企业级防火墙TMG幻灯片.pptxVIP

企业级防火墙TMG By 姜斌斌 Forefront TMG Forefront TMG是一个高级状态检测以及应用层检测防火墙，同时还包括VPN以及Web缓存，使您能够最大化利用现有投资，提升信息安全和性能。它是微软安全战略架构Forefront中的新成员，替换原来的Microsoft Internet Security and Acceleration (ISA)，成为下一代网络边缘防护产品。基于状态检测是TMG的一个亮点，由此Forefront网络边缘防护覆盖了OSI 7层模型中的上5层，即网络层、传输层、会话层、表示层、应用层，让网络安全防护更加安全。 对比网络防火墙和企业级防火墙功能 网络层防火墙： 基于数据包、目标地址、原地址、 协议（TCP UDP ICMP）、目标端口 高级防火墙： 有网络层防火墙的全部功能 基于用户、时间、内容、方法进行控制 安装TMG 实验环境：边缘防火墙 安装TMG客户端 Forefront TMG客户端利用TMG 2010为客户端计算机提供HTTPS检测通知(HTTPS inspection notification)、自动发现(Automatic Discovery)、增强的安全性、应用支持，以及访问控制。当运行Forefront TMG客户端的计算机发出防火墙请求，该请求被定向发送到TMG 2010计算机做进一步处理。由于它属于Winsock进程，因此无需特定的路由架构支持。Forefront TMG客户端透明地发送用户信息，这样用户就能够在Forefront TMG 2010计算机上创建防火墙策略，防火墙策略遵从客户颁发的认证证书的规则，但仅限于TCP和UDP流量。对于其他任何协议，则必须使用安全NAT客户端连接。 TMG客户端的作用 HTTPS检测通知、活动目录标记(Active Directory Marker)、TMG客户端的标准功能、用户或组防火墙策略适用于TCP和UDP协议的网络/非网络代理、支持复杂协议，而无需使用TMG应用程序筛选器、简化大型组织的路由配置、自动探测基于DNS和DHCP服务器设置的TMG信息。 防火墙客户端部署(一) 1、使用组策略软件安装部署安装客户端 2、配置DNS支持防火墙客户端发现TMG 步骤：DNS-新建别名-wpad 禁用DNS服务器全局组织列表： dnscmd J /config /enableglobalqueryblocklist 0 清除DNS缓存: ipconfig /flushdns 防火墙客户端部署(二) 1、带参数的安装防火墙客户端指定TMG 2、\\dc\software\MS_FWC.msi SERVER_NAME_OR_IP= ENABLE_AUTO_DETECT_DETECT=0 REFRESH_WEB_PROXY=0 /qn 解释： qn为不显示安装进度 qb为显示安装进度 3、组策略开机启动脚本ms.cmd 防火墙客户端部署(三) 1、配置DHCP支持防火墙客户端发现TMG防火墙 2、步骤：设置预定义的选项——如图 过滤病毒 限速功能 淹没缓解 TMG控制内网访问Internet 定义元素 防火墙规则的顺序和规则分组 基于地址的控制 协议 基于内容的控制 基于时间的控制 基于用户的控制 基于方法的控制 禁止下载某些扩展名的文件 基于数据包签名的控制 TMG控制内网访问Internet