Microsoft Forefront Threat Management Gateway
Microsoft Forefront Threat Management Gateway (Forefront TMG; ранее известный как Microsoft Internet Security and Acceleration Server (ISA Server)) — прокси-сервер для защиты сети от атак извне, а также контроля интернет-трафика, который «позволяет сотрудникам компании безопасно и эффективно пользоваться ресурсами Интернета, не беспокоясь о вредоносных программах и других угрозах» [1] .
9 сентября 2012 Microsoft объявила о прекращении дальнейшего развития Forefront TMG. Основная поддержка будет прекращена после 14 апреля 2015 года, а расширенная поддержка закончится 14 апреля 2020 года. Продукт не будет доступен для приобретения после 1 декабря 2012 года [2] .
Описание
Продукт пришёл на смену Microsoft Internet Security and Acceleration Server (ISA Server), ещё ранее прокси-серверу Microsoft Proxy Server от Microsoft.
Позволяет организовать защиту локальной сети от вмешательств из сети Интернет и безопасно публиковать различные виды серверов, дает возможность распределять доступ пользователей локальной сети к ресурсам Интернет. Оснащен средствами для анализа посещаемых ресурсов, учёта трафика, а также защиты против атак из сети Интернет. Имеет различные виды аутентификации и авторизации, в том числе поддерживает аутентификацию Active Directory. Поддерживает как рабочие группы, так и домены Windows NT. Имеет множество плагинов для отслеживания исходящего и входящего трафика.
Блокировка Dropbox средствами Forefront TMG 2010
Версии
Microsoft Proxy Server
В 1996 году война браузеров между Microsoft Internet Explorer и Netscape Navigator была в самом разгаре и Microsoft искала возможности для улучшения позиций своего браузера. В это время, компания Netscape начала продажи web прокси сервера Netscape Proxy Server, позволявшего экономить время загрузки и расходы на дорогой интернет трафик путём кэширования изображений и веб страниц локальным сервером. Прямым ответом на это, в октябре 1996 года был выпущен Microsoft Proxy Server v1.0 (кодовое имя Catapult) рассчитанный на работу с Windows NT 4.0 [3] .
Microsoft Proxy Server v2.0 был выпущен в декабре 1997 года и принёс такие возможности как создание массива прокси серверов, функцию обратного прокси (англ. Reverse proxy ) и обратного хостинга (reverse hosting, сервер отвечает на входящие web-запросы за серверы, стоящие позади него).
ISA Server 2000
18 марта 2001 года был выпущен Microsoft Internet Security and Acceleration Server 2000 [4] . Новая версия принесла такие возможности, как обнаружение вторжений, поддержка Active Directory и виртуальных частных сетей (VPN), SecureNAT, разделение полосы пропускания и другие возможности. ISA Server 2000 был представлен в Standard и Enterprise редакциях. Такие технологии, как High-Availability Clustering не были включены в Standard Edition. ISA Server 2000 требовал для работы Windows 2000 (любой редакции, кроме Professional), а также работал на Windows Server 2003.
Forefront TMG: запрещаем доступ к социальным сетям
ISA Server 2004
Microsoft Internet Security and Acceleration Server 2004 выпущен 8 сентября 2004 года [5] .
ISA Server 2006
17 октября 2006 года был выпущен Microsoft Internet Security and Acceleration Server 2006 [6] . Это обновлённая версия ISA Server 2004 сохранила все возможности Server 2004 за исключением Message Screener.
Microsoft Forefront Threat Management Gateway 2010
Microsoft Forefront Threat Management Gateway 2010 (Forefront TMG 2010) выпущен 17 ноября 2009 [7] . Эта версия основана на ISA Server 2006 и обеспечивает улучшенную защиту веб трафика, родную поддержку 64 битных систем, поддержку Windows Server 2008 и Windows Server 2008 R2 и встроенную защиту от вредоносных программ.
Прекращение дальнейшего развития
9 сентября 2012 Microsoft объявила о прекращении дальнейшего развития Forefront TMG. Основная поддержка будет прекращена после 14 апреля 2015 года, а расширенная поддержка закончится 14 апреля 2020 года. Продукт не будет доступен для приобретения после 1 декабря 2012 года [2] . На сегодняшний день доступен только в составе аппаратных решений OEM партнёров Microsoft.
Примечания
- ↑Скачать Forefront Threat Management Gateway (TMG) 2010
- ↑ 2,02,1Important Changes to Forefront Product Roadmaps. Server https://www.wikiznanie.ru/wp/index.php/Microsoft_Forefront_Threat_Management_Gateway» target=»_blank»]www.wikiznanie.ru[/mask_link]
Microsoft Forefront Threat Management Gateway
Microsoft Forefront Threat Management Gateway (Forefront TMG; ранее известный как Microsoft Internet Security and Acceleration Server (ISA Server)) — прокси-сервер для защиты сети от атак извне, а также контроля интернет-трафика, который «позволяет сотрудникам компании безопасно и эффективно пользоваться ресурсами Интернета, не беспокоясь о вредоносных программах и других угрозах» [1] .
9 сентября 2012 Microsoft объявила о прекращении дальнейшего развития Forefront TMG. Основная поддержка была прекращена после 14 апреля 2015 года, а расширенная поддержка закончилась 14 апреля 2020 года. Продукт не доступен для приобретения с 1 декабря 2012 года [2] .
- 1 Описание
- 2 Версии
- 2.1 Microsoft Proxy Server
- 2.2 ISA Server 2000
- 2.3 ISA Server 2004
- 2.4 ISA Server 2006
- 2.5 Microsoft Forefront Threat Management Gateway 2010
- 2.6 Прекращение дальнейшего развития
Источник: wiki2.org
Microsoft Forefront Threat Management Gateway
Microsoft Forefront Threat Management Gateway (Forefront TMG; ранее известный как Microsoft Internet Security and Acceleration Server (ISA Server)) — прокси-сервер для защиты сети от атак извне, а также контроля интернет-трафика, который «позволяет сотрудникам компании безопасно и эффективно пользоваться ресурсами Интернета, не беспокоясь о вредоносных программах и других угрозах» [1] .
9 сентября 2012 Microsoft объявила о прекращении дальнейшего развития Forefront TMG. Основная поддержка будет прекращена после 14 апреля 2015 года, а расширенная поддержка закончится 14 апреля 2020 года. Продукт не будет доступен для приобретения после 1 декабря 2012 года [2] .
- 1 Описание
- 2 Версии
- 2.1 Microsoft Proxy Server
- 2.2 ISA Server 2000
- 2.3 ISA Server 2004
- 2.4 ISA Server 2006
- 2.5 Microsoft Forefront Threat Management Gateway 2010
- 2.6 Прекращение дальнейшего развития
Описание [ ]
Продукт пришёл на смену Microsoft Internet Security and Acceleration Server (ISA Server), ещё ранее прокси-серверу Microsoft Proxy Server от Microsoft.
Позволяет организовать защиту локальной сети от вмешательств из сети Интернет и безопасно публиковать различные виды серверов, дает возможность распределять доступ пользователей локальной сети к ресурсам Интернет. Оснащен средствами для анализа посещаемых ресурсов, учёта трафика, а также защиты против атак из сети Интернет. Имеет различные виды аутентификации и авторизации, в том числе поддерживает аутентификацию Active Directory. Поддерживает как рабочие группы, так и домены Windows NT. Имеет множество плагинов для отслеживания исходящего и входящего трафика.
Версии [ ]
Microsoft Proxy Server [ ]
В 1996 году война браузеров между Microsoft Internet Explorer и Netscape Navigator была в самом разгаре и Microsoft искала возможности для улучшения позиций своего браузера. В это время, компания Netscape начала продажи web прокси сервера Netscape Proxy Server, позволявшего экономить время загрузки и расходы на дорогой интернет трафик путём кэширования изображений и веб страниц локальным сервером. Прямым ответом на это, в октябре 1996 года был выпущен Microsoft Proxy Server v1.0 (кодовое имя Catapult) рассчитанный на работу с Windows NT 4.0 [3] .
Microsoft Proxy Server v2.0 был выпущен в декабре 1997 года и принёс такие возможности как создание массива прокси серверов, функцию обратного прокси (англ. Reverse proxy) и обратного хостинга (reverse hosting, сервер отвечает на входящие web-запросы за серверы, стоящие позади него).
ISA Server 2000 [ ]
18 марта 2001 года был выпущен Microsoft Internet Security and Acceleration Server 2000 [4] . Новая версия принесла такие возможности, как обнаружение вторжений, поддержка Active Directory и виртуальных частных сетей (VPN), SecureNAT, разделение полосы пропускания и другие возможности. ISA Server 2000 был представлен в Standard и Enterprise редакциях. Такие технологии, как High-Availability Clustering не были включены в Standard Edition. ISA Server 2000 требовал для работы Windows 2000 (любой редакции, кроме Professional), а также работал на Windows Server 2003.
ISA Server 2004 [ ]
Microsoft Internet Security and Acceleration Server 2004 выпущен 8 сентября 2004 года [5] .
ISA Server 2006 [ ]
17 октября 2006 года был выпущен Microsoft Internet Security and Acceleration Server 2006 [6] . Это обновлённая версия ISA Server 2004 сохранила все возможности Server 2004 за исключением Message Screener.
Microsoft Forefront Threat Management Gateway 2010 [ ]
Microsoft Forefront Threat Management Gateway 2010 (Forefront TMG 2010) выпущен 17 ноября 2009 [7] . Эта версия основана на ISA Server 2006 и обеспечивает улучшенную защиту веб трафика, родную поддержку 64 битных систем, поддержку Windows Server 2008 и Windows Server 2008 R2 и встроенную защиту от вредоносных программ.
Прекращение дальнейшего развития [ ]
9 сентября 2012 Microsoft объявила о прекращении дальнейшего развития Forefront TMG. Основная поддержка будет прекращена после 14 апреля 2015 года, а расширенная поддержка закончится 14 апреля 2020 года. Продукт не будет доступен для приобретения после 1 декабря 2012 года [2] . На сегодняшний день доступен только в составе аппаратных решений OEM партнёров Microsoft.
Эта страница использует материалы Википедии. Оригинальная статья располагается на Microsoft Forefront Threat Management Gateway. Список авторов можно увидеть там же на странице истории. Как и на Microsoft вики, текст Википедии доступен в соответствие с Creative Commons Licensed. Источник: microsoft.fandom.com
Настройка TMG 2010 (ISA 2006). Основы
Большинство сказанного ниже в равной степени относится как к TMG (Threat Management Gateway 2010), так и к ISA 2006.
Многое в этих микрософтовских произведениях можно понять, многое увидеть и разобраться, глядя на графический интерфейс, но некоторые вещи необходимо просто знать, иначе ничего не заработает.
Ресурсов для ТМГ, как и для любого продукта микрософт, требуется несуразно много. ЦПУ — не меньше 4 ядер, больше-лучше, (гипертрейдинг) HT — приветствуется, ОЗУ — не меньше 4 Гб, в нагруженных конфигурациях (до 12 000 клиентов) требуется до 12 Гб. (_http://technet.microsoft.com/ru-ru/library/ff382651.aspx). В частности, на TMG 2010, к которому подключен 1 клиент, не обращающийся в данный момент к интернету, монитор производительности показал загрузку 2 ЦПУ = 1…5 %, ОЗУ = 2.37 Гб.
Сервер TMG поддерживает 3 способа работы через него:
— Клиент TMG — специальная программа устанавливается на ПК (годится клиент от ISA 2006);
— Клиент Web-proxy — настройка клиентского приложения для работы через прокси;
— Клиент SecureNat — в свойствах TCP/IP в качестве шлюза по умолчанию указан сервер TMG.Управление доступом на основании учетных записей (AD или на самом TMG 2010) возможно либо с использованием Клиента TMG либо клиентом Web-proxy. Последнее означает, что никакого специального клиента на ПК не ставится, а клиентское приложение умеет работать через прокси-сервер и на нем настроены в качестве proxy-сервера адрес и порт сервера TMG. Клиент SecureNat авторизацию НЕ поддерживает.
Правила доступа на сервер TMG проверяются последовательно сверху вниз. Как только запрос клиента подошел под одно из правил (по трем полям: Protocol, From, To), так просмотр правил прекращается, т.е. остальные — игнорируются. И если запрос не удовлетворяет полю Condition этого правила, то доступ клиенту не предоставляется, несмотря на то, что следом может идти правило, разрешающее такой доступ.
Пример . Пользователь с установленным клиентом ТМГ и шлюзом по умолчанию, настроенным на сервер ТМГ запускает программу Outlook 2010. Учетная запись этого пользователя входит в группу безопасности AD-Internet.
Правило 3 разрешает весь исходящий трафик для пользователей, входящих в группу AD-Internet. Но программа Outlook не сможет связаться с внешним почтовым сервером, потому что с настройками по умолчанию Клиент ТМГ НЕ перехватывает запросы Outlook, а клиент SecureNat не умеет авторизоваться, и не сможет доказать серверу TMG, что его пользователь входит в группу AD-Internet. Однако, почтовый протокол попадает под определение “All Outbound Traffic”, а направление «From: Internal, To:External» соответствует запросу клиента, и поэтому обработка правил прекращается именно на правиле №3.
Если правила 3 и 4 переставить местами, то Outlook работать будет, потому что правило 4 не требует авторизации. Другой способ — в правиле 3 (не перемещая его) ограничить список протоколов, например оставить только HTTP и FTP. Тогда запрос от программы Outlook не “зацепится” за правило 3 и проверка дойдет до правила 4, по которому клиент получит доступ.
Есть еще способ пробиться через правила рис.1. Вернемся к упомянутым выше настройкам по умолчанию . Клиент ТМГ не перехватывает запросы Outlook потому, что в настройках приложений (Application Settings) клиент ТМГ отключен.
В левом дереве консоли управления Forefront TMG узел Networking, в средней части закладка Networks, сеть Internal, на правой панели закладка Tasks, пункт Configure Forefront TMG Client Settings. (На ISA 2006: Configuration — General — Define Firewall Client Settings.)
Если изменить здесь значение с 1 на 0, то Outlook будет работать через ТМГ по правилу доступа №3, приведенному на рис. 1.
А теперь вопрос на засыпку: почему в конфигурации Рис.1 не ходят пинги?
Ответ. Ping соответствует по параметрам (Protocol, From, To) правилу №3, и по этому просмотр правил доступа прекращается именно на правиле №3. Но Ping не умеет авторизоваться, поэтому для него доступ запрещен. Можно, например, над правилом №3 сделать отдельное правило:
Протокол = PING
From = Internal или All Networks
To = External
Users = All UsersКак подключить аудитора (чужака) к Интернету
Предполагается, что у аудитора свой ноут и его в свой домен вводить не будем.
Способ 1 . Задать на его ПК IP-адрес из разрешенного диапазона (требуются права администратора на его ПК).
Способ 2 . В браузере указать Прокси: IP-адрес и порт своего ТМГ. Предварительно на ТМГ сделать локальную учетку и дать её аудитору. Оптичить Basic в вариантах авторизации.
Параметры адаптеров
(в трехзвенной архитектуре):
Источник: admsoft.ru