Установка и настройка tmg. Microsoft Forefront TMG – установка и настройка Forefront TMG клиента. Этап. Управление виртуальной сетевой инфраструктурой

Наверняка, любой житель Москвы и Московской области слышал о том, что в транспорте можно подключиться к MT Free.

На самом же деле это, фактически, бесплатный интернет, Wi-Fi, который есть во многих видах общественного транспорта .

Такой функции нет в лучших городах мира, таких как Лондон и Париж. А в Москве есть и это не может не радовать.

В связи с этим появляется необходимость более подробно разобрать процедуру подключения к такому интернету и вообще о чем идет речь.

Что такое MT Free

В мае 2014 года власти столицы Российской Федерации ввели в действие новую услугу для всех жителей и гостей города.

Если говорить простым языком, это полностью бесплатный интернет , причем на достаточно неплохой скорости.

А сейчас она доступна еще и в следующих видах транспорта:

автобусы;
троллейбусы;
трамваи.

Правда, лучше всего он ловит только в вагонах метро. На станциях такая услуга не действует.

Судя по всему, раздающие устройства стоят только в вагонах и ездят вместе с ними. За счет этого, кстати, сигнал более стабилен, чем мог бы быть.

Дело в том, что если бы роутер стоял на станции, людям приходилось бы постоянно подключаться к новой точке – от станции к станции.

Такой подход был бы совершенно нелогичным. Наиболее оптимальный вариант и состоит в установке устройств Wi-Fi непосредственно в вагонах.

В 2015 году MT Free стал доступен практически во всех вагонах метро. В будущем планируется сделать то же самое в отношении всего доступного в Москве транспорта.

На момент написания этих слов услуга есть в трамваях и другом транспорте, перечисленном выше.

Поэтому, имея смартфон или планшет , вы можете совершенно спокойно подключаться к интернету.

Процедура подключения выглядит достаточно просто. Об этом стоит поговорить более подробно.

Процедура подключения пошагово

Сразу стоит сказать, что просто взять, найти точку Wi-Fi и подключиться к ней так же, как вы делаете это у себя дома, не получится.

Есть определенные шаги, которые нужно будет выполнить до того, как вы сможете открыть какой-либо сайт в интернете.

В списке доступных точек подключения найдите ту, которая называется « MT _ FREE» . Здесь все более чем стандартно. Вы заходите в настройки, раздел «Wi-Fi» или же открываете этот раздел в меню, которое открывается после свайпа сверху (верхняя шторка) и там нажимаете на соответствующую точку.

Автоматически откроется страница авторизации – та самая, которая имеет адрес Vmet.Ro . Если этого не произойдет, зайдите в браузер и попытайтесь открыть любую страницу. Она, разумеется, не откроется. Вместо нее вы увидите меню авторизации. В нем нажмите кнопку «Пройти идентификацию». Это, в какой-то степени, процедура регистрации.

Дальше предстоит выбрать метод регистрации в системе. Их существует всего лишь два – по телефону и по аккаунту на сайте госуслуг . Допустим, вам удобнее использовать номер мобильного телефона. После того, как вы выберете этот вариант, предстоит ввести номер. На него придет СМС сообщение, которое останется ввести в соответствующее поле сайта Vmet.Ro. Дальше просто нажмите кнопку «Войти в интернет» и все готово. А если вам удобнее использовать вариант с сайтом госуслуг, то введите логин и пароль с этого ресурса. Произойдет проверка на наличие такого аккаунта и вам представится возможность нажать на ту же кнопку «Войти в интернет» .

В метро и другом транспорте, где доступна рассматриваемая нами услуга, иногда можно видеть памятки, показанные на рисунке 4.

После этого, конечно же, придется просматривать рекламу, причем часто весьма назойливую.

Но это небольшой недостаток, ведь интернет в метро – это прекрасная возможность и прекрасная услуга.

Действительно удобно, что люди могут не использовать мобильный интернет или не ждать, пока появится доступная точка Wi-Fi.

Вместо этого можно просто подключиться к Vmet.Ro и совершенно спокойно серфить в интернете.

Недостатки услуги

Отрицательные стороны такой, казалось бы, неплохой опции, заключаются в следующем:

Но это вовсе не так. Поначалу такой способ работал, но со временем администраторы MT Free узнали об этом и стали делать так, чтобы блокировщики попросту не работали.

На самом деле, делается это достаточно просто. Поэтому рекламу в любом случае придется смотреть, к сожалению.

Первую проблему можно решить путем использования аккаунта в госуслугах. Речь идет о сайте gosuslugi.ru .

Для любого жителя России, особенно если у него есть московская прописка, будет очень полезно иметь аккаунт на сайте госуслуг .

Он открывает доступ к заполнению различных документов и получению услуг в режиме онлайн. Очень полезная вещь!

Приложение для автоматического подключения

Еще одна проблема связана с тем, что нужно постоянно подключаться вручную. То есть придется каждый раз искать подходящую точку и выполнять подключение к ней.

Если у вас это не так, то данный раздел можете смело пропускать. А если проблема имеет место в вашем случае, то поможет программа Wi-Fi в метро от разработчика Дмитрия Кариха.

Что касается iOS, то версии для этой ОС не существует.

Но есть много других альтернативных программ, например, вот эта .

Подключение к бесплатным точкам Wi-Fi в московском метрополитене , аэроэкспрессах, МЦК, автобусах, троллейбусах, трамваях и другом транспорте. Если конкретно, программа может работать с такими источниками, как MosMetro_Free, AURA, MosGorTrans_Free, Air_WiFi_Free, CPPK_Free и, конечно же, MT_Free и MT_FREE.

Автоматическое подключение при обнаружении доступного источника сигнала. Приложение работает в фоновом режиме и постоянно сканирует окружающую среду на предмет наличия точек сигнала. Когда такая обнаруживается, появляется соответствующее уведомление.
Создание ярлыков для моментального подключения к конкретной точке. На рисунке 5 справа показано, как выглядят эти ярлыки. Использовать их крайне просто – нажал и интернет подключился.

Как видите, весьма удобная штука. Есть у нее и другие преимущества.

Программа активизируется только при подключении к интернету. В остальное время она не требует ресурсов устройства. Также она завершается сразу же после отключения от сети. Все очень просто.

Стоит сказать, применение такого ПО не означает, что вам не придется проходить процедуру авторизации.

Перспективы развития

Разумеется, эта услуга весьма перспективная. Если сделать все грамотно, то можно обеспечить бесплатный Wi-Fi везде, где есть наземный транспорт, причем по всей стране.

Конечно, в дальних регионах России сделать это будет весьма проблематично, но возможность такую все-таки стоит рассматривать.

Уже сейчас нечто подобное есть в Санкт-Петербурге, и жители второй столицы могут пользоваться бесплатным интернетом в транспорте.

Можно выделить несколько моментов, над которыми очень важно поработать специалистам, чтобы сделать из этой услуги настоящую «конфетку»:

Обеспечение бесперебойного сигнала. Для этого необходимо использовать более качественное и мощное оборудование. Вполне вероятно, что городская власть решит вложиться в это дело.
Обеспечение более высокой скорости. Опять же, дело в оборудовании. Из-за высокой нагрузки те устройства, которые используются сейчас, просто не справляются с возложенными на них задачами на должном уровне.
Обеспечение сигнала во всех видах общественного транспорта. Амбициозно, но выполнимо!

Над этими целями и могут работать общественные деятели.

WiFi в метро Москвы в вагонах поездов стал реальностью — на некоторых ветках появился бесплатный интернет «MT_Free». Что ж, давайте разбираться, как пройти регистрацию в личном кабинете и как подключиться к WiFi в московском метро. Уверен, после прочтения этой пошаговой инструкции у вас больше не останется вопросов, как происходит вход в аккаунт vmet.ro

Пошаговая инструкция по подключению к wifi в метро

Для того, чтобы войти в интернет, необходимо просто иметь на своем гаджете
поддержку сети WiFi, будь то, телефон Andorid или iPhone, или планшет, или ноутбук. Но просто так взять и подключить телефон к WiFi в метро как дома не получится — предварительно необходимо:

Регистрация в метро в сети WiFi MT_Free

Для вашего удобства, чтобы не оставалось никаких вопросов о том, как подключиться к WiFi в московском метрополитене, я распишу подробно каждый шаг. Начинается все с регистрации в сети. Это неудобство создано не просто так. По закону человек при использовании бесплатного интернета в общественных местах, к которому относится и метро, должен пройти авторизацию по номеру телефону. Чтобы мошенники не могли его анонимно использовать для своих черных делишек.

На следующем шаге

указываем свой номер мобильного телефона,
получаем код подтверждения по СМС
и вводим его в соответствующее поле.

К одному номеру можно прицепить 5 устройств, в том числе гаджеты, у которых нет симки.

Весь прикол заключается в том, что как известно, внутри тоннеля сотовая сеть работает не у всех операторов или качество связи плохое. Поэтому в ожидании СМС-ки можно легко ненароком проехать свою остановку — будьте внимательны 😉

Избежать этой неприятности можно в том случае, если вы имеете свой личный кабинет на сайте Госуслуги. Есть возможность использовать его для авторизации в WiFi в метро Москвы. Для этого просто необходимо вместо ввода номера телефона указать свой логин и пароль от портала электронного правительства и войти в интернет.

Авторизация в метро WiFi

После логина в сети WiFi «MT-Free» автоматически откроется страница авторизации Vmet.Ro. Поскольку мы уже зарегистрировались, вход в интернет произойдет автоматически без ввода каких-то дополнительных данных. Просто выбираем теперь вариант «Войти в Интернет» и ждем около минуты, пока прокрутятся рекламные ролики.

Для нетерпеливых есть возможность отключить показ рекламы, но эта услуга уже предоставляется за ваши кровные. На заре эпохи повсеместного заселения беспроводного интернета в транспорте, я практиковал использование мобильной версии блокиратора рекламы, и он в случае с подключением к wifi в метро срабатывал. Однако метрополитеновские айтишники просекли эту фишку и научились блокировать такой способ обхода рекламы — пока не посмотрите, никакого интернета вам не положено. Но об этом речь пойдет в отдельной статье.

Данный материал является практическим применением двух конкретных технологий: Microsoft Hyper-V и Microsoft Forefront Threat Management Gateway, которые предлагает компания Microsoft.

Технические данные

В рамках проекта есть ОДИН физический сервер с двумя сетевыми картами, поддерживающий технологию виртуализации. В рамках данной статьи необходимо решить задачу развертывания демилитаризованной зоны (ДМЗ) в виртуальной сети.
Прежде чем произвести установку всеx программных продуктов необходимо прочитать правила лицензирования, которые позволят рассчитать стоимость владения ПО. Лицензионное соглашение компании Microsoft регулярно обновляется и всегда доступно на сайте Microsoft.

Этап 1. Установка операционной системы на физический сервер.

Компания Microsoft предлагает 2 варианта виртуализации:

C использование гипервизора Microsoft Hyper-V™ Server 2008 .
C использование роли сервера Hyper-V в составе Microsoft Windows 2008 R2 Server.

В рамках текущей статьи будет представлен вариант с использованием роли сервера Hyper-V.

Использование гипервизора Microsoft Hyper-V™ Server 2008 .

Компания Microsoft выпустила продукт, который позволяет физический сервер превратить в сервер виртуальных машин без установки операционной системы (на самом деле операционная система устанавливается, но она является специализированной для виртуализации). Продукт называется Microsoft Hyper-V Server.

Для его администрирования необходимо использовать оболочку Диспетчер Hyper-V, которую можно установить в операционные системы Windows 7 и Windows Vista, либо обладать знаниями по использованию оболочки Powershell.

Гипервизор Microsoft Hyper-V Server 2008 обеспечивает возможность использования технологии виртуализации БЕСПЛАТНО, но требует специализированных знаний и навыков при обслуживании и использовании дополнительного оборудования, например, ленточных накопителей или систем хранения данных.

Использование роли сервера Hyper-V в составе Microsoft Windows 2008 R2 Server.

В рамках операционной системы Microsoft Windows 2008 R2 существует роль Hyper-V, которая предоставляет возможность создания виртуальных машин. При этом на физическом сервере существует возможность использования полноценной операционной системы, которая предоставит администраторам необходимую свободу действий.

Подробнее про установку гипервизора Microsoft Hyper-V™ Server и роли Hyper-V можно найти на сайте www.microsoft.ru .
Этап 2. Управление виртуальной сетевой инфраструктурой.

Несмотря на то, что сервер физический, существует возможность не назначать сетевые адреса на физические сетевые карты, что позволит обеспечить безопасность физического сервера. Однако отсутствие сетевого подключения к локальной сети исключает удаленное администрирование сервера, на котором установлена роль Hyper-V. Обычно для администрирования сервера назначают IP адрес доступа из внутренней сети.

Назначать сетевой адрес на сетевую карту, подключенную к сети Интернет не рекомендуется, так как нет средств для обеспечения полноценной защиты физического сервера.

Лучше всего настроить текущую сетевую инфраструктуру на сервере виртуализации. Так как рассматриваемая сетевая инфраструктура представляет собой трехноговую инфраструктуру (Внутренняя – ДМЗ – Внешняя), то необходимо создать три сети, две из которых будут физически присвоены к различным сетевым адаптерам, а третья будет виртуальной – для демилитаризованной зоны. Это делается через «Диспетчер виртуальной сети», как показано на рисунке 1.

В окне «Диспетчер виртуальных сетей» выбираем пункт «Создать виртуальную сеть». Выбираем тип «Внешний» и нажимаем «Добавить». Процесс создания сети представлен на рис. 2.

В рамках создаваемой инфраструктуры нам необходимо создать 3 вида сетей: две внешних сети с подключением к разным адаптерам (подключение к внутренний сети и подключение к провайдеру) и одну частную сеть из виртуальных машин (подключение серверов ДМЗ). В результате мы получим три сети (рис.3.)

3 Этап. Создание виртуальных машин.

При создании виртуальных машин, находящихся в демилитаризованной зоне, необходимо указать созданный адаптер Virtual DMZ. Основным шлюзом (default gateway) будет являться сервер Microsoft Forefront Threat Management Gateway. Конфигурацию и объем жестких дисков выбирают исходя из задач, возложенных на сервера.

Для создания виртуальной машины необходимо кликнуть правой кнопкой на сервере Hyper-V, выбрать пункт «Создать - Виртуальную машину». После чего откроется окно приглашения.

В окне «Укажите имя и месторасположение» необходимо определить название и месторасположение файла конфигурации виртуального сервера (рис. 4.).

В окне «Выделить память» (рис. 5) необходимо выбрать размер оперативной памяти. Для Microsoft Forefront Threat Management Gateway по минимальным требованиям необходимо 2Гб оперативной памяти.

В окне «Настройка сети» выбираем подключение к внутренней сети (Virtual Internal).

В окне «Подключить виртуальный жесткий диск» необходимо выбрать пункт «Создать виртуальный жесткий диск». Указать размер (для Microsoft Windows 2008 R2 не менее 11 Гб) (рис. 7).

В окне «Параметры установки» выбираем пункт «Установить операционную систему позднее» и нажимаем «Далее» (рис. 8).

После окна «Сводка» нажимаем «Готово».

Прежде чем преступить к установке Windows 2008 R2 Server необходимо зайти в настройки виртуальной машины FOREFRONT. Правой кнопкой кликаем на виртуальной машине – Параметры…

И в окне «Настройки для FOREFRONT»

В окне выбираем «Установка оборудования» - «Сетевой адаптер» и нажимаем «Добавить». Добавляем два оставшихся адаптера Virtual Internet и Virtual DMZ. После добавления конфигурация компьютера будет выглядеть так:

после этого приступаем к установке Microsoft Windows 2008 R2 Server.

Этап 4. Установка Microsoft Windows 2008 R2 Server.

Приступаем к установке Windows 2008 R2 Server. Для этого необходим образ диска. Его можно скачать с сайта Microsoft. На сайте www.microsoft.ru можно найти жесткий диск для виртуальных машин и заменить его созданным ранее нами.

В «Контроллере 1 IDE» устанавливаем «Файл изображения» и указываем расположение файла образа.

Запускаем виртуальную машину.

После этого можно отправлять установку Microsoft Windows 2006 R2 и Microsoft ForeFront Threat Management Gateway по умолчанию. Определяем сетевые адаптеры и назначаем IP адреса согласно конфигурации сети. ВНИМАНИЕ! На компьютере может быть определен только единственный Default Gateway. Обычно его назначают default gateway провайдера.

Этап 5. Настройка Microsoft Forefront Threat Management Gateway.

После первоначального запуска появится окно «Started Wizard». Также его можно запустить через «Launch Getting Started Wizard».

В настройках «Network Template selection» выбираем «3-Leg perimeter»(трехногий периметр), который позволит ограничить и создать ДМЗ. Нажимаем «Далее».

В окне «Local Area Network (LAN) Setting» выбираем сетевой адаптер, который подключен к внутренней локальной сети.

В окне «Internet Setting» выбираем сетевой адаптер, подключенный к провайдеру.

В окне «Perimeter Network Setting» определяем сетевой адаптер, подключенный к серверам в ДМЗ. Далее необходимо выбрать тип доверия к данной сети. Он может быть либо Public(публичный), когда на серверах находящихся в ДМЗ будет настроена маршрутизация без использования NAT, либо Private (приватный), когда будет настроена маршрутизация с использованием NAT. Данный режим определятся уровнем доверия к сети ДМЗ. Режим Private позволит в полной мере защитит вашу сеть от видимости со стороны ДМЗ, но могут возникнуть проблемы с настройкой правил доступа.

В этой статье было показано каким образом можно настроить 3-leg периметр. К сожалению, в рамках данной статьи невозможно показать полную настройку Microsoft Forefront Threat Management Gateway для организаций, так как для каждой организации будут существовать свои правила доступа и отношения между сетями и пользователями, которые описаны в политике безопасности.

Данный продукт пришел на смену системе Internet Security and Acceleration Server (ISA) 2006; он интегрируется с решением Forefront Protection Manager, ранее известным как Stirling (в данный момент продукт находится на этапе бета-тестирования, выпуск версии для производства запланирован в текущем году), обеспечивающим централизованное управление продуктами семейства Microsoft Forefront. Механизмы Forefront TMG подключаются к консоли Forefront Protection Manager через систему Security Assessment Sharing (SAS).

Редакции Forefront TMG 2010 Standard и Enterprise заменяют систему ISA 2006, при этом редакция Enterprise поддерживает развертывание массивов TMG и систем с неограниченным количеством процессоров, а также управление данными массивами и системами.

Представители Microsoft называют пакет Forefront TMG 2010 комплексным средством управления рисками. В состав Forefront входят возможности, недоступные системе ISA, в том числе проверка исходящего трафика SSL, проверка сети на основе предварительных описаний (NIS), блокирование вредоносных программ на шлюзе. Давайте рассмотрим основные возможности и базовую конфигурацию пакета Forefront TMG 2010.

Установка Forefront TMG 2010

Для работы Forefront TMG 2010 необходима операционная система Windows Server 2008 или Windows Server 2008 R2 (только 64‑разрядные редакции), 2 Гбайт оперативной памяти, 2,5 Гбайт свободного дискового пространства и хотя бы одна сетевая карта. Кроме того, потребуется установить службы.NET Framework 3.5, Windows PowerShell и Microsoft Message Queuing Service с интеграцией Directory Integration.

Вы можете загрузить дистрибутив Forefront TMG 2010 с сайта Microsoft. Для работы над данной статьей я установил Forefront TMG на сервер с системой Windows Server 2008 R2 с двумя сетевыми картами, одна из которых подключена к Интернету, а вторая - к моей локальной сети.

Мастер Preparation Tool будет направлять вас в процессе установки, позволяя выбрать набор необходимых компонентов. На выбор будет предложено три варианта установки пакета Forefront TMG: загрузка компонентов Forefront TMG Services и Forefront TMG Management, установка только компонента Forefront TMG Management и установка системы Enterprise Management Server (EMS) для централизованного управления массивом.

Массивы состоят из нескольких серверов TMG, работающих совместно для обеспечения высокой доступности и масштабируемости. Для простой тестовой конфигурации я выбрал установку компонентов Forefront TMG Services и Management, которые включают в себя службы Forefront TMG и консоль управления.

Сразу после завершения установки система Forefront TMG предлагает набор стартовых мастеров, предназначенных для настройки базовой конфигурации. Наиболее важным из них является мастер Network Settings, который позволяет выбрать топологию конфигурации межсетевого экрана. Процесс настройки оказался неожиданно простым для серверного продукта компании Microsoft.

Возможности Forefront TMG 2010

Система Forefront TMG совмещает в себе механизмы платформы ISA, такие как межсетевой экран, прокси-сервер и удаленный доступ, а также предоставляет комплексное решение для управления рисками. В состав Forefront TMG входят средства просмотра входящего и исходящего трафика HTTPS, средство блокирования загрузки вредоносного программного обеспечения через шлюз, усовершенствованная система инспектирования сети, а также система фильтрации адресов URL на основании их принадлежности к различным категориям, предназначенная для контроля использования сотрудниками ресурсов Интернета («управление производительностью» в терминах Microsoft).

Впервые корпоративный межсетевой экран от компании Microsoft работает на базе 64‑разрядных процессоров, при этом обеспечивается повышенная производительность и более тщательная проверка сети. Другая важная особенность системы Forefront TMG - возможность ее интеграции с пакетом Forefront Protection Manager, консолидирующим данные по вcем продуктам Forefront, что позволяет администраторам настраивать динамическую защиту от угроз, обнаруживаемых в сети.

Помимо мастеров, запускающихся после завершения установки, для настройки службы можно использовать вкладку Role Configuration на основном экране Forefront TMG, которая содержит прямые ссылки на различные экраны консоли. При этом, однако, дополнительные мастера настройки в системе отсутствуют.

Экраны мониторинга и управления (экран 1) обеспечивают обзор всех компонентов системы Forefront TMG, а также других сетевых служб, от которых зависит работа системы, таких как Active Directory (AD) и DNS.

Панель Tasks привязана к узлу Firewall Policy и содержит прямые ссылки на публикацию общих серверов, в частности службы SharePoint или Exchange Mail. В состав пакета Forefront TMG входит фильтр Session Initiation Protocol (SIP), который автоматически управляет открытием и закрытием портов Real Time Protocol (RTP) в сеансах VOIP.

Политика Web Access Policy включает аутентификацию на прокси-сервере, HTTP-сжатие, проверку протокола HTTPS, защиту от вредоносного программного обеспечения и кэширование. Фильтрация адресов URL на основе категорий базируется на информации, предоставляемой ресурсом Microsoft Reputation Services.

Система Forefront TMG, предоставляющая механизмы фильтрации спама и защиты от вирусов для систем Exchange, также может использоваться в качестве ретранслятора SMTP. Если система Forefront TMG установлена на тот же сервер, на котором развернуты службы Exchange Edge Server и Forefront Protection 2010 for Exchange, она может применяться для централизованного управления обменами SMTP, службой «антиспам», а также политиками блокировки вредоносного кода на периметре сети, обеспечивая при этом поддержку работы с массивами.

Механизм проверки сети на основе предварительных описаний в системе Forefront TMG (экран 2) основан на новой технологии от разработчиков Microsoft Research, Generic Application-level Protocol Analyzer (GAPA) и может быть использован для блокировки трафика, направленного к определенным сетевым ресурсам, при обнаружении шаблона атаки.

Проверка сети, также известная как виртуальное исправление (virtual patching), может потребоваться в ситуациях, когда для известной ошибки еще не разработано или не установлено исправление, особенно с учетом того, что новое описание может быть внедрено в систему очень быстро. Кроме того, в системе сохранены стандартные возможности, перешедшие из платформы ISA 2006, такие как обнаружение DNS-атак и предотвращение Flood-атаки.

Несмотря на то что в этом выпуске новым механизмам удаленного доступа уделено мало внимания, основным достоинством компонента TMG Remote Access является поддержка технологии Network Access Protection (NAP), используемой в системе Server 2008. Данная технология отвечает за применение политик работоспособности в тех случаях, когда VPN-клиенты подключаются к сети через систему TMG и заменяют собой громоздкую, построенную на основе сценариев технологию Network Access Quarantine (NAQ), используемую в системе Windows 2003.

В системе Forefront TMG также предусмотрена встроенная поддержка протокола SSTP, что позволяет пользователям Windows Vista и Windows 7 создавать подключения VPN через протокол HTTPS.

Дублирование ISP - превосходное решение для компаний, работающих с несколькими провайдерами услуг Интернета. Система Forefront TMG может не только обнаружить потерю соединения и переадресовать весь трафик в резервную сеть, но и обеспечить балансировку нагрузки между несколькими каналами (если одно из подключений более быстрое, большая часть трафика будет перенаправлена на него).

Как и платформа ISA, компонент Firewall Client системы Forefront TMG может создавать подробные отчеты о действиях пользователей и сетевом трафике. Модуль Firewall Client является дополнительным компонентом, который может быть установлен на рабочие станции и ноутбуки. Данный компонент особенно полезен в организациях с высокими требованиями к безопасности.

Модуль Firewall Client может быть настроен на использование службы каталогов AD для безопасного обнаружения доверенных веб- и прокси-серверов вместо протокола Web Proxy Auto-Discovery Protocol (WPAD), менее безопасного и более сложного в настройке.

Рассел Смит ([email protected]) - независимый ИТ-консультант, специализируется на управлении системами

И Win7 корпорация Microsoft анонсировала ряд решений, направленных
на усиление безопасности сетей и серверов. Вместо ставших уже привычными имен и
технологий, на IT-сцене появились совершенно новые названия. В статье
познакомимся с назначением продуктов семейства Forefront "Stirling" и подробно
разберем пакет Forefront TMG , который стал преемником ISA Server 2006.

Интегрированная система безопасности Forefront "Stirling"

Практически 9 лет компьютерные сети многих организаций бессменно защищал ISA
Server (Microsoft Internet Security and Acceleration Server). Основа, заложенная
еще в первом релизе, мало изменилась и в третьей версии ISA Server 2006:
фильтрация трафика на нескольких уровнях, поддержка VPN, работа с Active
Directory, анализ посещения внешних ресурсов, IDS/IPS и так далее. Нет, конечно,
продукт развивался: был существенно переработан интерфейс, появились новые
функции, но со временем менялась идеология защиты сетей, и соответственно
администраторы стали требовать большего, чем мог дать ISA Server, который к тому
же не совместим с новыми серверными ОС Win2k8/R2.

Результат не заставил себя долго ждать. В 2008 году на конференции RSA
Security был представлен преемник ISA Server, получивший новое имя Forefront
Threat Management Gateway (Forefront TM G, Шлюз управления угрозами).
Одной из основных особенностей Forefront TMG стала совместная работа с
другими продуктами новой платформы Forefront Protection Suite (кодовое
имя "Stirling",

www.microsoft.com/forefront/stirling), предназначенной для всесторонней
защиты и централизованного управления параметрами безопасности корпоративных
сетей, серверов и рабочих станций. В настоящее время в ее состав входит:

Forefront Client Security (FCS, ранее Microsoft Client Protection)
— обеспечивает защиту серверов, рабочих станций от разного рода угроз,
вирусов, программ-шпионов, руткитов и прочего вредоносного кода с возможностью
простого централизованного управления и получения отчетов. FCS интегрируется с
существующей инфраструктурой программ и дополняет другие технологии
безопасности Microsoft;
Forefront Security for Exchange Server (ранее Microsoft Antigen для
Exchange, в дальнейшем Forefront Protection 2010 for Exchange Server) —
защищает среду обмена сообщениями Exchange Server от вирусов, червей, спама и
недопустимого содержимого, для этих целей в его состав включено несколько
антивирусных ядер;
Forefront Online Security for Exchange (FOSE) — является "облачным"
вариантом предыдущего пункта, то есть FOSE предоставляется как услуга,
позволяющая обеспечить защиту электронной почты компании и снизить затраты на
содержание серверов. Интегрируется с Active Directory и Exchange Server, хотя
в качестве почтового сервера можно использовать любой другой сервер;
Forefront Security for Office Communications Server — обеспечивает
защиту системы мгновенных сообщений, предоставляемую этим сервером, проверяя
трафик несколькими антивирусами и блокируя мессаджи с подозрительным
содержимым;
Forefront Security for SharePoin t (ранее Antigen для SharePoint, в
дальнейшем Forefront Protection for SharePoint) — антивирусная защита хранилищ
документов (в реальном времени и по расписанию), реализуемых при помощи
сервиса SharePoint, применение политик компании к содержимому, типам и
расширениям файлов;
Forefront Unified Access Gateway (UAG, ранее Intelligent
Application Gateway — IAG 2007) — шлюз удаленного (входящего) доступа (а не
защиты) к приложениям, позволяющий контролировать и управлять доступом к
сетевым службам "из вне", через единую точку входа;
Forefront Identity Manager (FIM, ранее Identity Lifecycle Manager)
— усовершенствованная платформа управления идентификационной информацией на
базе веб-сервисов, в которой используются гибкие средства делегирования
полномочий на основе политик, что в итоге позволяет повысить безопасность и
управляемость корпоративных сред;
Forefront Threat Management Gateway (главный герой нашей статьи) —
защита от интернет угроз, фильтрация трафика, IDS/IPS, контентная фильтрация.

Ранее Microsoft предлагала несколько разобщенных продуктов, каждый их которых
защищал свой участок, имел свою консоль управления и систему отчетов. Такие
системы защиты плохо масштабируются, ими неудобно управлять. Сегодня вместо
этого специалистам предоставляется комплексное решение, которое работает с общей
базой настроек, информацией об угрозах, управляется из единой консоли, и которое
можно легко подстроить под конкретные нужды.

Возможности Forefront TMG

Основным компонентом Forefront TMG (на момент написания статьи была
доступна версия 2010 Release Candidate) является межсетевой экран, который
контролирует входящий и исходящий трафик в соответствии с установленными
политиками. Этот компонент "достался" по наследству от ISA Server. Среди новинок
можно отметить улучшенную поддержку NAT (например, теперь нет проблем в случае,
если внешний интерфейс имеет несколько IP-адресов), функцию управления
резервными интернет-каналами (ISP Redundancy, только для исходящего трафика),
появление в настройках firewall вкладки VoIP, где производится настройка защиты
и поддержки VoIP сервиса (VoIP traversal).

Функцию IDS/IPS выполняет компонент Network Inspection System (NIS,
Служба проверки сети), главным отличием которого от подобных решений является
контроль над попытками использования известных уязвимостей, обнаруженных в
защищаемых системах, а не поиск сигнатур эксплоитов. Такой подход позволяет
закрыть брешь в период обнаружения уязвимости до выхода устраняющего ее патча.
Основой NIS служит GAPA (Generic Application-Level Protocol Analyzer),
обеспечивающий быстрый низкоуровневый поиск данных. Кроме сигнатурного анализа,
в NIS заложен поведенческий анализатор (Security Assessment and response, SAS),
способный определять вторжения на основе поведения (Behavioral Intrusion
Detection).

Никуда не исчезла возможность предоставления безопасного доступа
к ресурсам интернет и контроля за трафиком (Web Client Protection). Здесь
отмечаем появление в списках протокола SSTP (Secure Socket Tunneling Protocol,
подробнее о нем читай в статье " " ), поддержка которого была впервые реализована в Vista
SP1 и Win2k8.

TMG проверяет HTTP и HTTPS (чего не было ранее, при этом TMG
выступает как посредник) трафик на наличие вредоносного ПО, используя те же
механизмы защиты, что и Forefront Client Security и Windows Defender.
Администратор может указать узлы, для которых не следует производить проверку,
максимальный размер скачиваемого файла, при превышении которого загрузка будет
блокирована, разрешенные типы файлов. Еще одна новинка в этом разделе —
возможность URL фильтрации, которая дает возможность контролировать доступ к
определенным веб-ресурсам, основываясь на 80-ти категориях. Список возможных
категорий и их состав динамически обновляется по подписке.

В TMG интегрирован SMTP прокси, обеспечивающий функции защиты от
вирусов, спама и прочих угроз, распространяемых по e-mail. Причем почтовый
трафик могут сканировать до 5 программ, большая часть функций по фильтрации
реализована за счет интеграции с Exchange Server 2007 Edge. В политиках (E-Mail
policy) администратор может задавать расширения, шаблоны имени, MIME типы
файлов, которые будут блокироваться при пересылке. Также TMG может просматривать
сообщения на наличие определенных фраз во входящих и исходящих сообщениях, затем
на основе политик такие письма могут быть удалены с отправкой уведомления
админу.

TMG поддерживает Win2k8R2, может интегрироваться с Exchange 2007
SP1 или грядущим Exchange 2010. Первые версии TMG нельзя было развернуть в
рабочей группе (только в доменной среде), что снижало область применения
продукта. Теперь такая возможность имеется, хотя в этом случае придется
потратить некоторое время на эффективную настройку локальной SAM базы (Security
Accounts Manager). В режиме рабочей группы возможна аутентификация средствами
RADIUS или SecurID сервера.

Перечислю несколько важных моментов касательно IPv6, которые
следует учесть при развертывании TMG:

будет блокирован весь IPv6 трафик;

протокол ISATAP (Intra-Site Automatic Tunnel Addressing
Protocol) и 6to4 интерфейс, инкапсулирующие пакеты IPv6 в IPv4, будут
отключены;

при рестарте будет обновляться только "A" DNS запись для
сервера, но не "AAAA";

будут очищены кэши DNS, ARP и Neighborhood Discovery (IPv6
версия ARP).

Да, протокол IPv6 TMG не поддерживает в полной мере, но работать
с ним умеет. Также возможно развертывание DirectAccess (который, кстати, завязан
на IPv6/IPsec) и TMG на одной системе. Хотя это потребует плясок с бубном, так
как при установленной роли DirectAccess некоторые мастера TMG отказываются
работать, так как не могут определить настройки сети.

Поставляется TMG в двух версиях: Enterprise и Standard Edition,
хотя первоначально такое разделение не планировалось. Основных преимуществ
Enterprise перед Standart два. Это снятие лимита на количество CPU (в Standart
до 4) и работа в массиве TMG, управляемом Enterprise Management Server (Сервер
управления предприятием) с поддержкой "Stirling". Настройки в этом случае
хранятся централизованно на сервере Configuration Storage Server. Чтобы
проапгрейдить Standart до Enterprise, необходимо установить новый лицензионный
ключ: Forefront TMG Management console — System node — выбираем сервер и в
контекстном меню Properties — Upgrade to Enterprise Edition вводим новый ключ.

Также следует отметить наличие несколько урезанной версии
Forefront TMG Medium Business Edition (MBE) для Essential Business Server (ESB).
Это решение предназначено для защиты сетей небольших и средних размеров (до 300
рабочих станций). В нем отсутствует Network Inspection System, не реализована
возможность проверки защищенного HTTPS трафика и защиты e-mail, не предусмотрено
использование балансировки нагрузки и создание отказоустойчивых кластеров, он не
интегрируется с продуктами семейства "Stirling". TMG MBE доступен как в составе
ESB, так и как самостоятельное решение. Возможна установка на 32-х битную
систему.

Установка Forefront TMG

Для установки Forefront TMG понадобится сервер с x64 CPU
(32-х разрядные CPU не поддерживаются) и 2 Гб ОЗУ, работающий под управлением
x64-версии Win2k8/2k8R2, а также 2.5 Гб места на харде (раздел должен быть
отформатирован в NTFS). Среди требований есть еще Microsoft SQL Server 2005
Express Edition (MSEE), но он будет установлен автоматически, поэтому не нужно
отдельно его скачивать.

Возможно несколько вариантов использования шлюза TMG. Он может
стоять на границе зоны, это классический вариант, когда с одной стороны
подключен интернет, с другой — внутренняя сеть (требуется наличие двух сетевых
адаптеров). Развитием этого варианта является вывод DMZ на отдельный сетевой
интерфейс. В документации еще описан вариант Back Firewall, когда TMG выступает
как второй брандмауэр, размещенный за аппаратным решением (например, шлюз с
функциями фильтрации). И наконец, возможна работа на сервере с одним сетевым
интерфейсом. В этом случае TMG будет выступать просто как кэширующий
прокси-сервер с возможностями по аутентификации пользователей в Active
Directory, фильтрации URL и блокировки контента. Учитывая, что TMG
устанавливается на входе сети, вполне логично, что сервер не должен быть
контроллером домена. Если при развертывании на сервере будет найдена роль
"Active Directory Domain Services" (даже без последующего запуска dcpromo),
установка прекратится без объяснений. Теперь рассмотрим процесс установки
Forefront TMG на Win2k8R2.

Запускаем инсталляционный пакет, скаченный с сайта Microsoft, и
щелкаем по пункту "Setup Preparation Tool". Следуя подсказкам этого
инструментального средства, устанавливаем все роли и компоненты, необходимые для
работы Forefront TMG. На втором шаге "Installation Type" нужно определиться с
вариантом установки. По умолчанию предлагается "Install Forefront Threat
Management Gateway services", при котором будет установлен собственно TMG и
консоль управления. Другие варианты позволяют инсталлировать только консоль
управления Forefront TMG Management или консоль управления массивами TMG. По
окончании работы "Preparation Tool" в системе появятся роли: "Network Policy and
Access Services", "Web Server (IIS)", компонент.Net Framework 3.5 и MSEE. Если
не снимать на последнем шаге флажок "Launch Microsoft Forefront TMG Setup", по
окончании работы "Setup Preparation Tool" запустится мастер установки TMG.
Ничего сложного он собой не представляет — подтверждаем лицензию, вводим
название организации и серийный номер, затем параметры внутренней сети. В
последнем случае можно выбрать сетевой адаптер, ввести адрес сети или диапазон
IP-адресов. По завершении этого этапа сервер лучше перезагрузить.

Настройки TMG

После установки TMG в меню обнаружим консоль управления
"Forefront TMG Management" и монитор производительности "Forefront TMG
Perfomance Monitor". По умолчанию консоль подключается к локальному серверу, но
вряд ли админ будет работать из серверной. Чтобы подключиться к удаленному
серверу с установленным TMG, выбираем в контекстном меню пункт "Connect" и,
следуя указаниям "Configuration Storage Server Connection Wizard", отмечаем
локальную систему, отдельный сервер или подключение к массиву TMG.
Настроек в консоли более чем предостаточно. Спасает продуманный интерфейс,
который существенно переработан в сторону улучшения юзабилити. Все настройки
сгруппированы в 12 меню, в каждом производятся установки специфических политик:
Firewall, WebAccess, E-mail, IPS и так далее. Некоторые пункты позволяют
получить доступ к функциям мониторинга, отчетов и обновлений. И в какой пункт не
зайди, везде тебя встретит пошаговый мастер.

При первом запуске консоли активируется "Getting Started
Wizard", который по сути открывает доступ к трем другим визардам: Network,
System Configuration и Deployment. Некоторые настройки будут взяты из системных
установок, при необходимости их уточняем.
В самом начале работы мастера сетевых настроек будет предложено выбрать шаблон
сети (Network Template), соответствующий текущему применению TMG: Edge firewall,
3-Leg Perimeter, Back firewall, Single network adapter. При выборе каждого
пункта будет показана схема сети, поэтому в назначении шаблонов легко
разобраться. По умолчанию предлагается "Edge firewall", который соответствует
"стандартному" режиму использования, когда с одной стороны подключается
интернет, с другой — локальная сеть. Его и оставляем, указываем LAN и WAN
интерфейсы. Настройки системы заключаются в уточнении принадлежности к домену
или рабочей группе, а также вводу DNS суффикса. В большинстве случаев здесь
нужно оставить все, как есть. В Deployment Wizard указываются параметры "Windows
Update". Далее активируем лицензии NIS, Web- и Email Protection и на следующих
этапах работы мастера задаем порядок обновления соответствующих сигнатур.
Установленный в последнем окне флажок "Run Web Access Wizard" позволяет сразу
запустить мастер настройки веб-доступа, но с этим пока можно не спешить.

Выбираем в меню консоли свой сервер. В среднем окне появится
окно "Roles Configuration", в нем даны ссылки на 5 задач: доступ внутренних
пользователей к веб-сайтам (Web Access Policy), политики E-mail, настройка NIS,
публикация внутренних ресурсов для предоставления доступа "из вне", активация и
настройка доступа к VPN. Конечно, это не все задачи по обеспечению полноценной
защиты и работы сервисов, конкретный список для каждой сети админ уже составляет
сам. После работы "Started Wizard" будет активирована NIS, и установлены
блокирующие правила в Firewall и Web Access. Соответственно, выйти в интернет,
получать и отправлять почту не получится, также будет закрыт доступ к внутренним
ресурсам "из вне", поэтому последовательно перебираем каждый шаг и настраиваем
политику доступа.

Настройка политик веб-доступа и использования E-mail

Для примера рассмотрим настройки по обеспечению веб-доступа и
работы электронной почты. Переходим во вкладку "Web Access Policy" и выбираем в
поле "Task" ссылку "Configure Web Access Policy", запустится мастер настроек.
Определяемся, будем ли использовать блокировку веб-ресурсов по категориям. Если
отметить "Yes, create a rule blocking …", то на следующем шаге нужно указать
категории ресурсов, которые будут блокироваться. В списке уже есть с десяток
категорий, чтобы добавить новую категорию в список, нажимаем кнопку "Add" и
отмечаем в появившемся окне все необходимое. Следующий шаг мастера — "Malware
Inspection Setting", здесь выбираем, будем ли проверять HTTP трафик на наличие
вредоносного кода. Дополнительный флажок "Block encrypted archives" разрешает
блокировку зашифрованных архивов. Далее настраивается проверка HTTPS трафика.
Здесь возможны четыре варианта:

проверять;

не проверять и разрешать трафик;

не проверять трафик, проверять сертификат и при несоответствии
блокировать;

блокировать HTTPS.

Если выбран первый вариант, мастер потребует ввести сертификат,
который необходимо предварительно создать (подробности смотри в уже упомянутой
статье "Слоеный VPN"). Затем идет настройка кэширования. Отмечаем флажок "Enable
Web caching" и, нажав "Cache Drives", указываем диск и вводим максимальный
размер кэша (по умолчанию 0, т.е. неограничен). После нажатия кнопки "Finish"
будут созданы новые настройки, чтобы они вступили в силу, нажимаем кнопку
"Apply" вверху окна. Теперь пользователи внутренней сети могут просматривать
информацию на веб-ресурсах.

Используя ссылки во вкладке "Task", можно изменить установки без
повторного запуска мастера. Чтобы изменить отдельное правило, дважды щелкаем по
нему и, перемещаясь по вкладкам свойств, отключаем/включаем правило, изменяем
From/To, указываем протокол, расписание, тип контента. Состояние отдельных
элементов можно увидеть и изменить в поле "Web Access Setting".

Для настройки работы с E-mail выбираем в меню "E-Mail Policy".
Здесь действуем аналогично предыдущему пункту. Нажимаем "Configure E-Mail
Policy". Запустившийся мастер вначале попросит указать IP-адрес внутреннего
почтового сервера и ввести список разрешенных доменов. Отмечаем сети, на которых
будут слушаться почтовые запросы, указываем FQDN (Fully Qualified Domain Name),
используемый для связи с сервером при ответе на HELO/EHLO запросы. По умолчанию
TLS (Transport Layer Security) шифрование трафика отключено, для его активации
устанавливаем флажок "Enable TLS Encryption". На последнем шаге, установив
соответствующие флажки, активируем функции антиспама и антивирусной проверки
почтового трафика (если, конечно, их предполагается использовать). Нажимаем
"Finish" и применяем настройки щелчком по "Apply". Правила, созданные в
результате работы мастера, будут показаны в окне консоли. Настройка правил
антиспама и антивируса производится во вкладках "Spam Filtering" и "Virus and
Content Filtering" соответственно.

Заключение

Как видишь, нововведений в семействе Forefront достаточно много,
и главное из них — тесная интеграция продуктов, которая позволит на порядок
повысить эффективность использования различных решений и добавить удобство
работы админу. На примере Forefront TMG хорошо видно, что одной лишь
сменой имени дело не обошлось. В нем появилось достаточно много функций, которые
уже не раз запрашивались администраторами.

TMG vs UAG

Forefront TMG и UAG входят в группу Forefront Edge Security and
Access, в которой представлены решения, обеспечивающие защиту периметра и доступ
к внутренней сети, но назначение у них совершенно разное. У TMG главное
назначение — это защита внутреннего периметра, UAG — обеспечение безопасного
доступа к сервисам "из вне". Хотя в TMG реализована возможность организации
доступа ко внутренним ресурсам посредством VPN и публикации внутренних сервисов
(Secure Web Publishing), но UAG в этом плане обеспечивает большие возможности и
гибкость.

INFO

Forefront "Stirling" — комплексное решение, предназначенное для
всесторонней защиты и централизованного управления параметрами безопасности
корпоративных сетей, серверов и рабочих станций.

Основой системы отчетов Forefront "Stirling" является MS SQL
Server 2008 Reporting Services, механизм отчетов способен удовлетворить запросы
большинства админов.

Перед началом установки Forefront TMG следует обновить систему
при помощи Windows Update: Control Panel — System and Security.

Антивирусные, антиспам обновления, сигнатуры NIS, URL Filtering
доступны по платной подписке.

Страница TechNet, посвященная Forefront —

technet.microsoft.com/en-us/library/cc901531.aspx

WARNING

Forefront TMG нельзя устанавливать на сервер, выполняющий
функции контроллера домена.

После установки Forefront TMG все сетевые соединения
блокируются.