Soru 1

ISA Server üzerinden web server yayınladım. Herşey normal görünüyor ama web sitem sadece 443 nolu port üzerinden ( https ) çalışıyor. 80 nolu port ( http ) üzerinden de  çalışmasını nasıl sağlayabilirim ?

Toolbox > Network objects > Web Listener > yolunu takip ederek daha önceden oluşturduğumuz Web Listener üzerinde bir kaç değişiklik yapacağız.

Edit diyorum.

Enable HTTP connections on port kutucuğunu işaretliyorum.

Advanced diyorum.

Allow client authentication over HTTP kutucuğunu işaretliyorum. Bu kutucuğu işaretlediğinizde uzunca bir uyarı mesajı çıkacaktır.

” The current configuration will result in client credentials being sent unencrypted to ISA Server computer. For best security, use this configuration only if you are using an external SSL accelerator. ”

Web sitesine 80 port üzerinden de erişim sağlanması durumunda kimlik doğrulama bilgileri gibi bilgiler sunucuya şifresiz olarak gönderileceği için güvenlik zaafı yaratacaktır. Eğer site içinde kimlik doğrulama gerektiren prosesler yer alıyorsa gerekmedikçe 80 nolu portu kullanmamalısınız.

Soru 2

Web server üzerinden yayın yapan sitem farklı bir port üzerinden ( 8443 nolu port ) çalışıyor. Ben kullanıcılarımın herhangi bir port yazmadan ( https üzerinden ) web siteme ulaşabilmelerini istiyorum nasıl yapabilirim ?

Redirect request to SSL port 443 nolu portu 8443 olarak değiştirmek yeterli olacaktır. Web Listener olarak kullanılan port 443 nolu port olduğu için, Biz burada aslında şunu yapmış oluyoruz. 443 portuna bir istek geldiği zaman bu istekleri 8443 nolu porta yönlendiriyoruz. Hepsi bu.

Soru 3

Web server üzerinden yayın yapan siteme yanlızca belirli bir domain yada ip adresi üzerinden erişilmesini nasıl sağlayabilirim ?

Public Name üzerinden hangi domainlerin yada ip adreslerinin web sitenize erişmesini istiyorsanız ilgili domainleri yada ip adreslerini bu alana eklemeniz yeterli olacaktır.

Not: Burada web servere erişim sağlamaktan bahsederken, erişim sağlayacak olan x firmasının, ip adresi, yada domain adı, olmadığını belirtmek istiyorum.

Aynı ip adresi üzerinde birden fazla web sitesi host ediyor olabilirsiniz. Siz burada web server üzerinde bulunan, hangi domain yada domainler üzerinden erişim sağlanabileceğini buraya ekleyeceğiniz domain adları ile belirleyebilirsiniz.

Mesela ben host dosyasına ssl.turkbirligi.local ve ssl2.turkbirligi.local adreslerini web serverin ip adresi ile ilişkilendirdim.

Sonrada sadece ssl.turkbirligi.local üzerinden erişim sağlanmasını istedim.

Eğer ben ssl2.turkbirligi.local üzerinden web servere erişmeye çalışırsam bana hata mesajı geri dönecektir.

Aynı durumda ip adresi ekli olmadığı için ip adresi üzerinden de siteye erişmeye çalışırsamda yine aynı hata mesajı bana geri dönecektir.

Workgroup ortamında radius authentication ile haberleşme sağlanarak A.D. deki kullanılar VPN internet erişimi gibi hizmetlerden faydalanabilirler.

Bir örnekle konuya açıklık getirelim isterseniz.

Öncelikle Firewall Policy üzerinde daha önceden oluşturmuş olduğumuz bir kural üzerine sağ tuş ile tıklayarak Configure HTTP diyorum.

Burada 5 ayrı sekme bulunmakta. Bizim konumuz signature olduğu için diğerlerini es geçiyorum. Daha sonra değineceğim.

Burada daha önceden tanımlanmış olan kuralları görmektesiniz.

Add diyerek yeni kurallar tanımlayabiliriz.

Signature Search Criteria > Search in : bölümünde 5 farklı alan tanımlanmış.

Request URL – Request headers – Request body – Response headers – Response body

Daha önceden tanımlamış olduğum bir kaç kuralın içine giriyorum.

Peki bu bilgileri nereden öğreneceğiz diyenler olabilir içimizde. Aşağıdaki linkten konu hakkında detaylıca bilgi edinebilirsiniz.

Common Application Signatures

Peki farklı bir uygulama için signature tanımlamak istersek ne yapacağız ?

Not : HTTP protokolünü kullanmayan yazılımlar farklı bir port kullandığından ötürü zaten yasaklı durumdadırlar ve çalışmazlar.

Http Sniffer yazılımları ile kolayca yapabiliriz. Ben bedava bir çözüm olan SmartSniff yazılımını kullanacağım. Yazılımı buradan indirebilirsiniz.

Örneğin Opera tarayıcısını isa üzerinden engellemeye çalışalım.

Programı çalıştırıyorum.

F5 ile Start Capture diyorum.

Capture için kullanacağım metodu seçiyorum. Son olarak ethernet kartıma bağlı ip adresini seçiyorum.

Resimde altı çizili yer bizim için önemli. User-Agent: Opera/9.64

Isa server üzerinde yeni bir signature tanımlayarak Opera kullanımını yasaklayacağım.

Add diyerek yeni kuralımı tanımlıyorum.

OK diyorum. Tekrar OK diyorum. Kuralın geçerli olması için Apply diyorum.

Gördüğünüz gibi Opera ile artık internete çıkışım engellenmiş durumda.

Bir sonraki makalede görüşmek üzere.

• Domain Controller için adminpak aracı mevcut.
• Exchange için ( Exchange 2007 ) management console aracı mevcut.
• Isa server için management console aracı mevcut.

Bunu farklı uygulamalar için çeşitlendirmek mümkün.

Öncelikle isa server kurulum cd sini açıyorum. ( Kurulum otomatik olarak açılmazsa ISAAutorun.exe yi çalıştırın.)

Install Isa Server 2006 diyorum.

Next diyorum.

Next diyorum.

Next diyorum.

Install Isa Server Management seçiyorum. Next diyorum.

Next diyorum.

Install diyorum.

Finish diyorum.

Isa server için mmc konsolunu açıyorum.

Connect to configuration storage server yazan yeri tıklıyorum.

Next diyorum.

Isa serverin ip adresini makine adını yada FQDN adını yazabilirsiniz.

Gerekli izinlere sahip bir kullanıcı ile oturum açmışsanız, Credentials of the logged-on user seçmeniz yeterli. Eğer admin yetkisine sahip bir kullanıcı ile oturum açmanız gerekiyorsa yada farklı bir domaindeki isa serveri kontrol etmeniz gerekiyorsa diğer seçeneği kullanmalısınız.

Next diyorum.

Bir önceki bölümde kullandığım kimlik doğrulama bilgilerini kullanacağım için Herhangi bir değişiklik yapmıyorum.

Next diyorum.

Finish diyorum.

Artık isa serverimizi rahatlıkla yönetebiliriz.

Bir sonraki makalede görüşmek üzere.

Server 2003 ile beraberinde gelen FTP servisini;

Control Panel > Add or Remove Programs > Add/Remove Windows Components > Application Server > Internet Information Services > File Transfer Protocol ( FTP ) Service

Buradan kurabilirsiniz.

FTP sunucuma son şekini vermek için bir kaç ayar yapıyorum. Burada FTP sunucusu yapılandırmasından bahsetmiyeceğim.

Ben FTP servisini ISA server üzerine kurdum. Siz başka bir sunucu üzerinde yapabilirsiniz.

ISA Serverin konsolunu açıyorum. Configure edilmemiş bir ISA Server ile karşı karşıyayız. Hemen Publish Non-Web Server Protocols yazan yere tıklıyorum.

Kural adı giriyorum. Next diyorum.

FTP sunucumun ip adresini yazıyorum. Next diyorum.

Protocol olarak FTP Server seçiyorum.

Properties diyorum oradan parameters yazan yeri seçiyorum. Port olarak 21 portu tanımlı ve inbound görünmekte. Dışarıdan iç networkünüze bağlantı kuracaksanız inbound olmak zorunda eğer siz webdeki ftp sunucularına bağlanmak için port açacaksanız o zaman outbound olmalı. OK diyerek çıkıyorum.

FTP sunucuma istklerin nereden geleceğini belirliyorum. Dışarıdan bağlanacakları için External seçiyorum. Next diyorum.

Finish diyerek bitiriyorum.

Apply diyerek kuralın uygulanmasını sağlıyorum.

Şimdi oluşturduğum kuralın özelliklerine giriyorum. Properties diyorum.

Traffic sekmesine geliyorum. Ports yazan yeri tıklıyorum.

21 portu dışında bir port kullanmak isterseniz buradan değiştirebilirsiniz. Ok diyerek çıkıyorum.

Filtering yazan yerden Configure FTP diyorum.

Read only seçili olduğunu göreceksiniz. Bu tiki kaldırmazsanız FTP sunucuya bağlanacak olanlar sunucunuza dosya atamazlar.

From sekmesinde Anywhere görünmekte. Bu şu demek dışarıdan herhangi birisi rahatlıklan FTP sunucumuza bağlantı kurabilir. ğer biz maximum güvenlik istiyorsak buraya hangi ip adreslerinden bağlantı kurulacaksa o ip adreslerini eklemeliyiz. ( ör: 88.255.82.** gibi )

Buradan FTP sunucusunun ip adresini giriyorum.

Burada isteklerin nereden geleceğini belirliyorum. Bazı uygulamar sunucuya istekte bulunan makineden gerçek kimlik bilgisini doğrulamasını isteyebilir. Microsoft bu gibi durumlarda Request appear to come from the ISA server computer kulanılmasını tavsiye ediyor.

Schedule sekmesinden de Hangi günlerde ve hangi saatlerde kuralın aktif olacağını belirleyebiliyoruz.

Bir sonraki makalede görüşmek üzere.

Messenger bağlantısı için gereken portlar

• TCP 80
• TCP 1863

Dosya transeferi için gereken portlar

• TCP 6891
• TCP 6900

Görüntü transferi için gereken portlar

• TCP 9000
• TCP 80

Ses transferi için gereken portlar

• TCP 5004
• UDP 65535

Video Konferansı için gereken portlar (Sadece XP)

• UDP 5004
• UDP 65535

Uzak yardım için gereken portlar (Sadece XP)

• TCP 3389

Uygulama paylaşımı için gereken portlar (Sadece XP)

• TCP 1503

Oyunların çalıştırılması için gereken portlar

• TCP 80

Bakınız sistem gereksinimleri

İşlemci

733 MHz Pentium III veya daha hızlı işlemciye sahip bir bilgisayar

Bellek

512 megabayt (MB) RAM veya fazlası önerilir.

Sabit Disk

150 MB kullanılabilir sabit disk alanına sahip NTFS biçimli yerel bölme; Web önbelleği içeriği için ek alan gerekir.

İşletim Sistemi

Microsoft Windows Server 2003 Hizmet Paketi 1 (SP1) 32-bit işletim sistemi veya Microsoft Windows Server 2003 R2 32-bit.

Interface gereksinimleri

Isa server yapımıza göre Interface gereksinimlerimiz değişiklik gösterebilir.

Ör: Firewall olarak kullanacaksak 2 adet Interface ihtiyacımız olacak. Ama ben sadece proxy uygulaması için kullanacaksam tek ethernet kartı işimi görecektir. Bu arada Techet sayfalarında 3 adet Interface kullanılmasını öneriyor.(1) Internal Network adapter (2) External Network adapter (3) Perimeter Network Adapter

Biz uygulamalarımızda Isanın etinden sütünden yararlanacağımız için en azından 2 Interface ithiyacımız olacak.

Elinde isa server 2006 cd si olmayanlar aşağıdaki adreslerden download edebilirler.

Internet Security and Acceleration (ISA) Server 2006 180-Day Trial Version

Firewall Client for ISA Server

Herşey hazırsa yavaş yavaş kuruluma geçebiliriz demektir.

Kuruluma geçmeden önce isa kuracağım serveri member server yapıyorum. Serveri domainime dahil ediyorum o kadar.

İki adet ethernet interface miz olacak.

Artık kuruluma başlıyoruz.

Install Isa Server 2006 diyorum. Isa yı sistemimize kurmamız için gerekiyor.

Core Components yani çekirdek bileşenler kuruluyor.

Next diyorum.

Lisans sözleşmesini kabul ediyorum. Sanırım etmek istemeyen yoktur.

Next diyorum.

Typical yani tipik kurulum seçiyorum. Eğer custom seçersem neyi kurup neyi kurmak istemediğimi belirleyip ona göre kurulumuma başlayabilirim.

Burada bizden Internal Network yani iç network ümüzün ip aralığını girmemizi istiyor. Add diyorum.

Add Adapter yazan yerden iç network ümüzün network interface sini ekleyebilirim ama buradan ekleme yaparsam istemediğim ip adresleri de eklenebilirbu yüzden Add Range diyorum.

IP aralığımı yazıyorum. OK diyorum.

OK diyorum.

Next diyorum.

Allow non-encrypted Firewall client connections seçeneğini işaretlemiyorum. Bu seçenek isa 2004 ten önceki client sürümleri için geçerli olan bir seçenektir. Zaten kurmakta olduğumuz isa 2006 client ile server arasındaki bağlanıyı şifrelemektedir. Bu yüzden bu seçeneği işaretmeme gerek yok.

Burada bazı servislerin kurulum esnasında restart ( yeniden başlatılabileceğini ) edilebileceğini yada disable ( kapatılabileceğini ) edilebilir diye bizi uyarıyor.

Install diyorum.

Kurulum başladı ve hızla devam ediyor.

Additional Components Ek bileşenler kuruluyor.

System Initialization yani burada diyor ki sistem ilk kullanım için hazırlanıyor.

Kurulumumuz sağ salim tamamlanmıştır arkadaşlar.

Bir sonraki makalede buluşmak üzere. Makalede takıldığınız bir yer olursa veya eklenmesini istediğiniz bir ayrıntı olursa forumumuz üzerinden yazabilirsiniz.

Videolu anlatım eklenmiştir.