Truy cập từ xa qua VPN Site to Site- phần 1

Trong một số bài được giới thiệu trước đây về ISA Server, chúng tôi đã giới thiệu cho các bạn khá nhiều kiến thức về cơ sở hạ tầng VPN Site to Site. Chính vì vậy mà trong bài này, chúng tôi muốn giới thiệu cho các bạn một vấn đề nâng cao trong kỹ thuật này, đó là kích hoạt các kết nối VPN máy khách để truy cập từ xa qua VPN Site to Site cho các mạng văn phòng chi nhánh.

Vấn đề có thể đơn giản với những ai đó đã làm việc nhiều với ISA Firewall. Tuy nhiên với đại đa số thì đây vẫn là một vấn đề phức tạp. Tuy nhiên trong quá trình sử dụng, chúng tôi có thể đưa ra các vấn đề chính ở đây là các định nghĩa của ISA Firewall Networks và các Network Rules dùng để kết nối với ISA Firewall Networks đã được định nghĩa đó.

Khi bạn cài đặt ISA Firewall lần đầu, một số ISA Firewall Networks mặc định sẽ được tạo. Những thứ có thể nói là quan trọng cần đề cập đến ở đây là:

Các ISA Firewall Network được gán với giao diện mạng (network interface) gần nhất với các địa chỉ được định nghĩa bởi ISA Firewall network. Trong đó, NIC là “root” của các ISA Firewall Network cụ thể.

Cho ví dụ, nếu các network ID là 192.168.1.0/24, 192.168.2.0/24 và 192.168.3.0/24 được đặt phía sau interface A (ý nói ở đây interface A gần nhất với các network ID này), thì interface A chính là root của ISA Firewall Network được định nghĩa cho ba network ID này. Điều này giúp ngăn chặn các tấn công giả mạo. Nếu ISA Firewall thấy một địa chỉ nguồn của một quá trình truyền thông gửi ra từ một host không thuộc về một trong các network ID này thì ISA Firewall sẽ chặn sự truyền thông đó vì địa chỉ IP này không nằm trong định nghĩa của ISA Firewall Network để được phép truyền thông.

Hình dưới đây thể hiện nơi bạn có thể tìm danh sách các ISA Firewall Network. Trong giao diện quản lý ISA Firewall, mở mảng (hoặc máy chủ Standard Edition), sau đó kích nút Configuration. Bên dưới nútConfiguration, kích Networks. Kích tab trong vùng cửa sổ giữa, khi đó bạn sẽ thấy danh sách các ISA Firewall Network.

Hình 1

Để các host trên ISA Firewall Network có thể truyền thông với nhau, bạn cần phải tạo các nguyên tắc mạng Network Rule. Nếu không có Network Rule cho việc kết nối hai ISA Firewall Network với nhau, sẽ không có sự truyền thông giữa các host trên hai mạng này

Network Rule có thể định nghĩa cách thức NAT hoặc mối quan hệ tuyến Route giữa mạng nguồn và mạng đích. Qquan hệ Route sẽ cho phép các host phía này quan hệ có thể khởi tạo truyền thông với các host phía bên kia bằng các nguyên tắc truy nhập Access Rules. Với mối quan hệ NAT, chỉ có các kết nối được NAT mới có thể khởi tạo kết nối thông qua Access Rule. Các kết nối gửi vào, hoặc được NAT ngược phụ thuộc vào các Web Publishing Rule hoặc Server Publishing Rule.

Bộ cài đặt ISA Firewall sẽ tạo các Network Rule cho bạn trong quá trình cài đặt ISA Firewall. Trong nútNetworks, kích tab Network Rules ở phần giữa của giao diện điều khiển ISA Firewall. Ba Network Rule mặc định được hiển thị trong hình bên dưới (mặc dù vậy trong hình, các địch nghĩa mặc định của các rule này đã được thay đổi). Các rule đó là:

Hình 2

Hãy đi nghiên cứu tình huống mà ở đó chúng ta muốn cho phép các máy khách VPN từ xa có thể kết nối với các tài nguyên nằm tại văn phòng chi nhánh khi chúng thiết lập một kết nối đến văn phòng chi nhánh. Hình bên dưới cung cấp những phác họa cơ bản về các ISA Firewall Network có liên quan trong sự truyền thông này:

Hình 3

Hình bên dưới thể hiện mối quan hệ Route như đã định nghĩa bởi các Network Rule cho việc kết nối các mạng này với nhau:

Văn Linh (Theo Isaserver)