Tài liệu Thực thi và khắc phục sự cố triển khai chứng chỉ trong ISA Server 2006 – Phần 2 doc

Thực thi và khắc phục sự cố triển khai chứng chỉ trong ISA Server 2006 – Phần 2 Trong phần hai này chúng tôi sẽ hướng dẫn các bạn cách sử dụng các chứng chỉ số trong các kịch bản web ch

Thực thi và khắc phục sự cố triển khai chứng chỉ trong ISA Server 2006

– Phần 2

Trong phần hai này chúng tôi sẽ hướng dẫn các bạn cách sử dụng các chứng chỉ số trong các kịch bản web chain và reverse publish

Giới thiệu

Chúng ta sẽ bắt đầu bằng một giới thiệu vắn tắt về các kiểu chứng chỉ được

sử dụng trong kịch bản publish an toàn và sau đó sẽ giới thiệu về chức năng

mà các chứng chỉ SAN (SAN = Subject Alternate Name) cung cấp cũng như những điểm khác biệt của chúng với các chứng chỉ cổ điển, chẳng hạn như các chứng chỉ wildcard

Các kiểu chứng chỉ

Có ba kiểu chứng chỉ thường được sử dụng:

 Chứng chỉ thông thường

 Chứng chỉ wildcard

 Chứng chỉ SAN (Subject Alternate Name)

Chứng chỉ thông thường

Một chứng chỉ thông thường là một chứng chỉ “classic” Kiểu chứng chỉ này được sử dụng cho một FQDN (Fully Qualified Domain Name) cũng được biết đến như một DNS hostname giống như owa.it-training-grote.de

Chứng chỉ Wildcard

Chứng chỉ Wildcard thường được sử dụng khi một công ty cần publish các hostname khác nhau với cùng một tên miền Thay vì sử dụng nhiều chứng chỉ thông thường, chúng ta có thể sử dụng kiểu chứng chỉ này Ví dụ như nếu bạn mua một chứng chỉ wildcard cho *.it-training-grote.de, khi đó bạn hoàn toàn có thể sử dụng chứng chỉ để publish các webserver với nó, với các tên owa.it-training-grote.de và www.it-training-grote.de

Chứng chỉ SAN

Các chứng chỉ SAN (Subject Alternate Name) cũng được gọi là chứng chỉ miền hoặc chứng chỉ Unified Communication (UC) Với sự trợ giúp của các chứng chỉ SAN, chúng ta hoàn toàn có thể publish nhiều FQDN ới cùng một hoặc khác tên Top Level Domain (TLD)

Cho ví dụ:

owa.it-training-grote.de

www.it-training-grote.de

Server01

Server01.exchange.internal

Autodiscover.exchange.internal

Autodiscover.it-training-grote.de

Chứng chỉ SAN được sử dụng rộng rãi trong các kịch bản publish của

Exchange Server có hoặc không có ISA Server 2006

Những nâng cao trong ISA Server 2006 Service Pack 1

ISA Server 2006 Service Pack 1 hỗ trợ sử dụng các chứng chỉ SAN Trước ISA Server 2006 Service Pack 1, ISA Server chỉ kiểm tra tên chứng chỉ và

bỏ qua các tên bổ sung trong trường SAN của chứng chỉ

Sử dụng chứng chỉ tự ký

Có một cách để sử dụng các chứng chỉ cho việc publish ISA Server là sử dụng công cụ SELFSSL.EXE từ bộ kit của IIS 6 Với sự trợ giúp của công

cụ SELFSSL, các quản trị viên có thể tạo các chứng chỉ cho các Common Name (CN)

Hình 1: SELFSSL từ IIS 6 Resource Kit

Vì chứng chỉ tự ký không được phát hành bởi một CA Root tin cậy nên người dùng phải tự đặt chứng chỉ tự ký trong kho lưu trữ CA Root tin cậy trên ISA Server nội bộ

Hình 2: Snap-In bổ sung chứng chỉ

Tiếp đến, chọn tài khoản máy tính nội bộ với tư cách kho lưu trữ chứng chỉ

để thấy tất cả các chứng chỉ đã được cài đặt, đây là các chứng chỉ mà ISA Server sẽ sử dụng cho các kịch bản publish và webchain

Hình 3: Hiển thị chứng chỉ trong kho lưu trữ

Các chứng chỉ Root CA tin cậy

ISA Server bảo đảm cho mỗi chứng chỉ được sử dụng có thể được thẩm định đối với CA phát hành ISA Server kiểm tra chuỗi chứng chỉ đối với Root

CA Danh sách các CA root tin cậy có thể được tìm thấy trong kho lưu trữ máy tính nội bộ trên máy ISA Server 2006

Hình 4: Các chứng chỉ Root CA tin cậy

Các chứng chỉ được sử dụng trong kịch bản Web chain

Một trong những tính năng kém được sử dụng trong ISA Server 2006 là việc

sử dụng các chứng chỉ trong kịch bản web chain Web chain được sử dụng

để xâu chuỗi lưu lượng web từ ISA Server với Webproxy khác giống ISA Server Để sử dụng một chứng chỉ trong kịch bản webchain, người dùng phải có các điều kiện tiên quyết dưới đây:

 Có một chứng chỉ thẩm định máy khách

 Được tin tưởng bởi một CA root

 Có khóa riêng được cài đặt trong kho lưu trữ chứng chỉ máy tính nội

bộ

 Kho lưu trữ chứng chỉ cá nhân Được cài đặt trong tài khoản dịch vụ tường lửa

Hình 5: Chọn các chứng chỉ trong kịch bản Web chain

Exchange Remote Connectivity Analyzer

Microsoft Exchange Remote Connectivity Analyzer là một công cụ rất hữu dụng cho việc test các kiểu publish khác nhau có hoặc không có ISA Server, không sử dụng các công cụ yêu cầu như Microsoft Outlook Exchange Remote Connectivity Analyzer cũng rất hữu dụng cho việc thẩm định việc triển khai đúng các chứng chỉ trên Exchange Client Access Server (CAS) hoặc trên ISA Server

Hình 6: Exchange Remote Connectivity Analyzer

ISA Server 2006 Best Practice Analyzer

Một tiện ích khắc phục sự cố hữu dụng nữa với các vấn đề của chứng chỉ cho ISA Server 2006 là ISA Server 2006 Best Practice Analyzer, đây là bộ phân tích cài đặt ISA Server với cơ sở dữ liệu bằng các thực hành tốt nhất từ Microsoft để tìm ra các lỗi cấu hình có thể hoặc các vấn đề có liên quan Với mục đích khắc phục sự cố chứng chỉ, ISABPA kiểm tra cấu hình ISA Server

và tìm kiếm xem liệu các chứng chỉ có được sử dụng trong các kịch bản publish và web chain hay không, thêm vào đó là các chứng chỉ tương ứng có được tìm thấy trong kho lưu trữ chứng chỉ máy tính nội bộ hay không

Hình 7: ISA Server Best Practices Analyzer

Để cung cấp thêm cho các bạn một số thông tin về cách ISABPA hiển thị các vấn đề có liên quan đến chứng chỉ, chúng tôi đã xóa tất cả các chứng chỉ

từ kho lưu trữ máy tính nội bộ

Kết luận

Trong phần hai này, chúng tôi đã cung cấp cho các bạn thêm một số thông tin về triển khai và khắc phục sự cố chứng chỉ ISA Server 2006 Thêm vào

đó chúng tôi cũng giới thiệu một số tính năng mới của ISA Server 2006 Service Pack 1 có thể mở rộng khả năng của ISA Server 2006 trong việc sử dụng các chứng chỉ SAN trong kịch bản webserver publish