Yapınızda bulunan herhangi bir client yada sunucu bilgisayarından da Isa Server 2006 yönetimini gerçekleştirebilirsiniz.Bunun için yapmanız gereken Isa konsolu altında Computer Sets altında bulunan Remote Management Computer altına Isa Server’ı yönetecek bilgisayarı yada subneti eklemeniz gerekmektedir.

Bu noktadan sonra yönetecek bilgisayar üzerinde Isa Management bileşenini yüklemeniz yeterli.Ardından yönetimsel olarak gerekli konfigurasyonları gerçekleştirebilirsiniz.Burda runas mantığı ile çalışabilir yada Isa Server üzerinde bulunan tümleşik rollerden Auditor yada Monitoring Auditor rolünü herhangi bir sınırlı kullanıcıya atayabilirsiniz.Bunun içinde Configuration/General altında Assign Administrative Roles’e tıklayın.

ISA Server 2006 varsayılan olarak log dosyalarını MSDE veritabanında saklar.Ve yine varsayılan konfigurasyonda bu logların dizini ISA Server kurulum dizini altındaki ISALogs klasörüdür.Bu klasörün içeriğini incelediğinizde .mdf uzantılı dosyaları görebilirsiniz.Bu logları text tabanlı görüntülemek için Microsoft’un güzel bir scripti bulunuyor.Buradaki adresten indirebileceğiniz MSDEtoText.vbs scriptini aşağıdaki parametreler ile kullandığınızda belirttiğiniz dizine txt formatı ile yine belirttiğiniz log database’ini export edebilirsiniz.

Scripti kullanmak için scripti yüklediğiniz dizine komut satırından inerek ;

MSDEToText.vbs ISALOG_20090315_FWS_000 FireWallLog c:\loglarım.txt

parametreleri ile kullanabilirsiniz.Bu takdirde ISALOG_20090315_FWS_000 isimli veritabanı c:\loglarım.txt dosyası içerisine export edilecektir.Aynı şekilde FirewallLog parametresi yerine WebProxyLog parametresini kullanarak bu loglarıda export edebilirsiniz.

Küçük ama kullanışlı bir script.

Bildiğimiz gibi ortamda ISA SERVER var ise firewall client yada web proxy clientlar proxy ayarlarını otomatik olarak alabiliyorlar.Bunun için dns yada dhcp üzerinde wpad.dat dosyasının yerini gösterecek kayıtları oluşturuyorduk.Örneğin dns üzerinde wpad isimli bir cname yada host kaydı açıp isa serverın fqdn’inin yazdığımızda proxy ayarlarını otomatik alması gereken client ilk önce dns’e gidip wpad server’ın yerini soruyordu.Bizim oluşturduğumuz cname kaydıda bunu söylüyordu.Böylece clientta http://isa:port/wpad.dat dosyasına ulaşabiliyordu.

Aynı durumu dhcp üzerindede clientlara dağıtabiliyorduk.Bunun içinde option 252 değerini oluşturup isa fqdn’i beliritiyorduk.

Tabiki bu istekleri dinlemesi içinde ,dns için 80,dhcp için ise option 252 girdisi sırasında belirttiğimiz portlar için automatic discovery publishing ayarını ISA üzerinde yapmamız gerekiyordu.

Buraya kadarki işlemler zaten yapabildiklerimiz.Aynı zamanda Microsoft bize şu esnekliği sunuyor.Proxy tabında ayarları otomatik al olarak işaretlenen bir client önce dhcp sonra dns üzerinde sorgular yapmak yerine sadece dns üzerinde wpad kaydını arayabilir.Bunun için client üzerindeki regeditte ufak bir değer oluştururuz.

HKEY_Current_User\Software\Microsoft\Windows\CurrentVersion\Internet Settings

altında DWORD: AutoProxyDetectType oluşturup değerinide 2 olarak ayarladığımız takdirde browser sadece dns üzerinde wpad kaydını arayacaktır.

Peki bu bize ne yarar sağlar?

Sadece response time’da yani cevap süresinde ufak bir kısalma görebiliriz.Çünkü dhcp üzerinde hiçbir şekilde arama yapılmayacak.Zaten sizin eğer dhcp clientlarınız yoksa doğal olarak wpad girdisini dns üzerinde oluşturdunuz demektir.Bu takdirde yukarıdaki regedit ayarı işinizi görebilir.

DHCP üzerinde WPAD girdisi oluşturmak için tabiki öncelikle elimizde sağlam bir dhcp server ve clientlar için tanımlanmış scopelar olmalıdır.Ardından DHCP üzerinde option 252 girdisini oluşturucaz.Option 252, temelde printerların discovery edilmesi,wpad,time server gibi çeşitli network servisleri için registration işlemini gerçekleştirir.Bizim için ise WPAD sunucusunun URL adresini içeren bir string değeridir.

DHCP üzerinde option 252 girdisi oluşturmak için;

- DHCP konsolunda dhcp sunucusuna sağ tıklayarak Set Predefined Options/add deriz.

-Açılan pencereyi şekildeki gibi doldururuz.

Ok dedikten sonra string değeri olarak http://isasunucuismi:Port/wpad.dat şeklinde giriş yaparız.

Isa sunucu ismini FQDN olarak gireriz.

-Ardından DHCP konsolda server options’a sağ tıklayarak Configure options’a tıklarız.

-Biraz önce oluşturduğumuz option 252 kutucuğunun seçili olduğunu kontrol ederiz.

Hayatımıza yeni giren forefront ailesininde yeni sürümü olan stirling içerisindeki tüm ürünleri denemek istiyorsanız aşağıdaki linkte toplam 16gb’lık bir VHD bulunuyor.Bu VHD içerisinde;

Forefront for exchange

Forefront Thread Management Gateway

Forefront Code Name Stirling

Vista Client

Forefront for Sharepoint

makinaları hazır olarak gelmekte.Harika bir lab ortamı oluşturabilirsiniz.VHD’leri download için

http://www.microsoft.com/downloads/details.aspx?FamilyID=d4c3410f-11f0-42b8-9da7-b826d243536b&DisplayLang=en

Auto discovery için dhcp ve dns üzerinde bildiğimiz gibi wpad girdileri oluşturabiliyorduk.Aynı zamanda ISA server’ında automatic discovery bilgilerini 80 portu üzerinden publish etmesini sağlayabiliriz.(tabi bu dns için geçerli.eğer dhcp üzerinde girdi gerçekleştirdiyseniz girdi sırasında belirttiğiniz portu burada girmeniz gerekli)Bunun için yapmamız gerekenler;

-ISA management konsolu altında network’e gelin.

-İlgili network’ü seçin.(örneğin internal).Edit selected network’e tıkayın.

-Auto Discovery tabında Publish automatic discovery information‘a tıklayın.

Varolan DHCP scope için opiton 252 ‘yi konfigure etmek için ;

-DHCP konsolda scope options‘a sağ tıklayarak Configure options deriz.

-Advanced tabına gelerek Vendor class altında standart options‘a tıklarız.

-Available options altında 252 Proxy Autodiscovery kutucuğunu seçerek OK deriz.

Bildiğimiz gibi firewall ve web proxy clientlar için Automatic discvery özelliğini kullanmak için DHCP yada DNS üzerinde yada her ikisi üzerinde WPAD girdileri oluşturmamız gerekli.Peki DNS yada DHCP’den hangisi bizim için uygundur.İsterseniz kısaca avantaj ve dezavantajlarına bakalım.

-DNS’i kullanmak için ISA SERVER’ı 80 portu üzerinden automatic discovery bilgisini publish edecek şekide ayarlamanız gerekmektedir.Eğer DHCP kullanırsanız burada herhangi bir portu kullanabilirsiniz.Varsayılan olarak ISA SERVER automatic discovery isteklerini 8080 portu üzerinden dinler.

-Eğer clientlar birden fazla domain üzerine yayılmış biçimdeyse,her domain için ayrı ayrı DNS girdileri oluşturmanız gerekmektedir.

-Automatic discovery enabled edilmiş clientların DHCP server üzerinde direk erişimi olmak zorundadır(option 252 için).Uzaktan erişim sağlayan yada vpn kullanıcılarının DHCP üzerinde direk erişimi yoktur.

-Genellikle automatic discovery için DHCP kullanımı en iyi sonuçları vermektedir.LAN içerisinde DHCP daha hızlı çözüm sağlayacaktır.

-Eğer hem DNS hemde DHCP girdilerini kaydettiyseniz,clientlar ilk önce DHCP üzerinde sorgu yapıp,ikinci olarak dns’e yönelicektir.

Isa server Management konsolu altında;

- Configuration/Networks bölümüne gelip Networks tabına tıklayın.

- Edit Selected Network’e tıklayıp Firewall Client tabına gelin.

- Automatically detect settings ‘i seçin.

ISA Server üzerinde url setleri tanımlayarak kullanıcıların belirli sitelere erişim gerçekleştirmesini sağlayabiliriz.Böylece istemci bilgisayar url setlerin dışında bir adrese girmeye çalıştığında başarılı olamayacaktır.
Örnek olarak kullanıcıların sadece

anilerduran.com
yahoo.com
mynet.com

adreslerine girişlerine izin verelim.
Bunun için sırasıyla yapmamız gereken işlemler;

-İlk önce sağdaki menuden toolbax’a geliriz ve Network Objects altında New diyerek URL Seti seçeriz.

-Karşımıza gelen pencerede URL set için bir isim belirleriz.Ardından add butonuna basarak izin vereceğimiz siteleri sırasıyla ekleriz.

Dikkat ettiysek adreslerin sonunda /* kullandım.Çünkü isa üzerinde sadece anilerduran.com adresine izin verdiğimizi düşünelim.Fakat bu durumda anilerduran.com/index.php adresi bu kurala uymadığı için istemci bilgisayar siteye erişim sağlayamayacaktır..Bizim koyduğumuz /* ile belirtilen adresin tüm uzantıları bu izne tabi tutulur. ( Bkz: URL Sets )
Böylece erişimde sorun yaşanmaz.

-Bu işlemden sonra appşy diyerek url setimizi hazır duruma getirebiliriz.

-Şimdi Firewall policy penceresinde kullanıcıların internete çıkabilmeleri için oluşturduğumuz kural üzerinde düzenleme yapmamız gerekicek.Bu kuralı internal to external şeklinde yapmıştık.Fakat şimdi external yerine biraz önce oluşturduğumuz url seti seçerek , içeriden çıkan kullanıcıların yalnızca bu set içerisindeki adreslere erişim gerçekleştirebilmelerini sağlarız.

-İlgili kurala sağ tıklayarak özelliklerine gireriz.Ardından “to” tabına geçeriz.

Buradaki external’ı remove ederiz ve add diyerek biraz önce oluşturduğumuz url set’i seçeriz.

-Apply diyerek yaptığımız değişiklikleri kaydederiz.

Client bilgisayar üzerinde bu üç site dışında herhangi bir siteye erişim sağlanamayacaktır.

Isa server üzerinde oluşturduğumuz kurallar sayesinde kullanıcılar üzerinde bazı denetimler sağlayabiliyoruz.Aynı şekilde bu kurallar üzerindeki bazı oynamalarla kullanıcıların tarayıcıları üzerinden ulaştıkları adresleri uzantı bazında filtreleyebiliriz.
Örneğin .mp3 yada .exe gibi.
Çünkü kullanıcılar artık http protokolünü üzerinden istenmeyen birçok işlemi gerçekleştirir oldu.
Bu filtrelemeyi uygulamak için;

-ISA konsolu üzerinden istediğimiz kurala sağ tılayarak “Configure HTTP filter”‘ı seçeriz.

-Extensions tabına geliriz.Uzantı bazlı kısıtlamaları bu sayfadan yapacağız.

Bu ekranda 3 seçeneğimiz bulunuyor.

Allow all extensions : Tüm uzantılara izin vermek için kullanabiliriz.

Allow only specified extensions: Sadece aşağıda belirteceğimiz uzantılara izin verip diğer tüm uazntıları yasaklamak için kullanırız.

Block specified extensions: Burada ise sadece aşağıda gireceğimiz uzantıları yasaklayıp diğerlerine izin verebiliriz.

Örnek olarak 3. seçeneği seçiyorum.Alt tarafta add diyerek yeni bir extension tanımı yapacağız.

Yapacağımız ayar bu kadar.İstersek başka uzantılarda ekleyerek kısıtlamalar yapabiliriz.
Apply dedikten sonra clientlarımız üzerinde bu kural geçerlidir.

Artık bir client http protokolü üzerinden .exe uzantılı bir dosya indirmeye çalıştığında başarılı olamayacak ve kendisine uyarı mesajı dönülecektir.

Eğer web proxy client kulanıyosak ,yani tüm clientların tarayıcı özelliklerinden proxy adreslerini isa server olarak belirttiysek isa server monitoring üzerinde kullanıcıların kimliklerini tespit edemeyiz.Anonymous olarak gelen istekler gözlemleriz.

Peki web proxy clientlar üzerinde kimlik doğrulama işlemini aktifleştirmek ve isa server üzerine istek gönderen kullanıcıları görmek için ne yapmamız gerekiyor? Bunun için sadece internal network üzerinde kimlik doğrulamayı aktifleştirmemiz yeterlidir.

-ISA konsol üzerinde configuration/networks kısmına geliriz.

-Internal network üzerinde sağ tık özelliklerine gireriz.

-WEB PROXY tabına geçeriz.

-Authentication bölümüne gireriz.

Bu ekranda “Requier all users to authenticate” kısmını işaretli hale getiririz.

-ISA konsol üzerinde apply diyerek ayarlarımızın etkili olmasını sağlarız.

Bu dakikadan sonra herhangi bir client tarayıcısını başlatıığı takdirde authentication işlemini yerine getirmesi gerekmektedir.

Artık ISA konsol üzerinde monitoring işlemi sırasında wep proxy client gelen kullanıcıların kimliklerini görebiliriz.

ISA Server üzerinde başlıca 3 tip client vardır.

SECURENAT:

Bu client tipinde ISA SERVER’ımızı bir yönlendirici gibi kullanabiliriz.Yapmamız gereken clientlar üzerindeki default gateway adreslerini isa server olarak göstermek.Zaten halihazırda DHCP kullanıyorsak işimiz oldukça kolay.
Bu işlemden sonra kullanıcı internet üzerindeki her hareketini isa server üzerinden gerçekleştirir.Isa server gerekli bilgili client’tan alır ve yönlendirmeleri gerçekleştirir.

FIREWALL CLIENT:

Bu yöntemde ise server üzerinde bulunan firewall client yazılımının tüm istemcilere yüklenmesi gereklidir.Bu yükleme işleminden sonra firewall client yazılımı sorumluluğu üzerine alır.Aynı zamanda kullanıcı bazlı kontrol sağlanabilir.

WEB PROXY:

Bu client tipinde istemci makinalar üzerinde düzenleme yapmamız gerekiyor.Bildiğimiz gibi kullanıcılar internete erişim için tarayıcılarını kullanırlar.Bu tarayıcılar üzerinde proxy server ayarlarını gerçekleştirebiliriz.Aynı şekilde ISA Server’ın kendisi zaten bir proxy olduğu için internet explorer proxy ayarlarına isa server’ın ipsi ve 8080 portunu girdiğimizde kullanıcılar internet üzerinde proxy üzerinden çıkmaya başlayacaklardır.Dezavantajı ise gördüğümüz üzere isa server’ımızı burada sadece internete tarayıcı aracılığı ile çıkışlarda kullanabilyoruz.Interneti kullanan diğer uygulamaları kontrol etme şansımız burada bulunmuyor.
Ayrıca client’lar üzerinde GPO kullanarak proxy ayarlarını gerçekleştirmemiz gerekiyor.

ISA Server 2004 SP3 ile birlikte gelen birkaç yenilik;

# Improved Log Viewer
# Enhanced Log Filtering
# Improved Management of Log Filters
# New Diagnostic Logging
# Integration with ISA Firewall Best Practices Analyze

Improved Log Viewer:
SP3 ile birlikte loglar için ayrılmış olan yeni bir bölüm görebiliriz.

isaserver.org

Enhanced Log Filtering:
Yeni gelen bu özellik sayesinde log dosyalarımızı renklendirebiliriz.Varsayılan renkler olarak;
GREEN:
Allowed Connection
User Cleared Quarantine (who actually uses VPN quarantine anyway?)
BLACK:
Closed Connection
Closed VPN Connection
Connection Status
Initiated Connection
Initiated VPN Connection
RED:
Denied Connection
Failed Connection Attempt
Failed VPN Connection Attempt
ORANGE:
Quarantine Timeout

Artık aşağıdaki pencereyi kullanarak bu renkleri kişiselleştirebiliriz.

isaserver.org

Improved Management of Log Filters:
Edit filter penceresine “save filter” ve “load filter” isimli iki yeni seçenek eklenmiştir.Ayrıca Not One Of ve One of isimli iki yeni filtre eklenmiştir.

isaserver.org

New Diagnostic Logging:
Yeni gelen Diagnostic Logging özelliği ile ISA Firewall üzerinden geçen her bağlantıyı en ince ayrıntısına kadar görüntüleyebiliriz.

isaserver.org

Integration with ISA Firewall Best Practices Analyze:
Bu araç sayesinde kurulum ve konfigurasyon sırasında meydana gelen hataları bulabiliriz.Ayrıca indirmemiz gereken bu araca yeni Troubleshooting bölümünden ulaşabiliriz.

isaserver.org

HTTP filter kullanarak program yasaklamak istediğimizde kullandığımız bazı programların imzaları;

kaynak:Microsoft