كيف يمكن تشغيل موقع في شبكة انترانت على شبكة الانترنت

عليك ان تقوم بحجز الاسم في الخارج و ضع الاي بي بتاعك في ال Name server

الاي بي الريل حيكون موضوع في الفايروول بتاعك

قم بتعريف Static nat rule على الفايروول اي كاننوعه للسماح بالباكت ان تصل الى ال Web server

بس خلاص

اخي busbar كماهي عادتك سباق دائما لمساعدة اخوانك انا اطلعت على الروابط :

http://support.microsoft.com/?kbid=313562

http://support.microsoft.com/?kbid=300435

http://www.isaserver.org/tutorials/..._Your_Site.html

http://www.isaserver.org/tutorials/...ver_Part_2.html

وبحكم الميزانية ولان المرحلة تجريبية ساجرب Three Homed Perimeter Networkلذا ارجو ان تعذرني لاني سوف ازعجك بتساؤلاتي : الخطوات

1- جهاز سيرفر 2000advanced ,DC , DNS

2- جهاز سيرفر مطلوب استخدامه كـ web server ( يحمل عليه IIS هل في هذه الحالة اعده كـ member فقط مع اعطائه ip من نفس نطاق الشبكة ام هناك اعداد آخر ) وهل اضيف هذا الاي بي في LAT ام لا.

3- جهاز سيرفر يحمل عليه الآيزا 2000 مع عدم تحميل iis عليه .

4- اضع 3 كروت شبكة في جهاز الآيزا بحيث :

1- كرت يكون الاي بي له real ip وهو يوصل بـ مودم الانترنت .

2- كرت يكون الاي بي له من نفس نطاق الاي بي الداخلي ويوصل للشبكة الداخلية ويوضع في LAT

3- كرت يكون الاي بي له من نفس نطاق الاي بي الداخلي ويوصل لـ web server ولايوضع في LAT

5- اهيئ dns في الجهاز الاول وهو ما احتاج التفصيل فيه فهل اضيف ip جهاز web server كـ host في NEW Primary Zone باسم الـ web server لحل الاسماء Name Resolving.

بحيث اي طلب للويب سيرفر اللي عندي من اي جهاز داخلي يقوم dns بتوصيله لجهاز الويب سيرفر .

6- اعد Packet Filtering

7- اعد gateway في كرت جهاز web server بحيث يكون نفس رقم ip الكرت الثاني في جهاز ISA server

8- اعد Destination Set

9-اعد Web Publishing Rules

وفهمت باني بهذه الطريقة اصل للويب سيرفر من الانترنت عن طريق الريل اي بي فقط وللوصول لابد اشترك مع شركة بحيث تربط الاسم المطلوب مع هذا الآي بي ( لكن المقصود هنا هل هو Real IP ام اي بي جهاز web server اللي هو من نطاق الشبكة الداخلية لي )

يبدوا انك تريد حل رخيص..

ممكن ان تقوم بكل هذا من دون الحاجة إلى 4 public IP.. كل ما تحتاجه هو 1 static ip فقط

ممكن تستخدم 1 dynamic ip addres لكن المشكلة انه يتغير بين الحين والآخر وهذه مشكلة للزائر لانه قد لا يعلم ما هو الـIP الحالي حيث انه متغير

ممكن تستخدم dynamic domain name لكن هذا ايضا لديه مشاكله الخاصة..

على العموم افضل وارخص حل بالنسبة لك هو من خلال استخدام 1 static ip address..

هذا الـIP يكون IP الـ Router عندك

انت بحاجة إلى Static PAT او مايسمى بالـVirtual Servers أو Port Forwarding

نفرض ان الـstatic ip هو 200.200.200.200

ونفرض ان IP الخادم في الشبكة المحلية هو 10.0.0.1

وبالتالي ستكون إعدادات الـPAT على النحو التالي:

200.200.200.200:80 ===> 10.0.0.1:80

فعندما يستقبل الراوتر أي IP packetيحتوي على destination IP address مساوي لـ200.200.200.200، و ايضا TCP port مساوي لـ80، سيقوم بتحويله إلى 10.0.0.1 ورقم Port 80..

القضية سهلة.. انت لا تحتاج خادم بـ3 بطاقات شبكات.. يكفي ان عندك راوتر ويقوم بـPAT.. كما انك لا تحتاج ربط IP كامل بخادم الموقع، إنما فقط port معين لا اكثر ولا اقل..

هذا التصميم مثال لما اقول، نفرض عندك عدد من الخادمات وجميعهم يستخدمون public ip واحد

لاحظ انني استخدم IP واحد لعدة خادمات، والذي يميز بينهم هو رقم الـPort.. لا داعي ان تعطي كل خادم IP خاص به، مع العلم ان هذا يؤدي إلى ثغرات أمنية.. لان الزائر سيتمكن من دخول (مثلا) الـshares على الخادم.. لكن مع الـPAT انت تسمح فقط استخدام المنافذ المطلوبة، وبقية المنافذ الغير مطلوبة لا يمكن دخولها من خلال الإنترنت

اقتباس

القضية سهلة.. انت لا تحتاج خادم بـ3 بطاقات شبكات.. يكفي ان عندك راوتر ويقوم بـPAT.. كما انك لا تحتاج ربط IP كامل بخادم الموقع، إنما فقط port معين لا اكثر ولا اقل..

اختلف معك اخي EECH55 لانه الايزا مش بيقوم بوظيفة الراوتر بل بوظيفة فلتر ، حماية و امن للسيرفرات المستخدمة باستخدام ال application و ال Http فلتر

--

اصيل فعلا سعيد ببحثك و فكرك المستنير لذا فانا معك و هناك بعض الاشياء التي تحتاجها اولا

اقتباس

2- جهاز سيرفر مطلوب استخدامه كـ web server ( يحمل عليه IIS هل في هذه الحالة اعده كـ member فقط مع اعطائه ip من نفس نطاق الشبكة ام هناك اعداد آخر ) وهل اضيف هذا الاي بي في LAT ام لا.

خلي بالك انه نطاق ال DMZ مختلف عن نطاق الشبكة الداخلية يعني لو الشبكة الداخلية 192.168.1.0/24 فان ال DMZ مثلا ستكون

192.168.2.0/24

اقتباس

2- كرت يكون الاي بي له من نفس نطاق الاي بي الداخلي ويوصل للشبكة الداخلية ويوضع في LAT

اقتباس

3- كرت يكون الاي بي له من نفس نطاق الاي بي الداخلي ويوصل لـ web server ولايوضع في LAT

حياخد بقا من نطلق ال DMZ و برضو لا تضع فيه جيت واي

اقتباس

5- اهيئ dns في الجهاز الاول وهو ما احتاج التفصيل فيه فهل اضيف ip جهاز web server كـ host في NEW Primary Zone باسم الـ web server لحل الاسماء Name Resolving.

ده يرجع بقا للطبولوجي اللي عندك يعن انت عملت Split DNS structure و لا FLAT

لو اسم ال DNS مختلف عن اسم الدومين الداخلي هذا معناه انه انت تستعمل فلات و بالتالي زي ما قولت حتعمل زون جديد و تضيف فيه الاي بي بتاع ال DMZ

لو الاسم الداخلي زي الاسم الخارجي يعني انت حتعمل SPLIT و حتضيف اي بي ال ويب سيرفر في الزون اللي موجود عندك

اقتباس

وفهمت باني بهذه الطريقة اصل للويب سيرفر من الانترنت عن طريق الريل اي بي فقط وللوصول لابد اشترك مع شركة بحيث تربط الاسم المطلوب مع هذا الآي بي ( لكن المقصود هنا هل هو Real IP ام اي بي جهاز web server اللي هو من نطاق الشبكة الداخلية لي )

انت محتاج اي بي واحد فقط تحطه في كارت الايزا

اخ eech55 ...

كلامك حلو جدا ... لكن مع الاخذ بالاعتبار تصميم ال DMZ فالموضوع يختلف كليا ...

أولا فكرة ال DMZ هي حماية الشبكه الداخليه من ال External Access على ال Web Server و ال Mail Server ... و هدف ال DMZ دائما و ابدا هو عزلهما عن ال Internal Network لضمان حمايتها من ال External Users على ال Web Server على سبيل المثال.

ممكن لزيادة الامان انك تعمل سيناريو Back To Back او بمسمى اخر MidGround ... بس هيلزمك 2 ايزا.

السيناريو كما موضع في الصوره التاليه.

http://www.arabteam2000.com/Files/UserPicture/BTB.jpg

الان انظر الى الخطوات التاليه في الية تطبيق ال BTB سيناريو ..

1- تقوم بإعداد ال LAT للأيزا المرتبط بال Corporate Network كما هو بالصوره اللي اسمو ISA Server Computer 2 ليحتوي على ال IP Addresses لل Corporate Network ...

2- تقوم بإعداد ال LAT للأيزا المرتبط مباشرة بال Internet كما بالصوره و اسمه ISA Server Computer 1 ليحتوي على ال IP Addresses للايزا المرتبط بال Corporate Network و ال IP Adresses لل Publishrd Servers في ال DMZ.

3- نقوم بعمل Web Publishing Rule على الايزا المرتبط بالانترنت ISA Server Computer 1 لعمل Publish للسيرفرز المراد وضعها في ال DMZ .... مثل IIS Server ...

4- نقوم بإعداد ال Web Publish Rule لعمل Redirect لل External Requests لل Hosted Web Site ...

هذه نظره سريعه عن الية تطبيق ال DMZ مع سيناريو ال BTB الذي يعتبر اقوى سيناريو من ناحية ال Security ...

التصميم الذي ذكرته في السابق، قطعا ناقص ولو تلاحظ لا يوجد مكان للhosts.. فالهدف منه فقط تبيين كيف يتم استخدام 1 ip address لعدد من الخادمات..

كما انه لا يوجد اي تعارض بين عدم إعطاء الـISA رقم pubic ip address و تصميم الـDMZ.. على سبيل المثال:

لاحظ ان خادم الـISA لا يملك Public ip .. انما مقتصر على private ip.. وهذا لا يعني انك لا تستطيع تكوين DMZ او اي تقنية من تقنيات الأمان.

اقتباس

وبحكم الميزانية ولان المرحلة تجريبية ساجرب Three Homed Perimeter Network

حسب فهمي انك تريد ارخص حل.. واخشى انك تظن ان هذا الحل هو ارخص حل.. خاصة ان في إحدى المواقع التي قرأتها تصميم قريب لهذا.. وربما ظننت ان هذه هي الطريقة الوحيدة.. لكنها ليست الوحيدة

لماذا نريد الـISA في المنتصف؟ هل هناك خاصية أمان نريد تطبيقها في الـISA ليست موجودة في الراوتر؟

حسبما أرى انك تريد Packet Filtering في الأيزا.. ممكن تقوم بنفس الشيء في الراوتر.. فأغلب الراوترات تسمح لهذا..

هذا التصميم يلغي وجود خادم في المنتصف.

ربما يختلف الإخوة معي.. لكنني أرى ان لا تقوم بإستخدام خادم في المنتصف (حتى لو كان يونكس) إلا إذا كنت فعلا تحتاجه.. لماذا؟

1- إضافة الخادم في المنتصف يزيد البطئ او الـlatency.. فكلما زادت عدد الأجهزة زاد البطئ

2- يكفي ان الخادم يقوم بمعالجة البيانات في الـsoftware وهذا في حد ذاته ابطأ من الراوتر حيث انه يقوم بالـhardware

3- تصرف كهرباء من غير لازمة

4- يزيد مجهود الصيانة

5- تزيد عدد نقاط الفشل المركزية.. يعني اذا سقط الخادم فالشبكة سقطت، وكذلك اذا سقطت الراوتر فالشبكة ايضا سقطت.. هكذا ستزيد عدد نقاط الفشل المركزية

لهذه الأسباب (حتى لو عندك ملايين زايدة) تخلص من أي جهاز في المنتصف لا تحتاجه.

اما اذا كانت هناك خواص أخرى تنوي استخدامها ولا توجد في الراوتر فحينها منطقي ان نضع خادم الISA في المنتصف..

فكر لماذا تحتاج الأيزا في المنتصف، وهل انت فعلا بحاجه إليه.. القضية تحتاج قليلا من الدراسة..

مثلا تصميم شبكة المنزل عندي هي من خلال وضح خادم يونكس في المنتصف والسبب انني احتاج خواص غير موجودة في الـrouter الذي استخدمه، كالـIPS والـ Packet Queueing

ولو كان الراوتر عندي يقوم بالـIPS والـQueueing لذهبت للتصميم الثاني (من دون وضع خادم في المنتصف)

اخي EECH55

لكي لا نصطدم و نخش في نقاشات جدلية لا جدوى منها لانه باختصار كل تصاميم الامن لا تعتمد على الراوترات في تصميم الامن الخاص بها

كما انه لو استخدمنا الايزا فاننا نستفيد كما فلت من ابليكشن فلترينج و ويب فلترينج

بالنسبة للتأخر فهناك تأخير لكنه سيقل مع الايزا لانه سيستعمل ال Reverse caching مما يسرع الرد و يخفف الضغط على الويب سيرفر

اقتباس

2- يكفي ان الخادم يقوم بمعالجة البيانات في الـsoftware وهذا في حد ذاته ابطأ من الراوتر حيث انه

يقوم بالـhardware

درافير الايزا يوضع قبل ال TCP stack في الويندوز لذا هو يعمل بنفس كفاء الهاردوير

تصميم الراوتر مع الويب مباشرة تصميم بدائي جدا و لا يستخدم الى في شبكات و ويب سيرفرز محدودة جدا لكنه ضد كل تصاميم و معايير الامن

لذا دعنا لا نخض في هذا و نركز على سؤال اصيل في تصميم الايزا

@محمد عليان

تصميم ووضع Back2back هو من ضمن التوصيات الخاصة بالموديل الجديد لل Infrastructure optimization لمايكروسوفت لكنه مكلف طبعا ،و في التوصيات عليك ان تستعمل 2 فايروول بس من مصنعين مختلفين

و لا تستعمل الى عند الانتقال من فئة ال standarized الى Rationalized لذا لا ارى انه في حاجة الى B2B طبقا لاحتياجات اصيل و لكن لا ضرار من عرض التقنية

بالنسبة لتوصية EECH55 باستعمال الراوتر مباشرة فهو ملائم في حال الرغبة في ارخص حل و لكنه ليس الاكثر امنا و لا يوصى به ابدا

اخواني لوكان تواجد بالرد على موضوعي لكفاني فرحت لماشفت فطاحلة المنتدى يزينوا موضوعي فجزاكم الله خيرا وغفر الله لنا لكم وزادكم علما

اخي EECH55

انا من يوم اشوف الصورة حقك وانا اخاف ما افهم ردودك لاني قطره في بحرك .

الاحظ الصور اللي ارفقتها لي ما تظهر لاادري لماذا . وكذلك جميع ردودك الاخرى كانه محجوب عندنا .

بالنسبة لموضوع 4real ip هذا اشتراك تم تثبيته عندنا في الكلية للنت مع vsat 2 way لكن مالهم علاقة بالهاردوير الاخرى .

فعلا فكرت بالراوتر وعندي cisco 2950 وجالس اتعلم البرمجة والتحكم في البورتات وكذلك access list وكيف اسمح لمجموعة من الاي بي بالدخول . لاني سوف اقوم بدراسة عمل vlan عندي للاقسام بالكلية .

ممكن تشرح لي ايش الفرق بين static ip و real ip كنت مفكرهم شي واحد .

شفت بعض مواقع يكتب للدخول مثلا http://xxxx.edu.sa:81/manage/alogin.asp فهل هذا يستخدم الفكرة اللي قلتها ام مجرد انه مغير البورت في iis للموقع .

لكن سوف أأجل تطبيق فكرتك حتى اتمكن من التعامل مع السيسكو بشكل اكبر.

اخي busbar :

اقتباس

اصيل فعلا سعيد ببحثك و فكرك المستنير لذا فانا معك و هناك بعض الاشياء التي تحتاجها اولا

انا صرت (h) (h) شكر لك على هذا الشعور وربما تذكر سؤالي في موضوع الايزا عن الـ publish

والان وصلت للتطبيق .

لدي بعض الملاحظات :

1-

اقتباس

خلي بالك انه نطاق ال DMZ مختلف عن نطاق الشبكة الداخلية يعني لو الشبكة الداخلية 192.168.1.0/24 فان ال DMZ مثلا ستكون

192.168.2.0/24

- طيب هل الاجهزة الموجودة في الشبكة الداخلية تستطيع الوصول ايضا لنفس الموقع من الداخل اذا غيرت النطاق . ما دام في نفس subnet mask

وهل اذا غيرت مثلا subnet mask في dmzمن class c مثلا الى class b بينما الشبكة الداخلية من class c تحصل مشاكل معي .

- طريقة التوصيل بالسويتش عاديه ام هناك معايير محددة بمعنى لوشبكت كل هذه الاجهزة في سويتش واحد ومنه كيبل الى بقية شبكتي الداخلية .

2-

اقتباس

انت محتاج اي بي واحد فقط تحطه في كارت الايزا

انا اقصد لما اتصل على الشركة حتى يعطوني اسم اعطويهم هذا real ip وهم يربطوه بالاسم المطلوب .

اخي محـمـد أكـرم علـيـان

شكرا لك على مساعدتك وتشريفي بالدخول على موضوعي بعد ما اتقن طريقة Three Homed Perimeter Network ان شاء الله

سأتجه الى BTB .فإذا كان هناك مرجع معين آمل إرفاقه وسأكون لك شاكراً .

اقتباس

- طيب هل الاجهزة الموجودة في الشبكة الداخلية تستطيع الوصول ايضا لنفس الموقع من الداخل اذا غيرت النطاق . ما دام في نفس subnet mask

وهل اذا غيرت مثلا subnet mask في dmzمن class c مثلا الى class b بينما الشبكة الداخلية من class c تحصل مشاكل معي .

كل ما عليك انه تعمل access rule في الايزا و الباقي هو يتولاه

اقتباس

طريقة التوصيل بالسويتش عاديه ام هناك معايير محددة بمعنى لوشبكت كل هذه الاجهزة في سويتش واحد ومنه كيبل الى بقية شبكتي الداخلية

لا تغلط الغلطة دي لو حتعمل كده يبقا لازم تعمل في لان و لكنها تستلز كارت في السيرفر يدعم الاشتراك في اكثر من في لان

الافضل ول الراوتر في هب مع الكارت الخاري للايزا

حط كارت تالت في الايزا ووصله بهب مع الويب سيرفر

الكارت التاني وصله في سويتش و حط فيه الشبكة الداخلية

و كما قلت طريقة EECH55 ناجحة و لكنها لن توفر الامان اللازم لويب سيرفر بس في ناس عادي شغالين بيها لذا انصحط اذا كنت ستستخدمها انه تعمل Lock down للويب سيرفر و ان تأخذ حذرك

اقتباس

الاحظ الصور اللي ارفقتها لي ما تظهر لاادري لماذا . وكذلك جميع ردودك الاخرى كانه محجوب عندنا .

عدلت الردود وغيرت روابط الصور

أخي eech55 بارك الله فيكم جميعا الصور الآن ظهرت بالفعل من دونها كنت تايه . لكن بحكم اني مبتدئ بالسيسكو ل هل يمكن مساعدتي بمرجع أو موقع بحكم خبرتكم في هذا المجال .

أخي busbar جزاك الله خيراعلى التوضيح ماذا تقصد بـ Lock down للويب سيرفر .

هذه هي الأوامر، تضعها على الراوتر المرتبط بالإنترنت

Router(config)# ip nat inside source static tcp 10.0.0.5 80 200.200.200.200 80 extendable 

Router(config)# interface ethernet0
Router(config-if)# ip nat inside

Router(config)# interface serial 0
Router(config-if)# ip nat outside

حيث ان IP الخادم هو 10.0.0.5 في الشبكة المحلية

و IP الخادم في فضاء الإنترنت هو 200.200.200.200

اي طلب مرسل على 200.200.200.200 سيتم تحويله إلى 10.0.0.5 فـــقــــط إذا كان مرسل إلى منفذ TCP 80

اخي eech55 شكرا جزيلا على اعطائي جزء من وقتك بالنسبة للصورة التالية :

هل اوصل من الرواتر منفذ0 الى الويب سيرفر .

وهل اوصل الى الشبكة الداخلية من نفس منافذ الراوتر ام لابد اني اضع سويتش ثم اوصل من الى الشبكة الداخلية .

وعذرا على اسئلتي فانا ليست لدي خلفية وافية في التعامل مع السيسكو .