企业级防火墙TMG.pptx

企业级防火墙TMG,By 姜斌斌,Forefront TMG,Forefront TMG是一个高级状态检测以及应用层检测防火墙，同时还包括VPN以及Web缓存，使您能够最大化利用现有投资，提升信息安全和性能。它是微软安全战略架构Forefront中的新成员，替换原来的Microsoft Internet Security and Acceleration (ISA)，成为下一代网络边缘防护产品。基于状态检测是TMG的一个亮点，由此Forefront网络边缘防护覆盖了OSI 7层模型中的上5层，即网络层、传输层、会话层、表示层、应用层，让网络安全防护更加安全。,对比网络防火墙和企业级防火墙功能,网络层防火墙： 基于数据包、目标地址、原地址、 协议（TCP UDP ICMP）、目标端口 高级防火墙： 有网络层防火墙的全部功能 基于用户、时间、内容、方法进行控制,安装TMG,实验环境：边缘防火墙,安装TMG客户端,Forefront TMG客户端利用TMG 2010为客户端计算机提供HTTPS检测通知(HTTPS inspection notification)、自动发现(Automatic Discovery)、增强的安全性、应用支持，以及访问控制。当运行Forefront TMG客户端的计算机发出防火墙请求，该请求被定向发送到TMG 2010计算机做进一步处理。由于它属于Winsock进程，因此无需特定的路由架构支持。Forefront TMG客户端透明地发送用户信息，这样用户就能够在Forefront TMG 2010计算机上创建防火墙策略，防火墙策略遵从客户颁发的认证证书的规则，但仅限于TCP和UDP流量。对于其他任何协议，则必须使用安全NAT客户端连接。,TMG客户端的作用,HTTPS检测通知、活动目录标记(Active Directory Marker)、TMG客户端的标准功能、用户或组防火墙策略适用于TCP和UDP协议的网络/非网络代理、支持复杂协议，而无需使用TMG应用程序筛选器、简化大型组织的路由配置、自动探测基于DNS和DHCP服务器设置的TMG信息。,防火墙客户端部署(一),1、使用组策略软件安装部署安装客户端 2、配置DNS支持防火墙客户端发现TMG 步骤：DNS-新建别名-wpad 禁用DNS服务器全局组织列表： dnscmd J /config /enableglobalqueryblocklist 0 清除DNS缓存: ipconfig /flushdns,防火墙客户端部署(二),1、带参数的安装防火墙客户端指定TMG 2、dcsoftwareMS_FWC.msi SERVER_NAME_OR_IP= ENABLE_AUTO_DETECT_DETECT=0 REFRESH_WEB_PROXY=0 /qn 解释： qn为不显示安装进度 qb为显示安装进度 3、组策略开机启动脚本ms.cmd,防火墙客户端部署(三),1、配置DHCP支持防火墙客户端发现TMG防火墙 2、步骤：设置预定义的选项如图,过滤病毒 限速功能 淹没缓解,TMG控制内网访问Internet,定义元素 防火墙规则的顺序和规则分组 基于地址的控制 协议 基于