{Бинарный} Форпост | Блог Артёма Синицына

2 июля свершилось небольшое чудо – вышел Service Pack 1 для Microsoft ISA Server 2006! Все, кто с нетерпением ждал, наконец-то смогут опробовать его в действии :) Остальным же, кто не слишком переживал в ожидании его выхода, следует в самые короткие сроки познакомиться с первым пакетом обслуживания за всю историю существования Microsoft ISA Server, настолько капитально изменяющим функционал продукта.

Помимо исправлений, список которых приведен в статье KB943462 базы знаний Майкрософт, пакет обновления Microsoft ISA Server Service Pack 1 включает следующие нововведения.

Configuration Change Tracking:
Отслеживание изменений, произведенных в конфигурации ISA Server, с указанием инициатора изменения и его описания изменения. Отслеживание изменений в конфигурации сильно сокращают время на локализацию проблем, а также может быть использовано при документировании конфигурации корпоративных брандмауэров. Более подробно этот механизм описан в статье Томаса Шиндера Your New ISA Firewall: ISA 2006 Service Pack 1 (Part 1)

Test Button:
Кнопка тестирования позволяет проверить согласованность правила веб-публикации между опубликованным сервером и ISA Server. Следует отметить, что этот механизм не позволяет проверить корректность правила публикации посредством доступа со стороны внешнего пользователя. Более подробно эта функция описана в статье Томаса Шиндера Your New ISA Firewall: ISA 2006 Service Pack 1 (Part 1)

Traffic Simulator:
Симулятор трафика позволяет сымитировать сетевой трафик такой как запрос от внутреннего пользователя или запрос к опубликованному веб-серверу в соответствии с заданными параметрами. Симулятор также предоставляет сведения о правилах политики брандмауэра, используемых при осуществлении этого запроса.

Diagnostic Logging Viewer:
Средство просмотра журнала диагностики теперь интегрировано в ISA Server Management Console в виде вкладки Diagnostic Logging в узле Troubleshooting . Она отражает события, касающиеся обработки сетевых пакетов соответствующими правилам политики брандмауэра.

Реализация следующих функций была улучшена в Microsoft ISA Server SP1.

Integrated NLB Support Modes:
Реализована поддержка интегрированного функционала NLB во всех трех режимах, включая одноадресную передачу (Unicast), групповую передачу (Multicast) и групповую передачу по протоколу Internet Group Management Protocol (Multicast with IGMP). До этого обновления в интегрированный функционал NLB поддерживал работу только в режиме Unicast. Более детально это улучшение описано в статье KB938550 базы знаний.

Сертификаты с несколькими записями Subject Alternative Name (SAN):
Поддержка использования SSL-сертификатов с несколькими записями альтернативных имен субъектов (Subject Alternative Name, SAN). Ранее при публикации ISA Server мог использовать либо только имя субъекта (Common Subject Name) сертификата, либо первую запись из списка SAN. Более подробно эта проблема описана в блоге Forefront TMG (ISA Server) Product Team. Детальное описание улучшения приведено в статье ISA 2006 Service Pack 1 Fixes Multiple SAN Problem блога Томаса Шиндера.

Kerberos Constrained Delegation (KCD) Cross-Domain Authentication:
Поддержка междоменной проверки подлинности с ограниченным делегированием по протоколу Kerberos (KCD). При этом учетные данные пользователей домена, отличного от того, членом которого является Microsoft ISA Server, но расположенного в том же лесу, могут быть делегированы посредством KCD на публикуемый веб-сервер. Более подробно этот механизм описан в статье KB942637 базы знаний.

Client Certificate Authentication in a Workgroup Deployment:
Поддержка проверки подлинности по сертификату клиента при развертывании ISA Server в рабочей группе. Это улучшение устраняет необходимость сопоставлять каждый клиентский сертификат с учетной записью пользователя в каталоге Active Directory. Следует отметить, что информация, касающаяся этого улучшения, в статье Forefront TMG (ISA Server) Product Team не совсем верна. Для того чтобы использовать для аутентификации клиентские сертификаты в случае размещения Microsoft ISA Server в рабочей группе необходимо влючать одновременную поддержку Forms-based Authentication и User Certificate Authentication. При желании использовать аутентификацию посредством только сертификатов пользователей, необходимость членства ISA Server в домене сохраняется, так же как и требование сопоставления клиентских сертификатов с учетными записями пользователей в каталоге Active Directory. Более подробная информация приведена в блоге Томаса Шиндера:
ISA 2006 SP1 Removes Requirement for User Certificate Mapping
Update on ISA 2006 SP1 Support for User Certificate Authentication

Сводный перечень ресурсов, освещающих Microsoft ISA Server SP1:
Forefront TMG (ISA Server) Product Team – ISA Server 2006 Service Pack 1 Features
Marc Grote – ISA Server 2006 Service Pack 1: New features and enhancements
Thomas Shinder – Your New ISA Firewall: ISA 2006 Service Pack 1 (Part 1)

Видеозаписи с демонстрации возможностей ISA Server Service Pack 1, которую проводил Yuri Diogenes в Бразилии (так как демонстрация проводилась на португальском языке в данных записях отсутствует звук):
Demo 1 – Configuration Change Tracking
Demo 2 – Web Publishing Rule Test Button
Demo 3 – Traffic Simulator
Demo 4 – Diagnostic Logging Query

И на десерт ссылка на загрузку английской версии ISA Server 2006 SP1 вместе с Release Notes и Feature Document.
Скачать русскую версию ISA Server 2006 SP1 с русскоязычной документацией можно здесь.

Общие сведения об установке обновлений и исправлений ISA Server смотрите в статье базы знаний How to install ISA Server hotfixes and updates.

В заключение отмечу, что Microsoft ISA Server 2006 SP1 значительно расширяет функционал продукта наряду с улучшением ранее существующих функций (прошу прощения за тавтологию). По моему мнению, данный пакет сильно увеличит срок жизни ISA Server 2006, но всё же стоит помнить о растущем не по дням, а по часам наследнике в лице Microsoft Forefront Threat Management Gateway. Причем на 64-разрядных полях сражения у Microsoft ISA Server 2006 шансов не будет вовсе :)

Related Posts

1. Определение версии Microsoft ISA Server и информации об установленном Service Pack
2. Свежая пара багов Microsoft ISA Server 2006 SP1
3. Первый баг Microsoft ISA Server 2006 SP1
4. Назад в прошлое с Microsoft ISA Server 2006 SP1
5. Невозможность установки Microsoft ISA Server 2006 SP1 на ознакомительные версии продукта