Truy cập máy khách VPN từ xa qua VPN Site to Site

• Local Host Network – Mạng được định nghĩa bởi tất cả các địa chỉ IP đường biên cho bất cứ giao diện nào trên ISA.
• Default Internal Network – Đây là một ISA Firewall Network mà bạn có thể định nghĩa khi ISA Firewall được cài đặt. Điển hình nó chính là interface gần nhất cho các dịch vụ cơ sở hạ tầng mạng chính mà ISA Firewall phụ thuộc, chẳng hạn như Active Directory domain controller, DNS server, DHCP server và dịch vụ chứng chỉ.
• Default External Network – Default External Network được định nghĩa với tất cả các địa chỉ IP không bị gộp trong định nghĩa của bất kỳ ISA Firewall Network nào. Bạn không bao giờ cần add các địa chỉ IP vào Default External Network vì nó là một mạng tự xác định, gồm có các địa chỉ IP mà bạn không nhóm vào bất cứ một mạng ISA Firewall Network nào.
• VPN Clients Network – VPN Clients Network là một ISA Firewall Network có chứa địa chỉ IP của máy khách VPN truy cập xa và các VPN gateway đang kết nối đến ISA Firewall. Định nghĩa ISA Firewall Network này mang tính động. Vì VPN client và gateway kết nối đến the ISA Firewall, các địa chỉ VPN interface của chúng sẽ tự động được add vào định nghĩa VPN Clients Network, và sẽ tự động bị xóa đi khi VPN client và gateway hủy kết nối với ISA Firewall.

• Local Host Access – định nghĩa mối quan hệ Route giữa Local Host Network và các mạng khác.
• VPN Clients to Internal – định nghĩa mối quan hệ Route giữa VPN Clients Network với các mạng Default Internal Network.
• Internet Access – định nghĩa mối quan hệ NAT cho quá trình truyền thông bắt nguồn từ Internal Network đến Default External Network.

• VPN Clients Network – Đây là mạng ISA Firewall Network có tất cả các máy khách VPN và gateway khi chúng kết nối với ISA Firewall.
• Main office default Internal Network – Đây là mạng nằm phía sau ISA Firewall văn phòng chính. Lưu ý rằng tên mạng (Network name) của ISA Firewall có liên quan với vị trí của máy khách đang kết nối với ISA Firewall Network này. Khi máy khách VPN truy cập từ xa kết nối với ISA Firewall văn phòng chi nhánh, đây sẽ là một Default Internal Network đối với các thành viên của VPN Clients Network. Mặc dù vậy, nếu một host tại văn phòng chi nhánh đã kết nối được với mạng này thì tên mạng sẽ cho thấy điều đó. Chúng ta sẽ đi xem xét một ví dụ cho vấn đề này sau.
• Branch Remote ISA Firewall Network – Các mạng Remote Network được định nghĩa khi bạn tạo các kết nối VPN site to site. Từ phía các host đang kết nối từ ISA Firewall văn phòng chính, các kết nối được tạo với mạng văn phòng chi nhánh sẽ được kết nối đến Branch Remote Network. Mặc dù vậy, nếu một máy khách nào đó đã kết nối với ISA Firewall văn phòng chi nhánh, thì mạng mà các máy khách sẽ kết nối đến là gì? Đó chính là Default Internal Network vì trong kịch bản VPN site to site, tên của ISA Firewall Network đích có quan hệ với ISA Firewall mà máy khách VPN truy cập từ xa kết nối với nó.

• Có một Network Rule cho việc kết nối VPN Clients Network với default Internal Network. Network Rule này thiết lập mối quan hệ Route giữa các máy khách VPN và default Internal Network của văn phòng chính.
• Một Network Rule cho việc kết nối Default Internal Network của văn phòng chính với office ISA Firewall Network văn phòng chi nhánh. Network Rule này thiết lập mối quan hệ Route giữa các mạng này.

Với cơ sở này, giờ đây bạn có thể chỉ ra tại sao một số quản trị viên ISA Firewall gặp phải vấn đề trong việc cho phép các máy khách VPN truy cập xa kết nối với ISA Firewall văn phòng chiinhs để truy cập tài nguyên trên ISA Firewall Network văn phòng chi nhánh: họ cần tạo một Network Rule để kết nối VPN Clients Network văn phòng chính với ISA Firewall Network văn phòng chi nhánh.

Xem tiếp trang 4

Quả thực, còn có một thứ khác cần phải thực hiện ở đây đó là tạo một Access Rule để cho phép truyền thông từ VPN Clients Network văn phòng chính đến mạng văn phòng chi nhánh. Mặc dù có một Network Rule kết nối các mạng với nhau nhưng vẫn cần phải có một Access Rule cho phép truyền thông giữa các mạng này.

1. Tại máy CSS, mở giao diện điều khiển ISA Firewall. Trong cửa sổ này, kích Arrays và kích mảng Main. Tiếp đó kích Configuration và Networks.
2. Trong nút Networks, kích tab Network Rules ở panel giữa. Trong tab Tasks trên Task Panel, kích liên kết Create a Network Rule.
3. Trong trang Welcome to the New Network Rule Wizard, nhập vào tên rule trong hộp thoại Network Rule name. Trong ví dụ này, chúng tôi đã sử dụng tên VPN Clients to Branch và kích Next.
4. Trong trang Network Traffic Sources, kích nút Add. Trong hộp thoại Add Network Entities, kích thư mục Networks, sau đó kích đúp vào mạng VPN Clients. Kích Close.

5. Kích Next trong trang Network Traffic Sources.
6. Trong trang Network Traffic Destinations, kích nút Add. Trong hộp thoại Add Network Entities, kích thư mục Networks, sau đó kích mạng Branch. Kích Close.

7. Trong trang Network Relationship, chọn tùy chọn Route. Có một vấn đề cần phải đề cập ở đây, từ quan điểm bảo mật trong việc sử dụng NAT cho kịch bản này, vì vậy chúng ta luôn phải chọn tùy chọn Route. Kích Next.

8. Kích Finish trong trang Completing the New Network Rule Wizard

1. Tại máy tính CSS trong văn phòng chính, trong giao diện điều khiển ISA Firewall, kích Firewall Policy (main) trong phần panel trái của giao diện.
2. Trong tab Tasks của Task Pane, kích liên kết Create Access Rule.
3. Trên trang Welcome to the New Access Rule Wizard, nhập tên cho rule trong hộp Access Rule name. Trong ví dụ này, chúng tôi sử dung tên Ping VPN Clients to Branch và kích Next.
4. Trong trang Rule Action, chọn tùy chọn Allow và kích Next.
5. Trong trang Protocols, chọn tùy chọn Selected protocols từ danh sách sổ xuống This rule applies. Kích nút Add. Trong hộp Add Protocols, kích thư mục Infrastructure, sau đó kích đúp vào giao thức PING. Tiếp đó kích Close.

6. Trong trang Access Rule Sources, kích nút Add. Trong hộp Add Network Entities, kích thư mục Networks, sau đó kích đúp mạng. Kích Close.

7. Kích Next trong trang Access Rule Sources.
8. Trong trang Access Rule Destinations, kích nút Add. Trong hộp Add Network Entities, kích thư mục Networks, sau đó kích đúp mạng Branch. Kích Close.
9. Trong trang User Sets, chấp nhận thiết lập mặc định, All Users, và kích Next.
10. Kích Finish trong trang Completing the New Access Rule Wizard.
11. Kích Apply để lưu các thay đổi và cập nhật chính sách tường lửa. Kích OK trong hộp thoại Apply New Configuration.

1. Tại máy tính CSS ở văn phòng chính, trong giao diện điều khiển ISA Firewall, kích nút Firewall Policy (branch) ở panel trái của giao diện điều khiển.
2. Trong tab Tasks trong Task Pane, kích liên kết Create Access Rule.
3. Trong trang Welcome to the New Access Rule Wizard, nhập vào tên rule trong hộp Access Rule name. Trong ví dụ này chúng tôi sử dụng tên Ping Main to Branch và kích Next.
4. Trong trang Rule Action, chọn tùy chọn Allow và kích Next.
5. Trong trang Protocols, chọn tùy chọn Selected protocols từ danh sách sổ xuống This rule applies to. Kích nút Add. Trong hộp thoại Add Protocols, kích thư mục Infrastructure, sau đó kích đúp giao thức PING. Kích Close.

6. Trong trang Access Rule Sources, kích nút Add. Trong hộp Add Network Entities, kích thư mục Networks, sau đó kích đúp mạng Internal. Kích Close.
7. Kích Next trong trang Access Rule Sources.
8. Trong trang Access Rule Destinations, kích nút Add. Trong hộp thoại Add Network Entities, kích thư mục Networks, sau đó kích mạng Branch. Kích Close.
9. Trong trang User Sets, chấp nhận thiết lập mặc định, All Users, và kích Next.
10. Kích Finish trong trang Completing the New Access Rule Wizard.
11. Kích Apply để lưu các thay đổi và cập nhật chính sách tường lửa. Kích OK trong hộp Apply New Configuration.

1. Tại máy CSS văn phòng chính, kích nút Virtual Private Networking (VPN) trong cây mảng Main.
2. Trong nút Virtual Private Networking (VPN), kích vào Tasks tab trên Task Pane. Kích liên kết Enable VPN Client Access.
3. Kích OK trong hộp thoại thông báo cho bạn rằng dịch vụ RRAS có thể khởi động lại.
4. Kích Apply để lưu các thay đổi và cập nhật chính sách tường lửa. Kích OK trong hộp thoại Apply New Configuration.