Microsoft Forefront TMG - Part 3 - Access Rule02

Đồng ý cho các giao thức HTTP, HTTPS, FTP (các Port 80,443,21) theo một chiều từ Internal sang danh sách AllowWeb, quyền này được gán lên mọi User có trong Group Kinh Doanh của mạng Internal
Nội dung trích xuất từ tài liệu:
Microsoft Forefront TMG - Part 3 - Access Rule02Như vậy với Rule Web Group KD này ta có thể hiểu như sau:Đồng ý cho các giao thức HTTP, HTTPS, FTP (các Port 80,443,21) theo một chiều từ Internal sang danh sách AllowWeb, quyền này được gán lên mọi User có trong Group Kinh Doanh của mạng InternalTiếp theo ta cần giới hạn thời gian sử dụng của Group này bằng cách Double click lên Rule Web Group KD và chọn TabScheduleNhấp New để tạo một Schedule mới và đặt tên là Set TimesTiếp tục chọn Active như hình bên dưới 13 of 25Màn hình sau khi hoàn tấtNhư vậy với tùy chọn này các User thuộc Group Kinh Doanh chỉ được truy cập các trang Web thuộc danh sách AllowWeb vào cột mốc thời gian là từ 8h->12h & 14h->18h của các ngày thứ 2->thứ 6 mà thôiBây giờ tại máy PC02 tôi đăng nhập với user gccom1 và tiến hành test thử xem thế nào.Đầu tiên tôi vào trang Web kythuatvien.com sẽ nhận thấy thông báo từ FTMG là Forefront TMG đã từ chối yêu cầunày, vì gccom1 thuộc Group Kinh Doanh và truy cập trang Web không nằm trong danh sách Allow Web 14 of 25Tuy nhiên nếu tôi truy cập các trang gccom.net & google.com.vn thì rất tốt vì các trang này thuộc danh sách AllowWebLogoff gccom1 và Logon lại với Administrator sẽ thấy không truy cập được bất cứ trang Web nào 15 of 25Điều này hiển nhiên vì cho đến thời điểm này ta chỉ cho phép các User thuộc Group Kinh Doanh truy cập Web mà thôi cònvới các User khác thì vẫn chưa được phép.Như vậy tôi sẽ tạo một Rule mới sao cho các Users thuộc Group Sep sẽ truy cập được mọi trang Web và mọi giao thứcTại Active Directory Users and Computers tạo một Group là Sep. Tiến hành Add Administrator vào Group SepTại PC01 bật Forefront TMG lên tạo tiếp một Access Rule mới đặt tên là SepVà có thuộc tính như sau:Rule Action: AllowProtocol: All outbound trafficAccess Rule Sources: Internal 16 of 25Access Rule Destinations: ExternalUser Sets: Group Sep(Thao tác tương tự như tạo Web Group KD)Màn hình sau khi hoàn tấtNhư vậy với Rule Sep này ta có thể hiểu như sau:Đồng ý cho mọi giao thức (tất cả các Port) theo một chiều từ Internal sang danh sách External, quyền này được gán lênmọi User có trong Group Sep của mạng InternalTại máy PC02 Logon với Administrator sẽ thấy truy cập được mọi trang Web 17 of 25Vậy là từ nãy đến giờ ta chỉ tìm hiểu về các thức tạo các Rule nhưng với Action là Allow mà thôi bây giờ ta sẽ tạo cácRule nhưng với Action là DenyTạo một Access Rule mới với tên là Cam KD truy cap Web denTại Rule Action không chọn Allow nữa mà chọn Deny 18 of 25Tại cửa sổ Protocol ta chỉ mở 3 Port là Port 80,Port 443,Port 21 để truy cập các dịch vụ HTTP, HTTPS, FTP mà thôi.Trong Access Rule Sources chọn duy nhất 1 thuộc tính là InternalTiếp đến trong Access Rule Destinations ta không chọn thuộc tính là External mà tạo một URL Set mới đặt tên là DenyWebVà tạo một danh sách các trang Web mà bạn cấm các User truy cập vào đây trong ví dụ này giả sử tôi định nghĩa trangsexviet.com là Web đen và tôi muốn ngăn chặn nó.Trong User Sets chọn Group KDMàn hình sau khi hoàn tất 19 of 25Như vậy với Rule Cam KD truy cap Web den này ta có thể hiểu như sau:Ngăn cấm các giao thức HTTP, HTTPS, FTP (các Port 80,443,21) theo một chiều từ Internal sang danh sách Deny Web,quyền này được gán lên mọi User có trong Group Kinh Doanh của mạng InternalNhư vậy đến đây ta nhận thấy có sự mâu thuẫn trong Group Kinh Doanh:- Bị cấm truy cập trang google.com.vn trong Rule Cam KD truy cap Web den- Được phép truy cập trang google.com.vn trong Rule Web Group KDTuy nhiên trong Forefront TMG các Rule nào có thuộc tính Order càng nhỏ thì được ưu tiên cao hơn hay nói cách kháccác Rule nào nằm trên sẽ được ưu tiên hơn là các Rule nằm bên dưới.Như vậy trong này do Rule Cam KD truy cap Web den có độ ưu tiên cao hơn Rule Web Group KD nên các Users trongGroup Kinh Doanh sẽ không truy cập được trang google.com.vnBạn có thể thay đổi thứ tự các Rule này bằng cách chọn Move up/Move down, trên thực tế ngoài Rule DNS Query đượcnằm trên cùng các Rule Deny ta nên cho quyền được ưu tiên cao hơn các Rule AllowTại máy PC02 Logon vào gccom1 sẽ thấy không thể truy cập trang sexviet.com được nữa 20 of 25Màn hình Web Browser sẽ hiện lên trang Web thông báo từ Forefront TMG cho biết nội dung mà bạn không thể truy cậpWeb được. Tuy nhiên trang này chỉ có các chuyên viên IT thì mới hiểu là gì, trên thực tế với người dùng bình thường họkhông biết là chúng ta đã ...