Avdeling for informatikk og e-læring, Høgskolen i Sør-Trøndelag Installasjon av ISA 2004 Stein Meisingseth 29.08.2005 Lærestoffet er utviklet for faget LO474D Systemsikkerhet 1. Installasjon av ISA 2004 Resymé: I denne leksjonen vil vi se på forberedelse til og installasjon av ISA 2004. 1. INSTALLASJON AV ISA 2004... 1 1.1. INNLEDNING... 2 1.2. FORBEREDELSE TIL INSTALLASJON... 2 1.2.1. Installasjon av Prerequisites... 2 1.2.2. Installasjon av AD og DNS... 2 1.2.3. Domain Name Service (DNS)... 6 1.2.4. DHCP... 7 1.2.5. Installasjon og konfigurasjon... 8 1.3. INSTALLASJON AV ISA SERVER 2004... 12
Installasjon av ISA 2004 side 2 av 15 1.1. Innledning Når det blir beskrevet en fremgangsmåte for installasjon eller konfigurasjon i de kommende kapitlene vil vi i hovedsak dele opp punktnummereringen slik at vi tar for oss ett og ett vindu. Det vil si at det ikke alltid står at du skal trykke f.eks. Next for å få opp neste skjermbildet. Dette vil vi regne som underforstått at man skal gjøre når man begynner på neste nummer i eksemplene. Det vil også forekomme mange engelske og engelsk-norske ord. Vi har valgt å ikke legge vekt på å fornorske alt ettersom det er mange faguttrykk som er vanskelig å oversette på norsk. 1.2. Forberedelse til installasjon 1.2.1. Installasjon av Prerequisites Vi vil her gjennomgå installasjon av ting som man må eller burde ha i et nettverk kontrollert av ISA-server. Dette er tjenester som helst ikke burde aktiveres på selve ISA-serveren men på servere i Internnettet. Tjenestene som vil bli gjennomgått er Active Directory (AD), Dynamic Host Configuration Protocol (DHCP) og Domain Name System (DNS). 1.2.2. Installasjon av AD og DNS Domenekontrolleren inneholder AD-databasen og benyttes til brukerautentisering. Man trenger kun en domenekontroller i et domene, men i store nettverk kan det lønne seg med flere slik at man ikke alltid er avhengig av at den primære domenekontrolleren er tilgjengelig. Den kan nemlig bli overbelastet slik at autentisering vil ta lang tid. Når en Member Server får forespørsel fra en bruker om tilgang sender den autentiseringsinfo til DC og spør om den kan stole på brukeren. DC leter i databasen og returnerer svar. 1. Velg Add or remove a role under Manage your server. Velg Domain controller (AD) som vist i figure 1.1 Figur 1.1
Installasjon av ISA 2004 side 3 av 15 1. Installer en domenekontroller for et nytt domene som vist i figur 1.2 Figur 1.2 2. Velg et domene i en ny skog (fig 1.3) Figur 1.3 3. Skriv inn fullt DNS-navn og trykk Next 4. Skriv så inn et NetBIOS-navn
Installasjon av ISA 2004 side 4 av 15 NETBIOS er en gammel metode for navngiving på nettverk. Netbiosnavnet er i bunn og grunn navnet til datamaskinen med store bokstaver, og kan benyttes til å koble til en datamaskin i et domene eller en arbeidsgruppe. 5. Legg databasen til eksempelvis: \DATA\NTDS og Logfil på WINDOWS\NTDS. Legg sysvol under Windows. 6. Velg så Install and configure the DNS server... valg nr2 (fig 1.4) Figur 1.4 7. Det blir da installert en DNS-server ettersom dette ikke er gjort fra før. Velg kun kompatibel med nyere Operativsystem som Windows 2000 eller 2003 Server (fig 1.5)
Installasjon av ISA 2004 side 5 av 15 Figur 1.5 8. Skriv inn et godt passord for Directory services restore mode. Se gjennom oppsummering at alt stemmer. Restart så maskinen etter installeringen er ferdig.
Installasjon av ISA 2004 side 6 av 15 1.2.3. Domain Name Service (DNS) For at maskinen skal kunne nås utenfra må DNS-server settes opp til å peke til serveren som er domenekontroller for ditt domene. Det vil si at den må få et innslag i tabellen sin som sier noe om hvilken IP som styrer domenet. Når noen skal nå domenet utenfra må de benytte hele stien fram til DNS-serveren. Figur 1.6 viser et eksempel på en hierarkisk oppdeling med DNS. De grønne innslagene viser host-navn (domenenavn). Får da å komme til host orange må man skrive orange.fruit.salad.com. Man kan også skrive fruit.salad.com og vil da bli redirected til en av hostene. Figur 1.6 DNS (Domain Name Services) ble utviklet for å gjøre bruk av nettverk mer brukervennlig for mennesker da den er en distribuert hierarkisk database som kobler sammen IP adresser og domenenavn. Det er nok for brukeren å huske domenenavnet og så spørre DNS tjeneren hvilken IP som styrer dette domenet. DNS serveren vil da slå opp i sin database og se om den har informasjon om dette domenet. Har den det returneres IP til brukeren og denne kan koble rett på den serveren. Fins ikke oppslaget i DNS databasen vil DNS serveren spørre neste DNS server og så videre. Det at systemet er hierarkisk betyr at hvis man analyserer en nettadresse vil delen lengst til venstre være den delen som er lengst ut i trestrukturen, og den delen helt til høyre være en rotserver.
Installasjon av ISA 2004 side 7 av 15 1.2.4. DHCP DHCP (Dynamic Host Configuration Protocol) er en metode for å gi ut IP-adresser til nodene i nettet basert på forskjellige kriterier. Man har her mulighet til å sette faste IP er for periferutsyr og servere koblet til nettet som det er praktisk at har en fast IP, og for maskiner som befinner seg i samme rom, slik at man har bedre kontroll på hvor i nettet et problem har oppstått. Reglene for fast IP settes for MAC adressen på nettverkskortet i den enkelte datamaskin. Dette er en entydig adresse på 48 bit som også kan benyttes som en del av datamaskinens navn. Med DHCP slipper man også å fysisk stille inn IP på hver datamaskin i nettet da dette administreres automatisk. Før installasjonen av DHCP kan det være greit å utføre visse justeringer til TCP/IP på server. 9. Bytt ut Preferred DNS server til local host (serverens IP). Dette kan skrives inn som 127.0.0.1 eller maskinens lokale IP-adresse. Forandre så Alternate DNS server til en ekstern DNS-server i tilfelle DNS-serveren skulle gå ned, som vist i figur 1.7 Figur 1.7
Installasjon av ISA 2004 side 8 av 15 1.2.5. Installasjon og konfigurasjon 1. Går inn på Managing your server og velg Add/remove a role. 2. Velg DHCP-server og trykk Next (fig 1.8) Figur 1.8 1. Sett inn cd for Windows Server 2003 når du blir spurt og trykk next Et DHCP-scope er reglene som gjelder for adresseutdeling for DHCP-serveren. Scopet settes først opp til å omfatte en IP-range og deretter setter man opp hvilke adresser som av forskjellige kriterier ikke skal deles ut og hvilke adresser som skal bindes til MAC adresser. MAC adressen er en 48 bits identifikasjonskode som er entydig for hvert nettverkskort. 3. Skriv inn navn på scopet og en beskrivelse 4. Fyll så ut START IP- og End IP-adresse, lengde på subbnett og subbnettmaske Vi brukte følgende: Start IP Address: 10.0.0.0 End IP Address: 10.0.0.30 Lengde: 24 Subnet mask: 255.255.255.0
Installasjon av ISA 2004 side 9 av 15 5. Skriv inn adressen til serveren under Start IP address og trykk på Add som vist i figur 1.9 Figur 1.9 Exclusions er addresser du ikke vil at skal være tilgjengelige i scopet. Det vil si at de ikke deles ut til noder som har satt på automatisk tildeling av IP via DHCP. Dette er oftest adresser til servere og andre noder som med fordel kan ha en fast IP. 6. Sett Lease Duration til en dag (fig 1.10) Figur 1.10
Installasjon av ISA 2004 side 10 av 15 Lease Duration er hvor lenge leien av en IP er gyldig. Når denne tidsfristen går ut vil datamaskinen kontakte DHCP-serveren igjen og fornye adressen. Velg så ja for å konfigurere DHCP for scopet nå (fig 1.11) Figur 1.11 7. Under Router (Default Gateway) legger du til IP-adressen for din egen router og trykker Add Default Gateway er ruteren/maskinen i det subbnettet noden ligger. Om en IP pakke skal sendes til en adresse som ikke ligger i sitt subbnett vil pakken sendes til default gateway. Subbnettmasken definerer hvor bredt subbnettet er, og en subbnettadresse på 255.255.255.0 for 158.38.56.0 vil si at subbnettet rekker fra 158.38.56.1 til 158.38.56.254 hvor 0 og 255 er reserverte. Deler man dette subbnettet i fire, vil subbnettmasken bli 255.255.255.192. Bredden på 158.38.56.0 vil da bli til 158.38.56.62 med 0 og 63 som reserverte adresser.
Installasjon av ISA 2004 side 11 av 15 8. Under Domain Name and DNS Servers legger du inn ditt domene som Parent domain og Netbios-navnet som Server name. Sett IP-adressen til DNS-servern og trykk Add. Se eksempel på figur 1.12 Figur 1.12 Parent domain er domenet til den DNS-serveren som kobler sammen din domeneadresse med din IP. DNS er en hierarkisk oppbygd distribuert database som ble utviklet for å gjøre måten personer kan kommunisere med nettverk på enklere. Den kobler sammen IP-adresser med domenenavn som er mye lettere for mennesker å huske. Hierarkiet ligger i at hvis en DNSserveren du forespør ikke inneholder kobling mellom det domenet du spør etter og IP'en vil den spørre neste DNS i rekken og så videre. En domeneadresse består av flere segmenter atskilt med punktum. I adressen aitel.hist.no vil "aitel" være lengst ut i strukturen mens "no" er en rotserver. Grunnen til at AD krever installasjon av DNS er at AD benytter seg av DNS sin metode for å navngi objekter. 9. Velg Activate Scope og pass på at IP og DNS stemmer på Server. Sjekk også at klienten(e) mottar IP-adresse automatisk. Må da huske på å sette på automatisk tildeling av adresser via DHCP under TCP/IP som man finner under Lokal area connection
Installasjon av ISA 2004 side 12 av 15 1.3. Installasjon av ISA Server 2004 1. Sett inn CD eller mount image 2. Trykk på Install ISA server 2004 (figur 2.1) Figur 2.1 3. Trykk Next og godta avtalen for å komme videre 4. Skriv inn brukernavn, organisasjonsnavn og serienummer (fig 2.2) Figur 2.2
Installasjon av ISA 2004 side 13 av 15 5. Trykk next og velg Custom installasjon. Velg alternativene som står default. Dette er Firewall Services og ISA Server Management. Trykk Next som vist i figur 2.3 Figur 2.3 6. Sett så opp din Interne adresserange (I vårt tilfelle: 10.0.0.0 10.0.0.255). Dette gjør du ved å trykke på Add og skrive inn IP-adresser i From- og To-feltet og velger Add. Når man trykker OK kommer adresserangen opp i vinduet. Dette vises i figur 2.4
Installasjon av ISA 2004 side 14 av 15 Figur 2.4 7. Under Firewall Client Connection Settings-vinduet fjerner du krysset for Allow earlier firewall clients. Dette brukes bare om ditt nettverk allerede inneholder elder typer av Firewall-klienter. 8. En advarsel om at en del services vil stoppes dukker opp. Trykk Next om ingen ting av det du kjører er kritisk i en liten periode 9. Velg at du ikke vil starte services for Management (Invoke ISA Server Management). Man må uansett restarte maskinen når ISA er ferdig installert og oppdatert 10. Du vil få opp en enkel html-side som spør om man vil oppdatere. Vist i figur 2.5. Trykk på linken ISA Server Security Update Center og oppdater viktige elementer. Pass på å installere Service Packs. Velg enkel installasjon
Installasjon av ISA 2004 side 15 av 15 Figur 2.5 11. Trykk på Finish og restart ISA-s