ISA Proxy Parte 1

Proxy HTTP & HTTPS
ISA Server 2006
Proxy HTTP & HTTPS- ISA Server 2006 (A) Blog http://jfherrera.wordpress.com Microsoft ISA Server 2006
INDICE Tabla de direccionamiento .................................................................................................... 4 Documentacin de dispositivos finales .................................................................................. 5

SVR-DNS-DHCP-01 ..................................................................................................................................... 6 SVR-FW-01 ................................................................................................................................................. 8 ISA Server 2006 ..................................................................................................................................... 8 Plantillas ISA Server ............................................................................................................................. 11 Servidor de seguridad perimetral ................................................................................................... 11 3-Leg permetro .............................................................................................................................. 11 Firewall frontal ................................................................................................................................ 12 Firewall trasero ............................................................................................................................... 12 nico adaptador de red .................................................................................................................. 13 Firewall Policy .......................................................................................................................................... 13 Bloquear un navegador especfico ...................................................................................................... 22 Bloquear Mozilla Firefox web browser ........................................................................................... 22 Bloquear Safari web browser .......................................................................................................... 26 Bloquear Chrome web browser ...................................................................................................... 28 Bloquear Opera web browser ......................................................................................................... 30 Bloquear Internet Explorer web browser ....................................................................................... 32 Bloquear MSN ................................................................................................................................. 34 Bloquear Windows Live Messenger ................................................................................................ 36 Bloquear Google Talk ...................................................................................................................... 38 Bloquear yahoo Messenger ............................................................................................................ 40 Bloquear web mail google .............................................................................................................. 45 Bloquear hotmail ............................................................................................................................ 49 Bloquear web mail yahoo ............................................................................................................... 50
Blog: http://jfherrera.wordpress.com
Introduccin
En este documento veremos cmo configurar un servidor que ejecuta ISA Server 2006, dicho servidor esta optimizado para prestar el servicio de Proxy HTTP & HTTS, partiremos de una infraestructura de red ya establecida, establecida significa que ya est operativa a nivel de capa 3 (Capa de red del modelo OSI), lo que quiere decir que ya tenemos conectividad entre todos los dispositivos de red que conforman nuestro entorno y hacia internet. El servicio de DNS, DHCP y la aplicacin ISA Server ya se ha realizado.
Topologa de red
Tabla de direccionamiento
Default Gateway N/A N/A 10.10.10.62 10.10.10.62 DHCP
Device Name FW01 SVR-DNS-DHCP01 SVR-PROXY-01 Winxp1
Interface Name Fa0/0 Fa0/1 NIC NIC NIC
IP Address 10.10.10.130 10.10.10.62 10.10.10.60 10.10.10.61 DHCP
Subnet Mask 255.255.255.252 255.255.255.192 255.255.255.192 255.255.255.192 DHCP
Documentacin de dispositivos finales

Device Name (Purpose ) SVR-DNSDHCP-01 (DNS/DH CP) SVRPROXY01 (ISA Server) WINS Serve r Addre ss N/A High Bandwidt h Applicati ons N/A
Operating System/Ver sion Windows Server 2003 SP2 Windows Server 2003 SP2
IP Address / Suffix
Default Gateway Address
DNS Server Address
Network Applicati ons
10.10.10.60 /26
10.10.10.62 10.10.10.62 /26
10.10.10 .60 10.10.10 .60 N/A
DNS DHCP Proxy (HTTP and HTTPS) N/A
10.10.10.61 /26
SVR-DNS-DHCP-01 El equipo etiquetado como SVR-DNS-DHCP-01 tendr los servicios de DNS y DCHP, a continuacin encontraremos una serie de Screenshot en los cuales se describen rpidamente la configuracin para dichos servicios.
Observamos el hostname y direccionamiento del STACK TCP/IP utilizado para este host.
Esta es la configuracin aplicada al servicio de DHCP.
Y finalmente esta es la configuracin que se aplic al servicio DNS, permitiendo las actualizaciones dinmicas en la zona directa e inversa por parte de los clientes de la LAN1 y LAN2. SVR-FW-01 En nuestro servidor SVR-PROXY-01 esta con las actualizaciones al dia e instalado ya el ISA Server (solo la instalacin), este tiene la direccin IP 10.10.10.61/26. ISA Server 2006 Partiremos de una instalacin ya realizada de ISA Server en SVR-PROXY-01.
Iniciada la consola de administracin damos clic sobre la opcin Network, y como podemos observar est configurado como Edge Firewall, como nuestro Servidor esta optimizado para servir como proxy en nuestra red, lo que haremos ser seleccionar la plantilla Single Network Adapter. Del panel derecho, pestaa Templates.
Seguimos el asistente para la crear el nuevo entorno.
En la configuracin de la red interna lo dejaremos tal cual y presionamos en Next. Blog: http://jfherrera.wordpress.com 9
Seleccionamos el tipo de poltica que se aplicara por defecto, en nuestro caso la nica existente, y posteriormente iremos abriendo comunicaciones necesarias.
Al momento de dar clic en Finish nos genera un aviso y en el cual especifica que: Cuando ISA Server est configurado con un solo adaptador de red, la red Externa no tiene asociada una direccin IP. Como resultado de dicha configuracin, especificar la red Externa en reglas de acceso, o especificar dicha red para solicitudes web en una regla, el resultado ser que no se tendr ningn efecto por parte de dichas reglas o polticas.
10
Finalmente damos clic en Apply para as cargar el nuevo entorno. Plantillas ISA Server ISA Server 2006 viene con muchas plantillas definidas. A continuacin veremos algunos de los detalles de cada plantilla. Podemos seleccionar uno de ellos que se acople ms con el entorno de red corporativo. Servidor de seguridad perimetral Esta es una topologa de red estndar para pequeas y medianas organizaciones. El ISA Server es una puerta principal que controla el trfico entre la intranet e Internet. El Servidor ISA Server necesita 2 interfaces de red.
3-Leg permetro Esta es una topologa de red estndar para medianas y grandes organizaciones. Hay otra red que es la red perimetral aadida al servidor ISA en comparacin con el borde del cortafuego. La red perimetral o DMZ (zona desmilitarizada) es una red que es menos seguro para servir de servidor Blog: http://jfherrera.wordpress.com 11
Web, servidor de correo electrnico, servidor DNS, etc, para que los usuarios de Internet pueden acceder a estos servicios sin acceso a la red interna. El Servidor ISA Server necesita 3 interfaces de red.
Firewall frontal Se trata de una topologa de red en la que la seguridad es imprescindible para la organizacin. En este caso, hay ms de un servidor de seguridad. Cuando el servidor es atacado por hakers no solo deben traspasar ese sino que todava hay un nuevo firewall para proteger su red interna. Esta plantilla, el servidor ISA ser actuar como servidor de seguridad frente entre la red de Internet y el permetro y las necesidades de dos interfaces de red.
Firewall trasero Se trata de una topologa de red en la que la seguridad es imprescindible para la organizacin. La configuracin es la misma que en el Frente de plantilla, excepto que el servidor de seguridad ISA Server que se est configurando el servidor de seguridad de nuevo esa plantilla red. Este separa la red interna y perimetral, ISA Server necesita dos interfaces de red.
12
nico adaptador de red Se trata de una topologa de la red de ISA Server y en la cual acta como servidor proxy solamente. ISA Server puede hacer el almacenamiento en cach para mejorar el rendimiento para los usuarios el uso de Internet en la organizacin. Esta plantilla, ISA Server requiere slo una nica interfaz de red como el nombre de la plantilla.
En este punto debemos tener presente que para las plantillas Firewall frontal y Firewall trasero se debe utilizar ms de un servidor ISA. Firewall Policy Ok, esta es la seccin en la consola de administracin del ISA Server en la que se trabajara prcticamente siempre. El ISA Server trae ya por defecto unas reglas predefinidas, las cuales estn ocultas. Para ver dichas reglas seguimos la siguiente ruta en la consola de administracin del ISA Server men View > Show System Policy Rules.
13
En esta captura observamos que la mayora de reglas se permiten solo a el trafico que tiene origen Local Host (ISA Server), en otras palabras solo se permite comunicaciones originadas desde el servidor de ISA Server en resto se deniega ya que hay una poltica por defecto Deny. Es importante tener presente que algunas de estas reglas estn deshabilitadas.
14
Pulsando clic derecho sobre Firewal Policy > Edit System Policy, podemos habilitar o deshabilitar las reglas de default que incorpora el ISA Server. Lo siguiente consiste en crear una nueva regla que permita el trfico de los protocolos HTTP (80) y HTTPS (443) para todos los usuarios de la red LAN1. Clic derecho sobre la option Firewall Policy > New > Access Rule
15
Nos levanta el asistente para crear la regla, ingresamos el nombre que tendr la nueva regla y pulsamos en Next >.
La accin que configuraremos para esta regla ser permitir, entonces seleccionamos Allow y damos clic en Next.
Agregamos los protocolos HTTP y HTTPS, pulsamos en Close y Next.
16
Como esta regla se aplicara a todo el origen generado desde la LAN1 entonces seleccionamos la red Interna y pulsamos en Next.
La regla se aplicara a cualquier destino, entonces agregamos la red Externa que en nuestro caso sera la interface (NIC) Bridge, pulsamos en Add > Close y Next para continuar.
17
Como la regla se aplicara a todos los usuarios que estn en la red Interna (LAN1) dejamos la opcin por defecto y para terminar seleccionamos Next y Finish.
Pulsamos en Apply para que nos cargue la nueva regla el ISA.
18
Bien en este punto del documente vamos a explicar la configuracin de FW01, la funcin de FW01 es enrutar el trfico de la red LAN1 hacia internet, igualmente est prestando los servicios de NAT (PAT) con el fin de permitir conexiones hacia internet de ms de un cliente simultneamente ya que se dispone solo de una direccin pblica. Actualmente el FW01 est permitiendo cualquier servicio hacia internet, cualquier cliente puede navegar en la WWW sin configurar ningn tipo de proxy en el Web browser. Explicado esto vamos a configurar unas ACLs en FW01 para que solamente permita las solicitudes de HTTP y HTTPS iniciadas por el SVR-PROXY-01, con el objetivo de obligar a los usuarios que deseen navegar por la WWW a configurar el proxy en el Web browser y filtrando as comunicaciones HTTP y HTTPS.
ip access-list extended ALLOW_WEB_ACCESS_FROM_PROXY_ONLY permit tcp host 10.10.10.61 any eq 80 permit tcp host 10.10.10.61 any eq 443 permit udp host 10.10.10.60 any eq 53 deny tcp 10.10.10.0 0.0.0.63 any eq 80 deny tcp 10.10.10.0 0.0.0.63 any eq 443 deny udp 10.10.10.0 0.0.0.63 any eq 453 permit ip 10.10.10.0 0.0.0.63 any deny ip any any interface fa0/1 ip access-group ALLOW_WEB_ACCESS_FROM_PROXY_ONLY in
19
En estas capturas vemos que no tenemos configurado el proxy en el navegado y que no podemos navegar por la WWW.
Igualmente si observamos las coincidencias de las reglas creadas podemos ver que se han permitido comunicaciones para los servicios HTTP y HTTPS solo desde el SVR-PROXY-01,
20
igualmente se han denegado comunicaciones HTTP y HTTPS que no son originadas por SVRPROXY-01.
Comprobado esto configuramos el proxy en el Web browser proxy1.dominio.local en el puerto 8080.
El nombre proxy1.dominio.local ya que hemos creado un Alias para un RR en la zona directa de nuestro servicio DNS para el SVR-PROXY-01. Si deseamos cambiar el nmero de puerto para el proxy a utilizar, nos vamos a la siguiente ruta de la consola de administracin del ISA Server Networks > Internal > clic derecho properties > seleccionamos la pestaa Web Proxy.
21
Configurado nuestro web browser con el proxy ya podemos acceder a los servicios HTTP & HTTPS. Bloquear un navegador especfico En este apartado veremos cmo configurar una regla en el ISA Server para prohibir el uso de web browser especficos como Mozilla Firefox, Google Chrome, Apple Safari, entre otros.
En esta imagen observamos que tenemos varios navegadores web, y vamos a utilizarlos para comprobar reglas de prohibir la operatividad de un web browser especfico. Bloquear Mozilla Firefox web browser
22
En esta imagen observamos la estructura de un paquete que se capturo, la parte resaltada con el recuadro rojo es la que nos interesa. Crearemos una firma para denegar las solicitudes que contengan la palabra Firefox.
Damos clic derecho sobre la regla Allow web acces y seleccionamos la opcin Configure HTTP.
Seleccionamos la pestaa Signatures y pulsamos sobre el botn Add Blog: http://jfherrera.wordpress.com 23
Y en la ventana que nos levanta llenamos los campos con los valores que se muestran en la imagen.
Verificamos que la nueva Signature este comprobada y damos clic en Apply > OK.
24
Aplicamos los cambios y comprobamos la configuracin intentando acceder a la WWW por medio del web browser Mozilla Firefox.
25
Como podemos comprobar no est permitido la navegacin para el web browser Mozilla Firefox, pero para IE s. Bloquear Safari web browser
26
Realizamos un procedimiento parecido a la signature de Mozilla Firefox, aplicamos los cambios.
27
Al momento del ISA cargar los cambios podemos ver que la Signature ahora est operando como lo deseamos. Bloquear Chrome web browser
Si probamos navegar con Chrome no se va a permitir ya que como en las solicitudes del web browser Chrome hay valores como Safari en la directiva User-Agent:.
28
Pero igualmente podemos crear una Signature para el web browser Google Chrome, esto si no deseamos bloquear el web browser Apple Safari.
29
Bloquear Opera web browser
30
31
Aplicados los cambios vemos que las Signatures se estn filtrando correctamente. Bloquear Internet Explorer web browser
32
Y finalmente observamos la configuracin para bloquear el navegador Internet Explorer.
33
Salvada la configuracin y aplicados los cambios vemos que nos bloquea el web browser Internet Explorer. Bloquear MSN En esta seccin veremos cmo bloquear MSN.
34
35
Aplicada la configuracin podemos observar que nuestra poltica est funcionando como lo deseamos. Bloquear Windows Live Messenger
36
37
Bloquear Google Talk En esta seccin veremos cmo bloquear el cliente de IM Gtalk de Google.
38
39
Ya observamos que el ISA nos est filtrando y cerrando ese tipo de solicitud. Bloquear yahoo Messenger En este punto vamos a ver como bloquear el cliente yahoo Messenger.
40
Con la configuracin de la Signature, aplicados los cambios en el FW01, todava el cliente Yahoo Messenger puede conectarse correctamente, analizamos el trfico con el siguiente resultado:
41
Primero el cliente yahoo Messenger realiza la peticin de GET hacia la URL vcs2.msg.yahoo.com.
Segundo el FW01 deniega dicha peticin ya que creamos la Signature para msg.yahoo.
Tercero despus de varios intentos por parte del cliente yahoo Messenger fructuosos, este opta por realizar la peticin GET hacia la IP, en este punto encontramos un patrn y el cual fue /capacity.
42
Finalmente con la aplicacin de esta Signature nos bloquea correctamente el cliente Yahoo Messenger.
43
44
Este es otro mtodo de bloquear para el cliente Yahoo Messenger y es el que ms me agrada ya que puede ser ms concreto. Bloquear web mail google En ese apartado veremos cmo bloquear web mail de google,
45
Como podemos observar el proxy nos filtra esta URL, debemos tener presente que solo nos bloquea si el campo de URL se encuentra el string gmail.com como http://gmail.com, http://www.gmail.com, https://gmail.com, https://www.gmail.com. Debemos tener claro que los usuarios pueden usar las siguientes URL: mail.google.com gmail.com gmail.google.com
46
Con esta configuracin ya podemos bloquear correctamente gmal ya que al momento de digitar gmal.com automticamente lo redireccin a mail.google.
47
Probamos con gmail.com, mail.google.com, gmail.google.com
Incluso desde el lik de la pgina principal de google llamado gmail.
48
Bloquear hotmail
49
Bloquear web mail yahoo
50
En esta captura observamos que no nos carga la web para realizar login.
Thanks, Good Luck!
51

ISA Proxy Parte 1

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

ISA Proxy Parte 1

Cargado por

Copyright:

Formatos disponibles

Proxy HTTP & HTTPS

ISA Server 2006

INDICE Tabla de direccionamiento .................................................................................................... 4 Documentacin de dispositivos finales .................................................................................. 5

Device Name FW01 SVR-DNS-DHCP01 SVR-PROXY-01 Winxp1

Interface Name Fa0/0 Fa0/1 NIC NIC NIC

IP Address 10.10.10.130 10.10.10.62 10.10.10.60 10.10.10.61 DHCP

Subnet Mask 255.255.255.252 255.255.255.192 255.255.255.192 255.255.255.192 DHCP

Documentacin de dispositivos finales

Default Gateway Address

DNS Server Address

Network Applicati ons

10.10.10.62 10.10.10.62 /26

10.10.10 .60 10.10.10 .60 N/A

DNS DHCP Proxy (HTTP and HTTPS) N/A

Esta es la configuracin aplicada al servicio de DHCP.

Seguimos el asistente para la crear el nuevo entorno.

Agregamos los protocolos HTTP y HTTPS, pulsamos en Close y Next.

Pulsamos en Apply para que nos cargue la nueva regla el ISA.

Comprobado esto configuramos el proxy en el Web browser proxy1.dominio.local en el puerto 8080.

Seleccionamos la pestaa Signatures y pulsamos sobre el botn Add Blog: http://jfherrera.wordpress.com 23

Realizamos un procedimiento parecido a la signature de Mozilla Firefox, aplicamos los cambios.

Bloquear Opera web browser

Y finalmente observamos la configuracin para bloquear el navegador Internet Explorer.

Probamos con gmail.com, mail.google.com, gmail.google.com

Incluso desde el lik de la pgina principal de google llamado gmail.

Bloquear web mail yahoo

Thanks, Good Luck!

También podría gustarte