặc lưu lượng Internet không cần thiết vào máy tính hay
mạng.
5. Firewall có thể được cấu hình để khóa dữ liệu từ các vị trí cụ thể trong khi vẫn
đảm bảo cho dữ liệu cần thiết có thể đi qua.
2. Hạn chế:
Firewall không đủ thông minh như con người để có thể đọc hiểu từng loại
thông tin và phân tích nội dung tốt hay xấu của nó. Do đó Firewall chỉ có thể
ngăn chặn sự xâm nhập của những nguồn thông tin không mong muốn nhưng
phải x|c định rõ các thông số địa chỉ.
Firewall không thể ngăn chặn một cuộc tấn công nếu cuộc tấn công này không
đi qua nó. Một cách cụ thể, Firewall không thể chống lại một cuộc tấn công từ
một đường dial-up, hoặc sự dò rỉ thông tin do dữ liệu bị sao chép bất hợp
ph|p lên đĩa mềm.
Firewall cũng không thể chống lại các cuộc tấn công bằng dữ liệu (data-
drivent attack). Khi có một số chương trình được chuyển theo thư điện tử,
vượt qua Firewall vào trong mạng được bảo vệ và bắt đầu hoạt động ở đ}y.
Một ví dụ là các virus máy tính. Firewall không thể làm nhiệm vụ rà quét virus
trên các dữ liệu được chuyển qua nó, do tốc độ làm việc, sự xuất hiện liên tục
của các virus mới và do có rất nhiều c|ch để mã hóa dữ liệu, thoát khỏi khả
năng kiểm soát của Firewall
C. So sánh các phiên bản ISA
ISA Server 2006 là phiên bản tiếp theo của sản phẩm Microsoft ISA Server. Có
một số tính năng mới so với phiên bản ISA 2004 như :
+ Phát triển hỗ trợ OWA, OMA , ActiveSync và RPC/HTTP publishing.
+ Hổ trợ SharePoint Portal Server.
+ Hổ trợ cho việc kết nối nhiều certificates tới 1 Web listener.
+ Hỗ trợ việc chứng thực LDAP cho Web Publishing Rules.
Hiện nay ISA 2006 có 2 phiên bản Standard và Enterprise.
6. - Phiên bản ISA Standard Edition là phiên bản sử dụng cho các hệ thống mạng
vừa và nhỏ.
- Phiên bản ISA Enterprise Edition là phiên bản sử dụng cho các hệ thống mạng
lớn, đ|p ứng được nhu cầu trao đổi thông tin lớn giữa mạng nội bộ và bên
ngoài. Ngoài những tính năng đ~ có trên ISA Standard Edition, ưu điểm chính
của Enterprise là hỗ trợ CPU không giới hạn, quản lý tập trung cấu hình và cân
bằng tải tối đa 32 Server.
Những chức năng được thực hiện:
- C{i đặt ISA 2006
- Access rule
- Application & web filter
- Server Publishing
- VPN
- Caching
II. Cài đặt ISA Server 2006
Chúng ta sẽ xây dựng và sử dụng 3 máy tính ảo theo mô hình sau :
7. Máy tên ISA Server sẽ cài đặt ISA Server 2006, máy này sẽ có 2 interface. Ta đặt tên
cho 2 interface này như sau :
LAN : kết nối tới các traffict trong Internal.
WAN : kết nối tới các traffict ở External.
Cấu hình thông số Ip trên 2 interface này :
Máy tên DC là máy đại diện cho các traffic từ Internal đến máy ISA. Tại máy này ta sẽ
nâng
cấp thành Domain Controller, Mail Server, Web Server . Cấu hình thông số Ip trên máy
này.
- Nâng cấp m|y DC lên Domain Controller v{ đặt tên domain: athena.com.vn
- Join máy ISA server vào domain.
8. Sau đó chúng ta sẽ kiểm tra kết nối từ m|y DC đến máy ISA, từ ISA đến DC, từ ISA
đến internet.
Tiếp theo, trên máy DC ta sẽ tạo c|c đối tượng sau :
Cài đặt ISA server 2006:
- Trên m|y c{i đặt ISA server: Log on vào máy ISA2k6 với User Administrator
vào chạy chương trình Setup ISA Server -> chọn Install ISA Server 2006
- Chọn Add Adapter . . .
9. - Kế tiếp ta check vào card mạng mà ta muốn ISA Server quản lý -> chọn OK.
Chú ý:
Sau qu| trình c{i đặt, ISA sẽ khóa tất cả cổng ra vào của hệ thống mạng. Vì vậy
máy DC và Client không thể truy cập Internet v{ ping m|y ISA server được. Tuy
nhiên từ máy ISA Server ping tới các máy phía trong vẫn bình thường.
III. Access Rule
Quy định những traffict nào sẽ được đi qua ISA Server. Đ}y l{ th{nh phần quan trọng
của ISA Server. Chúng ta sẽ tìm hiểu về Access Rule thông qua những tình huống
được nêu ra ở các mục bên dưới .
Default Rule đ~ cấm mọi traffic ra vào thông qua ISA Server. Như vậy, để các
máy trong Internal truy cập ra ngoài bằng domain name, cần phải có DNS Server
phân giải các domain name này. Ở đây ta sẽ sử dụng DNS Server của ISP .
Nếu chúng ta không sử dụng DNS sever của ISP thì cúng ta có thể tạo Access
Rule cho phép chúng ta phân giải tên miền bên ngoài không cần đến DNS sever của
ISP
Chúng ta cấu hình như sau:
10. A. Access Rule( DNS Query)
Tại máy ISA Server, mở ISA Server Management, phải chuột vào Firewall Policy,
chọn New chọn Access Rule
Hộp thoại Access Rule Names, đặt tên rule là: DNS Query
16. Hộp thoại Completing the New Access Rule Wizard, kiểm tra lại thông tin về
Rule lần cuối, sau đó nhấn Finish. Nhấn chọn Apply, Ok .
17.
18. B. Tình huống 2
Công ty Athena cho phép các nhân viên thuộc nhóm Maketing được phép
truy cập Internet không hạn chế.
Group Maketing đ~ được tạo trước trên máy DC ở phần trước, tiếp theo ta chỉ
việc định nghĩa c|c đối tượng n{y trên m|y ISA. Để quản lý được các domain user ta
phải joint máy ISA vào domain athena.edu.vn.
Trong cửa sổ ISA Server Management, tại cửa sổ thứ 3, chọn tab Toolbox, bung mục
Users, chọn New, hộp thoại User set name, đặt tên là Maketing rồi nhấn Next
19. Hộp thoại Users, nhấn Add, chọn Windows users and groups…
Add 2 users Man1 và Man2 vào hộp thoại Users
22. Bước tiếp theo ta sẽ tạo access rule theo yêu cầu trên. Chuột phải Firewall Policy,
chọn New, chọn Access Rule
Hộp thoại Access Rule Names, đặt tên rule là: Allow Maketing – Full Access
Hộp thoại Rule Action, chọn Allow
23. Hộp thoại Protocols, chọn All outbound traffic
Hộp thoại Access Rule Sources, add Internal, chọn Next
24. Hộp thoại Access Rule Destinaton, add External, chọn Next
Hộp thoại User Sets, remove group All Users, và add group Maketing vào, chọn Next
25. Hộp thoại Completing the New Access Rule Wizard, chọn Finish
Nhấn chọn Apply, chọn OK
Kiểm tra kết quả
Logon user athenaMa1
26. Mở Command Prompt gõ lệnh nslookup. Phân giải các tên miền ở External.
C. Tình huống 3
Để tăng tính hiệu quả trong giờ làm việc, cty Athena yêu cầu các nhân viên
trong giờ làm việc chỉ được truy cập một số trang Web như :
http://athena.edu.vn, http://forum.athena.edu.vn, http://www.nhatrang-
itt.vn
Giờ làm việc được quy định : 8h-12h sáng và 14h – 18h chiều.
Ta sẽ định nghĩa c|c trang Web được phép truy cập như sau:
Trong cửa sổ ISA Server Management, chọn Firewall Policy, qua cửa sổ thứ 3, tại
tab Toolbox, bung mục Network Objects, nhấn New, chọn URL Set
27. Trong hộp thoại New URL Set. Ô Name , nhập tên: Allow Web, nhập các trang web
mà bạn cho phép.
28. Tương tự như vậy, ta định nghĩa luôn c|c trang Web không cho phép với tên là
Restrict Web.
29. Tiếp theo, ta sẽ định nghĩa khoảng giờ làm việc của cty như sau :
Trong cửa sổ ISA Server Management, chọn Firewall Policy, qua cửa sổ thứ 3, tại tab
Toolbox, bung mục Schedules, chọn New
Trong ô Name, nhập tên Work Time. Bên dưới chọn từ (8h - 12h) và từ (2h – 6h)
31. Cuối cùng, ta sẽ định nghĩa rule cho tình huống này.
Chuột phải Firewall Policy, chọn New, chọn Access Rule. Hộp thoại Access Rule
Names, đặt tên rule là: Users on Work Time.
36. Hộp thoại User Sets, chọn All Users, nhấn Next
Hộp thoại Completing the New Access Rule Wizard, nhấn Finish. Chuột phải lên rule
Users on Work Time, chọn Properties
38. Truy cập trang http://www.vnexpress.net
D. Tình huống 3
Trong giờ giải lao, các nhân viên được truy cập mọi trang Web ngoại trừ
trang: http://24h.com.vn . Ta thiết lập như sau:
Trong cửa sổ ISA Server Management, chuột phải Firewall Policy, chọn New, chọn
Access Rule. Hộp thoại Access Rule Names, đặt tên rule là: Users on Rest Time
40. Hộp thoại Protocols, chọn Selected Protocols và nhấn Add. Trong hộp thoại Add
Protocols, bung mục Common Protocols, chọn HTTP và HTTPS, nhấn Add. Nhấn
Next
Hộp thoại Access Rule Sources, add Internal, nhấn Next
41. Hộp thoại Access Rule Destinaton, add External, nhấn Next
Hộp thoại User Sets, chọn All Users, nhấn Next
42. Hộp thoại Completing the New Access Rule Wizard, nhấn Finish
Chuột phải lên rule Users on Rest Time, chọn Properties
Qua Tab Schedule, trong mục Schedule, chọn Rest Time. Qua tab To, khung
Exceptions, nhấn Add. Bung mục URL Sets, chọn Restrict Web
44. Kiểm tra kết quả .
Log on user athenaman1 kiểm tra
45. Truy cập các trang http://24h.com.vn/ và http://bongdaso.com; http://google.com
E. Tình huống 4
Công ty cho phép các nhân viên được phép gởi mail trong giờ làm việc.
Ta thiết lập rule như sau :
Trong cửa sổ ISA Server Management, chuột phải Firewall Policy, chọn New, chọn
Access Rule. Hộp thoại Access Rule Names, đặt tên rule là: Allow Send Mail on Work
48. Hộp thoại Access Rule Destinaton, add External, nhấn Next
Hộp thoại User Sets, bạn chọn All Users
49. Hộp thoại Completing the New Access Rule Wizard, Finish
Nhấn chọn Apply, nhấn OK
Chuột phải lên rule Allow send mail on Work Time, chọn Properties. Qua Tab
Schedule, trong mục Schedule, chọn Work Time
50. Nhấn Apply, chọn OK
User dùng Outlook Express gởi mail để kiểm tra kết quả.
51. IV. Application & web filter
Application Filter là phần mở rộng của Microsoft cho phép các hãng thứ 3 có thể
phát triển các ứng dụng tích hợp vào ISA Server. Một trong các hãng phát triển Add‐
in cho ISA Server là GFI. Tham khảo GFI tại trang web : www.gfi.com. GFI hỗ trợ
ISA Server phần HTTP Filtering khá tốt. Web Filter cho phép ISA Server quản lý
được Packet Data ở tầng Application. Web Application Filter được sử dụng nhiều
nhất trên c|c Application Firewall vì liên quan đến Web Traffic.
Yêu cầu của cty Athena đặt ra cho các nhân viên của phòng ban Maketing trong
giờ làm việc không được nghe nhạc trực tuyến, không được down load các file
có phần mở rộng là *.mp3, *.exe, *.avi. Ngoài ra, cũng không được chat bằng
Yahoo Messenger. Ta sẽ thiết lập yêu cầu này như sau :
Tại máy ISA Server, trong cửa sổ ISA Server Management, chuột phải lên rule
Maketing, chọn Configure HTTP.
52. Qua tab Extensions, trong khung Specify the action taken for HTTP methods, chọn
Block specified methods (allow all others)
Nhập vào những định dạng file mà bạn muốn cấm : *.mp3, *.exe, *.avi.
53. Chuột phải lên rule Maketing, chọn Properties, qua tab Content Types, khung This
rule applies to, chọn Selected content types
Trong khung Content Types bỏ dấu chọn ô Audio v{ Video (để user không nghe
nhạc trực tuyến). Nhấn Apply, chọn OK .
54. Đối với Yahoo Messenger, ta sẽ chặn bằng Signatures. Chuột phải lên rule Maketing,
chọn Configure HTTP Qua tab Signatures, nhấn Add. Ở khung Name, nhập tên: Deny
Yahoo Messenger
55. Khung Search in, chọn tùy chọn: Request headers
Khung HTTP Header, nhập: Host:
Khung Signature, nhập: msg.yahoo.com. chọn OK
Nhấn Apply, chọn OK
56. V. Server Publishing
Publising Rule cho phép các Clients từ Internet có thể kết nối vào Web Server, Mail
Server, Application Server, … trong mạng Internal, có thể sử dụng DNS Name hoặc
sử dụng địa chỉ IP Public. Hay chúng ta có thể hiểu l{ thông thường để các Clients từ
Internet truy cập vào mạng Internal thông qua NAT – inbound, thì bây giờ chúng ta
sẽ l{m điều đó qua c|c Publising Rule. Việc đầu tiên là chúng ta cần cấu hình thêm
dịch vụ DNS ở máy ISA Server cho mô hình.
Máy DC tạo send & receive connector, star services : POP3, tạo 2 mailbox u1 & u2.
Cho u1 quyền “ logon locally “. Dịch vụ DNS đ~ được cấu hình tương ứng với
mạng 172.16.1.0/24 .
57. - Máy ISA : logon athena/administrator cài thêm dịch vụ DNS tại đ}y.
Tại Forward lookup zone, tạo New Zone, chọn Primary Zone với tên athena.edu.vn
67. Chỉnh Preferer DNS về IP của card ngoài máy ISA
Vào Run gõ cmd kiểm tra bằng nslookup
Publish Mail Exchange Server :
68. Trên ISA tạo rule “ Allow send mail “ cho phép Internal được phép gởi mail ra
ngoài
External
Chọn protocol : POP3, POP3S, IMAP, IMAPS, SMTP, SMTPS .
94. Publish OWA
Tại máy DC. Mở IIS và bỏ check “ require secure channel SSL “
Tại máy ISA 1 tạo rule để publish OWA, chuột phải vào Firewall Policy chọn
Exchange
Web Client ….
95. Chọn phiên bản là exchange 2007, check vào mục OutLook Web Access.
96. Mục Publishing Type, chọn Publish a single web
Mục Server Publishing Security, chọn use non secure …
98. Điền tên public name như hình. Đ}y chính l{ tên m{ Client từ bên ngoài sẽ sử dụng
để truy cập.
Nhấn Next để tạo web listener với tên “ web port 80 “ ứng với port 80
Mục select Web listener, chọn do not require SSL
101. Mục Authentication Delegate, chọn no delegation
Mục User Sets chọn All user. Nhấn Next rồi chọn Finish. Apply rồi Ok.
102. Kiểm tra tại máy Internet. Mở Browser, nhập http://mail.athena.edu.vn/owa
103. Gởi mail thành công
Tại máy DC truy cập bằng OWA và logon u1
104. Thấy đ~ nhận được mail của u2
D. Publish Web server
Trên máy PC2 tạo trang web index.htm với nội dung tùy ý. Mở IIS và tạo thêm web
site tên “Web”
105. Chuột phải vào Web và chọn Properties, tại tab Website chọn port 8080
107. Chuột phải vào mục Web chọn Browse, để kiểm tra
Trên IE nhập địa chỉ : http://athena.edu.vn:8080
Tương tự trên máy ISA tạo 1 rule để publish website với tên l{ “ Publish web “
Điền tên site internal v{ ip m|y DC như hình .
108. Tạo Web listener ứng với port 8080
Tên publish site : www.athena.edu.vn
109. Đường dẫn gõ vào : /*
Ta cần phải Bridge port 8080
110. Kiểm tra trên máy Internet. Nhập địa chỉ : http://www.athena.edu.vn:8080
VI. VPN
VPN (Virtual Private Network) là giải pháp hữu hiệu để kết nối các hệ thống mạng
của doanh nghiệp có nhiều chi nhánh và vị trí địa lý xa nhau, hoặc doanh nghiệp của
bạn có nhiều nhân viên phải thường xuyên đi công t|c xa v{ họ cos nhu cầu truy cập
vào tài nguyên mạng nội bộ.
ISA Server có khả năng cấu hình thành một VPN Server cho phép Clients từ xa truy
cập (Client to Site) hoặc cấu hình làm một Gateway để kết nối đến một hệ thống chi
nhánh (Site to Site). VPN Server của chi nh|nh được khuyến cáo nên là một ISA
Server , nhưng thực tế thì ISA Server có thể kết nối VPN rất tốt với các thiết bị VPN
của các hãng khác.
111. Clients hoặc VPN Server khi quay VPN vào ISA Server sẽ được cấp một địa chỉ IP
Private sử dụng trong VPN Tunnel. ISA và Clients sẽ sử dụng địa chỉ IP này cho
phần Routing trên VPN. Private IP đựơc cấp phát có thể lấy từ DHCP Server hoặc lấy
từ dịch vụ Routing and Remote Access trên Windows 2003.
ISA Server thực ra sử dụng dịch vụ Routing and Remote Access của Windows 2003
làm VPN và Routing, ngòai ra ISA Server có thêm những phần Filtering và
Application Filter . Trên ISA Server, IP Address Pool được quy định là một khỏang
địa chỉ IP. Địa chỉ IP đầu tiên được ISA Server sử dụng cho chính mình khi bật tính
năng VPN trên ISA Server lên. Những địa chỉ IP tiếp theo sẽ cấp phát cho Clients
hoặc VPN Server khi quay VPN vào ISA Server.
Cấu hình VPN Client to Site
Để cấu hình cấp phát IP cho VPN Clients, vào ISA Server Management Console. Chọn
mục Virtual Private Network
Chọn mục Verify VPN Properties and Remote Access Còniguration, chọn Tab
Address Assignment
112. Ở đ}y ta không sử dụng DHCP để cấp Ip cho clients. Chọn Use Static Address Pool,
nhấn Add để thêm khỏang IP vào Pool. Khỏang IP bắt đầu từ 172.30.1.1 đến
172.30.1.50 hỗ trợ cho 49 Clients kết nối vào ISA Server bằng VPN. Nhấn Ok và
kiểm tra khỏang IP .
Tiếp theo ta chọn Tab Authentication. Check mục Microsoft Encrypted
authentication ( MS-CHAP )
113. Mở Computer Managemet, chọn mục Local Users and Groups. Mục User, chọn New
User . Tạo User có tên là VPN1/123abc!!!
114.
115. Chuột phải vào user VPN1 chọn Properties. Chọn Tab Dial-in. Mục Remote Access
Permission chọn Allow Access
Phải chụột vào Groups chọn New Group
Group Name gõ VPN Clients. Nhấn Add để thêm Member vào Group này
116. Tại ISA Server Management Console, Chọn mục Virtual Private Network. Chọn mục
Specify Window Users or Select a Radius Server
117. Giao diện VPN Clients Properties, tại Tab Groups nhấn Add . Nhập v{o nhóm đ~ tạo.
Chuyển qua tab General. Check vào Enable VPN Client Access. Số lượng Clients là 40.
118. Nhấn Apply và Ok.
Vào mục Network Rules trên ISA Management Console
Chọn Tab Network Rules và chú ý Rule VPN Clients to Internal Network có mối quan
hệ là kiểu Route .
119. VPN Clients và External sẽ sử dụng NAT để giao tiếp với nhau .
Chú ý : ta cần phải tạo thêm 1 Access Rule tại mục Firewall Policy để cho phép VPN
Client được phép truy cập vào mạng Internal .
120. Giao diện Welcome nhấn Next .
Chọn mục Connect to a Network at my workplace
Mục Network Connection, chọn Virtual Private Network Connection
121. Mục Company Name nhập tên : athena .
Nhấn Next. Mục VPN Server Selection nhập Ip ứng card WAN của máy ISA
122. Kiểm tra lại và nhấn Finish .
Phải chuột vào Connection mới tạo chọn Connect
124. VII. CACHING
Cơ chế Cache giúp ISA Server tăng tốc Internet khi User truy cập. Mọi trang web đi
bằng HTTP hoặc file đi bằng FTP được ISA Server Cache lại (RAM hoặc HDD). Khi
có một Clients thứ 2 truy cập, ISA Server sẽ sử dụng Cache sẵn có để cung cấp cho
Clients.
125. ISA Server Cache trong RAM v{ sau đó chuyển xuống bộ nhớ. Mặc định ISA Server sử
dụng 10% RAM cho việc Cache. Chúng ta có thể cấu hình lại số phần trăm RAM sử
dụng này sau khi cài ISA Server. Trong lần sử dụng sau, nếu có Clients nào truy cập
v{o đúng trang web đ~ nằm trong Cache, ISA Server sẽ lấy nội dung từ trong Cache
ra.
Mặc định ISA Server đ~ l{ một Proxy Server lắng nghe trên Port 8080 nhưng
không Cache cố định lại nội dung của web trên ổ cứng mà Cache vào RAM. Do đó, sau
khi Server khởi động lại, những Cache này sẽ mất. Để cấu hình ISA Server thành
proxy, ta có thể định lại số Port m{ Proxy Server đang sử dụng (có thể đổi thành
3128 hoặc 6667…) v{ thiết lập lưu trữ Cache trên ổ cứng .
Để định lại Port của Proxy Server ISA, ta vào ISA Server Management Console, chọn
mục Configuration, tab Network, phải chuột vào Network Internal và chọn
Properties
126. Thiết lập dung lượng lưu trữ cache trên ổ cứng
Vào ISA Server chọn mục Configuration, chọn mục Cache và chú ý mục Cache đang ở
trạng thái Disable .
127. Trong cửa sổ Task Pane chọn Define Cache Drive .
Chọn ổ cứng G: để chứa Cache, điền dung lượng chứa vào mục Maximum cache size,
rồi nhấn Set
128. Chọn OK , chú ý phần Cache đ~ trở thành Enabled. Rồi nhấn Apply và Ok .
Một số lưu ý về Cahe :
129. • Nơi chứa cache phải là ổ đĩa cục bộ (local drive) .
• Đĩa chứa cache phải được định dạng NTFS
• Nên lưu cache trên một đĩa vật lý khác với đĩa hệ thống.
• Sau khi xác lập dung lượng cache, trên ổ đĩa D: đ~ chỉ định sẽ tồn tại thư
mục urlcache chứa tập tin dir1.cdat có dung lượng bẳng dung lượng chỉ định. Đ}y
chính là tập tin chứa nội dung cache. Tập tin chứa nội dung cache chỉ có thể có dung
lượng tối đa l{ 64 GB. Nếu muốn có dung lượng cache lớn hơn, ta có thể chỉ định
đồng thời nhiều ổ đĩa luận lý .
• Mặc định ISA không hỗ trợ kh~ năng quan s|t v{ điều chỉnh nội dung cache. Tuy
nhiên, Microsoft cung cấp thêm công cụ "Cache Directory Tool for Internet Security
and Acceleration ISA Server".
Thiết lập dung lượng RAM
Phải chuột vào mục Cache trên ISA Server và chọn Properties.
Chọn Tab Advanced, nhấn vào phần trăm RAM sử dụng, mặc định đang l{ 10%, ta
nhập là 60% . Mỗi đối tượng khi lưu trên RAM của ISA Server có dụng lượng không
qu| 12,8KB. Dung lượng này càng nhỏ thì tốc độ truy cập càng nhanh vì RAM xử lý
sẽ tốt hơn.
130. Thiết lập Cache rule
Mặc định có Default Cache Rule cho phép Cache lại tòan bộ các nội dung đi bằng
HTTP và FTP qua ISA Server. Cho dù Clients có sử dụng Proxy hay không nhưng nội
dung HTTP và FTP vẫn được lưu lại trên ISA Server nhờ vào Application Protocol
Web Proxy Filter. Chức năng của Cache Rule giúp cho ISA Server có thể Cache Web,
nội dung Cache có dung lượng tối đ~ l{ bao nhiêu, khi n{o thì Cache v{ trang n{o
không cần Cache nội dung …
Để tạo Cache Rule, chọn Cache trong mục Configuration
Phải chuột vào Cache chọn Create a Caching Rule bên cửa sổ Task Pane
131. Mục Name nhập : Cache all Microsoft Content
Nhấn Next, mục Cache rule Destination x|c định đối tượng nào sẽ tác dụng Rule
này. Destination có thể là một Network, hoặc có thể là một trang Web, Server IP
…nhấn Add để thêm Destination
132. Tiếp theo ta tạo một Component URL Set với nội dung là trang web của
Microsoft.com.
Chọn Menu New và chọn URL Set
Mục Name tên hiển thị là Microsoft Web Site và nhấn Add, nhập URL
http://microsoft.com
133. Nhấn OK và bung URL Sets vào Microsoft Web Site trong phần Component
134. Nhấn Close , kiểm tra Destination vừa thêm. Nhấn Next
Mục Content Retrieval quy định thời gian lấy Cache từ Internet (Cache Retrieval). Để
bảo đảm thông tin luôn luôn mới .
• Only if a valid version of the object exists in cache. If no valid version exists,
route the request: chỉ cung cấp nội dung lưu trữ còn hợp lệ cho client. Nếu nội dung
quá hạn thì ISA sẽ truy cập web server để tải về. Cấu hình này bảo đảm cho client có
được nội dung mới nhất (trong một thời hạn nhất định.)
• If any version of the object exists in cache. If none exists, route the request: cung
135. cấp nội dung lưu trữ cho client bất kể thời hiệu. Chỉ khi không có lưu trữ thì mới tải
về. Cấu hình này bảo đảm cho client luôn luôn có được nội dung cần thiết, bất kể tính
cập nhật.
• If any version of the object exists in cache. If none exists, drop the request: cung
cấp nội dung lưu trữ cho client bất kể thời hiệu. Nếu không có lưu trữ thì bỏ qua yêu
cầu của client. Nói một cách khác, cấu hình này chỉ cung cấp nội dung lưu trữ sẵn cho
client, ISA không bao giờ truy cập web server theo yêu cầu của client.
Nhấn Next. Mục Cache Content quy định nội dung nào sẽ được Cache. Lựa chọn mặc
định là cho ISA Server lấy Cache và không cần lấy nội dung của những Dynamic
Web Site (Logon Session)
• Dynamic content: nội dung loại này sẽ thường xuyên thay đổi và vì thế được đ|nh
dấu là không thể được cahe (not cacheable). Tuy nhiên, nếu chọn phương thức này
trong rule thì nội dung động sẽ vẫn được lưu cho dù nó đ~ được đ|nh dấu là không
thể cache.
• Content for offline browsing: nội dung có thể truy cập khi không kết nối đến web
server. Nếu chọn phương thức này trong rule thì ISA sẽ lưu mọi nội dung trang web,
kể cả phần đ~ được đ|nh dấu là không thể cache.
• Content requiring user authentication for retrieval: lưu c|c nội dung mà trang web
yêu cầu chứng thực trước khi cho phép truy cập.
136. Nhấn Next. Mục Cache Advanced Configuration này mặc định sẽ cho phép ISA
Server Cache lại những nội dung đi bằng SSL.
Nhấn Next, mục HTTP Caching mặc định cho phép ISA Server Cache nội dung của
HTTP và thời gian TTL cho Cache là 1 ngày.
137. Nhấn Next, mục FTP Caching cho phép ISA Server Cache lại nội dung của đối tượng
FTP khi download từ những trang web của Microsoft.
138. Nhấn Next, xem lại nội dung Rule đ~ cấu hình, nhấn Finish .
Thiết lập Content download job
Content download job cho phép ISA Server tự động Download và cập nhật thông tin
trong Cache . Content download job sẽ tự động khởi tạo một Connection đến trang
web n{o đó do admin quy định và download toàn bộ nội dung của trang web đó về
v{ lưu v{o Cache .
Đến thời gian quy định, ISA Server sẽ lấy nội dung trang web. Content download job
có thể được thực hiện duy nhất một lần hoặc lặp lại nhiều lần. Trên ISA Server chúng
ta sẽ cấu hình thông qua các giao diện Wizard được xây dựng rất trực quan.
Lưu ý : Content download job sẽ không thể hoàn tất nếu trang web mục tiêu đòi hỏi
chứng thực người dùng. Để cấu hình Content download job thì ISA Server cần phải
bật tính năng Proxy trên Local Host v{ Enable System Policy cho phép ISA Server sử
dụng tính năng n{y . V{o mục Network, chọn Tab Network, phải chuột vào Local
Host, chọn Properties, chọn Tab Web Proxy, check dấu Enanable HTTP Proxy, Port
mặc định là 8080.
139. Chuột phải vào Firewall Policy chọn Edit System Policy.
Check vào mục Enable this configuration group .
140. Kích hoạt system rule thứ 29.
Để tạo Content download job ta vào mục Cache trong Configuration, chọn Tab
Content Download Jobs
141. Phần Name gõ Download Vnexpress.net
Nhấn Next, chọn Download hàng ngày
Nhấn Next, x|c định thời gian thực hiện task này, ngày nào bắt đầu, thời gian bắt
đầu.
142. Giao diện Content Download tại mục “ download content from thí URL “ gõ v{o
http://vnexpress.net và chú ý phải có http:// nếu không ISA Server sẽ báo lỗi. Job
này sẽ không Download những trang web hoặc đường Link nào ngòai trang
http://vnexpress.net v{ độ sâu của mối liên kết không quá 4 lần. Nhấn Next .
Giao diện tiếp theo quy định Cache Rule cho riêng Job này. ISA Server mặc định chỉ
Cache những Object này có Cache Header. Những đối tượng Download bằng Job này
có thể cấu hình theo một Cache Rule cho riêng mình, hoặc sử dụng Cache Rule mặc
định có sẵn của Windows.
143. Kiểm tra lại quá trình cấu hình và nhấn Finish .