Đôi điều về SecureNAT client & Web proxy client Trang 1/ 4 Hiệu năng hoạt động của ISA server không chỉ phụ thuộc vào các cấu hình của riêng nó mà còn chịu ảnh hưởng từ cách cấu hình của các máy khác trong hệ thống mạng - các ISA client -. ISA Client là gì? Theo quan niệm thông thường, client là máy tính gửi yêu cầu cung cấp dữ liệu đến server, server thu thập dữ liệu và gửi đáp ứng cho client. Quan hệ client - server phụ thuộc vào phần mềm được cài đặt trên client để giúp nó giao tiếp được với một dịch vụ nhất định tại server. Tuy nhiên, khái niệm ISA client - ISA server lại hoàn toàn khác. ISA client không nhất thiết phải được cài đặt một ứng dụng cụ thể nào và ứng dụng trên ISA client cũng không nhất thiết phải kết nối trực tiếp đến ISA server. Nói ngắn gọn và cụ thể hơn, bất cứ máy tính nào kết nối đến tài nguyên mà nó cần dùng bằng cách thông qua ISA đều được xem là ISA client. Theo quan niệm nêu trên, ISA client sẽ thuộc về 1 trong 3 loại: - SecureNAT client. - Web Proxy client. - Firewal client. Một máy tính duy nhất có thể được cấu hình để hoạt động theo 1 hoặc nhiều loại ISA client. Ví dụ, 1 máy Windows XP có thể được cấu hình thành cả 3 loại client. 1 máy Linux có thể được cấu hình thành Web Proxy client và Firewal client. Chọn lựa loại ISA client thích hợp nhất đôi khi lại là một bài toán không dễ. Với mong muốn hỗ trợ phần nào cho các vị quản trị viên, bài viết này trình bày một vài vấn đề đôi khi ít được chú ý trong quá trình triển khai SecureNAT client và Web proxy client . 1. SecureNAT client: - Cài đặt: Không cần cài đặt ứng dụng nào cả. Thông số duy nhất cần quan tâm là Default Gateway. Phải khai báo Default Gateway sao cho mọi thông tin hướng ra internet phải được định tuyến đến ISA server. Tuỳ theo cấu trúc mạng mà thiết lập các định tuyến (route) cần thiết trên các thiết bị định tuyến (router) nội bộ. - Hệ điều hành: Bất cứ hệ điều hành nào hỗ trợ TCP/IP - Loại protocol: Chì có thể dùng các protocol multi-connections nếu ISA server kích hoạt bộ lọc ứng dụng (Application filter) tương ứng - Không thể chứng thực người dùng Để hiểu cách cấu hình SecureNAT client, xin ví dụ 2 hệ thống mạng, tạm gọi là mạng đơn giản và mạng phức tạp Mạng đơn giản Đôi điều về SecureNAT client & Web proxy client Trang 2/ 4 Hệ mạng chỉ có 01 network ID và không có router nội bộ. Default gateway của các client là địa chỉ IP của card trong (internal interface) của ISA server. Thực chất hoạt động của ISA server là router và NAT server. Mạng phức tạp: Hệ mạng gồm 03 network ID và 01 router nội bộ. Default gateway của các client là địa chỉ IP của router. Router được cấu hình default route là địa chỉ IP của card trong (internal interface) của ISA server. Thực chất hoạt động của ISA server cũng là router và NAT server. Đôi điều về SecureNAT client & Web proxy client Trang 3/ 4 Một số ưu điểm: - Không cần cấu hình gì cả vì thực ra cấu hình đã hoàn chỉnh khi xây dựng cơ sở hạ tầng mạng. - Triển khai trên các client không dùng hệ điều hành Windows. - Hỗ trợ các ứng dụng "non-TCP/UDP" như ICMP (Client cần dùng lệnh ping hoặc tracert...) hoặc PPTP (Client cần dùng PPTP để kết nối đến 01 VPN server ngoài internet - loại trừ trường hợp client dùng L2TP / IPSec NAT Traversal) Một số hạn chế:: Hạn chế thứ nhất: SecureNAT client không có ứng dụng thực hiện việc gửi username và password đến firewall service trên ISA server, vì thế ISA không thể chứng thực user đối với thông tin phát sinh từ SecureNAt client và tất nhiên cũng không thể ghi nhận (log) các thông tin truy cập liên quan đến user. Hạn chế thứ hai: Client không thể dùng các protocol đa kết nối (multi connection) nếu ISA không có loại bộ lọc ứng dụng thích hợp. Ví dụ FTP là 1 protocol đa kết nối: FTP client khởi tạo kết nối đến port TCP 20 của FTP server để tạo 01 kênh điều khiển (control chanel). FTP Client và FTP server sẽ dùng kênh điều khiển này để thương thảo số port mà FTP client dùng để nhận thông tin. Sau đó, FTP server truyền dữ liệu từ port TCP 21 đến port đã thương thảo của FTP c