ISA-Server pro und contra

Netzmeister
as-sassin
Sicherheit ist Illusion
Mainpage
William Hurt Fanpage

Weitere Themen
Benutzermigration NT/2000
Vertrauensstellungen
TCP/IP-Drucker einrichten
Keine Anmeldung...
Offline Kalender in Outlook XP
Seite quer in Word (XP)
DNS-Weiterleitung
Marketing

Schönen Gruß...
...an Alexander und Sebstian, die sich mit dem ISA-Server 'rumärgern mußten!

Pro

Der ISA Server 2000 (Internet Security and Acceleration Server 2000) stellt laut Microsoft sichere, schnelle und einfach zu verwaltende Internetverbindungen zur Verfügung. Der ISA Server integriert einen erweiterbaren, mehrstufigen Unternehmensfirewall und einen skalierbaren, leistungsstarken Webcache. Der ISA Server baut auf der Sicherheit und dem Active Directory von Microsoft Windows 2000 auf, um auf Zugriffsrichtlinien basierende Sicherheit, Beschleunigung und Verwaltung des Arbeitens mit dem Internet zu verwenden.

Der ISA Server ist in zwei Versionen verfügbar, Standard Edition und Enterprise Edition. Die Versionen verfügen über denselben umfangreichen Featuresatz, wobei die Standard Edition maximal vier Prozessoren unterstützt.

Features:

Multilayer Firewall Maximale Sicherheit mit Paket- und Applikations-Ebenen Traffic-Screening Stateful Inspektion Untersuchung von Daten, die die Firewall passieren im Kontext des Protokolls und dem Stand der Verbindung. Die dynamische Paket-Filterung öffnet Ports nur wenn notwendig.
Broad application support Arbeitet mit Dutzenden von bedeutenden Internet-Anwendungen, die vordefinierte Protokolle und Anwendungs-Filter benutzen, zusammen.
Integriertes Virtual Private Networking (VPN) Bietet standardisierten, sicheren Fernzugriff mit dem integrierten VPN-Dienst von Windows 2000.
System Schutz Windows 2000 Systemsicherheit durch das Setzen des geeigneten Levels von Sicherheit und vordefinierten Schablonen.
High-Performance Web Cache Beschleunigung der Internetbenutzung durch Netzwerk-Bandbreite, schnelles RAM-Caching und optimierten Cache im ISA Server.
Verteiltes und hierarchisches Caching Das Netzwerk kann konfiguriert werden, so daß  die Cache nah am Benutzer legt oder durch verkettete Konfigurationen mit mehrfachen oder Backup-Routen versehen wird.
Active Caching Optimiert die Bandbreitennutzung mit selbstständigem Erneuern frequentierten Inhalts.
Scheduled Content Download Verteilter Inhalt und Vorladen des Cache nach einem definieren Plan ermöglicht effizientes Arbeiten im Netzwerk, konstant gespiegelte Server und Offline-Verfügbarkeit.
Richtliniernbasierte Zugriffskontrolle Internetzugang beschränkbar für Benutzer, Gruppen, Applikationen, Ziele, Schedules. Windows 2000 Integration Gateway-to-Gateway und Fernzugriff (VPN), Bandbreiten-Prioritäten, System Schutz, fortgeschrittener Berechtigungszuweisung und Windows 2000 Management-Tools und Leistungs-Monitore.
Integrierte Administration Die Firewall, die Web Cache und die Proxydienste sind mit einem Satz Tools und Regeln, einschließlich Zugriffskontrolle, Reporting, Alerting und Überwachung zu verwalten.
Intuitive Benutzeroberfläche
Der ISA Server wird durch die Microsoft Management Console (MMC) verwaltet und besitzt graphische Task-Pads und Wizards, die das Sicherheits- und Cachemanagement vereinfachen.
Breite Verkäufer-Unterstützung Der ISA Server ist durch Programme von Drittanbietern erweiterbar, die z.B. erweiterte Sicherheit, Management-Tools, Seiten-Blockierung, Berichten, Virenschutz und mehr anbieten.
Umfassendes Software Development Kit (SDK) Entwicklung eigener Web-Filter, Applikations-Filter, Administrationsscripts und -tools und anderer Erweiterungen mit dem SDK mit dokumentierten APIs und Schritt-für-Schritt-Beispielen.
Erweiterte Administration Schreiben von Scripts oder Management-Tools mit dem Administration Object Model.
Applikationsfilter Entwicklung von Applikationsfiltern, den Datenstrom abfangen, analysieren oder modifizieren.
Web Filters Entwurf von ISAPI-basierten Webfiltern zur Betrachtung, Analyse, Blockierung, Umleitung oder Modifizierung von HTTP- oder FTP-Traffic.

Contra

Die Antivirus-Funktionalität des ISA Server kann nur über entsprechende Einstellungen in der Firewall (z.B. Ports zumachen, die bekannte Viren nutzen), bzw. über dem ISA Server angepaßte Software von Drittanbietern gewährleistet werden. 

Die Firewall arbeitet nur für „Firewall-Clients“, die Clientsoftware kann nur auf Windowsrechnern installiert werden.

Nicht Firewall-Clients sind SecureNAT-Clients, wobei viele der Features des ISA Servers genutzt werden können, auch Zugriffskontrolle, allerdings ohne high-level Protokoll Unterstützung und Benutzer-Authentifizierung.

Wenn auf dem Paketweiterleitungspfad eines beliebigen Clients auf einer beliebigen Plattform ein ISA-Server vorhanden ist, fängt der ISA Server den Verkehr ab und wendet Sicherheitsrichtlinien auf diesen Verkehr an. SecureNAT wendet Firewallrichtlinien für ausgehenden Verkehr an, ohne dass Clientsoftware installiert oder Browsereinstellungen konfiguriert werden müssen.

ISA-Clients:

Feature	SecureNAT Client	Firewall Client	Web Proxy Client
Client-Software zu installieren	Nur einige Netzwerkeinstellungen ändern	Ja	Nur Einstellungen im Browser anpassen.
Betriebssystem-Plattform	Jedes Betriebssystem, das TCP/IP-fähig ist.	Nur Windows	Jedes OS, abhängig vom Browser
Protokoll	Application Filter für Multi-Connection-Protokolle erforderlich	Alle Winsock Applikationen	HTTP, HTTPS, FTP und Gopher
Benutzer- Authentifizierung	Einige Netzwerkeinstellungen sind zu ändern	Ja	Ja
Server Applikationen	Keine Konfiguration oder Installation	Konfiguration

Der ISA-Server arbeitet nur auf Windows 2000, was eine relativ hohe Anforderung an die Hardware stellt:
Prozessor: mindestens 200 MHz
Arbeitsspeicher: mindestens 128 MB RAM
Festplatte: 1 GB freier Speicherplatz auf der Festplatte.
Die Sytemanforderungen werden durch den ISA-Server noch mal erhöht, wodurch folgende Aufstellung zustande kommt:
Prozessor: mindestens 300 Pentium II-kompatible CPU
Arbeitsspeicher: mindestens 256 MB Arbeitsspeicher (RAM)
Festplatte: 1 GB + mindestens 20 MB  NTFS
Betriebssystem: Windows 2000 (Advanced)Server (SP 1) oder  Windows 2000 Datacenter Server
Netzwerkkarte: Zwei Windows 2000-kompatible Netzwerkkarten

Für den ISA Server wird ausschließlich das prozessorbasierte Lizenzmodell angeboten (bzw. kann eine vorhandene Back Office 2000 CAL genutzt werden). Es wird eine Prozessorlizenz für jeden Prozessor des Server PCs benötigt, der die Serversoftware ausführt. Die Lizenz kostet $1,499 pro Prozessor.

Die Prozessorlizenz beinhaltet den Zugriff für eine unbegrenzte Anzahl von Benutzern/Geräten, um eine Verbindung aus dem LAN oder WAN des Unternehmens oder von außerhalb der Firewall herzustellen.

Es gibt bereits bekannte Bugs und Sicherheitslücken für die auf der Microsoft-Seite Patches downloadbar sind.