Рисунок 2. Правило для протокола HTTP

Затем укажите пользователей, которым будет разрешен выход в Интернет, при этом аутентификацию можно осуществлять посредствам RADIUS-сервера и локальной базы пользователей. В результате выполнения всех этих действий получаем правило доступа для протокола HTTP. Аналогичным образом создаются правила для всех остальных протоколов, за исключением двух последних (SSH и Telnet), которые, как уже упоминалось ранее, нужны только администраторам. Для того чтобы создать правило доступа только для определенных хостов, необходимо при назначении источника указать не подсеть (Network), как это делалось в предыдущем примере, а отдельный узел (Computer), которым пользуется администратор.

Публикуем ресурсы

Итак, все необходимые обновления установлены, межсетевой экран подключен к глобальной сети и теперь нужно открыть доступ к ресурсам, находящимся в DMZ или LAN из внешней сети WAN. В терминологии ISA эта операция называется «публикацией ресурса». Прежде всего определимся, что именно нам необходимо публиковать. Как правило, в сети организации размещаются почтовый сервер, сервер FTP, а также ресурсы, доступ к которым осуществляется посредством шифрования SSL (например, Outlook Web Access). Несмотря на то что для размещения веб-сайта компании сейчас, как правило, используются ресурсы провайдера, во многих сетях для доступа к некоторым локальным ресурсам используется HTTP, поэтому мы рассмотрим публикацию веб-сервера в качестве примера.

Обратите внимание на то, что веб-публикацию иногда называют «реверсивным представительством» (reverse proxy). Это означает, что, когда публикуется веб-ресурс, фильтр прокси межсетевого экрана ISA всегда перехватывает запрос и затем представляет его опубликованным с помощью правила публикации веб-сервера. Механизм реверсивного проксирования также широко используется различными антивирусными системами, которые интегрируют свои фильтры в ISA Server, таким образом осуществляя проверку входящих запросов на наличие вредоносного кода.

Еще одно удобное средство публикаций ресурсов в ISA – предварительная аутентификация соединений, устанавливаемых с опубликованными веб-ресурсами. То есть можно заранее проверить подлинность пользователя на межсетевом экране. Предварительная аутентификация не позволяет атакующим и злоумышленникам применять неаутентифицированные соединения для использования известных и неизвестных слабых мест в веб-серверах и приложениях.