Tech-Ed 2005 : Implémentation d'ISA Server 2004 Édition Entreprise Accueil > Articles > Evènements
Auteurs  Matthieu MARTINEAU PI SERVICES (GOLD PARTNER MICROSOFT) Ingénieur systèmes et réseaux  Tous les articles de cet auteur		4,7/5 Très Bien 83464 128/605

2. Implémentation d'un serveur de stockage de configuration (CSS)

Sous ISA Server 2000 Édition Standard, les données en rapport avec la configuration du serveur sont stockée dans le registre de Windows. La version Entreprise d'ISA 2000 offre la possibilité de maintenir la configuration directement dans le service d'annuaire Active Directory (pour cela il faut mettre à jour le schéma Active Directory). Cependant ces deux systèmes possèdent des inconvénients : L'utilisation du registre ne permet pas de mettre en place un système de configuration global (et donc utilisable par plusieurs serveur ISA en même temps) L'utilisation d'Active Directory implique que le serveur ISA soit membre du domaine ce qui n'est pas recommandé du point de vue de la sécurité ! (Le mieux est de placer le serveur ISA dans un groupe de travail ce qui évite de compromettre la sécurité du domaine en cas de piratage du serveur)

Si la version Standard d'ISA 2004 utilise toujours le registre, la version Entreprise d'ISA 2004 utilise, elle, un nouveau système permettant de stocker les informations de configuration sur un serveur tiers nommé CSS (Configuration Storage Server). le tableau suivant récapitule les méthodes de stockage utilisée par les diverses version d'ISA :

Le serveur de stockage de configuration utilisé la version Entreprise d'ISA Server 2004 est basé sur le mode application Active Directory encore appelé ADAM (Active Directory Application Mode). ADAM est version simplifiée d'Active Directory fournie gratuitement par Microsoft. C'est un annuaire flexible (il peut être modifié pour être utilisé avec n'importe quelle application supportant le protocole LDAP), sécurisé (utilisation du protocole d'authentification Kerberos), performant et redondant (la réplication est implémentée de la même manière qu'avec Active Directory).

Par défaut, aucune synchronisation n'est possible entre le serveur CSS hébergeant l'annuaire ADAM et les contrôleurs de domaine du réseau interne de l'entreprise. L'installation de serveurs de stockage de configuration est donc totalement indépendante de l'infrastructure Active Directory en place dans l'entreprise. Un système de synchronisation entre ADAM et Active Directory est actuellement à l'étude par Microsoft (plus de renseignements ici), mais il ne devrait pas être utilisé avec ISA Server 2004 puisque le but recherché est la séparation des informations du domaine et du serveur ISA. Vous pouvez tester plus en détail les possibilités d'ADAM, en le téléchargeant sur le site de Microsoft.

L'utilisation du serveur de stockage de configuration (CSS) dans ISA Server 2004 offre donc de nombreux avantages :

• Configuration unique de tous les serveurs ISA de l'organisation puisque les données sont centralisées.

• Méthode de réplication des informations performante entre les serveurs CSS

• Redondance des informations de configuration car plusieurs serveurs CSS répliqués peuvent être mis en place.

• Tolérance de panne au niveau de la configuration des serveurs ISA (on peut configurer un serveur ISA pour utiliser plusieurs serveurs CSS; si l'un de ces serveurs tombe en panne, le serveur ISA contacte automatiquement un seconde serveur CSS).

• Isolation entre Active Directory et les serveurs CSS car les deux services sont distincts

Le seul pré-requis pour promouvoir une machine au rang de serveur de stockage de configuration est la présence de Windows Server 2003. En effet, si il est possible de déployer ISA Server 2004 sous Windows 2000, la même chose n'est pas réalisable avec ADAM !

Selon l'environnement dans lequel il est mis en place (domaine ou groupe de travail), le serveur de stockage de configurations (CSS) se configure de manière différente. On distingue quatre cas :

• le serveur ISA et le serveur CSS appartiennent au même domaine (ou à des domaines reliés par une ou plusieurs relation d'approbation)

• le serveur ISA et le serveur CSS appartiennent à un groupe de travail

• le serveur ISA appartient à un groupe de travail et le serveur CSS au domaine de l'entreprise

• le serveur ISA appartient au domaine de l'entreprise et le serveur CCS à un groupe de travail (cette configuration n'a aucun intérêt !!!)

Lorsque le serveur ISA et le serveur CSS appartiennent au domaine de l'entreprise, la configuration est grandement facilité puisque l'authentification Kerberos peut être utilisée. Au sein d'un domaine, le serveur ISA utilise non pas LDAP (port TCP 389) mais LDAP sealed (ports TCP 2171 et 2172) pour communiquer avec les serveurs CSS. Dans ce cas de figure, il suffit de paramétrer le serveur ISA pointer vers le ou les serveurs CSS (une règle autorisant l'accès à partir du serveur ISA et à destination du CSS sur les ports 2171 et 2172 doit aussi être crée) ! Dans l'exemple ci-dessous, le serveur ISA est configuré en hôte bastion et pointe vers deux serveurs de stockage de configuration (la réplication entre les serveurs CSS et les contrôleurs de domaine est mise en valeur par les flèches violette).

Lorsque le serveur CSS et le serveur ISA appartiennent à un groupe de travail, un certificat numérique de type Ordinateur doit installé sur le serveur de stockage de configuration. Il permet au serveur ISA (ou aux serveurs ISA) de vérifier l'identité du serveur de stockage de configuration mais aussi de chiffrer les informations échangées grâce à sa clé publique et au protocole LDAP over SSL (une règle doit donc être configurée pour autoriser l'accès à partir du ou des serveurs ISA et à destination du ou des serveurs CSS sur le port 636 en TCP). De plus, pour que les serveurs ISA puissent accéder au serveur de stockage de configuration un compte d'utilisateur local doit aussi être crée sur ce dernier. Enfin, l'une des restrictions les plus gênantes de l'appartenance du serveur de stockage de configuration  à un groupe de travail reste que la réplication ne peut pas avoir lieu et donc que la tolérance de panne ne peut pas être assurée ! Le schéma ci-dessous montre deux serveurs ISA configuré en tant qu'hôte bastion et pointant vers le même serveur CSS (on remarque d'un certificat doit être déployé sur le serveur CSS pour que l'accès LDAPs fonctionne correctement).

La configuration recommandée en terme de sécurité est un mélange deux cas abordés ci-dessus. Le mieux est de placer le ou les serveurs CSS dans le domaine de l'entreprise (cela autorise une tolérance de panne car les informations sont répliquées sur plusieurs machines) et le ou les serveurs ISA dans un groupe de travail (en cas de piratage du serveur ISA, cela évite que des informations sensibles sur le domaine soient divulguées).

Si le nombre de serveurs disponible est limité, le serveur CSS peut éventuellement être installé sur un contrôleur de domaine (le serveur CSS peut aussi être installé sur un serveur ISA mais ça n'est pas recommandé). Le mieux étant bien entendu de l'installer sur un serveur membre (la machine ne doit pas forcément être dédiée et peut héberger d'autres rôles comme un serveur DHCP ou bien encore un serveur DNS) !

Lorsque Microsoft ISA Server 2004 version Entreprise est déployé dans une architecture multi-site (on suppose que chaque site distant est protégé par un serveur ISA et que le site principal est protégé par un groupe de serveur tolérant aux pannes), il est recommandé de placer un serveur de stockage de configuration dans chaque site ! Le premier serveur installé est généralement le serveur du site principal. Voici les étapes à suivre pour déployer un serveur CSS redondant dans l'un des sites distants :

1. Créez une règle de publication sur le serveur ISA de la maison mère pour rendre accessible le serveur CSS principal dans tous les sites distants.

2. Installez le serveur ISA 2004 du site distant et configurez-le pour récupérer sa configuration auprès du serveur CSS situé dans le site principal.

3. Installez un serveur CSS dans le site distant et configurez-le de manière à ce qu'il duplique les informations de configuration présentes dans le serveur CSS principal (une règle d'accès est nécessaire pour que les serveurs CSS puissent communiquer entre-eux).

4. Configurez le serveur ISA du site distant pour utiliser le serveur CSS local en premier lieu, puis le serveur CSS principal en second lieu.

Le schéma ci-dessous illustre cette configuration (le trait vert représente la réplication entre les deux serveurs CSS et les traits rouge représentent la configuration des serveurs ISA) :

Le serveur ISA du site distant est configuré pour utiliser en premier lieu le serveur CSS de son site, puis en second lieu le serveur CSS du site principal. Cette procédure permet de mettre en place un système de configuration tolérant aux pannes en toute sécurité (il serait aussi intéressant de configurer le serveur ISA du site principal pour pointer vers le serveur CSS du site distant). La configuration de la réplication entre les serveur CSS est abordées dans les sections 2.7 et 2.8.

Dans cette section seule la procédure recommandée au niveau de la sécurité sera abordée (c'est-à-dire que le serveur CSS appartient au domaine et que le serveur ISA appartient à un groupe de travail). En outre, lorsque le serveur CSS et le serveur ISA sont situés tout deux dans un même groupe de travail, la configuration est identique et lorsqu'ils sont situés dans le même domaine, la configuration est facilitée. Cette implémentation est donc la plus intéressante aussi bien au niveau conceptuel qu'au niveau pratique. Etant donné que l'installation ne présente pas de réelles difficultés techniques, seuls les points les plus délicats seront abordé ici.

La première chose à faire est d'insérer le CD-ROM d'ISA Server 2004, puis de cliquez sur le lien Installer ISA Server 2004. Voici les étapes à suivre lorsque vous créez le premier serveur CSS de votre première entreprise ISA Server (une entreprise ISA Server correspond à un ensemble de serveurs ISA utilisant le même répertoire de stockage de configuration - il est recommandé de ne créer qu'une seule entreprise ISA Server) :

1. Dans la page Scénarios d'installation, choisissez Installer un serveur de stockage de configuration ou bien Installer les services ISA Server et un serveur de stockage de configurations si le serveur CSS est hébergé directement sur le serveur ISA.

2. Dans la page Options d'installation pour ISA Server Entreprise, sélectionnez Créer un nouvel ISA Server Entreprise.

3. Dans la page Environnement de déploiement d'entreprise, choisissez Je déploie dans un groupe de travail ou dans des domaines sans relation de confiance (cela signifie que les serveurs ISA sont situés dans un groupe de travail; cela assure une sécurité maximale) et sélectionnez le certificat de serveur au format pfx qui doit être utilisé (l'exportation de la clé privée au format pfx peut se faire à l'aide de la console Gestionnaire des services Internet (IIS))

4. Dans la page Créer un ISA Server Entreprise entrez le nom de votre Entreprise ISA Server ainsi qu'une description appropriée.

Une fois l'installation terminée, une page Web vous propose de mettre à jour le produit et de consulter un guide permettant de renforcer la sécurité du serveur. Le passage par la case mises à jour est bien entendu indispensable étant donné la nature du produit et son importance en terme de sécurité ! Si vous avez conservé les options d'installation par défaut, les outils suivants doivent normalement être disponibles :

• Editeur ADSI Adam (Cette console MMC est identique à celle présente dans les outils de support de Windows Server 2003 et permet de visualiser l'arborescence LDAP réelle de l'annuaire ADAM)

• Invite de commande des outils ADAM (une simple invite de commande qui se lance dans C:\Windows\ADAM afin que les outils ADAM soient directement utilisables)

• Gestion ISA Server (il s'agit de la console MMC permettant l'administration des services ISA Server version Entreprise)

Une fois le premier serveur CCS en place, il est recommandé d'ajouter des serveurs redondants afin d'assurer la tolérance de panne. Pour cela, il suffit d'insérer le CD-ROM d'ISA Server 2004, de cliquez sur le lien Installer ISA Server 2004, puis de suivre es étapes suivantes (seules les étapes les plus importantes sont détaillées ici) :

1. Dans la page Scénarios d'installation, choisissez Installer un serveur de stockage de configuration ou bien Installer les services ISA Server et un serveur de stockage de configurations si le serveur CSS est hébergé directement sur le serveur ISA.

2. Dans la page Options d'installation pour ISA Server Entreprise, sélectionnez Créer un réplica d'une configuration ISA Server Entreprise.

3. Dans la page Recherche du Serveur de stockage de configurations, entrez le FQDN du premier serveur CSS ainsi que les informations d'identification (login/password) d'un compte autorisé à se connecter au serveur CSS.

4. Dans la page ISA Server - Configuration à répliquer, sélectionner Répliquer par le réseau pour récupérer l'intégralité des information à partir du premier serveur CSS ou bien Copier depuis les fichiers de sauvegarde restaurés si vous possédez une sauvegarde récente de l'annuaire ADAM. Dans le cadre d'une réplication à partir d'une sauvegarde, il faut spécifier une sauvegarde au format .bkf. Cette sauvegarde doit être réalisée avec l'utilitaire de sauvegarde NTBackup et doit correspondre au dossier ADAMData du premier serveur CSS. Ce type de réplication est particulièrement utile lorsque le second serveur CSS est situé dans un site distant relié au site principal par une liaison WAN à très faible bande passante (RTC 56Kb/s ou RNIS 128Kb/s par exemple).

5. Dans la page Environnement de déploiement d'entreprise, choisissez Je déploie dans un groupe de travail ou dans des domaines sans relation de confiance (cela signifie que les serveurs ISA sont situés dans un groupe de travail; cela assure une sécurité maximale) et sélectionnez le même certificat de serveur qui a été utilisé pour le premier serveur CSS.

Une fois l'installation terminée, il faut mettre à jour le produit (si besoin est) et vérifier que la réplication des informations entre les serveurs de stockage de configurations est bien effective !

Par défaut tous les serveurs de stockage de configurations sont situés dans le même site ADAM. A l'intérieur de ce site les changement sont répliqués quasi instantanément. Dès qu'une modification est effectuée dans l'annuaire, le serveur CSS attend 15 secondes puis envoie une notification à son partenaire de réplication le plus proche. Si le serveur CSS possède d'autres partenaires de réplication, il les contacte par intervalle de 3 secondes. Par exemple, si le serveur CSS possède trois partenaire, il envoie une notification au premier 15 seconde après la modification, puis une notification au second au bout de 18 secondes enfin une notification au troisième au bout de 21 secondes ! De plus, un processus de réplication est initialisé à intervalle régulier, même si il n'y a eu aucune notification, dans le but de vérifier la convergence des données dans tous les serveurs CSS.

Ce système de réplication basée sur la vitesse est optimisé pour fonctionner à l'intérieur d'un même site où les connexions réseau sont censées être très performantes. A l'instar d'Active Directory, un processus nommé KCC (Knowledge Consistancy Checker) s'exécute sur chaque serveur CSS. Le KCC construit automatiquement la topologie de réplication en se basant sur un algorithme spécifique. Cet algorithme défini tous les partenaires de réplication et les place dans un anneau en fonction d'un certain nombre de critères comme :

• le nombre de sauts (si un serveur CSS est distant de plus de trois sauts alors il ne peut pas être défini comme partenaire de réplication, le but est de réduire le temps de latence de la réplication)

• le nombre de "routes" disponibles vers un serveur CSS (le KCC essaye de définir deux chemins vers chaque partenaire de réplication dans un soucis de tolérance aux pannes)

Pour modifier la période entre deux réplication (par défaut la duplication a lieu toutes les heures), on peut utiliser la console ADAM - ADSI Edit qui s'est normalement installé en même temps qu'ADAM sur le serveur CSS (il tout à fait possible de déployer cet outil sur un ordinateur client à l'aide de l'exécutable suptools.msi du CD-ROM de Windows Server 2003). La première chose à faire est d'établir une connexion à l'annuaire en renseignant un certain nombre de paramètres : le nom donné à la connexion le FQDN du serveur CSS auquel on souhaite se connecter le port sur lequel on souhaite se connecter (en l'occurrence le port 2171) la partition de l'annuaire sur laquelle on souhaite se connecter (ici, c'est la partition de configuration qui nous intéresse) les informations d'identification d'un compte d'utilisateur autorisé à lister et à modifier l'annuaire Une fois la connexion établie, il est possible de visualiser l'arborescence LDAP de la partition de configuration. On retrouve quelques conteneurs identiques à ceux présent dans Active Directory (CN=Partitions, CN=NTDS Quotas, CN=Services...) et quelques autres différent. Le conteneur qui nous intéresse est bien entendu CN=Sites qui liste tous les sites de l'annuaire et permet leur configuration.

Lorsque l'on observe l'arborescence de ce conteneur, on remarque que tous les serveurs CSS appartiennent automatiquement au site ADAM nommé Default-First-Site-Name. Nous verrons comment créer de nouveaux sites ADAM et comment déplacer un site ADAM dans la section suivante. Si l'on souhaite modifier l'intervalle de réplication du site par défaut ou de n'importe quel autre site, il suffit de sélectionner le nom du site, puis de faire un clic droit sur l'objet CN=NTDS Site Setting en choisissant Planifier. Il suffit ensuite de reconfigurer l'intervalle de réplication à l'intérieur du site à l'aide de la fenêtre Planification. La capture d'écran ci-dessous montre la configuration par défaut du site Default-First-Site-Name. La duplication est effectuée toutes les heures ce qui permet d'assurer une convergence maximale de l'annuaire.

Lorsque des serveurs de stockage de configurations sont présent dans des sites distants, la réplication ADAM doit être optimisée pour tenir compte de la bande passante des connexion WAN (+ou- 10Mb/s selon les cas), généralement plus faible que celle des connexions LAN (souvent supérieure ou égale à 1Gb/s pour les serveurs). Le mécanisme utilisé par ADAM est le même que celui d'Active Directory ! La première étapes consiste à créer des sites, à associer des sous-réseaux à ces sites et à ajouter les serveurs CSS dans les sites appropriés. La seconde étape consiste à créer des liens de sites et à les configurer.

Pour cela, on utilise habituellement la console Sites et Services Active Directory. Malheureusement cette console n'est pas disponible avec ADAM et il faut se rabattre sur des outils plus rudimentaires comme AdamSites.exe pour configurer la réplication intersites. Cette commande n'est pas installée par défaut sur le serveur de stockage de configuration mais est disponible sur le site Web de Microsoft (Microsoft fait référence à cet outil sous le nom ADAMSites Tool for Internet Security and Acceleration (ISA) Server 2004 Enterprise Edition). Une fois l'archive téléchargée, il faut l'extraire dans le répertoire d'installation de l'instance Active Directory Application Mode (ADAM). Par défaut, cela correspond à C:\Program Files\Microsoft ISA Server.

La commande AdamSites est très simple d'utilisation; il suffit de spécifier un paramètre en argument ainsi qu'une valeur pour ce paramètre. Si l'on souhaite visualiser les serveurs membres d'un site donné, il suffit de saisir la commande AdamSites site view nom_du_site. Dans l'exemple suivant, on remarque que le site Default-First-Site-Name est composé de deux serveurs de stockage de configuration nommés CSS-1 et CSS-2.

Le tableau suivant met en valeur les les paramètres les plus intéressants de la commande AdamSites.exe :

Quelques précisions :
Les paramètres Sites et SiteLinks permettent respectivement de lister tous les sites et tous les liens intersites ainsi que la configuration qui leur est associée. Lorsque l'on crée un lien de sites (Site Link Create), le chiffre situé après le nom du lien correspond au nombre des sites qui sont listés, le chiffre situé après le dernier site correspond au coût de liaison (le coût par défaut est de 100 et doit être adapté en fonction de la bande passante et de la fiabilité des connexions WAN utilisées) et le dernier chiffre correspond à l'intervalle de réplication en minutes (par défaut 180 minutes). Par défaut les liens intersites ADAM utilisent le protocole RPC over IP.

Une fois les sites et les liens de sites crées, il est possible de vérifier leur configuration à l'aide de la console MMC ADAM- ADSI Edit. Il suffit de se connecter à la partition de configuration et d'afficher le conteneur CN=Sites. Dans l'exemple ci-contre, on remarque que deux sites on été crée : Paris et Nantes. Lorsque l'on développe le conteneur CN=Inter-Site Transport, on peut visualiser les liens intersites ainsi que leur configuration.

Pour configurer la période durant laquelle la réplication sera autorisée entre deux sites, il faut faire un clic droit sur le nom du lien de site et sélectionner Planifier. Une fenêtre permet ensuite de définir simplement ce paramètre. Dans l'exemple ci-dessous, la réplication entre les sites de Paris et de Nantes est toujours autorisée sauf de 8h00 à 18h00 du Lundi au Vendredi.

La console ADAM - ADSI Edit peut aussi être utilisée pour la configuration de la réplication au même titre que l'outil AdamSites.exe. Cependant elle est moins intuitive que ce dernier et l'administrateur qui l'utilise doit posséder une bonne connaissance du processus de réplication étant donné que la valeur de certains attributs devra être entrée manuellement dans les propriétés de l'objet Site ou de l'objet Lien de sites.

Sommaire
1. Présentation d'ISA Server Edition Entreprise
     1.1 Le positionnement du produit au sein la politique de sécurité de Microsoft
     1.2 Les nouveautés de la version Entreprise
     1.3 Configuration requise pour exécuter Microsoft ISA Server 2004 EE
     1.4 Quelle version d'ISA choisir ?

2. Implémentation d'un serveur de stockage de configuration (CSS)
     2.1 Évolution du système de stockage depuis ISA Server 2000
     2.2 Le serveur de stockage de configurations (CSS)
     2.3 Recommandations pour le placement du serveur de stockage de configurations
     2.4 Recommandations pour la mise en place d'un serveur CSS dans un site distant
     2.5 Installation du premier serveur de configurations de l'entreprise ISA Server
     2.6 Installation d'un serveur CSS redondant pour assurer la tolérance de panne
     2.7 Configuration de la réplication intrasite sur les serveurs CSS
     2.8 Configuration de la réplication intersites sur les serveurs CSS

3. Mise en place d'une stratégie d'Entreprise
     3.1 Introduction aux stratégies d'entreprise
     3.2 Implémentation et configuration d'une grappe de serveurs
     3.3 Ordre d'application des règles d'entreprise et de grappes
     3.4 Délégation de l'administration au sein d'une entreprise ISA Server

4. Déploiement d'un serveur ISA au sein d'une Entreprise ISA Server
     4.1 Installation manuelle d'un premier serveur ISA dans groupe de serveurs
     4.2 Installation automatique d'un second serveur ISA dans un groupe de serveur

5. Configuration de l'équilibrage de la charge (NLB) sur un groupe de serveurs (Array)
     5.1 Principe du Network Load Balancing (NLB)
     5.2 Intégration du NLB au sein d'ISA Server 2004
     5.3 Configuration d'un réseau permettant la communication à l'intérieur de la grappe
     5.4 Activation du NLB sur l'un des réseaux d'un groupe de serveurs ISA

6. La mise en cache distribuée à l'aide du protocole CARP
     6.1 Problématique de la gestion du cache dans un groupe de serveurs
     6.2 Principe du cache distribué
     6.3 Configuration du protocole CARP sur un groupe de serveur ISA
     6.4 Fonctionnement simultané de l'équilibrage de la charge (NLB) de la mise en cache distribuée (CARP)

7. Conclusion
     7.1 Procédure globale de déploiement
     7.2 Le mot de la fin...

En Savoir Plus

Evaluez cet article  0 1 2 3 4 5 Pour afficher ou poster un commentaire, cliquez sur ce lien : Forum-Microsoft