Kiểm tra máy chủ mạng riêng ảo TMG 2010 - Phần 1:Tổng quan về cấu hình VPN pot

Kiểm tra máy chủ mạng riêng ảo TMG 2010 - Phần 1: Tổng quan về cấu hình VPN Trong phần một của loạt bài này, chúng tôi sẽ giới thiệu cho các bạn các kiến thức tổng quan về cấu hình VPN

Kiểm tra máy chủ mạng riêng ảo TMG 2010 - Phần 1: Tổng quan về cấu hình VPN

Trong phần một của loạt bài này, chúng tôi sẽ giới thiệu cho các bạn các kiến thức tổng quan về cấu hình VPN trong TMG 2010

Nhiều năm qua ISA và sau đó là máy chủ TMG VPN đã là người bạn thân thiết của các quản trị viên bất cứ khi nào họ rời văn phòng mình Với ISA 2004, Microsoft đã có một thành công thực sự khi nói đến máy chủ VPN của họ ISA VPN server là một giải pháp VPN truy cập từ xa mạnh

mẽ và dễ dàng cấu hình Những gì các bạn có thể cảm thấy thích nhất về ISA VPN server vì nó là một trong những giải pháp an toàn nhất trên thị trường Khi nó đến truy cập từ xa, vấn đề bảo mật của nó là hoàn toàn đảm bảo

Mặc dù vậy cần phải thừa nhận rằng khi cấu hình DirectAccess của mình được thiết lập và chạy, các bạn sẽ không sử dụng VPN nhiều Tuy nhiên

sẽ có nhiều lần ai đó cần sử dụng máy tính mà không có DirectAccess, vì vậy chúng ta vẫn phụ thuộc vào truy cập VPN để vào mạng của mình Đó

là lý do tại sao chúng ta vẫn cần có máy chủ TMG VPN trong văn phòng

Trong loạt bài về máy chủ TMG VPN này, chúng tôi sẽ bắt đầu bằng giới thiệu tổng quan về cấu hình VPN, sau đó đi vào một số vấn đề cụ thể để kích hoạt sự truy cập L2TP/IPsec và SSTP Nếu bạn hoàn toàn cảm thấy mới mẻ với ISA/TMG, thì phần này sẽ cung cấp cho bạn những kiến thức

cơ bản về những gì đang diễn ra

Chúng ta hãy bắt đầu bằng cách mở giao diện TMG firewall và kích nút Remote Access Policy (VPN) trong phần panel bên trái Trong phần panel bên phải, trong danh sách VPN Clients Tasks, kích liên kết Enable VPN Client Access, như thể hiện trong hình bên dưới

Hình 1

Nếu là một quản trị viên ISA VPN có kinh nghiệm thì chắc chắn bạn sẽ nhận ra hộp thoại này Kích OK trong hộp thoại này và sửa vấn đề

Hình 2

Trong phần panel bên phải của giao diện điều khiển, kích liên kết Define Address Assignments, xem thể hiện như hình bên dưới

Hình 3

Trong hộp thoại Remote Access Policy (VPN) Properties, kích tab Address Assignment Chọn tùy chọn Dynamic Host Configuration Protocol (DHCP) Thao tác này sẽ cấu hình tường lửa TMG để thu được

các địa chỉ IP cho các máy khách VPN (và adapter RAS của chính nó) từ máy chủ DHCP Lưu ý rằng chỉ thu được các địa chỉ IP từ máy chủ VPN Bạn sẽ không có các tùy chọn DHCP Để cung cấp các tùy chọn DHCP đến các máy khách VPN, bạn cần cấu hình máy chủ TMG VPN làm DHCP relay Chúng tôi sẽ giới thiệu về cách thực hiện này trong một phần khác

Lưu ý danh sách sổ xuống Use the following network to obtain DHCP, DNS and WINS services Danh sách này gồm có tên của NIC đã được

cài đặt trên TMG firewall TMG firewall sẽ sử dụng các thiết lập DNS và các WINS trên NIC mà bạn chọn nhằm cung cấp các dịch vụ này cho máy khách VPN Mặc dù vậy, nếu muốn tùy chỉnh cấu hình, bạn có thể

kích nút Advanced

Hình 4

Lúc này bạn sẽ thấy xuất hiện hộp thoại Name Resolution Thiết lập mặc định là Obtain DNS server addresses using DHCP configuration Mặc

dù vậy, bạn có thể chọn các tùy chọn Use the following DNS server addresses và Use the following WINS server addresses để sử dụng các

địa chỉ không có trong cấu hình trên các NIC trên TMG firewall

Hình 5

Kích OK, sau đó kích Apply ở phía trên trong panel ở giữa để áp dụng

những thay đổi cho Firewall Policy

Lưu ý rằng vấn đề đánh địa chỉ cần được xử lý, vì vậy kích liên kết

Enable VPN Client Access trong phần panel bên phải của giao diện điều

khiển

Hình 6

Kích Apply ở phía trên trong phần panel giữa để lưu các thay đổi đối với Firewall Policy

Như được đề cập từ trước, TMG firewall sẽ thu được địa chỉ IP từ DHCP server Đây là cách nó làm việc: TMG firewall không thu được các địa chỉ này tại một thời điểm mà thay vào đó, nó yêu cầu các địa chỉ IP trong các nhóm 10 Rõ ràng bạn cần phải có một DHCP server trên mạng để thực hiện công việc này Chúng tôi đã cài đặt một DHCP server trên domain controller trong mạng thử nghiệm của mình Khi kiểm tra giao

diện điều khiển DHCP, bạn sẽ thấy TMG firewall đã “chộp” được 10 địa chỉ IP từ DHCP server, xem thể hiện trong hình bên dưới

Hình 7

Kích liên kết Configure VPN Client Access trong phần panel bên phải

của giao diện

Hình 8

Trong hộp thoại VPN Clients Properties, trong tab General, bạn sẽ thấy hộp kiểm Enable VPN client access đã được tích và Maximum number

of VPN clients allowed được thiết lập là 100 Với Standard Edition, bạn

sẽ bị hạn chế ở 1000 kết nối, với Enterprise Edition bạn sẽ không bị hạn chế (có thể chỉ bị hạn chế về phần cứng và mạng hỗ trợ)

Hình 9

Kích tab Groups Ở đây bạn có thể cấu hình thông qua Active Directory

nhóm người dùng nào có thể kết nối đến VPN server Bạn chọn các nhóm

bằng cách sử dụng nút Add Các tài khoản User thuộc về các nhóm miền

này cần phải được cấu hình truy cập VPN trong các tùy chọn tài khoản

“dial-in” được thiết lập để kiểm soát sự truy cập thông qua chính sách Điều này được thiết lập mặc định cho các miền của Windows Server

2008, chính vì vậy chúng ta không cần thực hiện bất cứ thứ gì trong Active Directory để bảo đảm cho nó làm việc Tuy nhiên nếu sử dụng Windows Server 2003, bạn nên kiểm tra các thiết lập đó

Hình 10

Khi kích nút Add, hộp thoại Select Groups sẽ xuất hiện Trong phần From this location, bảo đảm rằng bạn đã chọn miền Mặc định sẽ là máy

tính nội bộ, và bạn không cần phải chọn cho điều đó Trong ví dụ này,

chúng tôi đã chọn miền msfirewall.org và cho phép tất cả người dùng trong miền có thể kết nối đến VPN, vì vậy sẽ phải nhập Domain Users trong hộp văn bản Enter the object names to select Kích OK để lưu các

thay đổi

Hình 11

Lúc này bạn có thể thấy nhóm xuất hiện trong danh sách trên tab Groups,

như thể hiện trong hình bên dưới

Hình 12

Kích tab Protocols Ở đây bạn có thể chọn giao thức VPN nào có thể

được sử dụng để kết nối đến máy chủ TMG VPN Các tùy chọn gồm có:

 Enable PPTP

 Enable L2TP/IPsec

 Enable SSTP

Tùy chọn Enable PPTP được kích hoạt mặc định và sẽ làm việc không

cần cấu hình bổ sung nào trên các máy khách VPN, chỉ cần cấu hình bổ sung tối thiểu trên máy chủ TMG VPN Mặc dù vậy, nếu chọn tùy chọn L2TP/IPsec hoặc SSTP, bạn sẽ cần xử lý một số vấn đề có liên quan đến các chứng chỉ (về vấn đề này bạn có thể sử dụng khóa tiền chia sẻ với L2TP/Ipsec, nhưng đó là cách làm không an toàn) Chúng ta sẽ đi vào các yêu cầu cấu hình và các thủ tục cho hai giao thức VPN này sau

Hình 13

Trong tab User Mapping, bạn có một tùy chọn cho phép bạn bản đồ hóa

các máy khách VPN từ các không gian tên non-Windows (chẳng hạn như những người dùng đã được thẩm định RADIUS hoặc EAP) đến không gian tên Windows Điều này có nghĩa rằng nếu không tích hợp sự thẩm định cho các máy khách VPN, sử dụng RADIUS hoặc EAP, thì bạn không thể lợi dụng các nhóm Windows Active Directory một cách tự động Vì vậy, nếu việc bản đồ hóa người dùng không được kích hoạt, bạn

sẽ phải tạo một tập người dùng trên TMG firewall và sử dụng người dùng thông thường đã được thiết lập khi cấu hình rule tường lửa để kiểm soát

sự truy cập các máy khách VPN Rõ ràng, để làm việc, TMG firewall phải là một thành viên miền Chúng tôi sẽ không sử dụng User Mapping trong ví dụ này vì không sử dụng thẩm định RADIUS hoặc EAP

Hình 14

Trong tab Quarantine, bạn có thể cấu hình TMG firewall để cách ly

người dùng trước khi cho phép truy cập vào mạng nếu các máy tính của

họ không có đủ các yêu cầu về bảo mật Có hai cách bạn có thể thực hiện điều này: đầu tiên là sử dụng điều khiển cách ly truy cập từ xa và thứ hai

là sử dụng NAP Nhìn chung, NAP được cho là giải pháp tốt hơn, tuy nhiên chúng tôi phải thừa nhận rằng nếu bạn có một chút kiến thức về lập trình, hoặc sử dụng công cụ từ Winfrasoft thì bạn sẽ có rất nhiều khả năng kiểm soát thông qua sự kiểm soát cách ly truy cập từ xa so với những gì bạn có với NAP, vì NAP HSV có bên trong không phải là một tính năng mạnh

Có hai lựa chọn chính ở đây sau khi bạn kích hoạt điều khiển cách ly: Quarantine according to RADIUS server policies and Quarantine VPN clients according to TMG policies Đầu tiên là tùy chọn NAP và

sau đó là tùy chọn kiểm soát cách ly truy cập từ xa Lưu ý rằng bạn cũng

có các tùy chọn cho việc điều khiển thời gian đợi là bao lâu trước khi hủy kết nối các máy khách VPN được cách ly và cũng có thể cấu hình danh sách người dùng được miễn giám sát cách ly Chúng tôi sẽ không đi sâu vào giới thiệu các chi tiết kiểm soát cách ly trong phần này mà sẽ giới thiệu sau

Hình 15

Lúc này hãy chuyển sang phần General VPN Configuration trong panel phải của giao diện điều khiển Kích liên kết Select Access Networks, như

thể hiện trong hình bên dưới

Hình 16

Trong tab Access Networks, chọn Networks mà trong mạng đó bạn

muốn VPN server lắng nghe các kết nối Mặc định, tùy chọn default External Network sẽ được chọn Tuy nhiên bạn có thể sử dụng các tùy chọn khác hoặc kết hợp các tùy chọn mà bạn thích Lưu ý rằng bạn không thể gán các địa chỉ IP cụ thể; tất cả các địa chỉ IP của NIC cho mạng bạn chọn sẽ lắng nghe các kết nối gửi đến Nếu bạn cho phép các kết nối gửi vào cho người dùng VPN, điều đó không có nghĩa rằng địa chỉ IP sẽ được

sử dụng Không có một sự thuận lợi bảo mật thực sự nào cho việc hạn chế truy cập VPN đối với một địa chỉ IP trên một giao diện cụ thể

Hình 17

Kích tab Address Assignment Khi đó bạn sẽ gặp một cửa sổ khá quen

vì chúng ta đã thấy trước đó Nếu quyết định sử dụng địa chỉ tĩnh, bạn có thể tạo thay đổi vấn đề đó ở đây Một ví dụ cho việc thay đổi địa chỉ tĩnh

là khi bạn muốn cấu hình mảng các máy chủ TMG VPN Trong trường hợp đó, mỗi thành viên của mảng cần có một bộ sưu tập riêng các địa chỉ

IP Chúng tôi sẽ giới thiệu cách cấu hình mảng TMG VPN server trong các phần sau Trong ví dụ này, chúng ta chỉ có một máy chủ

Hình 18

Trong tab Authentication, bạn có thể cấu hình kiểu thẩm định người

dùng Thiết lập mặc định là MS-CHAPv2 Mặc định bạn có thể sử dụng

EAP, CHAP và PAP, nhưng nhìn chung chỉ có một số tùy chọn mà bạn chắc sẽ muốn sử dụng là MS-CHAPv2 hoặc EAP Lưu ý rằng có một tùy

chọn thẩm định máy tính ở phía dưới Khi tích vào hộp kiểm Allow customer IPsec policy for L2TP, bạn sẽ có thể nhập vào khóa tiền chia

sẻ Đây là phương pháp “con nhà nghèo” cho việc bảo vệ Ipsec với các kết nối L2TP/Ipsec, nó cho phép bạn có thể thiết lập kết nối mà không cần triển khai chứng chỉ Chúng tôi sẽ giới thiệu cách triển khai các chứng chỉ trong phần tiếp theo của loạt bài này để bạn có thể sử dụng phương pháp được tiến cử (an toàn hơn) cho L2TP/IPsec

Hình 19

Trong tab RADIUS, bạn có thể cấu hình các máy chủ RADIUS sử dụng

cho việc thẩm định VPN hoặc ghi chép Lưu ý rằng bạn có thể sử dụng RADIUS để thẩm định hoặc ghi chép, hoặc cả hai Chúng tôi sẽ không giới thiệu thẩm định RADIUS server hoặc việc ghi chép trong loạt bài này

Hình 20

Kết luận

Giống như ISA, TMG firewall có thể đóng vai trò như một máy chủ VPN truy cập xa Nếu là một quản trị viên ISA VPN server có nhiều kinh nghiệm thì rất có thể các bạn sẽ không thấy nhiều điểm mới trong cấu hình máy chủ TMG VPN – ngoại trừ sự tích hợp SSTP Trong phần tiếp theo của loạt bài này, chúng tôi sẽ giới thiệu những gì bạn cần thực hiện

để làm cho các kết nối L2TP/Ipsec hoạt động, sử dụng các chứng chỉ máy tính và các khóa tiền chia sẻ Trong phần sau chúng tôi cũng sẽ giới thiệu một số vấn đề tường lửa mà bạn biết nếu muốn chuẩn hóa cấu hình máy khách VPN truy cập từ xa L2TP/Ipsec