Данный продукт пришел на смену системе Internet Security and Acceleration Server (ISA) 2006; он интегрируется с решением Forefront Protection Manager, ранее известным как Stirling (в данный момент продукт находится на этапе бета-тестирования, выпуск версии для производства запланирован в текущем году), обеспечивающим централизованное управление продуктами семейства Microsoft Forefront. Механизмы Forefront TMG подключаются к консоли Forefront Protection Manager через систему Security Assessment Sharing (SAS).

Редакции Forefront TMG 2010 Standard и Enterprise заменяют систему ISA 2006, при этом редакция Enterprise поддерживает развертывание массивов TMG и систем с неограниченным количеством процессоров, а также управление данными массивами и системами.

Представители Microsoft называют пакет Forefront TMG 2010 комплексным средством управления рисками. В состав Forefront входят возможности, недоступные системе ISA, в том числе проверка исходящего трафика SSL, проверка сети на основе предварительных описаний (NIS), блокирование вредоносных программ на шлюзе. Давайте рассмотрим основные возможности и базовую конфигурацию пакета Forefront TMG 2010.

Установка Forefront TMG 2010

Для работы Forefront TMG 2010 необходима операционная система Windows Server 2008 или Windows Server 2008 R2 (только 64‑разрядные редакции), 2 Гбайт оперативной памяти, 2,5 Гбайт свободного дискового пространства и хотя бы одна сетевая карта. Кроме того, потребуется установить службы .NET Framework 3.5, Windows PowerShell и Microsoft Message Queuing Service с интеграцией Directory Integration.

Вы можете загрузить дистрибутив Forefront TMG 2010 с сайта Microsoft. Для работы над данной статьей я установил Forefront TMG на сервер с системой Windows Server 2008 R2 с двумя сетевыми картами, одна из которых подключена к Интернету, а вторая — к моей локальной сети.

Мастер Preparation Tool будет направлять вас в процессе установки, позволяя выбрать набор необходимых компонентов. На выбор будет предложено три варианта установки пакета Forefront TMG: загрузка компонентов Forefront TMG Services и Forefront TMG Management, установка только компонента Forefront TMG Management и установка системы Enterprise Management Server (EMS) для централизованного управления массивом.

Массивы состоят из нескольких серверов TMG, работающих совместно для обеспечения высокой доступности и масштабируемости. Для простой тестовой конфигурации я выбрал установку компонентов Forefront TMG Services и Management, которые включают в себя службы Forefront TMG и консоль управления.

Сразу после завершения установки система Forefront TMG предлагает набор стартовых мастеров, предназначенных для настройки базовой конфигурации. Наиболее важным из них является мастер Network Settings, который позволяет выбрать топологию конфигурации межсетевого экрана. Процесс настройки оказался неожиданно простым для серверного продукта компании Microsoft.

Возможности Forefront TMG 2010

Система Forefront TMG совмещает в себе механизмы платформы ISA, такие как межсетевой экран, прокси-сервер и удаленный доступ, а также предоставляет комплексное решение для управления рисками. В состав Forefront TMG входят средства просмотра входящего и исходящего трафика HTTPS, средство блокирования загрузки вредоносного программного обеспечения через шлюз, усовершенствованная система инспектирования сети, а также система фильтрации адресов URL на основании их принадлежности к различным категориям, предназначенная для контроля использования сотрудниками ресурсов Интернета («управление производительностью» в терминах Microsoft).

Впервые корпоративный межсетевой экран от компании Microsoft работает на базе 64‑разрядных процессоров, при этом обеспечивается повышенная производительность и более тщательная проверка сети. Другая важная особенность системы Forefront TMG — возможность ее интеграции с пакетом Forefront Protection Manager, консолидирующим данные по вcем продуктам Forefront, что позволяет администраторам настраивать динамическую защиту от угроз, обнаруживаемых в сети.

Помимо мастеров, запускающихся после завершения установки, для настройки службы можно использовать вкладку Role Configuration на основном экране Forefront TMG, которая содержит прямые ссылки на различные экраны консоли. При этом, однако, дополнительные мастера настройки в системе отсутствуют.

Экраны мониторинга и управления (экран 1) обеспечивают обзор всех компонентов системы Forefront TMG, а также других сетевых служб, от которых зависит работа системы, таких как Active Directory (AD) и DNS.

Экран 1. Панель Forefront TMG

Панель Tasks привязана к узлу Firewall Policy и содержит прямые ссылки на публикацию общих серверов, в частности службы SharePoint или Exchange Mail. В состав пакета Forefront TMG входит фильтр Session Initiation Protocol (SIP), который автоматически управляет открытием и закрытием портов Real Time Protocol (RTP) в сеансах VOIP.

Политика Web Access Policy включает аутентификацию на прокси-сервере, HTTP-сжатие, проверку протокола HTTPS, защиту от вредоносного программного обеспечения и кэширование. Фильтрация адресов URL на основе категорий базируется на информации, предоставляемой ресурсом Microsoft Reputation Services.

Система Forefront TMG, предоставляющая механизмы фильтрации спама и защиты от вирусов для систем Exchange, также может использоваться в качестве ретранслятора SMTP. Если система Forefront TMG установлена на тот же сервер, на котором развернуты службы Exchange Edge Server и Forefront Protection 2010 for Exchange, она может применяться для централизованного управления обменами SMTP, службой «антиспам», а также политиками блокировки вредоносного кода на периметре сети, обеспечивая при этом поддержку работы с массивами.

Механизм проверки сети на основе предварительных описаний в системе Forefront TMG (экран 2) основан на новой технологии от разработчиков Microsoft Research, Generic Application-level Protocol Analyzer (GAPA) и может быть использован для блокировки трафика, направленного к определенным сетевым ресурсам, при обнаружении шаблона атаки.

Экран 2. Сетевая инспекция в Forefront TMG

Проверка сети, также известная как виртуальное исправление (virtual patching), может потребоваться в ситуациях, когда для известной ошибки еще не разработано или не установлено исправление, особенно с учетом того, что новое описание может быть внедрено в систему очень быстро. Кроме того, в системе сохранены стандартные возможности, перешедшие из платформы ISA 2006, такие как обнаружение DNS-атак и предотвращение Flood-атаки.

Несмотря на то что в этом выпуске новым механизмам удаленного доступа уделено мало внимания, основным достоинством компонента TMG Remote Access является поддержка технологии Network Access Protection (NAP), используемой в системе Server 2008. Данная технология отвечает за применение политик работоспособности в тех случаях, когда VPN-клиенты подключаются к сети через систему TMG и заменяют собой громоздкую, построенную на основе сценариев технологию Network Access Quarantine (NAQ), используемую в системе Windows 2003.

В системе Forefront TMG также предусмотрена встроенная поддержка протокола SSTP, что позволяет пользователям Windows Vista и Windows 7 создавать подключения VPN через протокол HTTPS.

Дублирование ISP — превосходное решение для компаний, работающих с несколькими провайдерами услуг Интернета. Система Forefront TMG может не только обнаружить потерю соединения и переадресовать весь трафик в резервную сеть, но и обеспечить балансировку нагрузки между несколькими каналами (если одно из подключений более быстрое, большая часть трафика будет перенаправлена на него).

Как и платформа ISA, компонент Firewall Client системы Forefront TMG может создавать подробные отчеты о действиях пользователей и сетевом трафике. Модуль Firewall Client является дополнительным компонентом, который может быть установлен на рабочие станции и ноутбуки. Данный компонент особенно полезен в организациях с высокими требованиями к безопасности.

Модуль Firewall Client может быть настроен на использование службы каталогов AD для безопасного обнаружения доверенных веб- и прокси-серверов вместо протокола Web Proxy Auto-Discovery Protocol (WPAD), менее безопасного и более сложного в настройке.

Рассел Смит (rms@russell-smith.net) — независимый ИТ-консультант, специализируется на управлении системами