ISA Server 2004 : SP2, appliances & ISA Server 2006 3/26/2017 3:56 PM ISA Server 2004 : SP2, appliances & ISA Server 2006 Pierre Chesné Ingénieur Système Stanislas Quastana, CISSP Architecte Infrastructure © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Agenda Appliances Service Pack 2 ISA Server 2004 3/26/2017 3:56 PM Agenda Appliances Service Pack 2 ISA Server 2004 ISA Server 2006 (Wolverine) Ressources utiles Questions / Réponses © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Qu’est-ce qu’une “Appliance” ? 3/26/2017 3:56 PM Qu’est-ce qu’une “Appliance” ? (ISA Server 2004) “Boîte noire” qui intègre une ou plusieurs fonctionnalités précises comme un pare-feu ou autres. Solution clé en main (Matériel + Logiciels) : Windows Server 2003 SP1 Standard Edition ISA Server 2004 SP1 Standard Edition Matériel spécialisé Format rack Interface réseaux en façade Carte accélératrice SSL Alimentation redondante … Fonctionnalités supplémentaires : Produits tiers Filtres supplémentaires © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Anatomie d’une appliance Haute disponibilité Reporting Appliances Antivirus Authentification Filtrage applicatif Accélérateurs SSL Contrôle d’URLs Plus de partenaires : http://www.microsoft.com/isaserver/partners/default.asp

Pourquoi une Appliance ? 3/26/2017 3:56 PM Pourquoi une Appliance ? Facilité de déploiement (moins d’erreurs) Le constructeur est responsable: (tests, intégration), et supporte l’appliance (matériel & logiciel ) Le constructeur peut donner accès à des mises à jours fonctionnelles et des nouvelles versions testées et validées (ex: Network Engine) Solution souvent moins onéreuse – licences comprises (Windows, ISA et produits tiers) et absence de CALs. © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Les constructeurs Pyramid Computer (ValueServer) Celestix (MSA Serie Appliance) Pyramid Computer (ValueServer) SecureGuard (Isa 110/760/1300) Wortmann (Terra Securum M 500/1000R/2000R) Corrent (SR 125/225/325) Whale (Intelli. Appli. Gateway-Isa) Hewlett-Packard (DL 320) Network Engines (NS6250/6300 /6400/8200/8400)

L’appliance de démonstration NS 6400 (Network Engines) Pentium IV 2.8 GHz 1 Go de RAM 60 Go de disque dur 6 interfaces réseaux en façade Dont une pour l’administration

(Network Engine Web Server) 3/26/2017 3:56 PM Démonstration Prise en main de l’interface NEWS (Network Engine Web Server) © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Agenda Appliances Service Pack 2 ISA Server 2004 3/26/2017 3:56 PM Agenda Appliances Service Pack 2 ISA Server 2004 ISA Server 2006 (Wolverine) Ressources utiles Questions / Réponses © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Objectifs du SP2 ISA Server 2004 Corriger des problèmes fonctionnels post SP1 Améliorer certaines fonctions Etablir une connectivité sécurisée pour les réseaux agences Optimiser l’utilisation de la bande passante sur des lignes à bas débit

Déploiement “Branch Office” Agence Siège

Problématiques des architectures de type réseau d’agence 3/26/2017 3:56 PM Problématiques des architectures de type réseau d’agence Faible bande passante (64 kbps -512 kbps). Augmentation du trafic Accroissement du pourcentage du contenu web sur ces liaisons Certains contenus Web sont dynamiques et ne sont pas toujours « cachables » avec des technologies de mise en cache Ex : BITS © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Apports du SP2 d’ISA Server 2004 3/26/2017 3:56 PM Apports du SP2 d’ISA Server 2004 Intègre de 70 correctifs fonctionnels Permet la compatibilité d’ISA 2004 avec Windows 2003 R2 SQL Server 2005 Offre de nouvelles fonctionnalités : Compression HTTP BITS Caching Diffserv (Differentiated Services) © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Utilisation de la compression HTTP 3/26/2017 3:56 PM Utilisation de la compression HTTP Site central Jean Bouin Sept Deniers © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

La compression HTTP Documentée dans les RFC 1951 & 1952 Uniquement sur de l’HTTP 1.1 Get “AcceptEncoding = Accept-Encoding: gzip, deflate” Reponse “ContentEncoding = Content-Encoding: gzip” Dans l’entête HTTP de la requête du client Dans l’entête HTTP de la réponse du serveur

La compression HTTP dans ISA 3/26/2017 3:56 PM La compression HTTP dans ISA Ajout de 2 nouveaux filtres Web Filtre de compression / décompression Filtre de cache et de contenu compressé Inspection du contenu compressé Le filtre de compression est le premier dans l’ordre de traitement Le cache supporte le contenu Http compressé grâce au second filtre Attention : l’utilisation de la compression peut affecter les performances du serveur (CPU) © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Contrôle de la compression HTTP 3/26/2017 3:56 PM Contrôle de la compression HTTP Source ou Destination Réseau Groupe d’ordinateurs Contenu Documents html Texte Images … Attention le paramétrage de la compression HTTP se fait au niveau du serveur et non au niveau des règles Important : le trafic HTTPs n’est pas compressé © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Paramétrage des options 3/26/2017 3:56 PM Démonstration Paramétrage des options de compression dans ISA Server 2004 SP2 © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Gestion de priorité pour les flux HTTP 3/26/2017 3:56 PM Gestion de priorité pour les flux HTTP Support de Differentiated Services (DiffServ) Documentée dans les RFC 2474, 2475 Utilise le champ TOS (Type Of Services) des paquets IPv4 Cf. slide suivante Il faut que l’infrastructure le supporte (routeur) Paramétrable en fonction : URL Domaine Réseau Taille du contenu © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Differentiated Services 3/26/2017 3:56 PM Differentiated Services 1 2 3 4 5 6 7 Differentiated Services Codepoint (DSCP) Ver4 IHL TOS Total Length Identification Flags Frag Offset Protocol TTL Header Cheksum Source Address Destination Address IP Options © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Differentiated Services 3/26/2017 3:56 PM Differentiated Services 1 2 3 4 5 6 7 Differentiated Services Codepoint (DSCP) Bits de 0 à 2 : Class Selector Bits de 3 à 5 : Priorité dans les classes Bits 6 et 7 : Pas utilisés Garantie d’acheminement croissante Classe 1 Classe 2 Classe 3 Classe 4 001010 001100 001110 010010 010100 010110 011010 011100 011110 100010 100100 100110 Taux de rejet croissant © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Paramétrage de la gestion de priorité http dans ISA 3/26/2017 3:56 PM Démonstration Paramétrage de la gestion de priorité http dans ISA Server 2004 SP2 © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Démonstration DiffServ Agence Siège

Mise en cache BITS (Scénario branch office) 3/26/2017 3:56 PM WAN Faible débit ISA Server Site Central ISA Server agence La mise en cache BITS est supportée avec : Windows Update / Microsoft Update Windows Server Update Services (WSUS) © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

BITS Caching Background Intelligent Transfer Service 3/26/2017 3:56 PM BITS Caching Background Intelligent Transfer Service Documenté dans la RFC 2616 Utilisé avec : Automatique update Windows update Microsoft update Vérifie Range: request header Content-range: response header A paramétrer sur les postes clients © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Configuration de la mise 3/26/2017 3:56 PM Démonstration Configuration de la mise en cache de BITS dans ISAServer 2004 SP2 © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Agenda Appliances Service Pack 2 ISA Server 2004 3/26/2017 3:56 PM Agenda Appliances Service Pack 2 ISA Server 2004 ISA Server 2006 (Wolverine) Questions / Réponses © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Les 3 piliers d’ISA Server 2006 Sécuriser les applications Web publiées Optimiser et sécuriser les réseaux d’agence Enrichir et faciliter les déploiements Fournir un accès fiable et sûr à tous les périphériques disposant d’un navigateur Web Forte intégration avec Exchange (5.5 -> 12) et Sharepoint / WSS Plus de standards supportés pour l’authentification ISA Server 2006 Entreprise Edition disponible sous la forme d’appliance Déploiement automatisé via clé USB Assistant « Branch Office » lancé automatiquement Améliorer la sécurité des réseaux d’agences Optimiser la consommation de la bande passante Cf. ISA 2004 SP2 Faciliter l’administration distante

La plateforme de démonstration

Authentification et ISA Server 2006 3/26/2017 3:56 PM Authentification et ISA Server 2006 ISA Server accepte les authentifications clientes suivantes: Authentification par formulaire (Forms Based Authentication) : SecurID, RADIUS, Active Directory, Active Directory LDAP, RADIUS OTP Formulaire mot de passe (Active Directory et Radius) Formulaire passcode (SecureID et Radius OTP) Formulaire mot de passe et passcode Certificat Client Authentification HTTP (reçue dans l’entête HTTP) : Basique Digest Intégrée Windows. Pas d’authentification © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Combinaison des authentifications 3/26/2017 3:56 PM OTP Certificate Password HTTP (Basic, Digest, Integrated) HTML Forms (FBA) Mutual SSL/TLS Active Directory (Windows) Active Directory (LDAP) RADIUS RADIUS OTP RSA SecurID 34 © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Nouveautés – Publications Web (1/2) 3/26/2017 3:56 PM Nouveautés – Publications Web (1/2) Publication assistée pour les applications classiques Microsoft : Sharepoint Server / Windows Sharepoint Services Exchange Server (5.5 à E12) Intégration dans l’assistant de RPC/HTTP Support des fonctionnalités de proxy d’Exchange 12 Meilleure gestion des certificats Plusieurs certificats possibles sur un même port d’écoute (mais toujours un certificat par adresse IP) Console des certificats avec vérification de leur validité, de leur magasin… Meilleur support des environnements « Load Balancés » Affinité des sessions par IP ou cookies Intégration dans les assistants © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Nouveautés – Publications Web (2/2) Single Sign On sur les applications Web L’utilisateur ne se signe qu’une fois par session Via un même port d’écoute et un suffixe DNS commun ISA gère les time outs et la durée maximale des sessions Exemple : pour mail.mycompany.com, sps.mycompany.com et www.mycompany.com, le domaine SSO est .mycompany.com Formulaire d’authentification (FBA) personnalisable et disponible en 26 langues

Fonctions de Flood Mitigation d’ISA 2006 1 – Attaques bloquées Propagation de vers Attaques SYN Déni de Service (DoS) Déni de Service distribué (DDoS) Déni de Service (DoS) par bombardement HTTP 2 – Techniques de réduction Limiter les requêtes de connexion TCP par minute par IP Limiter le nombre de connexions TCP simultanées par IP Limiter le nombre de connexion TCP “half-open” par IP Limiter le nombre de requêtes HTTP par minute par IP Limiter les sessions simultanées non-TCP par IP Limiter les nouvelles sessions Non-TCP par minute et par règle Limiter les messages de refus TCP et non-TCP 3 – Contrôle des ressources Saturation des journaux Consommation mémoire Requêtes DNS en cours 4- Remédiation Déclenchement d’alertes avec information sur l’attaque et instruction de remédiation Notification de l’administrateur avec les adresses IP des clients infectés

Ressources utiles Site Web Microsoft 3/26/2017 3:56 PM Ressources utiles Site Web Microsoft www.microsoft.com/isaserver www.microsoft.com/france/isa Webcasts et séminaires TechNet (Gratuits) Sites externes www.isaserver.org www.isaserverfr.org www.isatools.org www.isascripts.org Newsgroup français Microsoft.public.fr.isaserver Kits de déploiement Blogs Blogs.technet.com/stanislas Kits d’évaluation Version d’évaluation (120 jours) CD (livres blancs et guide déploiement) © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Questions / Réponses

Microsoft France 18, avenue du Québec 91 957 Courtaboeuf Cedex 3/26/2017 3:56 PM Microsoft France 18, avenue du Québec 91 957 Courtaboeuf Cedex www.microsoft.com/france 0 825 827 829 msfrance@microsoft.com © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.